Тест фишинг имејла: безбедна контролна листа за безбедносне тимове

Тест фишинг имејлова би требало да покаже безбедносним тимовима да ли запослени препознају, пријављују и опорављају се од сумњиве е-поште у контролисаном окружењу. Не би требало да доказује да интерни тим уме да имитира криминалце, прикупља тајне или затекне особље кампањом коју нико после не може да објасни. Корисна верзија је одбрамбена вежба: безбедне поруке, провере обима испоруке, јасни канали за пријаву, мерење које води рачуна о приватности и накнадна обука која побољшава понашање.

Та разлика је важна јер многи купци траже тест фишинг имејлова када им заправо треба поновљив workflow за подизање свести. Једнократни тест може да одговори на уско питање. Управљани програм фишинг симулације може да одговори на оно веће: да ли се људи, процеси и контроле с временом побољшавају?

Почните од одлуке коју тест мора да подржи

Пре него што изаберете алат или шаблон, одлучите шта тест треба да промени. Тест фишинг имејлова обично подржава једну од четири одлуке:

да ли запослени знају како да пријаве сумњиву е-пошту
да ли контроле безбедности поште, дугмад за пријаву и workflow-ови helpdesk-а раде како треба
да ли обука за подизање свести треба да се фокусира на одређени образац ризика
да ли руководство и тимови за усклађеност могу да виде поновљиве доказе о напретку

Те одлуке воде ка различитим дизајнима. Ако је циљ понашање у пријављивању, кампања треба да нагласи да ли примаоци брзо пријављују преко одобреног канала. Ако је циљ валидација алата, кампања треба да потврди рутирање, креирање тикета и видљивост за аналитичаре. Ако је циљ извештавање за управни одбор, излаз треба да покаже трендове, ризик по групама и накнадне акције уместо једне драматичне стопе кликова.

За тимове који припремају свој први стални програм, AutoPhish-ов водич о контролној листи за покретање програма фишинг симулације је добар пратилац. Обухвата усклађивање заинтересованих страна пре него што прва кампања крене уживо.

Нека тест буде одбрамбен, а не оперативан

Најбезбеднији тестови фишинга су довољно реалистични да науче праву навику, али довољно ограничени да не стварају нови ризик. Тест никада не би требало да од запослених тражи да уносе стварне акредитиве, одобравају стварни приступ, преузимају штетне датотеке или заобилазе безбедносне алате на начин који би био небезбедан ван симулације.

Користите ова заштитна правила када оцењујете алат за симулацију фишинг напада или управљану услугу:

одредишне странице не смеју да прикупљају лозинке, токене, податке о плаћању или осетљиве личне податке
сценарији са прилозима треба да избегавају активни садржај и ризичне payload-ове
линкови треба да воде искључиво на контролисане странице за обуку
теме сценарија треба да избегавају личну трагедију, панике око плате, медицински притисак или понижавање
повратна информација запосленима треба да подучава, а не да срамоти
подацима на нивоу појединца треба ограничити приступ и чувати их само онолико дуго колико је потребно

Прави нападачи користе хитност, ауторитет и забуну. Одбрамбени програм обуке може да научи људе да препознају те обрасце без репродуковања сваке штетне тактике. Ово је посебно важно за компаније са радничким саветима, регулисаним окружењима или културом у којој је поверење запослених већ крхко.

Потврдите испоруку без слабљења безбедности е-поште

Многи тестови фишинг имејлова пропадну пре него што их запослени уопште виде. Поруке заврше у спаму, линкови се преписују, слике се блокирају, праћење се уклања или кампању у карантин стављају саме контроле које организација жели да задржи јаким. Решење није да се заштите широко искључују. Решење је процес валидирања испоруке у ограниченом обиму.

Безбедна провера испоруке треба да потврди:

да су домен за слање и идентитет пошиљаоца одобрени за симулацију
да су SPF, DKIM и DMARC поравнање разумљиви
да безбедносни пролази и клијенти за пошту предвидљиво обрађују поруку
да дугме за пријаву или abuse mailbox усмерава пријаве у прави ред
да је симулација јасно документована за администраторе који треба да решавају проблеме
да свака привремена изузетна испорука има власника, разлог, обим и датум завршетка

Циљ је доказ, а не слепо заобилажење. Ако кампањи треба посебан третман, документујте тачно шта је промењено и зашто. Ако јој не треба посебан третман, документујте и то. Оба исхода помажу будућим ревизијама и олакшавају тумачење резултата.

