Nauči se treninga za odkrivanje lažnega predstavljanja za vojsko

Cyber-vohuni oblikujejo zahtevne rootkite in spretno zbrano zlonamerno programsko opremo, da bi ukradli skrivnosti in prisluhnili privilegiranim komunikacijam. Za namestitev teh vohunskih orodij se običajno zanašajo na najšibkejši element varnostnega prizorišča; uporabnika. Izobraževalne kampanje za ozaveščanje o varnosti so lahko v veliko pomoč, vendar obstaja pravi način in napačen način.

Dvig rdečih zastav

Washington Post je prejšnji teden poročal, da je vojaški poveljnik vojske prevzel nase, da je ocenil sposobnost svoje enote za odkrivanje lažnih sporočil. Njegovo sporočilo s testi je usmerilo prejemnike (manj kot 100), da obiščejo spletno stran njihovega pokojninskega načrta in zahtevajo ponastavitev gesla. Vendar je sporočilo povezano s ponarejenim spletnim mestom z URL-jem, zelo podobnim dejanskemu za agencijo, Thrift Savings Plan.

Prejemniki so bili pametni; nobeden od njih ni kliknil lažne povezave. Vendar so sumljivo e-pošto delili s "tisočimi prijatelji in sodelavci", kar je povzročilo poplavo klicev k dejanskemu načrtu varčevanja s prihranki, ki je trajal tedne. Nazadnje je šef varnostnega pokojninskega načrta sporočil sporočilo do območja vojske, Pentagon pa je izsledil storilca. Po navedbi delovnega mesta neimenovani poveljnik "ni bil oproščen, ker je sam deloval, ker so bila pravila nejasna."

Dejstvo, da je načrt prihrankov varčevanja leta 2011 doživel dejansko kršitev, je še dodatno prispevalo k dejavnikom skrbi za prizadete zvezne zaposlene. Obrambni uradnik je za pošto povedal: "To so gnezda ljudi, njihova težko zaslužena prihranka. Ko ste začeli slišati TSP za vse stvari, je mlin za govorice divjal." Agencija še naprej prejema zaskrbljene klice na podlagi phishing testa.

Objava poroča, da bo morebitni prihodnji lažni testi morali odobriti glavni informacijski urad Pentagona. Vsak preizkus, ki vključuje subjekt iz resničnega sveta, kot je načrt varčevalnega varčevanja, zahteva predhodno dovoljenje te organizacije. Izvršni direktor TSP-a Greg Long je jasno povedal, da njegova organizacija ne bo sodelovala.

Popolnoma napačno

Kje je šel ta poveljnik vojske narobe? Nedavna objava CTO PhishMe Aarona Higbeeja pravi, no, skoraj povsod. "Ta vaja je storila vsak kardinalni greh simuliranega lažnega predstavljanja s pomanjkanjem opredeljenih ciljev, neupoštevanjem posledic, ki jih je lahko imelo e-poštno sporočilo, če ne sporoči vsem potencialno vpletenim strankam in morda zlorablja blagovne znamke / trgovsko obleko ali gradivo, zaščiteno z avtorskimi pravicami, " je dejal Higbee.

"Za učinkovit učinek mora simuliran napad z lažnim predstavljanjem prejemniku zagotoviti informacije o tem, kako se lahko izboljša v prihodnosti, " je dejal Higbee. "Preprost način za to je, da prejemnike obvestite, da je bil napad vadba, in jim takoj po interakciji z e-pošto omogočite vadbo."

"Ljudje pogosto dvomijo o vrednosti, ki jo PhishMe zagotavlja, češ da lahko sami izvajajo simulirane varanje lažnega predstavljanja, " je poudarila Higbee. "Tisti s to miselnostjo naj bi nedavni vojski vojske sprejemali kot previdno zgodbo." Če je PhishMe označil za "nesporne prvake v težki teži" phishing izobraževanja, je zaključil: "V zadnjih 90 dneh je PhishMe poslal 1.790.089 e-poštnih sporočil. Razlog, da naše lažne phishing simulacije ne predstavljajo nacionalnih naslovov, je to, da vemo, kaj počnemo."

Prava pot

Organizacija, ki sklene pogodbo s podjetjem PhishMe za izobraževanje o lažnem predstavljanju, lahko izbere različne sloge testnih e-poštnih sporočil, od katerih nobeden ne vključuje simulacije tretje osebe, kot je TSP. Na primer, lahko ustvarijo sporočilo, ki zaposlenim ponuja brezplačno kosilo. Vse, kar morajo storiti, je, da se prijavijo na spletno mesto za naročilo kosila, "z uporabo svojega omrežnega uporabniškega imena in gesla." Drug pristop je napad z dvojnim sodom, ki uporablja eno e-poštno sporočilo za podporo veljavnosti drugega - taktika, ki se uporablja v resničnih napadih Napredne vztrajne nevarnosti.

Ne glede na izbrani slog lažnega predstavljanja, vsak uporabnik, ki se prijavi, dobi takojšnje povratne informacije in usposabljanje, vodstvo pa dobi podrobne statistike. S ponavljajočimi se krogi testiranja in usposabljanja je PhishMe želel zmanjšati tveganje za prodor v omrežje prek lažnega predstavljanja za "do 80 odstotkov".

Večina organizacij je dobro zaščitena pred omrežnimi napadi, ki prihajajo prek interneta. Najlažji način za prodor v varnost je pretentanje lahkomiselnega zaposlenega. Zaščita pred lažnim predstavljanjem, vgrajena v sodobne varnostne pakete, deluje dobro proti prevaram v slogu oddaje, a ciljno usmerjeni napadi z "podmetavanjem" so druga zgodba.

Če ste odgovorni za varnost svoje organizacije, morate te delavce zelo izobraziti, da se ne bodo prevarali. S treningi se boste morda lahko lotili sami, če pa ne, so pripravljeni pomagati tudi tretji trenerji, kot je PhishMe.