פיתוח מערכת AI לזיהוי פישינג בדואר אלקטרוני, בכתובות URL ובהודעות

מדוע דיוג בהודעות דוא"ל עוקף מסנני דואר

מסנן דואר קלאסי בודק את ההודעה ברגע המסירה: את המוניטין של דומיין השולח, קישורים, סוגי קבצים מצורפים. דיוג בהודעות דוא"ל מנצח את הסכימה הזו בכך שברגע הבדיקה הוא נראה נקי — הקישור מוביל לאתר ותיק ומוכר, והחלפת הקישור באמצעות הפניה מחדש פועלת כבר לאחר המעבר, מחוץ לחלון הבדיקה.

עם קבצים מצורפים וטפסי התחברות ההיגיון זהה. מסמך עם מאקרו פורק את המטען על מחשב העבודה, כאשר השער כבר העביר את הקובץ לפי סוג וסיומת. קבצים מצורפים לדיוג וטפסי התחברות בעמוד מזויף אוספים את הנתונים בצד המשתמש — שירות הדואר כלל אינו יודע על התרחיש השני.

המחיר של עקיפת מסנן דואר אינו רק אירועים שהתרחשו. הודעות לא חד-משמעיות עוברות לבדיקה ידנית של אבטחת מידע, וחיובי שווא על תפוצות לגיטימיות שוברים את עבודת היחידות: העובדים מפסיקים לתת אמון בסימונים ועוברים בקישורים ללא בדיקה.

קושי נפרד הוא שטכניקות מ-MITRE ATT&CK משתנות מהר יותר מעדכון כללים סטטיים. זה נסגר באמצעות מודל שמעריך את ההודעה, המעבר בקישור ותוכן העמוד כשרשרת אחת, ולא כשלוש בדיקות בלתי תלויות. נסביר כיצד זה בנוי ומה זה נותן לשירות הדואר ולאבטחת מידע.

מה נותן זיהוי דיוג בתעבורת דואר

זיהוי דיוג בתעבורת דואר פועל לא באמצעות מסווג אחד, אלא באמצעות מערכת של בדיקות בלתי תלויות. הקישור מתוך ההודעה נפתח בסביבה מבודדת, הדומיין נבדק מול היסטוריית משלוחים, ופער בין הטקסט הנראה של הקישור לכתובת האמיתית מעביר את ההודעה להסגר. ההחלטה נאספת ממספר אותות, ולכן עמוד התחברות מזויף נתפס גם כאשר השולח עדיין לא נכנס לאף רשימת חסימה.

מכאן שני אפקטים מדידים. הפחתת שיעור ההחמצות מגיעה הודות לסוג תקיפות שכללים לפי מילות מפתח אינם מזהים: הודעה בלי טקסט, עם כפתור אחד וקישור להעתק של טופס ההתחברות הארגוני. שיעור חיובי השווא נשמר ברמה שבה עובד מטפל ביחידות של הסגרים בשבוע, ולא במאות — אחרת מתחילים לעקוף את ההגנה. תיוג האירועים נעשה לפי MITRE ATT&CK, כדי שטקטיקות התוקפים יתוארו באופן אחיד בכל הדוחות.

מדיניות אחידה לקבצים מצורפים מסירה פערים בין הערוצים. סט כללים אחד מיושם על תיבות אישיות, כתובות משותפות, העברה הלאה ולקוחות ניידים: מאקרואים, קבצים ניתנים להרצה וארכיונים עם סיסמה בפנים מטופלים באותו אופן. בלי זה די לשלוח מסמך לתיבה משותפת שכלליה מקלים יותר, והבדיקה מאבדת משמעות.

עבור האנליסט זה מקצר את זמן התגובה לאירוע לדקות. טיפול בהודעה שנויה במחלוקת מתבצע לפי כרטיס מוכן: אילו סימנים הופעלו, לאן מובילים הקישורים, מה כבר נפתח בארגז החול — במקום חילוץ ידני של כותרות הודעה וכותרות קבצים מצורפים.

הוסיפו לכך כפתור «לדווח על הודעה חשודה» עבור העובדים: חלק מההתראות מגיעות מהם מוקדם יותר מאשר מהאוטומציה, ופניות כאלה נכנסות מיד לתור הטיפול המשותף.

גישות לזיהוי דיוג: כללים, מודלים, היברידי

אף שיטת זיהוי אינה נותנת מיד כיסוי גבוה ושיעור חיובי שווא נמוך: חתימות תופסות את הידוע, המודל — וריאציות, והניתוח ההתנהגותי — את מה שעבר מסננים סטטיים. הבחירה נקבעת לפי זרימת ההודעות ומחיר הטעות: דיוג שהוחמץ והודעה של לקוח שנחסמה עולים באופן שונה.

