Artificial Intelligence in de strijd tegen phishing-aanvallen

Van sommige irritaties als telemarketing, liftmuziek en phishing komen we misschien nooit meer af. Phishing bestaat al sinds de jaren ’90, maar de laatste jaren is het een grootschalig probleem geworden dat zowel bedrijven als individuen teistert. De oplossing ligt mogelijk bij een andere technologie uit de vorige eeuw: Artificial Intelligence.

De oplichters achter de talloze phishing-berichten die dagelijks verstuurd worden lijken daar goede zaken mee te doen. Uit een rondvraag van Ivanti zelf onder meer dan 1.000 IT-professionals blijkt dat bijna driekwart van alle organisaties het afgelopen jaar het slachtoffer is geworden van een aanval. Vier op de vijf respondenten zagen het aantal phishing-e-mails de laatste periode toenemen.

Maar niet alleen neemt het aantal phishing-berichten toe, ze zijn ook steeds moeilijker te herkennen. De criminelen achter phishing-campagnes worden steeds slimmer en gebruiken nieuwe technieken om hun berichten niet te laten opvallen. Het onderzoek toont aan dat 85 procent van de respondenten zich hierover zorgen maakt. Het ís ook zorgwekkend, zeker aangezien veel bedrijven en hun werknemers kiezen voor een hybride werkmodel (thuis en op kantoor). Dit maakt het monitoren en beschermen van de bedrijfsmiddelen, netwerken en apparaten steeds complexer.

Aanvalstechnieken

Een van die technieken die cybercriminelen bij phishing gebruiken is de bulkregistratie van domeinen. E-mail-security-bedrijven houden normaliter lijsten van schadelijke domeinen bij die voor phishingcampagnes zijn gebruikt. Inkomende e-mails worden vervolgens gefilterd op basis van deze blocklists met bekende phishing-domeinen en in quarantaine geplaatst. Sommige phishing-bendes omzeilen dit door openbare clouddiensten met legitieme domeinen te gebruiken om hun phishing-sites te hosten.

Anderen registreren gewoon domeinen in bulk voor lage tarieven. Met bulkgeregistreerde domeinen kunnen aanvallers namelijk snel van domein wisselen voordat ze op een phishing-lijst terechtkomen. Ook kunnen ze zich op kleinere groepen slachtoffers richten met afzonderlijke domeinen, met een zogeheten snow shoe-aanval. Doordat elk domein maar voor een klein aantal mensen wordt gebruikt, valt zo’n aanval minder snel op bij  beveiligingsbedrijven.

Een andere veelgebruikte techniek is spearphishing, waarbij het niet om grote aantallen slachtoffers gaat, maar om één specifieke waardevolle prooi. Het doel kan zijn om grote losgeldbedragen te vragen aan een bedrijf, in te breken op de zakelijke e-mail of een organisatie met gijzelsoftware te infecteren. Door de hogere ROI kunnen de cybercriminelen het zich veroorloven uitgebreid onderzoek te doen naar deze slachtoffers om overtuigende e-mails te produceren voor deze kleine doelgroep.

Dit maakt het bijzonder lastig voor anti-phishing-tools, want die proberen alle phishing-e-mails te blokkeren, terwijl aanvallers maar één keer geluk hoeven te hebben. Er is immers maar één enkele door phishing veroorzaakte gijzelsoftware-infectie nodig om een heel bedrijf in gevaar te brengen.

Artificial Intelligence als reddende engel

Er is dus meer nodig om phishing effectief aan te pakken, en Artificial Intelligence lijkt daarvoor de beste papieren in huis te hebben. Traditionele software kan alleen specifieke instructies opvolgen; daarom is traditionele anti-phishing-software ook vooral reactief. Het filtert e-mails op basis van regels met exacte voorbeelden van eerdere aanvallen, maar kan geen nieuwe, onbekende phishing-e-mails detecteren.

Technieken als Artificial Intelligence en Machine Learning werken veel minder op basis van regels. Ze worden gebruikt om met behulp van grote hoeveelheden data  een statistisch model op te stellen. En komen daar nieuwe gegevens bij, dan neemt het zelf beslissingen door ze te vergelijken met dit model. Artificial Intelligence heeft ook geen exacte overeenkomst nodig voor een match. Het zoekt naar patronen die, in dit geval, op phishing lijken. Een Machine Learning-systeem kan veel sneller enorme hoeveelheden gegevens analyseren en classificeren dan menselijke operators dat ooit zouden kunnen.

Kat-en-muis-spel

Artificial Intelligence speelt dus een belangrijke rol bij de bescherming tegen phishing, omdat het geen exact voorbeeld nodig heeft om iets als phishing te detecteren. Een cybercrimineel kan proberen de taal of HTML-code van een e-mail aan te passen, maar een op machine learning gebaseerd systeem dat genoeg phishing-e-mails heeft gezien, weet in het nieuwe bericht nog steeds genoeg signalen te vinden die het als kwaadwaardig classificeren.  Machine learning kijkt naast de inhoud van berichten ook naar de metadata. Dit levert nog honderden extra datapunten op die bij elkaar de inhoud van een e-mail bepalen.

Artificial Intelligence kan, mede op basis van deze gegevens, ook het dreigingsniveau bepalen. Dat doet het systeem door een bericht te vergelijken met zijn model van bekend normaal e-mailgedrag. Heeft deze werknemer ooit eerder een e-mail van dit domein ontvangen? Is het gebruikelijk om op dit tijdstip e-mails uit dit land te ontvangen? Heeft deze afzender zich ooit gericht tot meerdere mensen in het bedrijf tegelijk?

Dit alles maakt Artificial Intelligence en Machine Learning tot zeer belangrijke middelen om phishing te bestrijden. Maar laten we niet overmoedig worden, want cybercriminelen kunnen het ook gebruiken. Met krachtige Machine Learning-modellen zijn onderzoekers nu al in staat om zelfstandig overtuigende spearphishing-e-mails te schrijven. Het blijft wat dat betreft een voortdurend kat-en-muis-spel tussen aanvallers en verdedigers.

Always-on-beveiliging

Artificial Intelligence en Machine Learning kunnen IT-afdelingen een grote dienst bewijzen, zeker in de nasleep van de pandemie. Veel organisaties hebben weliswaar geïnvesteerd in initiatieven als security awareness-training, maar ze zouden daarnaast ook moeten investeren in geavanceerde technologie voor automatisering, Artificial Intelligence en Machine Learning , zodat ze effectief kunnen optreden tegen phishing-aanvallen.

CISO’s weten dat ze hierbij niet alleen kunnen vertrouwen op mensen om cybercriminele activiteiten tegen te gaan. Ze hebben een complete en always-on-beveiligingsaanpak nodig die phishing-bedreigingen kan detecteren en voorkomen, met minimale menselijke inbreng, en zonder dat de gebruikte oplossingen werknemers in de weg zitten. Dit zou het komende jaar bovenaan de to-do-lijst van elke CISO moeten staan.

Over de auteur: Glenn Portier is Area director sales Benelux & Nordics bij Ivanti.

Op de hoogte blijven van het laatste nieuws binnen je vakgebied? Volg Emerce dan ook op social: LinkedIn, Twitter en Facebook.