Δοκιμή Ηλεκτρονικού «Ψαρέματος»: Μια Ασφαλής Λίστα Ελέγχου για

Ένα τεστ phishing mail θα πρέπει να δείχνει στις ομάδες ασφάλειας αν οι εργαζόμενοι αναγνωρίζουν, αναφέρουν και ανακάμπτουν από ύποπτα email σε ένα ελεγχόμενο περιβάλλον. Δεν θα πρέπει να αποδεικνύει ότι μια εσωτερική ομάδα μπορεί να μιμηθεί εγκληματίες, να συλλέξει μυστικά ή να αιφνιδιάσει το προσωπικό με μια καμπάνια που κανείς δεν μπορεί να εξηγήσει μετά. Η χρήσιμη εκδοχή είναι μια αμυντική άσκηση: ασφαλή μηνύματα, ελεγχόμενοι έλεγχοι παράδοσης, σαφείς διαδρομές αναφοράς, μέτρηση με γνώμονα την ιδιωτικότητα και εκπαίδευση παρακολούθησης που βελτιώνει τη συμπεριφορά.

Αυτή η διάκριση έχει σημασία επειδή πολλοί αγοραστές αναζητούν ένα τεστ phishing mail ενώ στην πραγματικότητα χρειάζονται μια επαναλήψιμη ροή εργασίας ευαισθητοποίησης. Ένα μεμονωμένο τεστ μπορεί να απαντήσει σε ένα στενό ερώτημα. Ένα διαχειριζόμενο πρόγραμμα phishing simulation μπορεί να απαντήσει στο μεγαλύτερο: βελτιώνονται οι άνθρωποι, οι διαδικασίες και τα μέτρα ελέγχου με τον χρόνο;

Ξεκινήστε από την απόφαση που πρέπει να υποστηρίξει το τεστ

Πριν επιλέξετε εργαλείο ή πρότυπο, αποφασίστε τι προορίζεται να αλλάξει το τεστ. Ένα phishing mail test συνήθως υποστηρίζει μία από τέσσερις αποφάσεις:

αν οι εργαζόμενοι ξέρουν πώς να αναφέρουν ένα ύποπτο email
αν τα μέτρα ασφάλειας email, τα κουμπιά αναφοράς και οι ροές εργασίας του helpdesk συμπεριφέρονται όπως αναμένεται
αν η εκπαίδευση ευαισθητοποίησης πρέπει να επικεντρωθεί σε ένα συγκεκριμένο μοτίβο κινδύνου
αν η ηγεσία και οι ομάδες συμμόρφωσης μπορούν να βλέπουν επαναλαμβανόμενα στοιχεία βελτίωσης

Αυτές οι αποφάσεις οδηγούν σε διαφορετικούς σχεδιασμούς. Αν ο στόχος είναι η συμπεριφορά αναφοράς, η καμπάνια θα πρέπει να δίνει έμφαση στο αν οι παραλήπτες αναφέρουν γρήγορα μέσω του εγκεκριμένου καναλιού. Αν ο στόχος είναι η επαλήθευση του εργαλείου, η καμπάνια θα πρέπει να επιβεβαιώνει τη δρομολόγηση, τη δημιουργία ticket και την ορατότητα των αναλυτών. Αν ο στόχος είναι η αναφορά σε επίπεδο διοικητικού συμβουλίου, το αποτέλεσμα θα πρέπει να δείχνει τάσεις, κίνδυνο σε επίπεδο ομάδας και ενέργειες παρακολούθησης αντί για έναν μόνο εντυπωσιακό δείκτη κλικ.

Για ομάδες που προετοιμάζουν το πρώτο επαναλαμβανόμενο πρόγραμμά τους, ο οδηγός της AutoPhish για ένα phishing simulation program launch checklist είναι ένας καλός συνοδός. Καλύπτει την ευθυγράμμιση των εμπλεκομένων πριν η πρώτη καμπάνια βγει ζωντανά.

