Sociālās inženierijas tests, piemēram, kontrolēta pikšķerēšanas (phishing) kampaņa, pārbauda, kā organizācija reaģē uz saskaņotu maldināšanas scenāriju. Tas parāda, ko aptur tehniskās kontroles, ko pamana darbinieki, vai aizdomīga darbība tiek ziņota un vai informācija nonāk pie cilvēkiem, kuri spēj reaģēt. Mērķis nav pieķert darbiniekus, bet atrast uzlabojumus cilvēku, procesu un tehnoloģiju kopējā aizsardzībā.
Scenāriju izvēlamies pēc riska, kuru organizācija vēlas novērtēt. Pirms testa vienojamies par mērķauditoriju, kanāliem, aizliegtajām darbībām, datu apstrādi, eskalāciju un to, kādi rezultāti tiks mērīti. Ne katram klientam ir vajadzīgi visi scenāriji.
Kontrolēta e-pasta kampaņa var pārbaudīt ne tikai klikšķi, bet visu aizsardzības ķēdi. Redzam, vai ziņu aptur tehniskās kontroles, vai darbinieks pamana pazīmes, vai izmanto ziņošanas mehānismu un cik ātri informācija nonāk pie atbildīgās komandas. Atvēršanas rādītājus neizmantojam kā galveno drošības metriku, jo tos var būtiski ietekmēt e-pasta klientu privātuma un attēlu ielādes mehānismi.
Ja tas ir saskaņots, scenārijā var izmantot telefonisku vai rakstisku izlikšanos, lai pārbaudītu identitātes verifikācijas un informācijas izpaušanas procesus. Iepriekš nosakām, kādu informāciju drīkst prasīt, ko nedrīkst vākt un kur tests nekavējoties jāaptur.
Ja fiziskais risks ir būtisks un scenārijs ir īpaši saskaņots, var pārbaudīt apmeklētāju kontroli, piekļuves procedūras un darbinieku rīcību. Šādiem testiem nepieciešamas īpaši skaidras robežas, atļaujas un drošības nosacījumi.
Pēc testa analizējam, kas palīdzēja uzbrukumu apturēt un kur aizsardzības ķēde pārtrūka. Mācības balstām uz pārbaudītajiem scenārijiem un rādām, kā atpazīt pazīmes, kā pārbaudīt neparastu pieprasījumu un, īpaši svarīgi, kā un kam par aizdomīgu situāciju ziņot.
Rakstiski definējam mērķi, scenārijus, iesaistīto grupu, atļautās un aizliegtās darbības, datu vākšanu un glabāšanu, kontaktpersonas, eskalāciju un testa apturēšanas nosacījumus. Īpaši sensitīvas darbības bez atsevišķas saskaņošanas neveicam.
Dokumentējam scenārija gaitu un iepriekš definētos rādītājus, tostarp piegādi, mijiedarbību, ziņošanu, eskalāciju un citus testam nozīmīgus notikumus. Rezultātu detalizācijas un anonimizācijas līmeni saskaņojam pirms testa, ņemot vērā mērķi un datu aizsardzību.
Secinājumus neveidojam tikai no klikšķu procenta. Vērtējam, kur nostrādāja vai nenostrādāja tehniskās kontroles, identitātes pārbaude, darbinieku rīcība, ziņošanas kanāli un incidenta eskalācija, un sagatavojam prioritizētus uzlabojumus.
Pēc scenārija izskaidrojam izmantotos paņēmienus, pazīmes un pareizo rīcību. Mācību saturs balstās testa secinājumos un uzsver drošu pārbaudi un ziņošanu, lai organizācija iegūtu praktisku uzlabojumu, nevis tikai statistiku.
Sāksim ar sarunu
Pastāstiet, kādu risku vēlaties pārbaudīt un kāda ir iesaistītā vide. Precizēsim piemērotu scenāriju, robežas, mērījumus un informāciju, kas vajadzīga piedāvājuma sagatavošanai.
Sociālās inženierijas scenārijs pats izmanto maldināšanu, tāpēc tā robežām jābūt stingrākām nekā parastai mācību kampaņai. Pirms testa vienojamies, kurš to autorizē, kādi dati ir nepieciešami, cik ilgi tos glabā, kam ir pieejami rezultāti un kā rīkojamies, ja scenārijs rada neparedzētu situāciju.
Individuālu darbinieku identificēšana nav pašmērķis. Ja testa mērķi iespējams sasniegt ar apkopotiem vai pseidonimizētiem rezultātiem, izvēlamies mazāk invazīvu pieeju. Ja klientam nepieciešami individuāla līmeņa dati, to nepieciešamība, piekļuve un izmantošana jādefinē pirms testa un jāizvērtē atbilstoši organizācijas datu aizsardzības un darba attiecību prasībām.
Jā. Kontrolēta pikšķerēšanas kampaņa ir biežākais sociālās inženierijas tests. Scenāriju, mērķa grupas un drošības nosacījumus saskaņojam ar Jums iepriekš, un rezultātus vērtējam organizācijas līmenī, lai uzlabotu procesus un apmācību.