Rezension: „Fighting Phishing“ von Roger A. Grimes Phishing-Wissen für Einsteiger und Profis

Anbieter zum Thema

Fsas Technologies GmbH

Wie lassen sich Phishing und Social Engineering wirkungsvoll bekämpfen? Das diskutiert Roger A. Grimes im jetzt vorgestellten Buch „Fighting Phishing“. Damit adressiert der Data-Driven Defense Evangelist bei KnowBe4 unterschiedlichste Zielgruppen und verbindet grundlegende Definitionen für Einsteiger mit tiefen technischen Einblicken sowie Empfehlungen für formale Policys. Wir haben selbst in dem Buch geschmökert und herausgefunden, inwieweit dieser Spagat gelingt.

Mit „Fighting Phishing“ hat Roger A. Grimes nicht zuletzt ein Buch für sein früheres Ich verfasst. Im Vorwort schreibt der heutige Data-Driven Defense Evangelist bei KnowBe4, einem Anbieter für Schulungen für Security Awareness : „This is the book I wish I read when I first got into the industry.“ Und die behandelten Themen sind offenbar aktueller denn je. Folgt man dem Autor, lassen sich 70 Prozent aller Datenlecks zumindest teilweise auf Social Engineering zurückführen.

Klare Tendenz und rhetorischer Fehlstart

Als Datenbasis hierfür zieht der Autor neben eigenen Erhebungen auch die Reports unterschiedlichster Anbieter heran. Die bestätigen zwar die grundlegende Tendenz, unterscheiden sich in den konkreten Zahlen jedoch erheblich. Auch das thematisiert Grimes und dokumentiert so auch eine bestenfalls zufriedenstellende, aber nie vollständige Faktenlage innerhalb der Security-Branche.

Nichtsdestotrotz versuchen Grimes und sein Mitautor Dr. John N. Just in 17 Kapiteln einen umfassenden Überblick über Angriffe per Social Engineering und Abwehrtechniken dagegen zu liefern. Augenscheinlich um Struktur bemüht, legt Grimes dabei einen eigentlich unnötigen, rhetorischen Fehlstart hin. „I think everyone knows what phishing is.“, heißt es da lapidar zu Beginn, und stößt den interessierten Laien womöglich etwas vor den Kopf. Es folgen einige motivierende Beispiele und die bereits erwähnten Statistiken. Etwas lieblos garniert wirkt das Ganze durch den bedingt aussagekräftigen Screenshot des Phishing-Versuchs einer vermeintlichen IT-Abteilung sowie ein trivial anmutenden Fluss-Diagramm, mit dem Anwender mögliche Phishing-Angriffe erahnen sollen.

Definitionen und Blick über IT-Tellerrand

Im zweiten Kapitel kondensiert Grimes seine Aussagen dann aber schließlich doch noch auf eine solide Definition des Phänomens Phishing im Kontext des Social Engineering. Die plastischen Beispiele verschiedener Angriffsformen liefern nicht nur Laien einen Überblick typischer Angriffsformen. Insbesondere die Ausführungen zu Callback Phishing, Sextortion oder Baiting verdeutlichen: Die Betrugsmaschen sind eben kein rein technisches Problem, sondern spielen gezielt mit den Schwächen der menschlichen Psyche.

Mehr Informationen zum Buch

Security-Insider Podcast – Folge 87

Warum selbst Experten auf Social Engineering hereinfallen

Noch mehr Informationen zum Buch liefern wir in der aktuellen Folge des Security-Insider Podcast. Als Gesprächsgast gewinnen konnten wir hierfür Dr. Martin J. Krämer – Keynote Speaker, Forscher und Dozent bei KnowB4. Security-Insider Podcast – Folge 87: Fighting Phishing

Solide Basis für die Säulen der Cybersecurity

Auf dieser Erkenntnis aufbauend widmet sich Kapitel 3 dem generellen Zusammenspiel von Policys, Technologie und Wissensvermittlung. Der Autor liefert so den Grundstock für folgenden großen Schwerpunktthemen des Buches, namentlich: „Policies“ (Teil 2), „Technical Defenses“ (Teil 3) und „Creating a Great Security Awareness Program“ (Teil 4) – in dem dann auch gestandene Security-Verantwortliche auf ihre Kosten kommen. Als erfrischend empfanden wir dabei Grimes’ kritischen Umgang mit den (auch im Wortsinn) großen und teils überbordenden Compliance-Frameworks der Branche und deren mangelnder Schwerpunktsetzung. So ließe sich PCI-DSS beispielsweise in Hunderte von Prozeduren übersetzen, die unmöglich mit gleicher Priorität realisiert werden könnten. Zugleich würden die Anforderungen für das Security Awareness Training mit lediglich 42 Worten bedacht. Als Abhilfe für das Dilemma um den fehlenden Fokus empfiehlt Grimes übrigens ein Heatmap-basierenden Risk Management.

Tools, Trends und tiefgreifende Ansätze

Dem allgemein gehaltenen Einstieg in Teil 1 lässt Grimes konkrete und thematisch tiefergehende Handlungshilfen folgen. Strukturierte Stichpunktlisten und Beispiele können dabei als gelungener Einstiegspunkt betrachtet werden, von dem aus Unternehmen eigene Policys ableiten.

