Ασφαλείς Σελίδες Προσγείωσης Προσομοίωσης Phishing: Μετρήστε τον Κίνδυνο Χωρίς Να Συλλέγετε Μυστικά

Μια σελίδα προορισμού προσομοίωσης phishing είναι συχνά το σημείο όπου ένα πρόγραμμα εκπαίδευσης είτε γίνεται πραγματικά χρήσιμο είτε γίνεται επικίνδυνο. Η σελίδα μπορεί να δείξει αν ο χρήστης σταμάτησε, ανέφερε το μήνυμα ή προσπάθησε να συνεχίσει αφού έκανε κλικ. Μπορεί επίσης να δημιουργήσει περιττή έκθεση, αν ζητά από τους υπαλλήλους να πληκτρολογήσουν πραγματικά μυστικά σε μια σελίδα που μοιάζει με το πρωτότυπο.

Η ασφαλέστερη προσέγγιση είναι απλή: προσομοίωσε το σημείο απόφασης, όχι την παραβίαση. Μια καλή σελίδα προορισμού μετρά τη συμπεριφορά, δίνει άμεση ανατροφοδότηση, ενισχύει τις συνήθειες αναφοράς και δημιουργεί τεκμήρια για το πρόγραμμα ευαισθητοποίησης, χωρίς να συλλέγει κωδικούς πρόσβασης παραγωγής, κωδικούς MFA, token, στοιχεία πληρωμής ή ιδιωτικά δεδομένα εργαζομένων.

Αυτός ο οδηγός είναι αποκλειστικά αμυντικός. Δεν περιλαμβάνει πρότυπα phishing, βήματα συλλογής διαπιστευτηρίων, τακτικές παράδοσης, συμβουλές αποφυγής εντοπισμού ή οδηγίες για πραγματικές επιθέσεις.

Γιατί οι σελίδες προορισμού έχουν σημασία στις προσομοιώσεις phishing

Τα κλικ από μόνα τους είναι ασθενές σήμα. Κάποιοι υπάλληλοι κάνουν κλικ από περιέργεια, άλλοι επειδή η ασφάλεια email ξαναέγραψε τον σύνδεσμο, και άλλοι επειδή προσπαθούσαν να αναφέρουν το μήνυμα από κινητό πελάτη αλληλογραφίας. Μια σελίδα προορισμού δίνει στο πρόγραμμα περισσότερο πλαίσιο.

Όταν χρησιμοποιείται σωστά, μπορεί να απαντήσει σε ερωτήματα όπως:

• Σταμάτησε ο χρήστης όταν η σελίδα ζήτησε ευαίσθητες πληροφορίες;
• Επέλεξε ο χρήστης μια ασφαλή διαδρομή αναφοράς ή επαλήθευσης;
• Κατάλαβε ο χρήστης γιατί το μήνυμα ήταν επικίνδυνο;
• Ενίσχυσε η στιγμή εκπαίδευσης τη σωστή εσωτερική διαδικασία;
• Μπορεί η ομάδα ασφάλειας να εξηγήσει τα αποτελέσματα χωρίς να στιγματίζει άτομα;

Όταν χρησιμοποιείται άσχημα, η σελίδα προορισμού γίνεται το πιο επικίνδυνο μέρος της προσομοίωσης. Μια σελίδα που συλλέγει πραγματικούς κωδικούς πρόσβασης ή καλεί τους υπαλλήλους να υποβάλουν ευαίσθητες πληροφορίες μπορεί να δημιουργήσει ένα νέο πρόβλημα διαχείρισης δεδομένων, ενώ προσπαθεί να μετρήσει την ευαισθητοποίηση.

Τι δεν πρέπει ποτέ να συλλέγει μια ασφαλής σελίδα προορισμού

Για εκπαίδευση ευαισθητοποίησης, η προεπιλογή πρέπει να είναι η μη συλλογή πραγματικών μυστικών.

Απέφυγε τη συλλογή ή αποθήκευση:

• πραγματικών κωδικών πρόσβασης
• κωδικών MFA, κωδικών ανάκτησης ή εφεδρικών κωδικών
• session tokens, API keys ή ιδιωτικών κλειδιών
• στοιχείων πιστωτικής κάρτας ή τραπεζικών δεδομένων
• διαβατηρίου, υγείας, μισθοδοσίας ή άλλων ευαίσθητων προσωπικών δεδομένων
• παραγωγικών δεδομένων πελατών ή προμηθευτών

Αν μια προσομοίωση χρειάζεται να μετρήσει ότι ένας χρήστης προσπάθησε να εκτελέσει μια ενέργεια υψηλού κινδύνου, η πλατφόρμα θα πρέπει να καταγράφει ένα ελεγχόμενο συμβάν, όπως "προσπάθεια συνέχισης φόρμας" ή "έναρξη ροής ευαίσθητων δεδομένων", χωρίς να αποθηκεύει την τιμή που πληκτρολογήθηκε. Το διδακτικό ζητούμενο είναι η συμπεριφορά, όχι το μυστικό.

