Имитация фишинга - Simulated phishing

Имитация фишинга или фишинговый тест здесь организация рассылает своим сотрудникам ложные электронные письма, похожие на вредоносные, чтобы оценить их реакцию на фишинг и аналогичные атаки по электронной почте. Сами электронные письма часто являются формой обучения, но такое тестирование обычно проводится в сочетании с предварительным обучением; и часто сопровождались дополнительными обучающими элементами. Это особенно актуально для тех, кто «терпит неудачу», открывая вложения электронной почты, щелкая включенные веб-ссылки или вводя учетные данные.

Обоснование

В сфере ИТ-безопасности широко признано, что одни только технические меры не могут остановить все вредоносные атаки по электронной почте и что необходима хорошая подготовка персонала.[1].[нужна цитата ] Имитация фишинга позволяет напрямую оценивать соответствие персонала требованиям, а при регулярном запуске - отслеживать прогресс в поведении пользователей. Различные официальные агентства рекомендуют симуляцию фишинга, которые часто предоставляют рекомендации по разработке такой политики.[2] Моделирование фишинга иногда сравнивают с пожарные учения в регулярном обучении сотрудников правильному поведению.[нужна цитата ]

Этика

Такие кампании должны быть авторизованы на соответствующем уровне,[3] и выполняется профессионально.[4] Неосторожное использование такой техники может привести к нарушению закона, привлечению судебных исков и вызвать недовольство или травмировать персонал.

Однако, если сотрудников уведомляют об изменении политики, о том, что «компания оставляет за собой право время от времени рассылать персоналу ложное« имитационное фишинговое »сообщение электронной почты для оценки осведомленности персонала о безопасности и соблюдения требований», а также были предоставлены обучение и инструкции в заранее, тогда таких проблем возникнуть не должно. Некоторые организации могут потребовать от пользователей согласия, выбрав,[5] а другие могут позволить персоналу отказаться от участия.[6]

Стандартный совет - никоим образом не пристыдить «неудачников», но целесообразно и разумно проводить поддерживающее последующее обучение.[7][8][9]

Некоторые методы, которые могут быть эффективными и использоваться злоумышленниками, обычно следует избегать при моделировании фишинга по этическим или юридическим причинам. Сюда могут входить электронные письма с содержанием, которое может причинить беспокойство получателю, или использование сторонних товарных знаков,[4][7] хотя иногда также утверждают, что это покрывается добросовестное использование.[10]

Методы

Такое тестирование можно провести несколькими способами.

  • Многие поставщики предлагают для этого веб-платформы, а некоторые предоставляют ограниченные бесплатные «тестовые» кампании.[11]
  • Широкий спектр свободно доступных инструментов с открытым исходным кодом позволяет большему количеству технических организаций проводить и проводить собственное тестирование.[12][13][14]
  • Некоторые почтовые сервисы теперь имеют такое тестирование как встроенную опцию.[15][16]

Поскольку организации обычно имеют набор многоуровневых средств защиты для предотвращения реального злонамеренного фишинга, для моделирования часто требуются некоторые белый список для размещения на шлюзах электронной почты, антивирусном программном обеспечении и веб-прокси, чтобы электронная почта могла достигать рабочих столов и устройств пользователей и подвергаться действию.

Частота

Большинство советов заключается в том, что тестирование следует проводить несколько раз в год, чтобы дать персоналу возможность правильно реагировать и обеспечить обратную связь с руководством о прогрессе в выявлении сотрудниками потенциально опасной электронной почты и сообщении о них.

Смотрите также

использованная литература

  1. ^ Джампен, Дэниел; Гюр, Гюркан; Саттер, Томас; Телленбах, Бернхард (09.08.2020). «Не щелкайте: к эффективному обучению борьбе с фишингом. Сравнительный обзор литературы». Человеко-ориентированные вычисления и информационные науки. 10 (1). Дои:10.1186 / s13673-020-00237-7. ISSN  2192-1962.
  2. ^ «Разработка имитации фишинга» (PDF). Центр защиты национальной инфраструктуры. Получено 12 сентября 2018.
  3. ^ Ковач, Эдуард (23 августа 2018 г.). «Атака на DNC - часть имитационного теста на фишинг». Неделя безопасности. Получено 12 сентября 2018.
  4. ^ а б Ченг, Джоуи (18 марта 2014 г.). «Результаты теста на фишинг, вышедший из-под контроля армии, в новом руководстве». DefenseSystems. Получено 12 сентября 2018.
  5. ^ «Имитация фишинга». Лаборатория Беркли. Получено 12 сентября 2018.
  6. ^ "Кампания по имитации фишинга по электронной почте". Калифорнийский университет в Санта-Крус. Получено 12 сентября 2018.
  7. ^ а б Прендергаст, Том. "Все ли справедливо в симуляции фишинга?". www.csoonline.com. Получено 9 сентября 2018.
  8. ^ Мейдам, Катриен. «Фишинг как услуга: разработка этичного способа имитации целевых фишинговых атак для обучения сотрудников». Получено 10 сентября 2018.
  9. ^ Р, Кейт. "Проблема с фишингом". Национальный центр кибербезопасности. GCHQ. Получено 12 сентября 2018.
  10. ^ Каларко, Даниэль. "Остановите фишинг с помощью плохой фальшивой приманки". ОБРАЗОВАНИЕ. Получено 12 сентября 2018.
  11. ^ Королов, Мария. «10 компаний, которые могут помочь вам в борьбе с фишингом». CSO Online. Получено 12 сентября 2018.
  12. ^ например, GoPhish, King Phisher, The SocialEngineer Toolkit
  13. ^ Паули, Даррен (4 февраля 2016 г.). «Обманывайте своих сотрудников: разработчик создает инструмент для проверки на ошибки с открытым исходным кодом». Реестр. Получено 12 сентября 2018.
  14. ^ «Симуляторы фишинговых кампаний». Противодействие фишингу. Получено 12 сентября 2018.
  15. ^ Гош, Дебрадж. "GA симулятора атак для анализа угроз Office 365". Техническое сообщество Microsoft. Получено 12 сентября 2018.
  16. ^ Лардинуа, Фредерик. «Microsoft запускает симулятор фишинговых атак и другие инструменты безопасности». TechCrunch. Получено 12 сентября 2018.