Направете обучение за обратна атака за откриване на фишинг за армия

Кибер-шпионите създават сложни руткити и умело скрит злонамерен софтуер, за да крадат тайни и да слушат привилегировани комуникации. За да инсталират тези шпионски инструменти, те обикновено разчитат на най-слабия елемент на защитната арена; потребителя. Образователните кампании за повишаване на информираността по отношение на сигурността могат да бъдат от голяма помощ, но има правилен начин и погрешен начин за това.

Повдигане на червени знамена

"Вашингтон пост" съобщи миналата седмица, че командир на бойни действия на армията е поел себе си, за да оцени способността на своя отряд да открива фишинг съобщения. Тестовото му съобщение насочи получателите (по-малко от 100 от тях) да посетят уебсайта на пенсионния си план за изискване за нулиране на паролата. Съобщението обаче се свързва с фалшив сайт с URL адрес, много подобен на истинския за агенцията, Thrift Savings Plan.

Получателите бяха умни; нито един от тях не е щракнал върху фалшивата връзка. Те обаче споделиха подозрителния имейл с „хиляди приятели и колеги“, предизвиквайки потоп от обаждания към действителния план за спестовни спестявания, продължил седмици. В крайна сметка началникът на сигурността на пенсионния план проследи съобщението до армейска област и Пентагонът проследи извършителя. Според поста, неназованият командир „не е бил порицан за това, че действа сам, защото правилата са неясни“.

Фактът, че планът за спестовни спестявания претърпя действително нарушение през 2011 г., добави към фактора на притеснение за засегнатите федерални служители. Служител на отбраната каза на „Пощата“: „Това са яйцата на гнездото на хората, трудно спечелените им спестявания. Когато започнахте да чувате TSP за всички неща, мелницата за слухове разрази се. Агенцията продължава да получава притеснени обаждания въз основа на фишинг теста.

Постът съобщава, че всички бъдещи фишинг тестове ще изискват одобрение от главния информационен директор на Пентагона. Всеки тест, включващ реален свят като план за спестовни спестявания, изисква предварително разрешение от тази организация. Изпълнителният директор на TSP Грег Лонг даде да се разбере, че неговата организация няма да участва.

Напълно грешно

И така, къде се обърка този командир на армията? Неотдавнашна публикация в блога на CTO на PhishMe Aaron Higbee казва, е, почти навсякъде. „Това упражнение извърши всеки кардинален грях от симулиран фишинг чрез липса на дефинирани цели, пропускане на съображенията, които имейлът би могъл да има, пропускане на съобщение до всички потенциално участващи страни и може би злоупотреба с търговски марки / търговска рокля или материали, защитени с авторски права“, каза Хиги.

„За да бъде ефективна, симулирана фишинг атака трябва да предостави на получателя информация как да се подобри в бъдеще“, каза Хигиби. „Лесен начин да направите това е да уведомите получателите, че атаката е тренировъчно упражнение, и да осигурят обучение веднага след взаимодействие с имейла.“

„Хората често поставят под въпрос стойността, която PhishMe предоставя, като казват, че могат да провеждат вътрешно симулирани фишинг упражнения“, отбеляза Хигби. „Тези с този начин на мислене трябва да приемат скорошния гаф на армията като предупредителна приказка.“ Идентифицирайки PhishMe като „безспорните шампиони в тежка категория“ на фишинг образованието, той заключава: „През последните 90 дни PhishMe е изпратил 1, 790, 089 имейла. Причината нашите фишинг симулации да не правят национални заглавия е, че знаем какво правим“.

Правилният начин

Организация, която сключва договор с PhishMe за фишинг образование, може да избере различни тестови имейл стилове, нито един от които не включва симулиране на трета страна като TSP. Например, те могат да генерират съобщение, което предлага на служителите безплатен обяд. Всичко, което трябва да направят, е да влязат в уебсайта за поръчка на обяд, „използвайки вашето мрежово потребителско име и парола“. Друг подход е атака с двойна барел, която използва един имейл, за да подкрепи валидността на друг - тактика, използвана в реалните авансови атаки Advanced Persistent Threat.

Независимо от избрания стил на фишинг поща, всеки потребител, който попада в него, получава незабавна обратна връзка и обучение, а ръководството получава подробна статистика. С многократни кръгове на тестване и обучение, PhishMe има за цел да намали риска от проникване в мрежата чрез фишинг с „до 80 процента“.

Повечето организации са добре защитени от мрежови атаки, които влизат през интернет. Най-лесният начин да проникнете в сигурността е да заблудите доверчив служител. Защитата от фишинг, вградена в модерни пакети за сигурност, работи добре срещу измами в излъчващ стил, но целенасочените атаки за „копие-фишинг“ са друга история.

Ако отговаряте за сигурността на вашата организация, наистина трябва да обучите тези служители, за да не се заблуждават. Може да успеете да се справите сами с обучението, но ако не, треньорите на трети страни като PhishMe са готови да помогнат.