Bezbedne alternative za podizanje svesti o MFA fišingu umesto CredSniper-a
Zašto je CredSniper pogrešna osnova za podizanje svesti zaposlenih o MFA fišingu i šta bi bezbednije platforme za simulaciju trebalo da pružaju umesto toga.
CredSniper је лоша основа за савремену обуку запослених о свести о фишингу. То је офанзивни фишинг оквир повезан са прикупљањем акредитива и двофакторских токена, а не платформа за симулације која је прво усмерена на управљање и контролу. Јавни ustayready/CredSniper репозиторијум и даље привлачи пажњу, али његов последњи видљиви commit је из маја 2020, а сам опис пројекта алат представља око хватања акредитива и 2FA токена.
То је погрешна полазна тачка за већину организација.
Безбедносни тимови апсолутно треба да обучавају запослене о MFA-bypass фишингу, сумњивим пријавним прозорима, обрасцима замора од push одобравања, ризику OAuth сагласности и токовима крађе акредитива. Али то треба да раде кроз контролисане симулације које избегавају прикупљање стварних тајни, минимизују податке о запосленима, пружају безбедан повратни сигнал и производе корисне доказе о свести.
Ако ваш тим тражи CredSniper, користите ту претрагу као знак за узбуну: тема ризика је релевантна, али категорија алата није програм који желите да покренете.
По чему је CredSniper познат
CredSniper се обично описује као фишинг оквир изграђен са Flask и Jinja2. Његов јавни README наглашава реалистичне клонове пријавних формулара, SSL подршку, посредне странице, двофакторски фишинг, модуле и API за прикупљене податке о акредитивима.
Те могућности објашњавају зашто истраживачи безбедности и red team-ови знају за то име. Оне такође објашњавају зашто је то лош избор за редовне програме свести запослених.
Разлика је једноставна:
- red-team оквир је дизајниран да тестира или демонстрира нападни пут
- платформа за свест је дизајнирана да више пута учи безбеднијем понашању
Ти циљеви се поклапају на нивоу теме, али не и на нивоу радног тока.
Зашто је MFA-bypass свест важна
MFA је побољшао безбедност налога, али није уклонио ризик од фишинга. Запослени и даље могу бити мета лажних пријавних страница, захтева за сагласност, QR-код линкова, impersonacije helpdesk-а, лажних позива за сарадњу и социјалног инжењеринга који их притиска да одобре или поделе нешто што не би смели.
Програм свести треба да помогне запосленима да увежбају безбедније навике:
- паузирање пре уноса акредитива
- препознавање неочекиваних пријавних захтева
- провера контекста захтева
- пријављивање сумњивих MFA упита или push захтева
- коришћење одобрених канала за пријаву
- разумевање зашто "MFA омогућен" не значи "фишинг немогућ"
Та тема обуке је легитимна. Небезбедан потез је користити алат за хватање акредитива као оперативну основу програма.
Зашто је CredSniper ризичан за симулације запослених
Постоје три одвојена проблема: одржавање, ризик података и уклапање у програм.
1. Одржавање је застарело
Јавни CredSniper репозиторијум има више од 1.300 GitHub звездица, али његов последњи видљиви commit је из 2020. За алат који додирује пријавне токове, веб сервирање, шаблоне, SSL понашање и концепте руковања акредитивима, то је велики оперативни сигнал.
Чак и ако тим може да га покрене, он наслеђује питања која мало имају везе са исходима свести:
- Да ли су зависности актуелне и прегледане?
- Да ли су подразумевана подешавања сервера одговарајућа?
- Ко закрпљује окружење?
- Како је контролисан приступ?
- Како се обрађују логови и сачувани подаци?
- Шта се дешава када се алат поквари пре заказане кампање?
"И даље ради" није довољно када алат обрађује симулационе токове осетљиве по безбедност.