Κρατήστε το τεστ αμυντικό, όχι επιχειρησιακό

Τα ασφαλέστερα phishing tests είναι αρκετά ρεαλιστικά ώστε να διδάσκουν τη σωστή συνήθεια, αλλά αρκετά περιορισμένα ώστε να μην δημιουργούν νέο κίνδυνο. Το τεστ δεν θα πρέπει ποτέ να ζητά από τους εργαζόμενους να εισαγάγουν πραγματικά διαπιστευτήρια, να εγκρίνουν πραγματική πρόσβαση, να κατεβάσουν επιβλαβή αρχεία ή να παρακάμψουν εργαλεία ασφαλείας με τρόπο που θα ήταν μη ασφαλής εκτός της προσομοίωσης.

Χρησιμοποιήστε αυτά τα κιγκλιδώματα όταν αξιολογείτε ένα phishing attack simulation tool ή μια διαχειριζόμενη υπηρεσία:

οι σελίδες προορισμού δεν πρέπει να συλλέγουν κωδικούς πρόσβασης, tokens, δεδομένα πληρωμής ή ευαίσθητα προσωπικά δεδομένα
τα σενάρια με συνημμένα αρχεία θα πρέπει να αποφεύγουν ενεργό περιεχόμενο και επικίνδυνα payloads
οι σύνδεσμοι θα πρέπει να καταλήγουν μόνο σε ελεγχόμενες σελίδες εκπαίδευσης
τα θέματα των σεναρίων θα πρέπει να αποφεύγουν προσωπική τραγωδία, πανικό μισθοδοσίας, ιατρική πίεση ή ταπείνωση
η ανατροφοδότηση προς τους εργαζόμενους θα πρέπει να διδάσκει, όχι να ντροπιάζει
τα δεδομένα σε επίπεδο ατόμου θα πρέπει να ελέγχονται ως προς την πρόσβαση και να διατηρούνται μόνο για όσο χρειάζεται

Οι πραγματικοί επιτιθέμενοι εκμεταλλεύονται την επείγουσα ανάγκη, την αυθεντία και τη σύγχυση. Ένα αμυντικό πρόγραμμα εκπαίδευσης μπορεί να διδάξει τους ανθρώπους να αναγνωρίζουν αυτά τα μοτίβα χωρίς να αναπαράγει κάθε επιβλαβή τακτική. Αυτό είναι ιδιαίτερα σημαντικό για εταιρείες με εργατικά συμβούλια, ρυθμιζόμενα περιβάλλοντα ή κουλτούρα όπου η εμπιστοσύνη των εργαζομένων είναι ήδη εύθραυστη.

Επαληθεύστε την παράδοση χωρίς να αποδυναμώσετε την ασφάλεια email

Πολλά phishing mail tests αποτυγχάνουν πριν τα δει καν ένας εργαζόμενος. Τα μηνύματα καταλήγουν στα ανεπιθύμητα, οι σύνδεσμοι ξαναγράφονται, οι εικόνες μπλοκάρονται, το tracking αφαιρείται ή η καμπάνια μπαίνει σε καραντίνα από τα ίδια μέτρα που ο οργανισμός θέλει να διατηρήσει ισχυρά. Η απάντηση δεν είναι να απενεργοποιήσετε ευρέως τις προστασίες. Η απάντηση είναι μια στοχευμένη διαδικασία επαλήθευσης παράδοσης.