Αυτή η διάκριση έχει σημασία για την ιδιωτικότητα, την εμπιστοσύνη των εργαζομένων και τις συζητήσεις συμμόρφωσης. Μια ομάδα ασφάλειας θα πρέπει να μπορεί να δηλώσει ξεκάθαρα ότι το πρόγραμμα δεν συλλέγει πραγματικά διαπιστευτήρια.

Τι να μετράς αντί γι’ αυτό

Μια δυνατή σελίδα προορισμού προσομοίωσης phishing μετρά αρκετά για να βελτιώσει το πρόγραμμα, χωρίς να μετατρέπει την εκπαίδευση ευαισθητοποίησης σε επιτήρηση.

Χρήσιμα σήματα περιλαμβάνουν:

• συμβάν κλικ ή επίσκεψης
• χρόνο από την παράδοση έως την επίσκεψη
• συμπεριφορά αναφοράς πριν ή μετά το κλικ
• προσπάθεια συνέχισης σε ασφαλή φόρμα εκπαίδευσης
• ολοκλήρωση της στιγμής εκπαίδευσης
• επαναλαμβανόμενη έκθεση στο ίδιο μοτίβο κινδύνου με την πάροδο του χρόνου
• τάσεις σε επίπεδο τμήματος ή ρόλου όπου αυτό είναι κατάλληλο

Οι καλύτερες μετρήσεις ξεχωρίζουν την περιέργεια από τη συμπεριφορά υψηλότερου κινδύνου. Κάποιος που ανοίγει μια σελίδα και αμέσως τη αναφέρει είναι διαφορετικός από κάποιον που προσπαθεί να συνεχίσει μέσα από μια ψεύτικη ροή σύνδεσης. Ο οδηγός της AutoPhish για τις λειτουργίες αναφοράς σε προσομοιώσεις phishing είναι ένα χρήσιμο σημείο αναφοράς για το πώς αυτά τα σήματα μετατρέπονται σε dashboards και αποδεικτικά ελέγχου.

Η στιγμή εκπαίδευσης πρέπει να είναι άμεση και πρακτική

Η σελίδα δεν πρέπει απλώς να λέει "έπεσες θύμα phishing". Αυτό το μήνυμα είναι θορυβώδες, τιμωρητικό και συχνά δεν βοηθά.

Καλύτερες σελίδες προορισμού εξηγούν:

• ποιο σήμα έκανε το μήνυμα ύποπτο
• τι πρέπει να ελέγχει ο εργαζόμενος την επόμενη φορά
• πώς να αναφέρει το μήνυμα εσωτερικά
• γιατί επιλέχθηκε το σενάριο
• τι μετρά και τι δεν μετρά ο οργανισμός

Κράτα την ανατροφοδότηση σύντομη. Οι υπάλληλοι θα πρέπει να φεύγουν με μία ή δύο συγκεκριμένες συνήθειες, όχι με ένα μακροσκελές μάθημα. Για παράδειγμα, μια προσομοίωση κοινής χρήσης εγγράφου μπορεί να διδάξει τους χρήστες να ελέγχουν το πλαίσιο του αποστολέα, τον τομέα προορισμού και το αν το αίτημα ταιριάζει με τη συνήθη ροή εργασίας. Μια προσομοίωση έγκρισης οικονομικών μπορεί να διδάξει τους χρήστες να επαληθεύουν εκτός καναλιού πριν ενεργήσουν.

Ο στόχος είναι η αλλαγή συμπεριφοράς, όχι η αμηχανία.

Οι έλεγχοι ιδιωτικότητας αποτελούν μέρος της ποιότητας της σελίδας προορισμού

Μια σελίδα προορισμού είναι επίσης σημείο συλλογής δεδομένων, οπότε ο σχεδιασμός ιδιωτικότητας ανήκει στην απόφαση αγοράς.

Οι ομάδες ασφάλειας και συμμόρφωσης θα πρέπει να ρωτούν αν η πλατφόρμα υποστηρίζει:

• ρυθμιζόμενη περίοδο διατήρησης δεδομένων
• πρόσβαση βάσει ρόλων στα αποτελέσματα σε ατομικό επίπεδο
• επιλογές ανωνυμοποιημένης ή συγκεντρωτικής αναφοράς
• σαφή ίχνη ελέγχου για τις ρυθμίσεις καμπάνιας
• ελέγχους εξαγωγής για αναφορές
• διαχωρισμό μεταξύ παρακολούθησης εκπαίδευσης και πειθαρχίας HR

Για περιβάλλοντα με αυξημένες απαιτήσεις ιδιωτικότητας, οι εκπρόσωποι εργαζομένων ή τα συμβούλια εργαζομένων μπορεί να ενδιαφέρονται λιγότερο για το ίδιο το email και περισσότερο για το τι καταγράφει η σελίδα προορισμού. Ο οδηγός της AutoPhish για την εκπαίδευση phishing φιλική προς την ιδιωτικότητα καλύπτει αυτή τη βαθμίδα διακυβέρνησης με περισσότερες λεπτομέρειες.

