Тестирование методом социальной инженерии

На чём строятся сценарии атакующего

• Срочность

  «Нужно сегодня до 18:00» — времени на проверку как будто нет.

• Авторитет

  Обращение от имени руководителя, регулятора или подрядчика.

• Доверие

  Знакомое имя, привычный шаблон письма, ожидаемая тема.

• Привычный сценарий

  Запрос выглядит как рутинная операция, которую делают каждый день.

• Email-фишинг

  Массовые и целевые письма, подготовленные под роли и рабочий контекст сотрудников.

• Мессенджеры

  Сообщения в корпоративных и мобильных мессенджерах — канал, который редко закрыт фильтрацией.

• Телефон и vishing

  Голосовые сценарии: звонок «от руководителя», подрядчика или технической поддержки.

• QR-фишинг

  Коды, ведущие на контролируемые страницы, — сценарий, обходящий проверку ссылки в письме.

• Поддельные страницы входа

  Формы авторизации на контролируемых доменах: проверяем ввод учётных данных и кода MFA.

• Запросы на изменение реквизитов

  Просьбы изменить платёжные реквизиты или выдать данные — классический сценарий BEC.

• Help desk и восстановление доступа

  Проверяем процедуры идентификации: можно ли получить сброс пароля или доступ по звонку.

• Физические сценарии и носители

  Проход в помещения, оставленные накопители и подобные проверки.

  только по отдельному согласованию

Отдельным пунктом — проверка реакции. Кампания измеряет не только взаимодействие с приманкой, но и то, что происходит дальше: сообщение об угрозе, блокировка, эскалация в ИТ/ИБ и последующий разбор.

Чем тестирование отличается от смежных работ

• от обучения

  Обучение объясняет правила — тестирование их измеряет

  Знание правила и его применение под давлением срочности — разные вещи. Симуляция показывает, как правила работают в реалистичном сценарии.

  —Курс: сотрудник знает, как надо

  ✓Тест: видно, как он поступает на самом деле
• от «рассылки всем»

  Кампания проектируется под роли и процессы

  Одинаковое письмо на всю компанию считает клики, но не отвечает на вопрос, где именно манипуляция приводит к деньгам или доступу.

  —Рассылка: один шаблон и процент переходов

  ✓Кампания: сценарии под роли, процессы и риски
• от наказания

  Цель — улучшить систему, а не найти виноватых

  Индивидуальные результаты обрабатываются по заранее согласованной политике и, как правило, агрегируются: страх наказания снижает число сообщений об атаках.

  —Разбор «кто кликнул» по именам

  ✓Агрегированные выводы и адресные изменения

• 01

  После базового обучения сотрудников

• 02

  Перед внедрением новой процедуры платежей или восстановления доступа

• 03

  При росте случаев фишинга, BEC и кражи учётных данных

• 04

  Для проверки почтовой защиты, MFA и процесса реагирования

• 05

  Периодически — с разными сценариями и целевыми группами

Какие задачи решает тестирование

Кампания отвечает на практические вопросы: где процесс позволяет совершить опасное действие с одного сообщения, работают ли технические средства и знают ли сотрудники, куда сообщить о подозрении.

• Измерение реального поведения

  Оценивается не только переход по ссылке, но и ввод данных, запуск файла, сообщение об атаке и скорость реакции.

  переход ввод данных запуск файла сообщение об атаке время реакции

• Проверка бизнес-процессов

  Выявляются операции, где одного сообщения или звонка достаточно для опасного действия: платежа, выдачи доступа или раскрытия данных.

  платежи и реквизиты выдача доступа восстановление пароля

• Оценка технических контролей

  Проверяется доставка письма, предупреждения, блокировка страницы и устойчивость MFA.

• Безопасная культура

  Сотрудники знают, куда быстро сообщить о подозрении, не опасаясь наказания за добросовестную ошибку.

• Адресная программа улучшений

  Результаты превращаются в обучение по ролям и изменения конкретных процедур.

Что проверяется и прорабатывается

Сценарий доходит до сотрудника через несколько контуров защиты — и каждый из них даёт свой вывод. Поэтому проверка идёт сразу по трём направлениям.

• 01

  Определение целей и этических ограничений

  Согласуем группы, сценарии, собираемые метрики, исключения и порядок обработки результатов.

• 02

  Разработка легенд

  Создаём реалистичные, но безопасные сценарии на основе ваших процессов и открытого контекста.

• 03

  Техническая подготовка

  Настраиваем контролируемые домены, страницы, телефонию и сбор минимально необходимых событий.

• 04

  Проведение кампании

  Запускаем сценарии в согласованное время.

  немедленная остановка при непредвиденном риске
• 05

  Анализ реакции

  Оцениваем поведение пользователей, работу технических средств и действия ответственных команд.

• 06

  Разбор и улучшения

  Передаём агрегированные выводы, рекомендации и программу последующего обучения.

Что вы получаете по итогам кампании

Отчёт собран так, чтобы им можно было пользоваться на двух уровнях: руководству — решения и приоритеты, командам ИТ и ИБ — метрики и конкретные участки процессов.