Ένας ασφαλής έλεγχος παράδοσης θα πρέπει να επιβεβαιώνει ότι:

το domain αποστολής και η ταυτότητα του αποστολέα έχουν εγκριθεί για την προσομοίωση
η ευθυγράμμιση SPF, DKIM και DMARC είναι κατανοητή
οι πύλες ασφαλείας και οι πελάτες email χειρίζονται το μήνυμα με προβλέψιμο τρόπο
το κουμπί αναφοράς ή το mailbox κατάχρησης δρομολογεί τις αναφορές στη σωστή ουρά
η προσομοίωση είναι ξεκάθαρα τεκμηριωμένη για τους διαχειριστές που πρέπει να κάνουν troubleshooting
οποιαδήποτε προσωρινή εξαίρεση παράδοσης έχει ιδιοκτήτη, λόγο, εύρος και ημερομηνία λήξης

Ο στόχος είναι τα τεκμήρια, όχι η τυφλή παράκαμψη. Αν μια καμπάνια χρειάζεται ειδικό χειρισμό, τεκμηριώστε ακριβώς τι άλλαξε και γιατί. Αν δεν χρειάζεται ειδικό χειρισμό, τεκμηριώστε και αυτό. Και τα δύο αποτελέσματα βοηθούν σε μελλοντικούς ελέγχους και κάνουν τα αποτελέσματα πιο εύκολα στην ερμηνεία.

Η AutoPhish έχει έναν πιο βαθύ λειτουργικό οδηγό στο why phishing simulation emails go to spam αν η παραδοσιμότητα είναι το άμεσο εμπόδιο.

Μετρήστε την αναφορά, όχι μόνο τα κλικ

Ο δείκτης κλικ είναι εύκολος στην κατανόηση, αλλά είναι αδύναμος ως αυτόνομη μέτρηση. Ένας χαμηλότερος δείκτης κλικ μπορεί να σημαίνει ότι οι εργαζόμενοι βελτιώθηκαν. Μπορεί επίσης να σημαίνει ότι το μήνυμα φιλτραρίστηκε, το σενάριο ήταν προφανές ή το προσωπικό προειδοποίησε ο ένας τον άλλον στο chat. Ένα χρήσιμο phishing mail test παρακολουθεί τις συμπεριφορές που μειώνουν τον πραγματικό αντίκτυπο ενός περιστατικού.

Δώστε προτεραιότητα σε μετρήσεις όπως:

ποσοστό αναφοράς
διάμεσος χρόνος μέχρι την αναφορά
ποσοστό επικίνδυνων αλληλεπιδράσεων πέρα από ένα κλικ σε σύνδεσμο
ολοκλήρωση follow-up εκπαίδευσης
τάσεις επαναλαμβανόμενου κινδύνου μεταξύ καμπανιών
όγκος false positives που δημιουργείται από τη ροή αναφοράς
βελτίωση σε επίπεδο ομάδας ανά τμήμα, τοποθεσία ή ρόλο

Η πιο πολύτιμη μέτρηση είναι συχνά ο χρόνος μέχρι την αναφορά. Η ταχύτερη αναφορά δίνει στην IT ή στο SOC περισσότερο χρόνο να περιορίσει πραγματικές καμπάνιες, να αναζητήσει σχετικά μηνύματα και να προειδοποιήσει τους χρήστες πριν εξαπλωθεί η επίθεση. Μια καλή πλατφόρμα θα πρέπει να δείχνει αν η συμπεριφορά αναφοράς βελτιώνεται με τον χρόνο, όχι μόνο αν το σενάριο αυτού του μήνα παρήγαγε ένα πολύχρωμο διάγραμμα.

Για μια πληρέστερη εικόνα αγοραστή, συγκρίνετε κάθε shortlist με το άρθρο της AutoPhish για τα phishing simulation reporting features.

Αποφασίστε τι βλέπουν οι εργαζόμενοι μετά την αλληλεπίδραση

Η στιγμή αμέσως μετά το κλικ, την αναφορά ή την αγνόηση ενός δοκιμαστικού μηνύματος είναι εκεί όπου η μάθηση είτε συμβαίνει είτε χάνεται. Η καθυστερημένη ανατροφοδότηση μετατρέπει την καμπάνια σε πίνακα σκορ. Η άμεση, με σεβασμό ανατροφοδότηση τη μετατρέπει σε εκπαίδευση.