Πώς να συγκρίνεις προμηθευτές ως προς την ασφάλεια της σελίδας προορισμού

Όταν συγκρίνεις εργαλεία προσομοίωσης phishing, μην σταματάς στις βιβλιοθήκες προτύπων ή στον προγραμματισμό καμπανιών. Ρώτησε συγκεκριμένα για τη σελίδα προορισμού.

Καλές ερωτήσεις προς προμηθευτές περιλαμβάνουν:

• Μπορούμε να απενεργοποιήσουμε τη συλλογή πραγματικών διαπιστευτηρίων από προεπιλογή;
• Μπορεί η πλατφόρμα να καταγράφει ένα ασφαλές συμβάν χωρίς να αποθηκεύει την πληκτρολογημένη τιμή;
• Μπορούν οι σελίδες προορισμού να εμφανίζουν άμεση ανατροφοδότηση μετά από μια επικίνδυνη ενέργεια;
• Μπορούμε να προσαρμόσουμε την ανατροφοδότηση χωρίς να προσθέσουμε οδηγίες τύπου επιτιθέμενου;
• Μπορούμε να περιορίσουμε ποιος βλέπει αποτελέσματα σε ατομικό επίπεδο;
• Μπορούμε να ορίσουμε παράθυρα διατήρησης για τα συμβάντα της σελίδας προορισμού;
• Μπορούν οι εργαζόμενοι να καθοδηγηθούν προς συνήθειες αναφοράς και επαλήθευσης;
• Μπορεί η σελίδα να υποστηρίζει πολλαπλές γλώσσες χωρίς να χάνει τους ελέγχους ασφάλειας;

Να είσαι προσεκτικός με πλατφόρμες που αντιμετωπίζουν τη συλλογή διαπιστευτηρίων ως κανονική λειτουργία ευαισθητοποίησης. Μπορεί να παράγει εντυπωσιακούς αριθμούς, αλλά αυξάνει επίσης το διακύβευμα για την προστασία δεδομένων, την εμπιστοσύνη των εργαζομένων και την εσωτερική έγκριση.

Ο ασφαλής ρεαλισμός νικά τον επιθετικό ρεαλισμό

Η ρεαλιστική εκπαίδευση δεν απαιτεί να αντιγράψεις ζωντανές εσωτερικές σελίδες σύνδεσης ή να πιέσεις τους υπαλλήλους να πληκτρολογήσουν μυστικά.

Ασφαλής ρεαλισμός σημαίνει ότι το σενάριο αντικατοπτρίζει μια πραγματική επιχειρηματική απόφαση:

• Να εμπιστευτώ αυτό το αίτημα κοινής χρήσης εγγράφου;
• Να εγκρίνω αυτή τη ροή πληρωμής;
• Να σαρώσω αυτόν τον κωδικό QR στο κινητό μου;
• Να εισαγάγω διαπιστευτήρια αφού ακολουθήσω έναν σύνδεσμο από email;
• Να αναφέρω αυτό το μήνυμα αντί να απαντήσω;

Η σελίδα προορισμού μπορεί να προσομοιώσει το όριο κινδύνου χωρίς να το υπερβεί. Μπορεί να εμφανίσει μια ελεγχόμενη οθόνη τύπου σύνδεσης, να σταματήσει πριν καταγραφεί οποιοδήποτε πραγματικό μυστικό και αμέσως να εξηγήσει την ασφαλέστερη συμπεριφορά.

Αυτή η προσέγγιση ευθυγραμμίζεται με δημόσιες αμυντικές οδηγίες όπως οι συμβουλές του CISA για αναγνώριση και αναφορά phishing: οι χρήστες χρειάζονται σαφείς συνήθειες για να αναγνωρίζουν και να αναφέρουν ύποπτα αιτήματα, όχι έκθεση σε περιττές επιχειρησιακές λεπτομέρειες.

Πού ταιριάζει η AutoPhish

Η AutoPhish έχει σχεδιαστεί για αμυντικές προσομοιώσεις phishing που οι ομάδες ασφάλειας μπορούν να εκτελούν επανειλημμένα χωρίς να δημιουργούν περιττό κίνδυνο. Αυτό σημαίνει ασφαλέστερες ροές εκπαίδευσης, χρήσιμη αναφορά, επιλογές που σέβονται την ιδιωτικότητα και αποδείξεις προγράμματος που μπορούν να κατανοήσουν οι CISO, οι διαχειριστές IT και οι εμπλεκόμενοι στη συμμόρφωση.