2. Модел података иде у погрешном смеру
Симулације свести запослених треба да избегавају прикупљање стварних лозинки, MFA кодова, session токена, одговора за опоравак или других тајни. Систем за обуку треба безбедно да мери понашање, а да притом не претвара вежбу у стварно хватање акредитива.
Историјска вредност CredSniper-а везана је за хватање акредитива и токена. То има смисла у red-team контексту са експлицитним овлашћењем и зрелим контролама. Не има смисла као уобичајен пут за понављајућу обуку свести.
Безбеднија симулација би требало да може да покаже да је корисник ступио у интеракцију са упитом за обуку, а да не складишти тајну коју је намеравао да пошаље. Треба да подучава понашање, а не да прикупља артефакт.
За дизајн landing странице, исти принцип је детаљније обрађен у AutoPhish водичу о безбедним landing страницама за фишинг симулације које мере ризик без прикупљања тајни.
3. Свести су потребне ограде, не само реалистичност
Реалистичност није једина мера добре фишинг симулације. Заправо, реалистичност без ограда може да створи правне, приватносне и културне проблеме.
Програм свести о MFA-у треба:
- одобрене категорије сценарија
- преглед приватности
- приступ резултатима заснован на улогама
- ограничења чувања података
- безбедне landing странице
- повратни сигнал у тренутку догађаја
- метрике понашања при пријављивању
- накнадну обуку
- извештаје за руководство који не излажу појединце прекомерно
CredSniper не решава тај програмски слој. У најбољем случају, даје специјалисти оператеру начин да направи демонстрацију налик нападу. Организација и даље мора да изгради програм свести око тога.
Шта користити уместо CredSniper-а
Најбоља CredSniper алтернатива зависи од посла који заиста покушавате да обавите.
Ако је посао овлашћена red-team вежба, користите контролисан red-team процес са експлицитним писаним обимом, искусним оператерима, изолованом инфраструктуром и пажљивим руковањем подацима. То је специјалистички ангажман, а не кампања обуке.
Ако је посао свест запослених, користите платформу за фишинг симулације која може да учи о ризику MFA-bypass-а без прикупљања стварних тајни.
Безбеднија платформа треба да подржи:
- landing странице без акредитива
- упите за пријаву уместо прикупљања тајни
- преглед сценарија пре покретања
- одобравање кампања
- циљање свесно улога
- анонимизовано или агрегирано извештавање тамо где је прикладно
- додељивање обуке после ризичних интеракција
- извештавање о трендовима кроз време
- јасне доказе који се могу извести за управљање и контролу
То је пут који већини безбедносних и IT тимова заиста треба.
Како безбедно симулирати MFA-bypass ризик
Свест о MFA-bypass-у не захтева хватање MFA токена. Захтева да се запосленима помогне да препознају образац пре него што дође до штете.
Безбедан сценарио може да научи:
- зашто су неочекивани пријавни захтеви сумњиви
- зашто захтев за MFA кодом није уобичајен у многим токовима рада
- зашто push одобрења треба да одговарају пријави коју је покренуо корисник
- зашто QR кодови и mobile-first токови пријаве заслужују додатну проверу
- како брзо пријавити сумњив упит
- шта helpdesk хоће, а шта не сме да тражи
Симулација може да мери да ли је запослени кликнуо, пријавио, направио паузу или завршио накнадну обуку. Не мора да чува лозинку или токен да би била корисна.
Ова разлика такође чини програм лакшим за објашњавање заинтересованим странама из приватности, HR-а, правне службе и радничких савета. Тестира се препознавање и пријављивање, а не прикупљање тајни.