Η χρήσιμη ανατροφοδότηση θα πρέπει να εξηγεί:

ποια σημάδια ήταν ύποπτα
τι έκανε σωστά ο εργαζόμενος
τι θα πρέπει να κάνει την επόμενη φορά
πώς να αναφέρει παρόμοια μηνύματα στο πραγματικό περιβάλλον
γιατί ο οργανισμός τρέχει ελεγχόμενες προσομοιώσεις

Αποφύγετε την ανατροφοδότηση που ακούγεται σαν τιμωρία. Οι ομάδες ασφάλειας χρειάζονται τους εργαζόμενους να αναφέρουν την αβεβαιότητα, όχι να τη κρύβουν. Αν οι άνθρωποι πιστεύουν ότι κάθε ύποπτο email είναι παγίδα, μπορεί να σταματήσουν να κάνουν ερωτήσεις. Αν πιστεύουν ότι το πρόγραμμα είναι σχεδιασμένο για να τους βοηθήσει να παίρνουν πιο ασφαλείς αποφάσεις, είναι πιο πιθανό να συμμετέχουν ειλικρινά.

Χρησιμοποιήστε σενάρια βασισμένα στον ρόλο με προσοχή

Τα τεστ ανά ρόλο μπορούν να είναι χρήσιμα επειδή τα finance, HR, τα στελέχη, οι διαχειριστές IT και το προσωπικό πρώτης γραμμής αντιμετωπίζουν διαφορετικούς κινδύνους email. Το πρόβλημα είναι ότι οι προσομοιώσεις ανά ρόλο μπορούν επίσης να γίνουν υπερβολικά προσωπικές ή πολύ έντονες αν κανείς δεν ορίσει κανόνες ελέγχου.

Μια ασφαλής διαδικασία ελέγχου θα πρέπει να ρωτά:

Είναι αυτό το σενάριο σχετικό με τον ρόλο χωρίς να είναι χειριστικό;
Θα μπορούσε το σενάριο να πυροδοτήσει περιττό φόβο ή αμηχανία;
Η σελίδα εκπαίδευσης αποφεύγει να συλλέγει ευαίσθητα δεδομένα;
Είναι η αναμενόμενη συμπεριφορά ξεκάθαρη και διδακτική;
Η καμπάνια έχει εγκριθεί από τον σωστό εμπλεκόμενο;

Τα καλύτερα τεστ ανά ρόλο είναι αρκετά συγκεκριμένα ώστε να φαίνονται πειστικά, αλλά παραμένουν αρκετά γενικά ώστε οι εργαζόμενοι να μαθαίνουν μια μεταφέρσιμη συνήθεια: σταμάτα, επαλήθευσε μέσω ενός αξιόπιστου καναλιού και ανέφερε. Δεν θα πρέπει να διδάσκουν στο προσωπικό ότι κάθε ρεαλιστική επιχειρηματική διαδικασία είναι ύποπτη. Θα πρέπει να διδάσκουν στο προσωπικό πώς να επαληθεύει αιτήματα με ασφάλεια.

Χτίστε ένα μοντέλο ιδιωτικότητας και διατήρησης πριν από την έναρξη

Τα phishing tests δημιουργούν δεδομένα συμπεριφοράς. Σε πολλούς οργανισμούς, αυτά τα δεδομένα μπορούν να γίνουν προσωπικά δεδομένα, δεδομένα ευαίσθητα για HR ή τεκμήρια ελέγχου. Αυτό δεν σημαίνει ότι οι ομάδες πρέπει να αποφεύγουν τις δοκιμές. Σημαίνει ότι το πρόγραμμα χρειάζεται ένα σαφές μοντέλο ιδιωτικότητας πριν αρχίσουν να ρέουν τα αποτελέσματα.