AutoPhish има детаљнији оперативни водич о томе зашто фишинг симулационе е-поруке завршавају у спаму ако је испоручивост тренутна препрека.

Мерите пријављивање, не само кликове

Стопа кликова је лако разумљива, али је слаба као самостална метрика. Нижа стопа кликова може да значи да су се запослени поправили. Али може да значи и да је порука била филтрирана, да је сценарио био очигледан или да су се чланови особља међусобно упозорили у ћаскању. Корисан тест фишинг имејлова прати понашања која умањују стварни утицај инцидента.

Дајте приоритет метрикама као што су:

стопа пријављивања
медијана времена до пријаве
проценат ризичних интеракција након клика на линк
завршетак накнадне обуке
трендови поновљеног ризика кроз кампање
обим лажних позитивних резултата које је створен workflow за пријаву
побољшање по групама по одељењу, локацији или улози

Највреднија метрика је често време до пријаве. Бржа пријава даје IT-ју или SOC-у више времена да обузда стварне кампање, потражи повезане поруке и упозори кориснике пре него што се напад прошири. Добра платформа треба да покаже да ли се понашање пријављивања побољшава с временом, а не само да ли је овомесечни сценарио произвео шарени графикон.

За потпунију куповну слику, упоредите било коју ужу листу са AutoPhish-овим чланком о функцијама извештавања за фишинг симулацију.

Одлучите шта запослени виде после интеракције

Тренутак после тога када запослени кликне, пријави или игнорише тест поруку је место где се учење или догоди или нестане. Одложена повратна информација претвара кампању у таблу резултата. Непосредна, уважна повратна информација претвара је у обуку.

Корисна повратна информација треба да објасни:

који су знаци били сумњиви
шта је запослени добро урадио
шта би запослени требало да уради следећи пут
како да се сличне поруке пријаве у стварном окружењу
зашто организација спроводи контролисане симулације

Избегавајте повратне информације које звуче као казна. Безбедносним тимовима треба да запослени пријављују неизвесност, а не да је крију. Ако људи поверују да је свака сумњива е-пошта замка, можда ће престати да постављају питања. Ако верују да је програм осмишљен да им помогне да доносе безбедније одлуке, већа је вероватноћа да ће искрено учествовати.

Пажљиво користите сценарије засноване на улогама

Тестови засновани на улогама могу бити корисни јер финансије, људски ресурси, руководиоци, IT администратори и запослени на првој линији имају различите ризике у е-пошти. Проблем је што симулације засноване на улогама такође могу постати превише личне или превише интензивне ако нико не постави правила за преглед.

Безбедан процес прегледа треба да пита:

Да ли је овај сценарио релевантан за улогу, а да није манипулативан?
Може ли сценарио да покрене непотребан страх или срамоту?
Да ли одредишна страница за обуку избегава прикупљање осетљивих података?
Да ли је очекивано понашање јасно и могуће за подучавање?
Да ли је кампању одобрио прави заинтересовани актер?

Најбољи тестови засновани на улогама довољно су специфични да делују уверљиво, али и даље довољно општи да запослени уче преносиву навику: застани, провери преко поузданог канала и пријави. Не би требало да науче особље да је сваки реалистичан пословни процес сумњив. Требало би да науче како да безбедно потврде захтеве.

Изградите модел приватности и задржавања пре лансирања

Тестови фишинга стварају податке о понашању. У многим организацијама, ти подаци могу постати лични подаци, HR-осетљиви подаци или доказ за ревизију. То не значи да тимови треба да избегавају тестирање. То значи да програму треба јасан модел приватности пре него што резултати почну да пристижу.

