Днес дори ако инструментите за сигурност маркират линк като „чист“, SOC ръководителите вече не разчитат на това на 100%. Фишингът е станал по-сложен, тих и добре маскиран, за да се слее с обичайния трафик.

Вредоносните линкове често се разкриват само когато потребителят взаимодейства с тях, като до този момент защитните системи остават „странични наблюдатели“. Точно този „дефект на видимостта“ използват киберпрестъпниците.

Как съвременният фишинг става почти неоткриваем

Няколко тенденции обуславят трудността при разкриването на атаките:

• „Чист“ на пръв поглед: имейли и страници имитират реални услуги почти перфектно.

• Вредата се появява по-късно: опасните действия се активират след клик или попълване на формуляр.

• QR кодове заобикалят скенерите: обикновено не могат да разчетат съдържанието зад кода.

• Сложни редирект вериги: всяка междинна страница изглежда безвредна, докато финалната е злонамерена.

• Постоянно сменящи се домейни: краткотрайна инфраструктура, която лесно заобикаля блоклистите.

Решението: наблюдение на цялата фишинг верига, а не на първата стъпка

Много SOC екипи вече използват интерактивни пясъчни среди (sandbox), които разкриват частите от атаката, които традиционните средства никога не достигат.

Пясъчната среда следва целия редирект и поведение на атаката, показвайки реалните действия за минути. Например ANY.RUN може да разкрие 90% от пълната фишинг верига за по-малко от 60 секунди, дори когато атака използва редирект или други техники за маскиране.

Пример от реален случай: атака започва чрез ClickUp, преминава през легитимни Microsoft микродомейни и завършва на фалшива страница в Azure за кражба на данни за вход. В пясъчната среда цялата последователност се разкрива автоматично за една минута, включително редиректите и действията за кражба на идентификационни данни.

Тайният фактор: интерактивност + автоматизация

Причината традиционните инструменти да се провалят е проста: те или автоматизират, или имитират човешко поведение, но не и двете едновременно.

Съвременните фишинг комплекти разчитат на човешки действия – кликвания, CAPTCHA, взаимодействие с QR кодове, движения на мишката – които статичните скенери и автоматизирани роботи не могат да симулират.

Решението е интерактивната автоматизация:

• Автоматизация: следва редиректи, декриптира и отваря скрити линкове от QR кодове, решава CAPTCHA автоматично.

• Интерактивност: аналитиците могат да спират изпълнението, да следват подозрителни пътища и да извършват действия в реално време.

Тази комбинация осигурява пълна видимост на цялата фишинг верига, дори когато атаката се адаптира спрямо посетителя.

Конкретни резултати за SOC екипите

SOC екипи, внедрили интерактивни пясъчни среди, съобщават за значителни подобрения:

• До 58% повече открити заплахи, включително такива, които са избегнали други инструменти.

• 94% по-бърза обработка на инциденти, благодарение на ясни отчети и IOC.

• До 20% намалено натоварване за Tier 1, защото автоматизацията поема рутинните задачи.

• 30% по-малко ескалации към Tier 2, тъй като младите анализатори имат по-богат контекст.

• 95% по-бързи разследвания, подпомогнати от инструменти за сътрудничество и споделена видимост.