Ορίστε:

ποιος μπορεί να βλέπει ατομικά αποτελέσματα
πότε η συγκεντρωτική αναφορά αρκεί
για πόσο διατηρούνται τα ακατέργαστα δεδομένα της καμπάνιας
αν οι διευθυντές λαμβάνουν ονομαστικά αποτελέσματα ή μόνο τάσεις
πώς χειρίζεται το follow-up για επαναλαμβανόμενο κίνδυνο
τι λέγεται στους εργαζόμενους πριν ξεκινήσει το πρόγραμμα

Για οργανισμούς της ΕΕ, η στάση ιδιωτικότητας μπορεί να είναι εξίσου σημαντική με τη τεχνική ροή εργασίας. Η δημόσια καθοδήγηση στο NIST SP 800-50 είναι επίσης χρήσιμο πλαίσιο: η ευαισθητοποίηση και η εκπαίδευση θα πρέπει να σχεδιάζονται, να συντηρούνται και να αξιολογούνται ως πρόγραμμα, όχι να αντιμετωπίζονται ως ένα εφάπαξ τέχνασμα.

Συγκρίνετε εργαλεία με βάση τη ροή εργασίας, όχι τον αριθμό προτύπων

Οι βιβλιοθήκες προτύπων είναι χρήσιμες, αλλά δεν θα πρέπει να κυριαρχούν στην απόφαση αγοράς. Ένα phishing mail test πετυχαίνει όταν ολόκληρη η ροή εργασίας είναι εύκολη στη λειτουργία με ασφάλεια.

Όταν συγκρίνετε πλατφόρμες, αναζητήστε:

καθοδήγηση για ελεγχόμενη αποστολή και ρύθμιση domain
ασφαλείς σελίδες προορισμού που δεν καταγράφουν μυστικά
ενσωμάτωση με κουμπί αναφοράς ή mailbox κατάχρησης
αυτοματοποιημένη, εποικοδομητική ανατροφοδότηση
στοχευμένη καμπάνια βάσει ρόλου με ελέγχους έγκρισης
αναφορές και ελέγχους πρόσβασης με γνώμονα την ιδιωτικότητα
εξαγώγιμα τεκμήρια για ηγεσία ή ελεγκτές
σαφή διαχωρισμό ανάμεσα σε σχεδιασμό τεστ, παράδοση, εκπαίδευση και αναφορά
υποστήριξη για επαναλαμβανόμενες καμπάνιες αντί για μεμονωμένη χειροκίνητη δουλειά

Αν ένα εργαλείο κάνει εύκολη την εκκίνηση καμπανιών αλλά δύσκολη την εξήγηση των αποτελεσμάτων, θα δημιουργήσει λειτουργικό χρέος. Αν ένα εργαλείο κάνει εύκολη την αναφορά, το follow-up και τα τεκμήρια, το πρόγραμμα είναι πιο πιθανό να επιβιώσει πέρα από το πρώτο ενθουσιώδες πιλοτικό στάδιο.

Μια πρακτική checklist πριν από την αποστολή

Χρησιμοποιήστε αυτή τη λίστα πριν εκτελέσετε ένα phishing mail test:

Ο επιχειρησιακός στόχος έχει γραφτεί.
Οι εμπλεκόμενοι ξέρουν τι θα συμβεί και ποιος έχει την ευθύνη των εγκρίσεων.
Το σενάριο έχει περάσει έλεγχο ασφάλειας και τόνου.
Δεν συλλέγονται πραγματικά διαπιστευτήρια, tokens, πληρωμές ή ευαίσθητα δεδομένα.
Η παράδοση έχει δοκιμαστεί χωρίς ευρείες παρακάμψεις ασφάλειας.
Το κανάλι αναφοράς λειτουργεί.
Η ανατροφοδότηση προς τους εργαζόμενους είναι έτοιμη πριν από την έναρξη.
Οι μετρήσεις έχουν οριστεί πέρα από τον δείκτη κλικ.
Η πρόσβαση στα δεδομένα, η διατήρηση και οι εξαγωγές είναι τεκμηριωμένες.
Η follow-up εκπαίδευση και οι ενέργειες αναθεώρησης έχουν ανατεθεί.

