Wäre es nicht ausreichend, eine große, fette Warnung zu verwenden?

Sicher, wenn sie funktionieren würden. Die meisten Leute neigen dazu, einfach "das Ärgerliche wegzuklicken", ohne nachzudenken.

Das Blockieren ausführbarer Dateien bedeutet, dass Angreifer nicht totallegitfile_really.pdf.exe senden können. Das Blockieren ausführbarer Dateien ist eine sehr grundlegende Social-Engineering-Verteidigung.

Angreifer Sie müssen die von Ihnen beschriebenen zusätzlichen Schritte ausführen, ebenso wie der Endbenutzer. Diese zusätzlichen Schritte geben dem Benutzer etwas mehr Zeit, um darüber nachzudenken, ob diese gesamte Interaktion sinnvoll ist. Diese zusätzliche Zeit ist der Schlüssel.

Wenn ich die E-Mail der Personalabteilung fälsche (oder sie ähnlich aussehen lasse) und staff_bonuses.pdf.exe versende und sie dort in den Posteingang des Benutzers gelangt ist wenig, um den Benutzer zu schützen. Ein Klick genügt. Um das Gleiche wie ein Angreifer zu tun, müsste ich es irgendwo hochladen und dann den Link senden. Das wird mehr als ein paar Leute neugierig machen, warum HR einen Datei-Hosting-Service von Drittanbietern verwendet.

Dies ist eine grundlegende Abwehrmaßnahme. Dies erhöht die Schwierigkeitsschwelle für Angreifer und zwingt sie, Tools von Drittanbietern zu verwenden. Außerdem erhalten Endbenutzer etwas mehr Zeit zum Nachdenken.

Dies ist das gute alte Kosten-Nutzen-Verhältnis.

Bei der Antwort von @ schroeder geht es um den Gewinn, hier geht es um die Kosten

Was sowohl von Google als auch von Microsoft zugegeben wird, ist Endbenutzer sollten niemals ausführbare Dateien austauschen. Bilder oder Videodateien sind Endbenutzerobjekte, ebenso wie Office-Dateien. Wenn es um ausführbare Dateien geht, sollten sie nur aus einem Geschäft stammen.

Eine solche Entscheidung ist sicherlich nicht entwicklerfreundlich, aber von Entwicklern wird erwartet, dass sie weit genug fortgeschritten sind, um einen Weg zu finden, sie zu umgehen, beispielsweise durch Verwenden einer Relay-HTTP-Site oder Verwenden einer erweiterten Codierung. Anders gesagt, die Kosten werden als vernachlässigbar angenommen.

Offen gesagt Benutzer sind dumm

Natürlich nicht alle. Wenn Sie die E-Mail jedoch für Hunderte oder sogar Tausende von Benutzern bearbeiten, haben Sie einige Benutzer, die alles öffnen und ihre Anmeldeinformationen auf jeder Phishing-Seite (sogar) angeben diejenigen, die eine andere Site imitieren!) usw.

Daher werden Mail-Systemen alle Arten von Filtern hinzugefügt, um zu verhindern, dass böswillige Inhalte bei den Benutzern ankommen. Dazu gehören möglicherweise die URL-Reputation, die Antivirenfilterung und eine der leistungsstärksten Funktionen besteht darin, bestimmte Inhalte einfach zu blockieren.

Wann mussten Sie das letzte Mal eine Erweiterung per E-Mail an die Windows-Systemsteuerung senden? Ja, einige Leute entwickeln sie. Der Rest der Welt, der einen erhält, ist nur ein Virus. Auch wenn es von Ihrer AV-Lösung nicht erkannt wird.

In einem Kommentar erwähnt Ismael Miguel ebenfalls ISO-Dateien. Was nützt es, eine ISO-Datei per E-Mail zu senden? Eine typische ISO-Datei ist mindestens 500-600 MB groß. Einige Ihrer Benutzer würden sie gerne per E-Mail senden (sogar mit 4 GB), aber das ist ein Missbrauch des Systems, E-Mail ist nicht für die gemeinsame Nutzung von Dateien ausgelegt und leistet dabei relativ schlechte Arbeit. Sie sollten sich andere Lösungen für die Dateifreigabe ansehen (E-Mail ist jedoch der faule Weg).

Tatsache ist, dass Viren seltsame Formate wie .iso oder alte Komprimierungsformate verwenden, um genau zu überwinden ( E-Mail) -Filter, die ihren Virus blockieren würden, wenn sie einen häufigeren Container (z. B. zip) verwenden würden.

Ja, es dient einfach dazu, naive Benutzer vor der expliziten Ausführung zu schützen ein nicht vertrauenswürdiger Anhang.

Wäre es nicht ausreichend, eine große, fette Warnung zu verwenden, auch bekannt als "Sind Sie wirklich sicher, dass Sie dies tun möchten?"

Die Erfahrung hat gezeigt, dass dies nicht der Fall ist.

Sehen Sie sich beim Öffnen eines Dokuments mit Makros die Benutzeroberfläche von Microsoft Office an. Genau das wird beim Öffnen einer aus dem Internet heruntergeladenen Datei / einer E-Mail eine Leiste angezeigt, z. B.:

Seien Sie vorsichtig - E-Mail-Anhänge können Viren enthalten. Sofern Sie keine Änderungen vornehmen müssen, ist es sicherer, in der geschützten Ansicht zu bleiben.

