亚洲日本免费-啊轻点灬太粗太长了三男一女-麻豆av电影在线观看-日韩一级片毛片|www.grbbt.com

網(wǎng)絡(luò)釣魚模擬，或所謂的網(wǎng)絡(luò)釣魚滲透測試已成為各種規(guī)模組織的網(wǎng)絡(luò)安全培訓(xùn)計(jì)劃的一個(gè)流行功能。其方式大致如下：執(zhí)行網(wǎng)絡(luò)釣魚測試的安全人員制作并向員工發(fā)送電子郵件，這些電子郵件看上去跟真正的惡意網(wǎng)絡(luò)釣魚電子郵件極為相似和“誘人”，其中通常包括一些讓員工上當(dāng)?shù)摹罢T餌信息”，例如錯(cuò)過交貨通知、發(fā)票付款請求和名人（包括管理層）八卦消息之類。

在安全團(tuán)隊(duì)的控制下，員工對這些“釣魚”電子郵件的回復(fù)可以被監(jiān)測、量化并用于確定（至少在一定程度上）組織內(nèi)員工的安全意識(shí)水平。

員工打開了多少附件或點(diǎn)擊了多少鏈接？有多少電子郵件被標(biāo)記為可疑或完全被忽略？與其他主題相比，哪些主題的誘餌最有影響力？哪些部門或用戶更有可能成為受害者？這些數(shù)據(jù)可以幫助安全部門更好地定制網(wǎng)絡(luò)安全意識(shí)培訓(xùn)和教育計(jì)劃，并確定需要解決的潛在人員和流程漏洞。

但是，值得注意的是，如果不能遵循必要的原則和最佳實(shí)踐，網(wǎng)絡(luò)釣魚測試往往會(huì)引發(fā)道德問題，甚至企業(yè)員工的反感和抗議，導(dǎo)致安全意識(shí)計(jì)劃受挫。

一個(gè)最典型的案例就是英格蘭西米德蘭茲郡的一家鐵路公司W(wǎng)est Midlands Trains(WMT) ，該公司最近在對其員工進(jìn)行的網(wǎng)絡(luò)釣魚測試中，使用的主題（誘餌）引起了廣泛爭議。

該鐵路公司的員工收到了一封看似來自財(cái)務(wù)和人力資源部門的電子郵件，被告知他們將收到獎(jiǎng)金，以感謝他們在新冠病毒大流行期間所做的努力，并鼓勵(lì)收件人點(diǎn)擊“來自WMT董事總經(jīng)理的個(gè)人消息”——一個(gè)Microsoft Office 365鏈接。實(shí)際上，該鏈接指向一個(gè)Sharepoint網(wǎng)站，其中包含由微軟設(shè)置的模擬網(wǎng)絡(luò)釣魚練習(xí)，點(diǎn)擊該鏈接的人會(huì)收到來自公司人力資源團(tuán)隊(duì)的安全提示電子郵件，建議他們留意那些要求提供賬戶密碼的的電子郵件，當(dāng)然，所謂的獎(jiǎng)金也是子虛烏有。

顯然，盡管用金錢獎(jiǎng)勵(lì)作為誘餌是網(wǎng)絡(luò)犯罪分子的慣用欺詐手段，但是在網(wǎng)絡(luò)釣魚測試中使用這種策略容易引發(fā)道德問題的爭議和員工的反感。

那么，網(wǎng)絡(luò)安全團(tuán)隊(duì)?wèi)?yīng)該采取哪些措施來確保網(wǎng)絡(luò)釣魚測試成為對各方有用、有效和有益的網(wǎng)絡(luò)安全培訓(xùn)和教育活動(dòng)，而不是弊大于利的風(fēng)險(xiǎn)？

Cygenta聯(lián)合首席執(zhí)行官兼聯(lián)合創(chuàng)始人、社會(huì)技術(shù)負(fù)責(zé)人杰西卡·巴克(Jessica Barker)博士指出：“當(dāng)涉及網(wǎng)絡(luò)釣魚測試場景時(shí)，組織應(yīng)該在道德界限內(nèi)運(yùn)作，因?yàn)檫^度進(jìn)行網(wǎng)絡(luò)釣魚模擬可能會(huì)造成傷害。使用高度情緒化的誘餌，例如獎(jiǎng)金和醫(yī)療服務(wù)——尤其是在新冠疫情的背景下，會(huì)影響接受者的情緒健康，這反過來又會(huì)損害工作場所的心理安全、信任和文化。”

Barker補(bǔ)充說，這只會(huì)破壞整個(gè)網(wǎng)絡(luò)安全團(tuán)隊(duì)的努力，疏遠(yuǎn)他們與企業(yè)員工的距離。企業(yè)應(yīng)當(dāng)慎重選擇電子郵件模版，以免給某些情緒低落的員工造成心理問題。