Αν κάποιο από αυτά τα στοιχεία είναι ασαφές, διορθώστε τη ροή εργασίας πριν στείλετε την καμπάνια. Ένα καθυστερημένο τεστ είναι συνήθως φθηνότερο από ένα πρόχειρο που βλάπτει την εμπιστοσύνη ή δημιουργεί δεδομένα που κανείς δεν μπορεί να υπερασπιστεί.

Μετατρέψτε το τεστ σε επαναλήψιμο πρόγραμμα

Το ισχυρότερο phishing mail test δεν είναι το πιο θεαματικό. Είναι αυτό που βοηθά τις ομάδες ασφάλειας να μάθουν κάτι χρήσιμο, να βελτιώσουν την επόμενη καμπάνια και να δείξουν τεκμήρια ότι οι εργαζόμενοι και οι διαδικασίες βελτιώνονται.

Το AutoPhish είναι φτιαγμένο για ασφαλείς phishing simulations, αυτοματοποιημένη follow-up εκπαίδευση, αναφορές με γνώμονα την ιδιωτικότητα και τεκμήρια έτοιμα για τα ενδιαφερόμενα μέρη. Για να τρέξετε ελεγχόμενα τεστ χωρίς να μετατρέψετε την ευαισθητοποίηση σε παιχνίδι μαντεψιάς, Sign Up.

FAQ

Τι είναι ένα phishing mail test;

Ένα phishing mail test είναι μια ελεγχόμενη άσκηση ευαισθητοποίησης ασφάλειας που στέλνει προσομοιωμένα ύποπτα email σε εργαζόμενους, ώστε ο οργανισμός να μπορεί να μετρήσει τη συμπεριφορά αναφοράς, τις επικίνδυνες αλληλεπιδράσεις και τις ανάγκες εκπαίδευσης.

Είναι ένα phishing test το ίδιο με ένα phishing simulation;

Υπάρχει επικάλυψη, αλλά ένα test είναι συχνά μία μεμονωμένη καμπάνια, ενώ ένα πρόγραμμα phishing simulation είναι επαναλαμβανόμενο. Ένα πρόγραμμα συνήθως περιλαμβάνει σχεδιασμό, έλεγχο ασφάλειας, επαλήθευση παράδοσης, αναφορά, ανατροφοδότηση, εκπαίδευση και ανάλυση τάσεων.

Θα πρέπει τα phishing tests να συλλέγουν κωδικούς πρόσβασης;

Όχι. Ένα αμυντικό phishing test δεν θα πρέπει να συλλέγει πραγματικούς κωδικούς πρόσβασης, tokens, δεδομένα πληρωμής ή ευαίσθητα προσωπικά δεδομένα. Χρησιμοποιήστε ασφαλείς σελίδες εκπαίδευσης και μετρήστε την αλληλεπίδραση χωρίς να καταγράφετε μυστικά.

Ποιοι δείκτες έχουν τη μεγαλύτερη σημασία;

Το ποσοστό αναφοράς, ο χρόνος μέχρι την αναφορά, το ποσοστό επικίνδυνης αλληλεπίδρασης, η ολοκλήρωση follow-up, οι τάσεις επαναλαμβανόμενου κινδύνου και η βελτίωση σε επίπεδο ομάδας είναι συνήθως πιο χρήσιμα από τον δείκτη κλικ μόνο.

Πόσο συχνά θα πρέπει οι εταιρείες να τρέχουν phishing tests;

Οι περισσότεροι οργανισμοί ωφελούνται από έναν επαναλαμβανόμενο ρυθμό με ποικίλα, ασφαλή σενάρια. Η σωστή συχνότητα εξαρτάται από την εναλλαγή προσωπικού, τα πρόσφατα περιστατικά, τη διαθέσιμη ικανότητα follow-up και το πόσο γρήγορα η ομάδα μπορεί να αξιολογήσει τα αποτελέσματα.

Δοκιμή Ηλεκτρονικού «Ψαρέματος»: Μια Ασφαλής Λίστα Ελέγχου για Ομάδες Ασφάλειας