ایمیل ها هنوز یکی از پرکاربردترین حملاتی هستند که مجرمان برای هدف قرار دادن شرکت ها از آن استفاده می کنند. فقط یک کارمند که یک اتصال ایمیل مخرب را باز می کند برای هکر کافی است تا از تمام محافظت های سایبری عبور کند، بنابراین تهدیدات برای امنیت ایمیل باید در اولویت باشد.
بهترین روش ها برای امنیت ایمیل
در زیر فهرستی از مؤثرترین بهترین شیوه‌های امنیت ایمیل وجود دارد که باید برای بهبود امنیت سایبری عمومی خود و اطمینان از آمادگی نیروی کار شما برای تهدیدات مبتنی بر ایمیل دنبال کنید.
از رمزهای عبور ایمیل قوی استفاده کنید
هرچه حدس زدن رمز عبور آسان تر باشد، احتمال هک کردن حساب ایمیل شما بیشتر می شود.
حتی اگر به رمز عبوری مانند «123456» یا «password123» (که متأسفانه بسیاری از مردم اعتماد دارند) اعتماد ندارید، هکرها به ابزارهای brute force سطح بالایی دسترسی دارند که می‌توانند حتی رمزهای عبور نسبتاً پیچیده را بشکنند. به عنوان مثال، رمز عبوری مانند “Pa $$ word2211991” ممکن است امن به نظر برسد، اما یک ابزار پیشرفته می تواند آن رمز عبور را در کمتر از یک دقیقه شکست دهد.
هر کارمند شرکت شما باید یک رمز عبور قوی و منحصر به فرد برای حساب ایمیل خود داشته باشد تا از حملات brute force (یا شخصی که فقط رمز عبور را حدس می‌زند) جلوگیری کند. رمز عبور قابل اعتماد باید:
- حداقل 12 کاراکتر داشته باشد.
- به ترکیبی از حروف بزرگ و کوچک، اعداد و کاراکترهای خاص اعتماد کنید.
- تصادفی و منحصر به فرد باشید.
- عبارات رایج را درج نکنید.
- این شامل هیچ گونه اطلاعات شخصی (نام اعضای خانواده یا حیوانات خانگی، شرکت ها، محل تولد، تولد یا سایر اطلاعاتی است که یک هکر ممکن است با جستجوی نام شما یا جاسوسی در رسانه های اجتماعی پیدا کند).
برای ایمیل های فیشینگ آماده شوید
ایمیل فیشینگ سعی می کند یک کارمند را فریب دهد تا اطلاعات مفیدی ارائه دهد یا روی یک پیوند مخرب کلیک کند. مهاجم معمولاً از فیشینگ برای فریب دادن هدف استفاده می کند:
قانون طلایی در برابر فیشینگ این است که به ایمیل هایی که مشکوک به نظر می رسند، به لینک ها، کلیک کردن روی لینک ها یا باز کردن پیوست ها پاسخ ندهید. کارمندان باید قبل از تعامل با ایمیل از عقل سلیم استفاده کنند و باید بتوانند:
- فایل ها و لینک های مشکوک را شناسایی کنید.
- دلایل درخواست را در پیام ارزیابی کنید.
- آدرس فرستنده را بررسی کنید.
- وضعیت کلی ایمیل (گرامر، زمینه تجاری، لحن صدا، عدم امضای ایمیل و غیره) را ارزیابی کنید.
- همچنین می‌توانید شبیه‌سازی‌های فیشینگ منظم را اجرا کنید تا کارکنان را هوشیار نگه دارید و توانایی واقعی آنها را برای شناسایی ایمیل‌های مشکوک آزمایش کنید.
از 2FA برای تایید ورود از طریق ایمیل استفاده کنید:
احراز هویت دو مرحله ای (2FA) مستلزم آن است که کارمند علاوه بر وارد کردن نام کاربری و رمز عبور، اعتبار اضافی نیز ارائه دهد. یکی دیگر از فاکتورهای تأیید یک لایه حفاظتی اضافی اضافه می کند و مقابله با حملات brute force و شکستن رمزهای عبور است.
2FA علاوه بر ارائه یک نام کاربری و رمز عبور، از کارمند می خواهد که یکی (یا چند مورد) از موارد زیر را ارائه دهد:
- مورد منحصر به فرد
- پین از طریق پیامک، ایمیل، تماس صوتی یا برنامه مبتنی بر رمز عبور یکبار مصرف (TOTP) دریافت می‌شود.