Дефинишите:

ко може да види појединачне резултате
када је довољно агрегирано извештавање
колико дуго се чувају сирови подаци кампање
да ли менаџери добијају именоване резултате или само трендове
како се обрађује накнадни рад на поновљеном ризику
шта се запосленима саопштава пре почетка програма

За организације у ЕУ, приступ приватности може бити подједнако важан као и технички workflow. Јавно упутство у NIST SP 800-50 такође је користан контекст: подизање свести и обука треба да се планирају, одржавају и оцењују као програм, а не да се третирају као једнократни трик.

Поређење алата по workflow-у, а не по броју шаблона

Библиотеке шаблона су корисне, али не би требало да доминирају одлуком о куповини. Тест фишинг имејлова успева када је читав workflow лако и безбедно покренути.

Када упоређујете платформе, тражите:

контролисано слање и упутства за подешавање домена
безбедне одредишне странице које не хватају тајне
интеграцију дугмета за пријаву или abuse mailbox-а
аутоматизовану, конструктивну повратну информацију
циљање кампања по улогама уз контроле прегледа
извештавање и контролу приступа које воде рачуна о приватности
извозиве доказе за руководство или ревизоре
јасно раздвајање између дизајна теста, испоруке, обуке и извештавања
подршку за сталне кампање уместо једнократног ручног рада

Ако алат олакшава покретање кампања, али отежава објашњавање резултата, створиће оперативни дуг. Ако алат чини пријављивање, накнадни рад и доказе једноставним, већа је вероватноћа да ће програм преживети и после првог ентузијастичног пилота.

Практична контролна листа пре слања

Користите ову листу пре покретања теста фишинг имејлова:

Пословни циљ је записан.
Заинтересоване стране знају шта ће се десити и ко одобрава.
Сценарио је прошао преглед безбедности и тона.
Не прикупљају се стварни акредитиви, токени, плаћања или осетљиви подаци.
Испорука је тестирана без широког заобилажења безбедности.
Канал за пријаву функционише.
Повратна информација запосленима је спремна пре лансирања.
Метрике су дефинисане идући даље од стопе кликова.
Приступ подацима, задржавање и извоз су документовани.
Накнадна обука и акције прегледа су додељене.

Ако је било која од тих ставки нејасна, поправите workflow пре слања кампање. Одложен тест је обично јефтинији од неуредног који нарушава поверење или ствара податке које нико не може да одбрани.

Претворите тест у поновљив програм

Најјачи тест фишинг имејлова није најдраматичнији. То је онај који помаже безбедносним тимовима да науче нешто корисно, побољшају следећу кампању и покажу доказе да се запослени и процеси побољшавају.

AutoPhish је направљен за безбедне фишинг симулације, аутоматизовану накнадну обуку, извештавање које води рачуна о приватности и доказе спремне за заинтересоване стране. Да бисте спроводили контролисане тестове без претварања подизања свести у нагађање, Региструјте се.

Честа питања

Шта је тест фишинг имејлова?

Тест фишинг имејлова је контролисана вежба подизања свести о безбедности која шаље симулирану сумњиву е-пошту запосленима како би организација могла да измери понашање при пријављивању, ризичне интеракције и потребе за обуком.

Да ли је фишинг тест исто што и фишинг симулација?

Преклапају се, али тест је често једна кампања, док је програм фишинг симулације сталан. Програм обично укључује планирање, преглед безбедности, валидацију испоруке, извештавање, повратну информацију, обуку и анализу трендова.

Да ли фишинг тестови треба да прикупљају лозинке?

Не. Одбрамбени тест фишинга не би требало да прикупља стварне лозинке, токене, податке о плаћању или осетљиве личне податке. Користите безбедне странице за обуку и мерите интеракцију без хватања тајни.

Које метрике су најважније?

Стопа пријављивања, време до пријаве, стопа ризичних интеракција, завршетак накнадне обуке, трендови поновљеног ризика и побољшање по групама обично су кориснији од саме стопе кликова.

Колико често компаније треба да спроводе фишинг тестове?

Већини организација користи сталан ритам са разноврсним, безбедним сценаријима. Права учесталост зависи од флуктуације запослених, недавних инцидената, доступног капацитета за накнадни рад и тога колико брзо тим може да прегледа резултате.