Αν το τρέχον πρόγραμμά σου εξακολουθεί να βασίζεται σε χειροκίνητες εξαγωγές, επιθετικές σελίδες προορισμού ή ασαφή διαχείριση δεδομένων, ο σχεδιασμός της σελίδας προορισμού είναι καλό σημείο για να βελτιώσεις πρώτα. Θα αποκτήσεις καθαρότερες μετρήσεις, λιγότερες εσωτερικές αντιρρήσεις και ένα πρόγραμμα που είναι ευκολότερο να εξηγήσεις.

Για ομάδες που χρειάζονται ισχυρότερους ελέγχους ιδιωτικότητας, η AutoPhish υποστηρίζει επίσης επιλογές ανωνυμοποίησης ώστε οι μετρήσεις ευαισθητοποίησης να είναι χρήσιμες χωρίς υπερέκθεση των μεμονωμένων εργαζομένων.

Συχνές ερωτήσεις

Πρέπει οι σελίδες προορισμού προσομοίωσης phishing να συλλέγουν κωδικούς πρόσβασης;

Όχι. Τα αμυντικά προγράμματα ευαισθητοποίησης θα πρέπει να αποφεύγουν τη συλλογή πραγματικών κωδικών πρόσβασης, κωδικών MFA, token, δεδομένων πληρωμής ή ευαίσθητων προσωπικών πληροφοριών. Μια πλατφόρμα μπορεί να μετρήσει επικίνδυνη συμπεριφορά χωρίς να αποθηκεύει το ίδιο το μυστικό.

Είναι χρήσιμη μέτρηση η υποβολή διαπιστευτηρίων;

Μπορεί να είναι χρήσιμη αν μετριέται με ασφάλεια. Το ασφαλέστερο μοτίβο είναι να καταγράφεται ότι ο χρήστης προσπάθησε να εκτελέσει μια ευαίσθητη ενέργεια, στη συνέχεια να σταματά η ροή και να παρέχεται ανατροφοδότηση εκπαίδευσης χωρίς αποθήκευση της τιμής που πληκτρολογήθηκε.

Πόσες λεπτομέρειες πρέπει να περιλαμβάνει η ανατροφοδότηση της σελίδας προορισμού;

Κράτησέ την σύντομη και πρακτική. Εξήγησε το σήμα κινδύνου, τη ασφαλέστερη συνήθεια επαλήθευσης και τη διαδρομή αναφοράς. Απόφυγε τα μακροσκελή κηρύγματα ή τις επιχειρησιακές λεπτομέρειες τύπου επιτιθέμενου.

Βοηθούν οι ασφαλείς σελίδες προορισμού ως αποδεικτικό συμμόρφωσης;

Μπορούν να υποστηρίξουν την απόδειξη ότι πραγματοποιήθηκε δραστηριότητα ευαισθητοποίησης, ότι μετρήθηκαν επικίνδυνες συμπεριφορές και ότι παρασχέθηκε παρακολούθηση με εκπαίδευση. Δεν καθιστούν από μόνες τους έναν οργανισμό συμμορφωμένο· η συμμόρφωση εξαρτάται από το ευρύτερο περιβάλλον ελέγχων και τη διαδικασία διακυβέρνησης.

Τι πρέπει να ρωτούν οι αγοραστές τους προμηθευτές προσομοίωσης phishing;

Ρώτησε πώς η πλατφόρμα αποτρέπει τη συλλογή μυστικών, περιορίζει την πρόσβαση στα αποτελέσματα σε ατομικό επίπεδο, υποστηρίζει ελέγχους διατήρησης, διαχειρίζεται ανατροφοδότηση σε πολλές γλώσσες και μετατρέπει τα συμβάντα της σελίδας προορισμού σε αναφορές που μπορούν να χρησιμοποιήσουν οι ομάδες ασφάλειας και συμμόρφωσης.

Συμπέρασμα

Οι καλύτερες ασφαλείς σελίδες προορισμού προσομοίωσης phishing μετρούν τον κίνδυνο χωρίς να δημιουργούν νέο κίνδυνο. Διδάσκουν τους υπαλλήλους πότε να σταματούν, να επαληθεύουν και να αναφέρουν, ενώ δίνουν στις ομάδες ασφάλειας καθαρότερα στοιχεία και λιγότερα προβλήματα ιδιωτικότητας.

Αν θέλεις προσομοιώσεις phishing με ασφαλέστερες ροές εκπαίδευσης, πρακτική αναφορά και ελέγχους που σέβονται την ιδιωτικότητα, Εγγραφείτε.