- داده های بیومتریک (اسکن چشم، اثر انگشت، صورت یا صدا).
- بارکد تولید شده در دستگاه تلفن همراه.
- یک درخواست تلفن همراه که تأیید می کند کاربر در تلاش برای ورود به سیستم است.
- حتی اگر یک مهاجم اعتبار یکی از کارمندان شما را بدزدد، استفاده از 2FA مانع از دسترسی مهاجم به حساب ایمیل شما می شود.
خوشبختانه اجرای 2FA آنقدرها که به نظر می رسد فنی نیست. اکثر پلتفرم‌های ایمیل به طور پیش‌فرض احراز هویت دو مرحله‌ای را ارائه می‌کنند، بنابراین دلیلی وجود ندارد که از 2FA برای ایمن کردن صندوق ورودی شرکت خود استفاده نکنید.
به کارکنان آموزش دهید که چگونه پیوست های ایمیل را مدیریت کنند
هکرها اغلب از پیوست های ایمیل برای مخفی کردن فایل های اجرایی یا برنامه هایی که بدافزار را به سیستم تزریق می کنند، استفاده می کنند. قبل از باز کردن فایل پیوست، به کارکنان خود دستور دهید تا سوالات زیر را بپرسند:
- آیا فرستنده شخصی در سازمان من وجود دارد یا شخصی که بتوانم به او اعتماد کنم؟
- آیا فرمت برای این نوع پیوست (به .exe (قابل اجرا)، jar (برنامه جاوا) و msi. (نصب کننده ویندوز)) مناسب است؟
- آیا در خود ایمیل چیزی در مورد پیوست ذکر شده است؟
- آیا منتظر این پیوست ایمیل هستم؟
- آیا آدرس فرستنده قانونی است؟
- آیا شخصی که پشت ضمیمه است ایمیل های شما را به طور مرتب ارسال می کند؟
- در صورت وجود کوچکترین شک، کارمند نباید پیوست را باز کند. در عوض، آنها باید ابتدا محتوا را با فرستنده تأیید کنند تا از صحت ایمیل مطمئن شوند.
اطمینان حاصل کنید که کارمندان هرگز به ایمیل های Wi-Fi عمومی دسترسی ندارند
اگر به کارمندان اجازه می‌دهید دستگاه‌های اداری را به خانه ببرند یا ایمیل‌های کاری را از دستگاه‌های شخصی باز کنند، باید مطمئن شوید که کاربران به ایمیل‌های Wi-Fi عمومی دسترسی ندارند.
مجرم سایبری فقط به مهارت‌های اساسی برای شناسایی داده‌هایی نیاز دارد که از طریق Wi-Fi در دسترس عموم است، به طوری که هم داده‌های حساس و هم اعتبارنامه ورود به سیستم به خطر بیفتد.
هرگز اطلاعات شخصی را ایمیل نکنید
اگر ایمیل شما اطلاعات شخصی (تولد، شماره تامین اجتماعی، شماره کارت اعتباری، رمز عبور) را می‌خواهد، ممکن است این یک پیام تقلبی باشد.
اگر ایمیلی به اطلاعات شخصی نیاز دارد، باید با یافتن اطلاعات تماس آن به صورت آنلاین، نه با پیروی از دستورالعمل‌های موجود در ایمیل، با شرکت تماس بگیرید. به احتمال زیاد متوجه خواهید شد که شرکت چیزی در مورد ایمیل نمی داند و به شما هشدار می دهد که اطلاعات شخصی را از طریق ایمیل ارسال نکنید.
هرگز به کلاهبرداران و اسپمرها پاسخ ندهید
به کارمندان آموزش دهید تا آدرس های ایمیل را بررسی کنند
یکی دیگر از راه‌های ساده اما مؤثر برای محافظت از ایمیل، آموزش کارکنان برای بررسی URLها هنگام دریافت پیوند در ایمیل است (مخصوصاً زمانی که پیام از منبع ناشناخته ای باشد).
قبل از کلیک بر روی URL، کارمند باید نشانگر ماوس را روی پیوند نگه دارد. اگر URL حاوی پسوند HTTPS نباشد، ممکن است URL به یک وب سایت امن هدایت نشود. کلاهبرداران اغلب سعی می کنند قربانی را فریب دهند تا روی پیوندی که به صفحه دانلود بدافزار منتهی می شود کلیک کند. این وب سایت های ناامن معمولا دارای پسوند HTTP هستند.
