Proofpoint wil phishing herkennen aan de bedoeling van een bericht in plaats van aan gedrag

Volgens Proofpoint werkt gedragsanalyse minder goed wanneer het account, de conversatie en het verzoek allemaal betrouwbaar lijken. Het bedrijf wijst erop dat de moeilijkst te vinden aanvallen steeds meer op normale bedrijfsactiviteiten lijken en dat een aanval op één specifieke leidinggevende mogelijk nooit wordt herhaald. Daarbij komt dat AI het aantal, de snelheid en de verfijning van aanvallen heeft vergroot. Detectiesystemen moeten daarom zowel de context als de bedoeling van een interactie begrijpen.

Het systeem rust op twee onderdelen. De Proofpoint Knowledge Graph combineert dreigingsinformatie over lopende campagnes, aanvalspatronen per sector en gecompromitteerde leveranciers met gegevens over de organisatie zelf, zoals zakelijke relaties, communicatiepatronen, datatoegang en gebruikersrisico. Het Nexus Intent-Based Detection Model redeneert over die context in meerdere stappen. De meeste beslissingen vallen binnen een halve seconde, terwijl twijfelgevallen een diepere analyse krijgen. Zo wordt bepaald wat een bericht wil bereiken en of dat doel past bij de context. Inzichten uit één controlepunt komen ook de detectie, het onderzoek en de gebruikersbescherming elders in het systeem ten goede.

Analyse voor en na aflevering

De intentieanalyse draait zowel bij de e-mailgateway, vóór aflevering, als in de inbox via API's. Wat er later in het proces wordt geleerd, wordt teruggekoppeld naar de detectie vóór aflevering. Voor mensen met uitgebreide toegang of transactiebevoegdheid, zoals leidinggevenden en financiële goedkeurders, komen aparte detectiemodellen onder de naam Privileged User Protection. Die moeten aanvallen herkennen die voor één persoon zijn ontworpen.

Twee andere onderdelen richten zich op onderzoek en gebruikersrisico. Autonomous Threat Investigation reconstrueert aanvallen automatisch, zoekt gerelateerde berichten, bepaalt hoe ver een aanval reikt en verzamelt bewijs voor de reactie. Volgens Proofpoint scheelt dat veel handmatig werk. Adaptive User Protection wijst hoogrisicogebruikers aan op basis van de omgeving van de organisatie, legt uit wat het risico veroorzaakt en past bescherming en coaching aan. Op de achtergrond testen Blue Team- en Red Team-agents de verdediging met zakelijke context om zwakke plekken te vinden voordat aanvallers dat doen.

Uitbreiding naar de browser

Met Advanced Browser Protection wil Proofpoint de bescherming uitbreiden voorbij gateway en inbox tot in de browser. Het onderdeel is ontwikkeld met Push Security en combineert volgens Proofpoint als eerste in de categorie e-maildreigingsinformatie met bescherming in de browser zelf. Organisaties moeten hiermee phishing na de klik, kwaadaardige URL's, schadelijke browserextensies, OAuth-phishing, diefstal van inloggegevens en sessie-hijacking kunnen tegenhouden. Gegevens uit de browser worden opgenomen in de Threat Protection Workbench, de Proofpoint Security Graph en de Investigation Agent, zodat securityteams onderzoeken kunnen uitvoeren van het afleveren van een bericht tot de interactie in de browser.

"Aanvallers opereren steeds vaker binnen de relaties en workflows die organisaties al vertrouwen," zegt Tom Corn, Executive Vice President en General Manager, Threat Protection Group bij Proofpoint. "Dat verandert de uitdaging van detectie. Security moet begrijpen wat een interactie probeert te bereiken. Het moet redeneren over de bredere context. Ook moet het ingrijpen voordat de aanvaller slaagt. Dit gebeurt niet met losstaande tools, maar als één geïntegreerd systeem. En dat systeem wordt slimmer bij elke beslissing die het neemt."

De nieuwe functies verschijnen in het eerste kwartaal van 2027 als update op de bestaande collaboration security-oplossing van Proofpoint. Klanten hoeven daarvoor niet te migreren.