DigitalXRAID首席執(zhí)行官Rick Jones指出：“即使是像REvil這樣的一些犯罪團(tuán)伙也在推動(dòng)某些標(biāo)準(zhǔn)，例如它現(xiàn)在禁止人們使用其SaaS勒索軟件來攻擊政府、公共、醫(yī)療或教育機(jī)構(gòu)。進(jìn)行網(wǎng)絡(luò)釣魚模擬的安全團(tuán)隊(duì)與真實(shí)的犯罪團(tuán)伙具有相同的技能，但他們又必須遵守一定的標(biāo)準(zhǔn)和道德規(guī)范。”

以下是專家們強(qiáng)調(diào)的網(wǎng)絡(luò)釣魚測試最佳實(shí)踐的5個(gè)注意事項(xiàng)：

01、了解網(wǎng)絡(luò)釣魚測試的目標(biāo)

Barker認(rèn)為，籌備合乎道德又富有成效的網(wǎng)絡(luò)釣魚模擬的關(guān)鍵是了解網(wǎng)絡(luò)釣魚測試的目標(biāo)。“網(wǎng)絡(luò)釣魚模擬的設(shè)計(jì)階段的關(guān)鍵是考慮為什么要計(jì)劃測試。如果您將網(wǎng)絡(luò)釣魚模擬視為‘陷阱’練習(xí)，我建議您退后一步并反思一下，因?yàn)檫@不是培訓(xùn)，這是一個(gè)技巧。如果您將測試視為訓(xùn)練，那么您想訓(xùn)練什么行為？”

組織必須明白，網(wǎng)絡(luò)釣魚測試場景的目的是建立對網(wǎng)絡(luò)釣魚電子郵件外觀的基本了解，并讓用戶對他們發(fā)現(xiàn)釣魚活動(dòng)的能力充滿信心。

Barker博士強(qiáng)調(diào)：

“更高效的網(wǎng)絡(luò)釣魚測試，其重點(diǎn)不應(yīng)該是降低點(diǎn)擊率，而是提高報(bào)告率，太多的網(wǎng)絡(luò)釣魚模擬仍然關(guān)注點(diǎn)擊率?！卑涂死^續(xù)說道。“人們總是會(huì)點(diǎn)擊鏈接，尤其是在精心設(shè)計(jì)的網(wǎng)絡(luò)釣魚中。對于更有效的網(wǎng)絡(luò)釣魚測試，重點(diǎn)不應(yīng)放在降低點(diǎn)擊率上，而應(yīng)在提高報(bào)告率上。歸根結(jié)底，正確進(jìn)行網(wǎng)絡(luò)釣魚模擬完全是為了了解組織環(huán)境并尊重它?！?/p>

02、通過溝通建立信任

Blythe認(rèn)為，透明度是網(wǎng)絡(luò)釣魚測試的下一個(gè)關(guān)鍵要素?！敖M織需要對其員工持開放態(tài)度，確保他們在運(yùn)行模擬網(wǎng)絡(luò)釣魚活動(dòng)時(shí)通知他們，并明確強(qiáng)調(diào)它是一種教育工具。如果沒有建立信任，員工很快就會(huì)變得怨恨，感覺好像他們受到監(jiān)視或等待被‘抓獲’?！?/p>

Jones也認(rèn)可這種強(qiáng)調(diào)透明度的做法：“應(yīng)該逐漸向用戶介紹網(wǎng)絡(luò)釣魚的概念，教他們注意什么以及如何應(yīng)對，”他認(rèn)為。“在這個(gè)過程中建立溝通文化才是重點(diǎn)?！?/p>

03、正面引導(dǎo)、積極強(qiáng)化

正面的，或者說積極強(qiáng)化不僅在網(wǎng)絡(luò)釣魚測試的短期和長期有效性方面發(fā)揮著至關(guān)重要的作用，還可以對組織的測試方法是否被認(rèn)為符合道德產(chǎn)生重大影響。

例如，與其指責(zé)或懲罰未通過網(wǎng)絡(luò)釣魚測試的員工（這會(huì)產(chǎn)生消極、抵觸情緒），而是將更多的注意力放在公開慶?；蚬膭?lì)員工的正確反應(yīng)和操作。Barker指出：“這種積極的增強(qiáng)作用更具影響力。它借鑒了社會(huì)認(rèn)同的原則，可以更有效地吸引人們參與安全意識(shí)培訓(xùn)活動(dòng)?！?/p>

DarkTower的情報(bào)總監(jiān)Gary Warner引用了他擔(dān)任IT主管時(shí)的一個(gè)例子，推薦了一種類似的“只有胡蘿卜沒有大棒”的方法來模擬網(wǎng)絡(luò)釣魚。“我告訴我的老板，我可以花100美元改善可疑電子郵件的報(bào)告。我拿了我們收到的最新報(bào)告并對其進(jìn)行了全面分析。然后我在全公司范圍內(nèi)發(fā)了一封電子郵件，內(nèi)容如下：

服務(wù)中心的喬收到一封可疑的電子郵件，看起來像這樣（插入截圖）。喬知道該怎么做！他將電子郵件轉(zhuǎn)發(fā)至phishing@myoldjob.com。如果喬點(diǎn)擊了該鏈接，他的計(jì)算機(jī)就會(huì)感染XYZ病毒并開始從我們的網(wǎng)絡(luò)中竊取數(shù)據(jù)并將其發(fā)送到俄羅斯！為了感謝喬對公司的照顧，我們請他吃了一頓牛排大餐。感謝您保護(hù)公司，喬！你見過可疑的電子郵件嗎？請轉(zhuǎn)發(fā)至phishing@myoldjob.com！您也能將公司從毀滅性的網(wǎng)絡(luò)攻擊中拯救出來，并為自己贏得獎(jiǎng)品！