همچنین، URL ممکن است مانند یک پیوند آشنا به نظر برسد، اما آیا اینطور است؟ به عنوان مثال، یک کلاهبردار ممکن است یک نامه دامنه را جایگزین کند تا یک کارمند را فریب دهد تا یک URL قانونی داشته باشد (مانند goggle.com به جای google.com).
از رمزهای عبور مجدد بین حساب ها استفاده نکنید
هر کارمند باید یک رمز عبور منحصر به فرد برای هر حساب داشته باشد. رمز عبور ایمیل آنها نباید با رمز عبوری که برای مقاصد دیگر استفاده می کنند (ورود به سیستم پشتیبان، اعتبار ابزار، رمز عبور نرم افزار منابع انسانی و غیره) مطابقت داشته باشد.
از فیلتر اسپم استفاده کنید
اکثر ارائه دهندگان ایمیل دارای یک فیلتر اسپم داخلی هستند. فیلتر کمک می کند:
- ایمیل های قانونی را از پیام های مخرب جدا کنید.
- احتمال فیشینگ و هرزنامه را کاهش دهید.
- صندوق ورودی خود را مرتب و قابل کنترل تر نگه دارید.
به عنوان یک مزیت اضافی، فیلتر اسپم تعداد ایمیل ها را کاهش می دهد. کارمندان وقتی در صندوق ورودی خود پیمایش می کنند و در مورد پیام های مشکوک هشدار می دهند تمرکز بیشتری خواهند داشت.
در حالی که بیشتر هرزنامه‌ها با هجوم تبلیغات مرتبط هستند، پیام‌های هرزنامه می‌تواند حاوی بدافزار یا بدتر از آن، نرم‌افزار باج‌گیری باشد. اگر فیلتر هرزنامه به ایمیل‌های باج‌افزار اجازه ورود به صندوق ورودی کارمندان را نمی‌داد، این ویژگی ارزش تلاش را داشت.
جلوگیری از استفاده کارکنان از ایمیل های تجاری برای استفاده شخصی (یا بالعکس)
کاربران فقط باید از ایمیل های تجاری برای مسائل و به روز رسانی های مربوط به شرکت استفاده کنند. دلیلی وجود ندارد که کارمند:
- از ایمیل برای اهداف شخصی (مانند اشتراک در خبرنامه ها، ایجاد حساب های بازی و غیره) استفاده کنید.
- موارد کار را به آدرس ایمیل خصوصی ارسال کنید.
- خرید آنلاین با یک ایمیل حرفه ای.
- از آدرس برای تبادل پیام های شخصی استفاده کنید.
مطمئن شوید که کارمندان در پایان روز از حساب های ایمیل خارج می شوند
یکی دیگر از بهترین اما ساده اما موثرترین راه برای محافظت از ایمیل شما این است که اطمینان حاصل کنید که کارکنان پلت فرم ایمیل خود را در پایان روز کاری ترک می کنند. می‌توانید کاربران را تشویق کنید که خودشان از سیستم خارج شوند، یا می‌توانید از پلتفرم ایمیل برای خروج خودکار در یک زمان خاص استفاده کنید. این روش زمانی مفید است که یک کارمند از یک دستگاه یا شبکه ناشناخته برای تأیید ایمیل خود استفاده می کند.
از رمزگذاری ایمیل استفاده کنید
هر ایمیلی در خطر شناسایی شدن توسط مهاجم یا رفتن به آدرس اشتباه است. برای مقابله با هر دو تهدید می توانید از رمزگذاری داده ها استفاده کنید.
رمزگذاری محتوای اصلی ایمیل را نقض می کند و پیام را به یک آشفتگی غیرقابل خواندن تبدیل می کند. گیرنده می تواند متن را با یک کلید رمزگشایی منحصر به فرد تشخیص دهد، بنابراین هرگونه رهگیری در حین ارسال یا دریافت کننده اشتباه نمی تواند باعث نشت شود.
در نهایت می توانید مقاله تنظیمات ارسال ایمیل از سرور را مطالعه کنید
نشریه امنیت ایمیل اولین بار در Server.ir پدیدار شد نگرش جهانی، هاست ایرانی.