בפועל הגישות אינן מתחרות זו בזו, אלא מסתדרות בשרשרת מדורגת. להלן מה מכסה כל אפשרות, מתי היא מספיקה והיכן היא מתחילה לטעות.

כיצד לבחור אפשרות

המפל נבנה מבדיקות זולות ליקרות: תחילה כותרות ומוניטין השולח, אחר כך המודל, ואז פתיחת הקישור בסביבה מבודדת. הודעות שההערכות לגביהן חלוקות אינן נחסמות בשקט — הן עוברות לטיפול, וההחלטה מוחזרת למדגם האימון.

שלבי ההטמעה: מביקורת תעבורת הדואר ועד למסירה

סדר העבודות קבוע: כל שלב נשען על תוצר של הקודם, ושינוי סדר השלבים שובר את הכיול. אם תדלגו על תיוג אירועים או על בדיקה בתעבורה חיה — המערכת תסגור בביטחה תפוצות המוניות מובנות מאליהן ותשתוק מול הודעות ממוקדות עם דומיין שולח מזויף.

1. ביקורת תעבורת הדואר ומקורות ההודעות. סופרים את היקף ההתכתבות, את שיעור השולחים החיצוניים, הקבצים המצורפים והקישורים, ואוספים רשימה של שערי דואר וקבוצות נמענים. בפלט — מפת הזרימה ונקודות שבהן השליטה מוטמעת בלי לקטוע את המסירה.

2. תיוג ארכיון האירועים. מהסגר ומתלונות עובדים אוספים קורפוס: דיוג מאושר, תפוצות לגיטימיות, מקרים שנויים במחלוקת. הודעות שנויות במחלוקת הן המקור העיקרי לחסימות שווא, ולכן מטפלים בהן בנפרד.

3. סכימת נקודות השליטה. מסכמים מה נחסם מיד, מה עובר להסגר, ומה רק מסומן. כאן גם מתארים כיצד עובד מערער על ההחלטה ולאן מגיעה פנייתו.

4. הגדרת כללים וספי הפעלה. מאזנים בין חיובי שווא להחמצות: ספים נפרדים לכספים ולמנהלים, ונפרדים להודעות עם קבצים מצורפים וקישורים חיצוניים. לכל רמת ודאות מותאמת פעולה.

5. בדיקה בתעבורה חיה. המערכת פועלת במצב צפייה: הודעות אינן נחסמות, ההחלטות נרשמות ביומן ומושוות להחלטות המנהלים. פערים מטפלים ידנית ומתקנים כללים עד לתוצאה יציבה.

6. קבלה ומסירת הפתרון. מוסרים נהלי תגובה, הנחיות לתמיכה, יומנים ומדדי בקרה, ונוהל אימון מחדש על אירועים חדשים. טיפול באירוע והגדרת כלל מבצעת צוות הלקוח באופן עצמאי.

קונפיגורציות, מדיניות ונהלי טיפול באירועים

הערכה נשארת אצל הלקוח כערכה של תוצרי עבודה, ולא כדוח: כללים וספים נמצאים בקובץ קונפיגורציה תחת בקרת גרסאות, מדיניות הגישה — במערכת הדואר, והנהלים — במאגר הידע.

ערכה כזו מאפשרת לשנות את רגישות הזיהוי בכוחות עצמם, להעביר את התמיכה לצוות אחר ולעבור ביקורת פנימית בלי לחפש את יוצרי הפתרון.

• קונפיגורציות של כללים וספים — ערכים שבהם הודעה נמסרת, מסומנת או עוברת להסגר, עם הסבר לכל שינוי ונוהל חזרה לערכה הקודמת.
• סכימת זרימת ההודעות — מסלול ההודעה מהקבלה ועד להסגר או למסירה, מקומות הפעלת הבדיקות, נקודות הרישום ביומן והתנהגות המערכת כאשר רכיב מסוים אינו זמין.
• מדיניות גישה להסגר — אילו עובדים ובאיזו תפקיד צופים, משחררים ומוחקים הודעות מעוכבות, מגבלות על פעולות המוניות ותיעוד חובה של הפעולות.
• נוהל טיפול בהודעות שנויות במחלוקת — זמני תגובה, סדר הסלמה לקו שני, כללים לשחרור חיובי שווא ופעולות עם גילוי תקיפה שהוחמצה.
• הנחיות לקו ראשון — תרחישים שלב-אחר-שלב לפניות טיפוסיות של עובדים, עם תבניות תשובה וגבול ברור שמעבר לו מצטרף מהנדס.
• תיעוד קונפיגורציה ושינויים — היכן נמצאים הפרמטרים, מי מאשר את השינוי, יומן עם סיבה ותאריך, סכימת אינטראקציה עם שער הדואר, ספריית המשתמשים ומערכת הפניות.
• ערכה לבדיקת איכות — מדגם מתויג של הודעות ונוהל הרצתו לאחר כל שינוי, כדי ששינוי הסף לא יעלה את שיעור חיובי השווא בלי שיבחינו בכך.