CredSniper vs платформа за свест: табела одлуке
| Захтев | CredSniper-style оквир | Платформа за свест |
|---|---|---|
| Демонстрирање ризика од credential/MFA фишинга | Снажно у рукама специјалисте | Могуће кроз безбедне сценарије |
| Понављајућа обука запослених | Лош избор | Одличан избор |
| Избегавање прикупљања стварних тајни | Није природан модел | Основни безбедносни захтев |
| Извештавање спремно за менаџмент | Ограничено / прилагођено | Уграђено у ток рада |
| Руковање приватношћу и чувањем података | Прилагођен терет | Треба да буде конфигурисиво |
| Подршка за одобравања и ограде | Прилагођен терет | Очекивана функција |
| Смањење инфраструктурног рада после пуштања у рад | Лош избор | Одличан избор |
Поента није да су red-team алати лоши. Поента је да су они погрешна апстракција за програм свести који се понавља.
Питања која треба поставити пре избора CredSniper алтернативе
Пре него што одаберете било који алат за MFA phishing awareness, питајте:
- Да ли икада прикупља стварне лозинке, MFA кодове или session токене?
- Можемо ли да онемогућимо небезбедне типове сценарија политиком?
- Да ли кампање могу да захтевају преглед и одобрење пре покретања?
- Да ли се резултати могу извештавати на нивоу тима без непотребног излагања појединца?
- Да ли можемо да дефинишемо правила чувања и брисања података?
- Да ли запослени могу да добију тренутни повратни сигнал о обуци?
- Да ли се може мерити пријављивање сумњивих порука?
- Да ли руководство може да види побољшање кроз време?
- Да ли можемо да извеземо доказе за ревизије или интерно управљање?
- Да ли можемо да водимо програм без одржавања инфраструктуре налик на напад?
Ако алат не може да одговори на ова питања, можда је користан за специјализовани лабораторијски рад, али није спреман да носи програм свести.
Како AutoPhish одговара безбеднијем моделу алтернативе
AutoPhish је направљен за организације које желе реалистичне фишинг симулације без претварања обуке запослених у хватање акредитива.
За MFA-bypass свест, то значи фокус на препознавање, пријављивање, повратни сигнал и доказе о програму, а не на прикупљање тајни. Циљ је да се тимовима помогне да разумеју обрасце изложености и временом побољшају понашање, уз одржавање одбрањивог процеса.
AutoPhish помаже са:
- безбедним дизајном симулација
- токовима понављајућих кампања
- извештавањем и накнадном обуком
- руковањем резултатима са уважавањем приватности
- резимеима прилагођеним руководству
- мањом потребом за сопственим инфраструктурним одржавањем
Због тога је бољи избор за већину тимова који траже CredSniper алтернативу.
FAQ
Да ли се CredSniper и даље одржава?
Јавни репозиторијум ustayready/CredSniper има последњи видљиви commit из маја 2020. Тимови би требало да га третирају као застарео и непогодан као подразумевану основу за понављајуће програме свести запослених.
Да ли је CredSniper безбедан за обуку о свести?
Није прави подразумевани избор. CredSniper је повезан са хватањем акредитива и двофакторских токена. Обука свести треба да учи запослене да препознају и пријаве ризичне упите без прикупљања стварних тајни.
Можемо ли да обучавамо запослене о MFA-bypass фишингу без хватања MFA кодова?
Да. Безбедна симулација може да подучава образац, мери интеракцију и понашање пријављивања и пружа повратни сигнал без чувања лозинки, MFA кодова или токена.
Која је најбоља CredSniper алтернатива?
За red-team рад, користите специјалистички ангажман са прецизно дефинисаним обимом. За свест запослених, користите платформу за фишинг симулације са безбедним landing страницама, одобрењима, извештавањем, контролама чувања података и накнадном обуком. AutoPhish је дизајниран за тај пут свести.
Закључак
CredSniper је користан сигнал у претрази јер указује на стварну бригу: MFA-bypass фишинг. Али сам алат представља погрешан оперативни модел за већину организација.
Не градите програм свести око застарелог оквира за хватање акредитива. Градите га око безбедних симулација, јасног извештавања и мерљиве промене понашања.
Пријавите се да покрећете MFA-свесне фишинг симулације без прикупљања стварних тајни запослених.