結(jié)果，上面這封郵件發(fā)出后，報(bào)告率迅猛飆升了大約1000%，而每月的獎(jiǎng)品只花費(fèi)了100美元。”

04、將網(wǎng)絡(luò)釣魚測試失敗轉(zhuǎn)化為安全培訓(xùn)契機(jī)

一旦從測試過程中獲得數(shù)據(jù)，后續(xù)行動(dòng)與測試的計(jì)劃和實(shí)施階段一樣重要。這時(shí)不僅應(yīng)關(guān)注用戶，還應(yīng)關(guān)注更廣泛的組織部門和人員從模擬結(jié)果中受益。

“這是陳詞濫調(diào)，但數(shù)據(jù)確實(shí)是網(wǎng)絡(luò)安全的王，”Jones指出：“從安全日志或設(shè)備的技術(shù)數(shù)據(jù)到用戶的信息，一切都提供了重要的知識(shí)。員工是企業(yè)的第一道防線，因此決策者必須意識(shí)到他們所帶來的風(fēng)險(xiǎn)，尤其是成功的網(wǎng)絡(luò)釣魚攻擊可以讓惡意軟件繞過現(xiàn)有的所有其他安全工具?！钡牵谂c模擬測試中失敗的員工接觸時(shí)，需要以安全教育和鼓勵(lì)為主而不是責(zé)備。

“當(dāng)人們確實(shí)單擊模擬的網(wǎng)絡(luò)釣魚電子郵件時(shí)，他們應(yīng)該收到及時(shí)，有用的反饋?！盉lythe解釋說。這種反饋的內(nèi)容應(yīng)該簡短且有吸引力，而不是為了獲得最佳結(jié)果而進(jìn)行冗長的強(qiáng)制性培訓(xùn)或懲罰?！翱偟膩碚f，對人員網(wǎng)絡(luò)風(fēng)險(xiǎn)的管理方法需要更多地利用同理心，”他補(bǔ)充道?！皬拈L遠(yuǎn)來看，一種尋求幫助和授權(quán)員工改變行為的，更通情達(dá)理的方法比一味指責(zé)和貶低那些未能通過模擬測試的人員的方法更有可能取得成功?！?/p>

05、在正確的時(shí)間使用正確的工具

組織必須考慮的最后一個(gè)重要因素是，使用網(wǎng)絡(luò)釣魚測試工具的最佳時(shí)機(jī)?！霸谀承┣闆r下，運(yùn)行網(wǎng)絡(luò)釣魚模擬根本沒有幫助，例如當(dāng)企業(yè)內(nèi)部對網(wǎng)絡(luò)安全產(chǎn)生恐懼文化時(shí)?！盉arker建議道：“網(wǎng)絡(luò)釣魚模擬只是一種工具，與所有工具一樣，需要在正確的時(shí)間以正確的方式使用它們?！?/p>

Jones說，安全團(tuán)隊(duì)有時(shí)需要考慮使用稍微“溫柔”一些的網(wǎng)絡(luò)釣魚測試來提醒或者教育員工識(shí)別真正危險(xiǎn)的網(wǎng)絡(luò)犯罪攻擊?！盀榱舜_保員工不會(huì)對真正的危險(xiǎn)一無所知，可以就網(wǎng)絡(luò)犯罪分子可能使用的策略進(jìn)行建設(shè)性的討論，而無需在模擬中讓員工直接接觸這些主題。”

Blythe表示，無論哪種方式，模擬網(wǎng)絡(luò)釣魚仍然只是培養(yǎng)員工良好安全行為的整體戰(zhàn)略的一部分，明確這一點(diǎn)很重要。“還值得注意的是，網(wǎng)絡(luò)釣魚測試不是萬能的，如果最終目標(biāo)是減少成為網(wǎng)絡(luò)釣魚攻擊受害者的員工數(shù)量，還有其他安全行為需要關(guān)注和解決?！?/p>

最終，如果網(wǎng)絡(luò)釣魚測試的目標(biāo)僅僅是用各種手段誘使用戶點(diǎn)擊，然后發(fā)出警告教訓(xùn)，很可能適得其反，不僅無法教育用戶面臨網(wǎng)絡(luò)釣魚攻擊的風(fēng)險(xiǎn)，還會(huì)讓他們無所事事、士氣低落，甚至情緒受到影響。相比之下，如果采用符合道德和同理心的方法，則測試工作能夠與組織文化保持一致，并得到積極強(qiáng)化和建設(shè)性互動(dòng)的支持，鼓勵(lì)員工實(shí)踐安全行為，隨著時(shí)間的流逝，網(wǎng)絡(luò)釣魚測試才可能成為推動(dòng)組織提高安全意識(shí)的有效工具。

來源：安全牛