klasyfikacja załączników

Klasyfikacja załączników to ocena dołączonych plików pod kątem typu i potencjalnego ryzyka bezpieczeństwa.

Typ pliku a jego rzeczywista zawartość

Klasyfikacja załączników rozpoczyna się od ustalenia, jaki rodzaj danych znajduje się w dołączonym pliku. Sama nazwa i rozszerzenie, na przykład .pdf, .jpg, .docx albo .zip, nie są wystarczającym dowodem jego typu. Rozszerzenie można zmienić bez modyfikowania zawartości, dlatego program analizujący załącznik powinien porównać je z deklarowanym typem MIME oraz z nagłówkiem pliku, czyli charakterystycznymi bajtami zapisanymi na jego początku. Dla przykładu pliki PDF zaczynają się od sygnatury %PDF-, a archiwa ZIP często od bajtów PK.

W praktyce klasyfikacja może przypisać załącznik do kategorii dokumentu tekstowego, obrazu, nagrania dźwiękowego, filmu, archiwum, instalatora, biblioteki programu albo skryptu. Istotne jest także rozpoznanie plików wykonywalnych, nawet gdy mają nietypową nazwę. W systemie Windows podstawowym formatem programu wykonywalnego jest PE, używany między innymi przez pliki .exe i .dll. Plik opisany jako obraz, lecz zawierający dane wykonywalne lub niezgodną sygnaturę, powinien otrzymać wyższy poziom ryzyka i zostać skierowany do dodatkowej analizy.

Ocena ryzyka ukrytego w załączniku

Typ pliku nie przesądza samodzielnie o tym, czy załącznik jest bezpieczny. Dokument pakietu Microsoft Office może zawierać makra VBA, a dokument PDF może zawierać osadzone skrypty, formularze, odnośniki lub załączone obiekty. W przypadku plików .docm, .xlsm i .pptm rozszerzenie wskazuje na możliwość przechowywania makr, natomiast zwykłe formaty .docx, .xlsx i .pptx nie służą do zapisu makr VBA w taki sam sposób. Nie oznacza to jednak, że każdy dokument z makrem jest złośliwy; klasyfikacja wskazuje jedynie cechy wymagające weryfikacji.

Podwyższone ryzyko dotyczy również archiwów, ponieważ jeden plik może zawierać wiele elementów o różnych typach. Analizator powinien rozpakować archiwum w kontrolowanym środowisku, sprawdzić jego zagnieżdżenia oraz wykrywać techniki takie jak podwójne rozszerzenia, na przykład faktura.pdf.exe. Należy też kontrolować rozmiar po rozpakowaniu, aby ograniczyć ryzyko przeciążenia przez tak zwane archiwum bombowe. Przydatne są skanowanie antywirusowe, porównanie skrótu kryptograficznego z bazą znanych plików oraz analiza reputacji źródła, ale żaden pojedynczy wynik nie powinien być traktowany jako pełny dowód bezpieczeństwa.

Klasyfikacja w przepływie poczty i pobierania plików

Wiadomość e-mail może zawierać załącznik zakodowany w formacie MIME, najczęściej z użyciem mechanizmu Base64. Klasyfikacja musi najpierw poprawnie odtworzyć dane binarne, a dopiero potem badać ich typ. W nagłówku części MIME znajdują się między innymi pola Content-Type i Content-Disposition, lecz wartości te mogą zostać błędnie ustawione albo celowo sfałszowane. Z tego powodu bezpieczny proces porównuje metadane wiadomości z faktyczną sygnaturą i strukturą pliku.

Wynik można zapisać jako zestaw cech: rozpoznany format, rozszerzenie, rzeczywisty typ MIME, obecność makr lub skryptów, poziom kompresji, liczbę elementów w archiwum oraz rezultat skanowania. Załącznik uznany za niskiego ryzyka może zostać przekazany do zwykłego otwarcia, natomiast plik nieznanego typu, instalator lub dokument z aktywną zawartością powinien zostać oznaczony ostrzeżeniem albo otwarty dopiero po ręcznej decyzji użytkownika. Szczególnej ostrożności wymagają pliki pobrane z komunikatorów i stron internetowych, ponieważ ich pochodzenie może być mniej czytelne niż w przypadku załącznika od znanego nadawcy.

Sprawdzenie załączników na laptopie i komputerze PC

Na komputerze użytkownika warto rozpocząć od wyświetlenia pełnych rozszerzeń nazw plików, ponieważ ukrywanie rozszerzeń ułatwia pomylenie dokumentu z programem wykonywalnym. Załączniki należy zapisywać w wybranym katalogu, a następnie sprawdzić ich właściwości, pochodzenie i rozmiar. Nie należy uruchamiać nieznanych instalatorów, skryptów ani dokumentów z makrami tylko po to, aby sprawdzić ich działanie. Plik można najpierw przeskanować aktualnym programem ochronnym, a w razie potrzeby zbadać na odłączonym od ważnych danych środowisku testowym.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, w tym sprawdzaniem skutków otwarcia podejrzanych załączników. Diagnostyka może obejmować analizę uruchamianych procesów, wpisów autostartu, nietypowych rozszerzeń przeglądarki, komunikatów systemowych oraz stanu programu antywirusowego. Jeżeli załącznik uruchomił nieznany program, komputer powinien zostać odłączony od sieci do czasu oceny sytuacji, a ważne pliki należy zabezpieczyć przed dalszymi zmianami. Sama zmiana rozszerzenia, usunięcie ikony lub ponowne uruchomienie systemu nie usuwa potencjalnego zagrożenia.