( Liste der Nachrichten in der geschützten Ansicht)

Fast alle Das schädliche Dokument enthält Inhalte, die den Benutzer anweisen, die geschützte Ansicht zu deaktivieren, "um das Dokument anzuzeigen". Eigentlich, damit die böswilligen Makros ausgeführt werden.

Und die schlechte Nachricht ist, dass sie - für einen Bruchteil der Benutzer - funktionieren. Benutzer erhalten schädliche E-Mails, öffnen die angehängten (oder verknüpften) Dokumente, die mit Makros infiziert sind, deaktivieren die geschützte Ansicht "Sandbox" und werden infiziert. Die jüngsten Emotet-Infektionswellen verwendeten meistens (?) Makrodokumente. Und die Leute wurden infiziert. Durch Lasten.

Es ist nicht so, dass es ein schlechtes Design ist. Tatsächlich hatten die Microsoft-Ingenieure keine andere Wahl, als den Benutzern das Überschreiben zu erlauben (Hinweis: Der Systemadministrator kann erzwingen, dass sie blockiert werden), da es bestimmte legitime Fälle für das Senden und Empfangen von Dokumenten gibt mit Makros.

Es gibt natürlich legitime Fälle für den Empfang von ansonsten blockierten Anhängen, einschließlich verdächtiger oder sogar als schädlich bekannter Inhalte. Beispielsweise sollte eine Missbrauchs-E-Mail-Adresse in der Lage sein, eine Benachrichtigung über die schädliche URL in ihrer eigenen Infrastruktur zu erhalten, die einen Trojaner oder ein Beispiel der E-Mail bedient Sie senden , anstatt es wie einige Systeme beim Empfang zu blockieren (die beste Vorgehensweise wäre, Filter sowohl beim Senden als auch beim Empfangen anzuwenden).

Somit könnten die Filter sein konfiguriert, um bestimmte Absender / Empfänger / Postfächer auszunehmen, die benötigen, um ansonsten blockierte Anhänge zu empfangen. Ein gutes Setup kann außerdem sicherstellen, dass nur von bestimmten Systemen (möglicherweise isoliert vom Netzwerk?) Und / oder von einigen Benutzern, von denen bekannt ist, dass sie nicht dumm sind, auf sie zugegriffen werden kann. :-)

E-Mail-Systeme, die früher das Senden ausführbarer Dateien ermöglichten, haben dies jedoch eingestellt, da dies zur Verbreitung vieler Viren führte. Ein Schlüsselereignis in dieser Hinsicht war der "ILOVEYOU" -E-Mail-Wurm von 2000, der aus einem böswilligen visuellen Basisskript bestand, das verschiedene Dateien löschte und sich an alle anderen E-Mail-Kontakte des Benutzers weiterleitete. Benutzer mussten es manuell ausführen, aber eine überraschende Anzahl von Benutzern tat es. So viele, dass Schätzungen für den weltweiten Schaden, der durch den Wurm verursacht wird, bis zu 8 Billionen Dollar betragen

Meine Katze hat Anhänge geöffnet, indem sie auf die Tastatur gegangen ist (ich denke, Tab und die 10-Tasten-Eingabetaste sind einen Schritt voneinander entfernt). Das Abspritzen eines Systems sollte nicht so sinnlos sein.

Ausführbare Dateien sollten nur von einem sicheren manipulationssicheren Medium transportiert werden. Wenn das Versenden von ausführbaren Dateien per E-Mail weit verbreitet wäre, wäre es für einen böswilligen Akteur, der die Kontrolle über einen E-Mail-Server hatte, ziemlich einfach, Viren in ausführbare Dateien einzufügen, die als Anhänge an E-Mails gesendet wurden, die über diesen Server gingen. Da weder der Absender noch der Empfänger von E-Mails im Allgemeinen die Kontrolle über den eingeschlagenen Pfad haben, kann nicht festgestellt werden, ob eine bestimmte Nachricht ihr Ziel erreichen würde, ohne infiziert zu werden.

Ein weiterer Grund ist, dass es schwieriger wird, E-Mails als koordinierten Kanal für einen Angriff zu verwenden.

Wenn es einem Angreifer z. B. gelingt, einen PC dazu zu kompromittieren, eine begrenzte Anzahl von Benutzeraktionen zu erstellen oder irreführende Bilder zu überlagern Anwendungsprogramme (damit Benutzer etwas anderes tun, als sie zu tun glauben), ist das allerletzte, was Sie erleichtern möchten, die Bereitstellung ausführbarer Dateien für solche Angriffe - dies würde einen begrenzten Angriff in einen effektiv unbegrenzten Angriff verwandeln.

Der Hauptgrund besteht darin, Benutzer vor Hacking zu schützen. Für Nachrichten, die Viren verbreiten können, z. B. Nachrichten, die ausführbare Dateien oder bestimmte Links enthalten. Manchmal hängt es auch von der IP-Adresse ab, ob sie auf der schwarzen Liste steht.