כל סעיף נבדק בקבלה: אנחנו מראים כיצד לבצע שינוי, כיצד לוודא את השפעתו וכיצד לחזור אחורה.

מקרה בוחן: כיצד סגרו סוג של הודעות שהוחמצו בדואר

שירות דואר עם עשרות אלפי תיבות הגיע עם תקלה מוגדרת: הודעות עם קישורים לדפי התחברות מזויפים עברו את המסננים ונמסרו. חתימות השולח, רשימות החסימה והכללים הסטטיים חסמו תפוצות המוניות, אבל לא הודעות שנבנו עבור ארגון מסוים — עם פנייה אישית וכתובת שנרשמה יומיים לפני המשלוח.

מדידות לפני ההטמעה: שיעור ההודעות שהוחמצו בקטגוריה הזו עמד על 6–8% מכלל הניסיונות שזוהו, ושירות האבטחה טיפל ידנית בכמאה אירועים בשבוע — מפתיחת הקישור ועד שיחה עם עובד שכבר הזין פרטי התחברות.

מה נבנה

הליבה — מסוע לניתוח קישורים: הכתובת מופקת מגוף ההודעה ומהקבצים המצורפים, נפתחת עד לכתובת הסופית, העמוד נפתח בסביבה מבודדת ומושווה לתבנית ייחוס של טופס ההתחברות של השירות המיועד. במקביל מחשבים מאפייני דומיין: גיל הרישום, החלפת ספק, פערים בשרשרת האישור, דמיון חזותי לכתובת לגיטימית. הפתרון משולב בזרימת המסירה דרך Exchange Online — ההודעה עוברת להסגר לפני שהעובד רואה אותה.

מדידות לאחר

כעבור שלושה חודשי צפייה שיעור ההודעות שהוחמצו בקטגוריה ירד ל-0.3–0.5%, וזרימת הטיפולים הידניים הצטמצמה בערך פי חמישה. את שיעור חיובי השווא שומרים מתחת ל-0.1%: כל כלל מורץ על קורפוס היסטורי של הודעות ומופעל תחילה במצב צפייה.

את המדדים חישבו באותו אופן לפני ואחרי — לפי תיוג ידני אחד של אנליסטים, שבו שיעור ההחמצות מחושב כיחס בין הודעות שעברו לסכום ההודעות שעברו ונחסמו.

במה שונה זיהוי דיוג מאנטי-ספאם?

אנטי-ספאם עונה על השאלה "האם זו תפוצה המונית", וזיהוי דיוג — על השאלה "האם זה מזיק לנמען מסוים עכשיו". הראשון מעריך את השולח, ההיקף והאחידות של ההודעות, והשני — את תוכן הקישור ואת ההקשר של הנמען. מכאן מערכי מאפיינים שונים וספי הפעלה שונים.

סינון לפי מוניטין השולח עובד כל עוד הכתובת או הדומיין כבר הספיקו להתגלות. גיל הרישום, היסטוריית תלונות, היקף המשלוח ואותנטיות הדומיין נותנים אות חזק בגלים המוניים — וכמעט אפסי בהודעה מתיבת דואר פרוצה של קבלן משנה, שנשלחה בעותק אחד.

ניתוח תוכן הקישור נשען על התנהגותו, ולא על טקסט ההודעה. פותחים את שרשרת ההפניות מחדש, משווים את הכתובת הנראית לכתובת בפועל, בודקים את עמוד המעבר: טופס הזנת נתונים, העתק של עמוד התחברות, דומיין חדש בלי היסטוריה, השתלת כתובת הנמען בפרמטרים.

הערכת ההקשר של הנמען מכסה את מה שלא נראה בקישור עצמו: מי השולח ביחס לנמען, האם הייתה התכתבות קודם, האם הבקשה אופיינית. שינוי פרטי חשבון, גישה למסמך, דחיפות בשם מוכר — הודעה בלי אנומליות טכניות, שמסנן המוניטין יעביר, אבל מודל ההקשר יסמן.

