Obiettivo della campagna anti-phishing

L'obiettivo dipende in realtà dal trade-off tra efficienza / produttività e sicurezza che sei disposto a fare.

Arrestare il phising generale (la posta di massa, scritto male, di tipo generico) non è impossibile e può essere raggiunto senza troppi sacrifici, attraverso un'adeguata formazione dei dipendenti. Tuttavia, la phishing di livello professionale altamente mirata è incredibilmente difficile da fermare, dal momento che può sembrare che provenga da account di posta elettronica legittimi (o da cui proviene), sia ben scritta e altamente pertinente per la persona che la riceve. Direi che fermare questo tipo di attacco è quasi impossibile per qualsiasi organizzazione che fa affidamento sull'interazione con il mondo esterno.

Recentemente ci sono stati alcuni esempi di questi attacchi (contro le persone che molto probabilmente hanno una formazione dei dipendenti):

• link
• link

Naturalmente, per addestrare i dipendenti ad esibire un comportamento "corretto" è necessario che l'organizzazione interna sia adeguata a sostenerlo. Non ha molto senso dire ai dipendenti di non fare qualcosa che sarà effettivamente loro richiesto (ad esempio cliccando sui link per cambiare i loro dettagli utente, ecc.)

La persona media può prima di tutto essere estremamente critica nei confronti di qualsiasi e-mail ricevuta.

• L'e-mail usa un inglese correttamente costruito?
• Questa email ti è stata o è stata richiesta?
• Una e-mail che pretende di provenire da PayPal o dalla tua banca ti chiederà di seguire un link a wallyswatersking.com/wp-content/acdasdc.php? Tieni presente che i link che sembrano andare in determinati posti potrebbero non esserlo (spesso possono essere rilevati passando il mouse sopra il link o esaminando il codice sorgente dell'e-mail).
• Se un'email ha un allegato, viene da qualcuno che conosci? In caso contrario, probabilmente è una pessima idea aprirlo.

Le soluzioni tecniche per mitigare questi problemi potrebbero includere

• AV aggiornato (anche se questo probabilmente non sarà efficace negli attacchi mirati).
• Applicazione sandboxing.
• Utilizzo di un provider di posta elettronica che lavora attivamente contro il phishing e lo spam (come Google o Microsoft).

Altro su phishing qui

• link
• link

In un ambiente aziendale, l'obiettivo degli esercizi di phishing può includere uno dei seguenti

• L'utente ha fatto clic sul link sospetto, in caso affermativo, perché non è stato in grado di determinarne lo spoofing - richiede più addestramento all'utente e / o filtri o tecnologia spam migliori
• L'utente ha segnalato l'e-mail sospetta all'IT o tramite altri metodi (l'organizzazione dovrebbe monitorare i ripetuti tentativi di ottimizzare i filtri antispam, vedere chi li sta bersagliando, ecc.)
• L'utente ha aperto o eseguito file sospetti nell'email?
• L'utente ha violato politiche specifiche sui corp (ad esempio, tutti i file vengono trasferiti tramite SharePoint, gli allegati non sono utilizzati).
• L'utente ha inoltrato le e-mail di phishing agli altri se diretto, e in che modo queste persone hanno risposto o segnalato (se l'e-mail diceva "per favore invia al tuo supervisore per la sua approvazione")

Fondamentalmente vuoi determinare quali controlli devono essere aggiunti o migliorati per ridurre il successo del phishing. Inoltre, se gli utenti sanno che è in corso un test anti-phishing o ne informano in seguito, saranno più cauti per un certo periodo di tempo a causa dei timori di essere puniti o di danneggiare l'organizzazione.

Hai fatto la domanda importante. Oltre ad analizzare l'e-mail per i tipici markers di phishing, se un destinatario non è sicuro, qual è il comportamento corretto?

I dipendenti dovrebbero avere una seconda linea di difesa, che potrebbe essere una casella di posta elettronica di "revisione delle email". Chiedi ai dipendenti di inviare email "fasulle" a un archivio centrale in cui il personale IT può rivedere l'e-mail da una prospettiva di terze parti. Il vantaggio di questo approccio è che funge anche da servizio di "phishing reporting".

I dipendenti dovrebbero essere addestrati ad analizzare le email, ma dovrebbero anche avere un backup per aiutarli quando ne hanno bisogno. Un semplice inoltro a una destinazione '[email protected]' è facile da fare, facile da addestrare e copre tutti i report di phishing e la revisione tecnica in un colpo solo.