Zumindest IT-Experten wenig überraschen dürften die Ausführungen zu Netzwerksegmentierung, Patches oder Security-Devices. Uns gefielen jedoch insbesondere Grimes’ Ausflüge in die reale Welt; etwa wenn er über das Potenzial physischer Mitarbeiterausweise für Zugangskontrolle und die Aufklärung von Sicherheitsvorfällen sinniert.

Besonders ausführlich widmet sich Grimes zudem technischen Verfahren und Standards, wie Domain-based Message Authentication, Reporting and Conformance (DMARC), Sender Policy Framework (SPF) und Domain Keys Identified Mail (DKIM) oder der forensischen Analyse von E-Mails. Hierbei bemüht sich der Autor um ein ausgewogenes Bild und erörtert neben den offensichtlichen Vorzügen von DMARC beispielsweise auch weiterhin mit der Spezifikation bestehende Schwachpunkte und Herausforderungen.

Gleiches lässt sich für die Punkte Mitarbeiter-Awareness und Phishing-Simulationen festhalten. Zum einen geht Grimes hier erfreulich offen mit dem Thema um und verheimlicht auch eigene Fehler nicht; so erfährt der Leser, wie und warum der Sicherheitsexperte selbst auch in jüngerer Vergangenheit noch von entsprechenden Testmails getäuscht wurde. Zum anderen plädiert Grimes dafür, entsprechende Verfahren mit Bedacht einzusetzen – um mit Fake-Mails beispielsweise keine falschen Hoffnungen bei Mitarbeitern zu wecken. Welche vertraulichen Geschäftsdaten man für Testmails nutzen sollte, besprechen wir übrigens eingehender in der aktuellen Folge des Security-Insider Podcast – hören Sie gern rein!

KI, Passkeys und Security Champions

Ebenfalls gelungen empfanden wir die Erwähnung aktueller Trends, darunter: die aktuell allgegenwärtig diskutierten Möglichkeiten der künstlichen Intelligenz, Phishing-resistente Authentifizierungslösungen wie Passkeys oder die auch schon in unserem Podcast thematisierten Mitarbeiter-Rolle des “Security Champions”.

Security-Insider Podcast – Folge 57

So ersetzt FIDO das Passwort per Passkey

Anmelden ohne Kennwörter

Passkeys statt Passwörter

Security-Insider Podcast – Folge 76

Wenn Forscher auf CISO-Praktiker treffen

Fazit

Mit „Fighting Phishing“ ist Roger A. Grimes tatsächlich ein umfassendes Einstiegswerk zum Thema Phishing und Social Engineering gelungen, das Fachfremde und Experten gleichermaßen anspricht - als einführende und aktuelle Lektüre sowie als Nachschlagewerk und Literaturreferenz für später.

Als unnötiges Füllwerk empfanden wir dabei allerdings die meist wenig sinnstiftenden Screenshots beispielhafter Phishing-Versuche sowie teils triviale und wiederholt genutzte Flussdiagramme (vgl. 1-3 und 5-2). An mancher Stelle konnten wir uns auch nicht des Eindrucks erwehren, direkt vor einem Whitepaper des Anbieters KnowB4 zu sitzen.

Apropos KnowB4: Ganz und gar nicht gefallen haben uns die geradezu inflationär genutzten Verweise auf die Webseiten des Anbieters; insbesondere, weil wir damit in den meisten Fällen auf einer Eingabemaske landeten, die unsere Kontaktdaten abfrug. Das ist einerseits ärgerlich, weil der Leser des Buches ja bereits mit Geld für das versprochene Wissen gezahlt hat. Andererseits wirkt es unfreiwillig ironisch, wenn ein Buch gegen Phishing seine Leser permanent zur Eingabe persönlicher Daten im Web animiert; ganz gleich wie vertrauenswürdig die dahinterstehende Webseite sein mag.

Wo gibt es das Buch?

„Fighting Phishing – Everything You Can Do to Fight Social Engineering and Phishing“ ist 2024 bei John Wiley & Sons erschienen (ISBN-13: 978-1-394-24920-6). Als Paperback ist das Buch aktuell für knapp 27 Euro im Buchhandel erhältlich. Außerdem ist es als eBook (ePUB und Kindle) sowie als Audio-Book verfügbar. Das uns vorliegende Rezensionsexemplar umfasst 425 Seiten und wurde von der deutschen PR-Agentur des Anbieters KnowBe4 bereitgestellt.

Mehr Informationen zum Buch

Security-Insider Podcast – Folge 87

Warum selbst Experten auf Social Engineering hereinfallen

Noch mehr Informationen zum Buch liefern wir in der aktuellen Folge des Security-Insider Podcast. Als Gesprächsgast gewinnen konnten wir hierfür Dr. Martin J. Krämer – Keynote Speaker, Forscher und Dozent bei KnowB4. Security-Insider Podcast – Folge 87: Fighting Phishing

(ID:50041958)