לכן השכבות אינן מחליפות זו את זו: המוניטין חוסם רעש לפני הניתוח העמוק, ומודל הקישור והנמען משלים הודעות ממוקדות בודדות. ההערכה הסופית — סיכון לאדם מסוים, ולא "ספאם או לא ספאם".

ספקות טכניים נפוצים לפני הטמעה

לפני הטמעה לקוחות שואלים את אותה מערכת שאלות: עד כמה רגישים ספי הזיהוי, מה יקרה בעומס שיא של הודעות והאם יהיה צורך לשבור שער דואר שכבר עובד. כולן עוסקות בדבר אחד — כיצד המערכת מתנהגת בתעבורה שלכם, ולא במדגם הדגמה.

מה קורה בעומס שיא של הודעות — האם השער יעמוד בכך?

הבדיקה מתבצעת בזרימה נפרדת, ולא על נתיב המסירה: השער אינו ממתין להחלטת המודל כדי למסור את ההודעה לנמען. בעומס שיא התור מתארך והטיפול מתבצע באיחור, אבל לתעבורה נכנסת יש עדיפות, והודעות שנדחו אינן הולכות לאיבוד. בדיקה סינכרונית איננו מציבים במכוון — דווקא היא מפילה את השער בתפוצות המוניות.

אצלנו כבר מוגדר שער עם אנטי-ספאם וכללים. מה יקרה איתו?

הכללים הקיימים, הרשימות הלבנות והמסלולים נשארים במקומם. המודול מתחבר כשכבה נוספת ויודע לעבוד בשני מצבים: תיוג הודעות בלי חסימה, כאשר ההחלטות מתקבלות בלוגיקה הנוכחית שלכם, או הסגר למה שמעל הסף. עם כיבוי, הקונפיגורציה חוזרת למצב ההתחלתי.

מי מעדכן את הכללים ומטפל בהודעות שנויות במחלוקת?

עדכון הכללים אנחנו לוקחים על עצמנו: תבניות דיוג חדשות ושינויים בהתנהגות שולחים נכנסים למודל באופן קבוע, בלי מעורבות שלכם. הודעות שנויות במחלוקת מטפל אנליסט ייעודי — כל אחת מקבלת החלטה והסבר קצר, שלפיו התמיכה שלכם יכולה להשיב למשתמש. מקרי גבול מטפלים יחד עם המנהל שלכם.

נדבר על המשימה: מה להכין לשיחה

שיחה על זיהוי דיוג מגיעה הכי מהר לעניין אם לפנינו תעבורה חיה של הלקוח, ולא תיאור "בקווים כלליים". אין צורך להכין אפיון טכני — די במה שכבר נמצא בתשתית הדואר וביומנים. להלן רשימה שחוסכת לנו את סבב ההבהרות הראשון ומעבירה מיד את הדיון על המשימה למישור הנדסי.

• דוגמאות להודעות: 20-50 הודעות אמיתיות בצורתן המקורית — גם שהוחמצו וגם שנחסמו בידי המסנן. שני הסוגים חשובים, אחרת אי אפשר לכוון את סף ההפעלה.
• כותרות מלאות וקבצי מקור, ולא צילומי מסך: רואים אם דומיין השולח מזויף, כיצד משתנה נתיב המסירה, והאם יש החלפת קישור בגוף.
• סכימת הזרימה הנוכחית: באיזה צומת ההודעה נעצרת — בשער, בשרת הדואר או אצל ספק חיצוני — ולאן מגיעה ההחלטה.
• סטטיסטיקת דואר לחודש-חודשיים: היקף הנכנסים, שיעור הנחסם, שיעור חיובי השווא ותלונות על עיכובים.
• רשימת אירועים קודמים: כמה הודעות הגיעו, מי פתח את הקישור, כיצד זה הסתיים, ומה כבר שינו לאחר הטיפול.
• דרישות להסגר: מי מטפל בתור, תוך כמה זמן, מה מותר לעכב, ואילו התראות אסור לעכב.
• מגבלות הסביבה: היכן מותר לעבד נתונים, אילו ערוצים אסור להוציא החוצה, ומי בצד הלקוח מקבל החלטה שנויה במחלוקת.

תארו את המשימה בצורה חופשית וצרפו את מה שיש — נחזור עם הערכה ותוכנית הטמעה: שלבים, היקף העבודה, מה משתנה בזרימת הדואר הנוכחית ולפי אילו מדדים נחשב את התוצאה.