حملات فیشینگ برای سرقت اعتبار‌نامه‌ها (Credential Phishing) معمولاً در لحظه‌ای موفق می‌شوند که کاربر یک صفحه جعلی را در مرورگر خود باز می‌کند. در حالی که ابزارهای EDR، حسگرهای شبکه و پروکسی‌ها تنها می‌توانند فعالیت‌های بیرونی مرورگر را رصد کنند، ابزار جدید Browser Agent از شرکت Group-IB با قرارگیری در داخل مرورگر، این شکاف امنیتی را می‌پوشاند.
تغییر رویکرد از واکنش به پیش‌بینی
این ابزار که به صورت یک افزونه (Extension) سبک برای مرورگر Chrome عرضه شده، هر صفحه بازدید شده را در لحظه با داده‌های Threat Intelligence شرکت Group-IB تطبیق می‌دهد. تفاوت اصلی این راهکار در «پیش‌بینانه» بودن آن است؛ به این معنا که زیرساخت‌های فیشینگ توسط سیستم‌های تحلیل داده، ساعت‌ها یا روزها پیش از آنکه کاربری روی لینک کلیک کند، شناسایی می‌شوند.
مکانیزم عملکرد در مواجهه با تهدید
زمانی که یک کارمند روی لینک فیشینگ کلیک می‌کند، فرآیند زیر در کسری از ثانیه رخ می‌دهد:
- بستن سریع تب: افزونه در کمتر از ۳۰۰ میلی‌ثانیه پس از کلیک، تب فعال را می‌بندد تا کاربر فرصت وارد کردن رمز عبور را نداشته باشد.
- مسدودسازی سازمانی: دامنه مخرب بلافاصله برای تمامی مرورگرهای مدیریت شده در سازمان Blacklist می‌شود تا هیچ کاربر دیگری نتواند به آن دسترسی پیدا کند.
- مدیریت هویت: سیستم هشدار می‌دهد که کدام حساب هدف قرار گرفته است و امکان بازنشانی (Reset) رمز عبور کاربر تنها با یک کلیک در کنسول XDR فراهم می‌شود.
رفع نقاط ضعف ابزارهای سنتی
بسیاری از سازمان‌ها بر روی Secure Web Gateway یا EPP تکیه می‌کنند، اما این ابزارها محدودیت‌های جدی دارند. برای مثال، SWG تنها ترافیکی را می‌بیند که قادر به رمزگشایی آن باشد و در صورت خروج دستگاه از شبکه سازمانی، دید خود را از دست می‌دهد. در مقابل، Browser Agent به عنوان یک حسگر داخلی، دقیقاً صفحه‌ای را که برای کاربر رندر شده است رصد می‌کند.
قابلیت‌های شکار تهدید (Threat Hunting)
این ابزار امکاناتی را برای تیم‌های SOC و Threat Hunterها فراهم می‌کند که با ابزارهای سنتی ممکن نیست:
- جستجوی گذشته‌نگر (Retrospective Sweeps): اگر دامنه‌ای امروز به عنوان مخرب شناسایی شود، می‌توان به سرعت بررسی کرد که در هفته گذشته چه کسانی از آن بازدید کرده‌اند.
- بررسی سطح مواجهه (Exposure Check): شناسایی دقیق تعداد کاربرانی که در یک کمپین فعال فیشینگ هدف قرار گرفته‌اند.
- تحلیل رفتارهای غیرمعمول: شناسایی بازدید از دامنه‌هایی که با الگوی رفتاری عادی کاربر همخوانی ندارند.
پیاده‌سازی و حریم خصوصی
این افزونه از طریق GPO، Intune یا Jamf در محیط‌های Windows، macOS و Linux قابل توزیع است و از احراز هویت mTLS برای ارتباط با کنسول استفاده می‌کند. از نظر حریم خصوصی، این ابزار تنها URLها، زمان بازدید و مدت حضور در صفحه را ثبت می‌کند و به هیچ عنوان محتوای صفحه یا داده‌های تایپ شده در فرم‌ها را جمع‌آوری نمی‌کند.
