Социальная инженерия
Тестирование устойчивости сотрудников к методам социальной инженерии и оценка эффективности защиты от фишинговых атак
О социотехническом тестировании
Социотехническое тестирование (тестирование на социальную инженерию) — это контролируемая симуляция атак, направленных на сотрудников организации с целью оценки их устойчивости к методам социальной инженерии и эффективности существующих мер защиты.
В ходе тестирования наши специалисты используют различные методы социальной инженерии, включая фишинговые рассылки, целевой фишинг (спирфишинг), телефонное мошенничество (вишинг) и другие техники, чтобы получить доступ к конфиденциальной информации или корпоративным системам.
Результаты тестирования позволяют выявить уязвимости в "человеческом факторе" безопасности и разработать эффективные меры по повышению осведомленности сотрудников и укреплению защиты от социотехнических атак.
Ключевые особенности
- •Разработка индивидуальных сценариев атак с учетом специфики организации
- •Использование различных каналов коммуникации (email, телефон, мессенджеры)
- •Создание убедительных фишинговых сайтов и электронных писем
- •Детальная статистика и аналитика результатов тестирования
- •Рекомендации по повышению осведомленности сотрудников и улучшению защиты
Этапы проведения тестирования
Наш процесс социотехнического тестирования включает несколько ключевых этапов, обеспечивающих максимальную эффективность и безопасность
Сбор информации
Получение или сбор (методами перебора и разведки по открытым источникам) перечня сотрудников и их контактных данных. Сбор информации об используемых корпоративных и облачных сервисах. Определение стиля и формата письма в корпоративной переписке. Анализ конфигурации почтовых серверов, определение используемых средств защиты от спама и вредоносных рассылок.
Разработка сценариев
Разработка сценариев фишинговых рассылок с учётом собранной информации. Подготовка текстов и оформления писем, доменных имён и email-адресов для рассылок. Подготовка необходимых инструментов (поддельные веб-сайты, средства рассылок, исполняемые файлы и т. д.).
Атака
Последовательная реализация разработанных сценариев атаки (возможно, по различным подгруппам сотрудников в зависимости от их служебной роли). Использование полученных ресурсов (почтовых учётных записей, удалённого доступа к рабочей станции, учётных записей в корпоративных системах) для демонстрации результатов атаки и уровня риска. Опционально: продолжение проникновения, анализ стиля письма и оформления сообщений, рассылки от имени скомпрометированных сотрудников, получение доступа к конфиденциальной информации по согласованию. Опционально: контрольные рассылки и рассылки по сценариям «второго уровня» (от имени отделов ИТ/ИБ или других сотрудников).
Разработка отчётной документации
Описание собранной информации. Описание разработанных сценариев и хода их проведения. Отображение статистики результативности сценариев (конверсия рассылок). Резюме и рекомендации по повышению уровня осведомлённости сотрудников в вопросах ИБ.
Преимущества социотехнического тестирования
Почему организации выбирают тестирование на социальную инженерию для оценки защищенности своих сотрудников
Оценка реальной защищенности
Выявление уровня осведомленности сотрудников о методах социальной инженерии и их способности противостоять атакам.
Выявление уязвимых групп
Определение категорий сотрудников, наиболее подверженных методам социальной инженерии, для целевого обучения.
Проверка эффективности защиты
Оценка эффективности существующих технических средств защиты от фишинга и вредоносных рассылок.
Повышение осведомленности
Практическая демонстрация методов атак повышает осведомленность сотрудников лучше, чем теоретические тренинги.
Конкретные рекомендации
Разработка практических рекомендаций по повышению уровня защищенности от социотехнических атак.
Безопасное тестирование
Проведение тестирования в контролируемых условиях с минимальным риском для работы организации.
Заказать социотехническое тестирование
Оставьте свои контакты, и мы свяжемся с вами для обсуждения деталей и составления индивидуального предложения.