Підручник із симуляції фішингу
Симуляція фішингу — це вправа для електронної пошти: ваша ІТ-команда надсилає вашим власним співробітникам нешкідливе фальшиве фішингове повідомлення, щоб вони могли попрактикуватися в виявленні справжньої речі, перш ніж злочинець перевірить їх спочатку. Ця сторінка охоплює авторизовану внутрішню програму навколо неї – спочатку письмове схвалення, цільова сторінка, яка навчає та ніколи не збирає справжні паролі, чесні результати та інструктаж замість звинувачень.
📑Розділи
- Що таке симуляція фішингу – практична вправа для ваших власних співробітників, і чим вона не є
- П'ять правил, які забезпечують етичність симуляції
- Вибір платформи: з відкритим вихідним кодом або комерційної
- Створення кампанії у фіксованому порядку
- Правило цільової сторінки: воно навчає та ніколи не збирає справжні паролі
- Тестуйте на поштових скриньках ІТ, а потім запустіть у узгодженому вікні
- Чесно прочитайте результати та наставте – потім повторіть і відслідковуйте тенденцію
📋 Огляд і покроковий посібник
Спочатку отримайте письмовий дозвіл
Нічого не створюється і нічого не надсилається, доки керівництво та відділ кадрів не підпишуть письмово. Ви надсилаєте оманливу електронну пошту у власній компанії; без документального підтвердження тест з добрими намірами виглядає як напад чи розіграш. Схвалення фіксує обсяг (тільки ваш власний персонал), вікно запуску та правило, згідно з яким результати використовуються для навчання — узгоджено до появи першого шаблону.
Погодьтеся з п’ятьма правилами перед побудовою
П'ять правил вирішують, чи симуляція зробить ваш офіс безпечнішим, чи просто розлютить і скритить ваш персонал. 1. Спочатку письмове схвалення. 2. Цільова сторінка навчає - клацання відкриває спокійний урок, а не екран помилок і не докори. 3. Ніколи не збирайте справжні паролі. 4. Повідомляйте про підсумки, а не про імена - керівництво бачить щонайбільше відсотки на команду; індивідуальні імена залишаються за власником програми, лише для приватних тренувань. 5. Тренер, ніколи не карай - натискання веде до короткого уроку і дружньої розмови, ніколи не дисциплінуй, тому що покарання вчить персонал приховувати помилки, в тому числі реальні. Якщо будь-який із них відсутній у запланованій кампанії, кампанія не готова до надсилання.
Чесно обирайте платформу
Є дві чесні родини. Платформи з відкритим кодом – клас GoPhish – є безкоштовними та розміщуються самостійно: ви самі створюєте шаблони електронної пошти, цільові сторінки та профілі надсилання та запускаєте консоль на своєму власному сервері. Ціна – це ваш час, а вигода – повний контроль. Платформи комерційної обізнаності стягують плату за кожного користувача та додають готові бібліотеки шаблонів, вбудовані навчальні модулі та досконалі панелі звітів. Будь-яка сім’я може запроваджувати етичну програму, і будь-яка може зазнати зловживань з боку недбалого оператора – етика міститься в п’яти наведених вище правилах, а не в програмному забезпеченні. Вибирайте відповідно до розміру вашої команди та часу, який ви можете чесно їй приділити.
Створюйте кампанію у фіксованому порядку
Будуйте в такому порядку. Група аудиторії - один відділ або цілий офіс, ніколи список, що включає людей, які ніколи не були проінформовані про існування програми. Шаблон електронної пошти – правдоподібний, повсякденний і справедливий: категорії повсякденних сценаріїв, такі як сповіщення про спільний документ, попередження про поштову скриньку чи повідомлення про доставку, і уважний читач повинен мати змогу помітити принаймні один чіткий попереджувальний знак. Цільова сторінка – навчальна сторінка, створена та перевірена перед надсиланням (наступний крок). Профіль надсилання – надсилається з навчального домену, який належить вашій організації, а не з домену вашої справжньої компанії, тому справжню атаку ніколи не можна сплутати з тренуванням, і тренування ніколи не послаблює довіру до справжньої корпоративної пошти. Вікно запуску - звичайний робочий період, узгоджений у погодженні.
Створіть цільову сторінку, яка навчає
Посилання в електронному листі веде не на злочинця, а на безпечну сторінку, якою ви володієте. Людина, яка натиснула, потрапляє на короткий, спокійний урок, який показує, що дало електронний лист – адреса відправника, терміновість, посилання, яке не збігається – і що робити наступного разу: призупинити, перевірити, повідомити. Платформа записує, що сторінка була досягнута та хто використовував маршрут звіту; цей запис клацання — це все, що потрібно для уроку.
Тестуйте, запускайте, потім навчайте, поки це свіжо
Спочатку протестуйте повний шлях у поштових скриньках ІТ – шаблон, посилання, цільову сторінку, звітність – а потім запустіть у узгодженому вікні. Оголошує персоналу програму та квартал; ніколи не оголошуйте точний день, або ви вимірюєте, хто запам’ятав оголошення замість того, хто ретельно перевіряє електронну пошту. Потім навчайте, поки воно свіже: протягом кількох днів усі отримають коротку подальшу інформацію. Клікери отримують п’ятихвилинний модуль перевірок, перевірених цим електронним листом, репортери отримують подяку, а вся команда бачить підсумки.
Прочитайте результати як підсумки та відстежуйте тенденцію
Прочитайте два числа: частоту кліків і зареєстровану частоту, які поділяються як підсумкові команди. Одне моделювання майже нічого не доводить; повторюйте щоквартально з новими сценаріями, а тенденція за кварталами – падіння ставки за клацанням, підвищення ставки за повідомленнями – це реальний результат і цифра, яку варто показати керівництву. Особи, які клацають кілька разів, отримують приватну, дружню коучинг-розмову від власника програми, ніколи не публічний список і ніколи дисципліну.
🏷️Topic Search Variables & Keywords
🎙️ Повна транскрипція — торкніться, щоб розгорнути
Покроковий посібник із усунення несправностей і рішення - ІНСТРУКЦІЯ З МОДЕЛЮВАННЯ ФІШИНГУ: СПІЙМІТЬ СЛАБКИХ СПІВРОБІТНИКІВ ПЕРЕД ЧОМУ ЗРОБЛЯТЬ ХАКЕРИ. Демонстрація на екрані від Technical Anshu....
Запустіть симуляцію фішингу для власного персоналу етичним шляхом — спочатку письмове схвалення, цільова сторінка, яка навчає та ніколи не збирає справжні паролі, чесні результати та інструктаж замість звинувачень. Повна програма, крок за кроком.
(розшифровка закінчується тут, на вихідній сторінці)
❓ Часті запитання (англійською)
Цей посібник на 100% безкоштовний?
Так! Усі посібники та методи, продемонстровані Technical Anshu, використовують безкоштовні, юридичні та освітні ресурси.
Чи можуть новачки дотримуватися цього посібника?
Абсолютно! Кожен крок демонструється на екрані з докладними інструкціями, тож будь-хто може легко слідувати.
Де я можу поставити запитання, якщо я застряг?
Залиште коментар безпосередньо до відео YouTube, і наша спільнота та Technical Anshu допоможуть вам.
🚀 Перегляньте повний посібник на YouTube
🚀 Перегляньте повний покроковий відеоінструкцію на YouTube: https://www.youtube.com/watch?v=MR1T4Zz3Fdc
Підпишіться на Technical Anshu для ІТ-підтримки, усунення несправностей Windows і керування сервером.
▶️ Переглянути повне відео