Фишинг остаётся одной из главных угроз для компаний любого размера. По статистике, более 80% успешных взломов корпоративных сетей начинаются именно с фишингового письма. Пользователь кликает на ссылку, вводит свои данные или запускает вредоносный файл — и злоумышленник получает точку входа в инфраструктуру.

Задача системного администратора — не только настраивать фильтры и антивирусы, но и уметь обнаружить фишинговую атаку по логам, пока она не переросла в масштабный инцидент.

В этой статье разберём, какие логи нужно собирать, как их анализировать, какие признаки указывают на фишинг, и как администратору выстроить систему мониторинга.

Почему фишинг так опасен

• Проходит через сотрудников. Самая уязвимая часть системы — человек. Даже при настроенных фильтрах одно письмо может пройти и попасть в почтовый ящик.
• Легко маскируется. Письмо выглядит как счёт, уведомление банка или сообщение от начальника.
• Сложно обнаружить заранее. Антивирус может не среагировать, а лог-системы покажут атаку только косвенно.
• Последствия критичны. Кража учётных данных, установка трояна, запуск шифровальщика.

Какие логи помогут обнаружить фишинг

Чтобы заметить атаку, администратору нужно собирать логи с разных систем.

1. Почтовые серверы (Exchange, Postfix, MDaemon)

• Заголовки писем (From, Reply-To, Return-Path).
• Записи о пересылках (Received:).
• Срабатывание антиспам-фильтров.
• Блокировка вложений (.exe, .js, .vbs, .scr).

2. DNS-сервер

• Запросы к подозрительным доменам (например, зарегистрированным недавно).
• Массовые обращения к однотипным поддоменам.
• Использование подозрительных TLD (.top, .xyz, .click).

3. Firewall / прокси

• Переходы пользователей по ссылкам из писем.
• Загрузка подозрительных файлов.
• Подключения к IP-адресам без доменного имени.

4. Рабочие станции (Windows Event Logs)

• Запуск приложений из папки «Temp».
• Внесение новых записей в автозагрузку.
• Попытки входа в систему с украденными учётными данными.

Признаки фишинговой атаки в логах

1. Письмо от “знакомого отправителя”, но с другого домена
   • В логах: From: admin@micros0ft.com вместо com.
2. Необычные DNS-запросы после открытия письма
   • Пользователь запрашивает paypal-login-check.ru.
3. Подозрительные HTTP-запросы
   • Доступ на IP напрямую: http://185.XXX.XXX.10/login.php.
4. Необычная активность учётной записи
   • Массовые входы в систему ночью.
   • Попытки авторизации с зарубежных IP.
5. Загрузка исполняемых файлов
   • Лог firewall: загрузка pdf.exe.

Как администратору анализировать логи

Шаг 1. Сбор логов

• Включите аудит на почтовом сервере.
• Настройте syslog-сервер (Linux) или Forwarding (Windows).
• Сохраняйте DNS-запросы и прокси-логи.

Шаг 2. Централизация

• Используйте SIEM (Wazuh, ELK, Graylog).
• Настройте парсинг логов (Logstash, Fluentd).
• Объединяйте почтовые, DNS и прокси-логи.

Шаг 3. Поиск индикаторов

• Массовые ошибки входа.
• Домен зарегистрирован < 30 дней назад.
• Совпадения с IOC (Indicators of Compromise) из Threat Intelligence.

Шаг 4. Настройка алертов

• Если пользователь обращается к новому домену из письма — тревога.
• Если загружен исполняемый файл из интернета — тревога.
• Если учётка пытается залогиниться из другой страны — тревога.

Реальный пример

В компанию приходит письмо:

Отправитель: hr@company.work
Тема: «Срочный расчёт по зарплате»
Вложение: SalaryReport.xlsm

Что видит администратор в логах:

• В почтовых логах: домен work зарегистрирован вчера.
• В DNS: обращение к malicious-checkin.net.
• В прокси: загрузка exe.
• В Windows Event Log: создание нового процесса exe с параметрами для загрузки скрипта.

Раннее выявление этих признаков позволяет изолировать заражённую машину и предотвратить распространение атаки.

Итог

Фишинг невозможно полностью заблокировать, но администратор может выявить атаку по логам почты, DNS, прокси и рабочих станций.
Главное — централизовать логи, настроить правила корреляции и регулярно обучать сотрудников.

Если что-то не получается или нужна помощь в настройке — обращайтесь в itfly.by