محاكاة التصيد

تهدف محاكاة التصيد بشكل أساسي إلى زيادة الوعي بالتصيد من خلال توفير برنامج تعليمي بديهي وتقييم مخصص (بدون أي إعداد فعلي - لا نطاق، لا بنية تحتية، لا عنوان بريد إلكتروني فعلي) لتقييم تصرف الأشخاص في أي موقف معين، وتتيح القدرة على فهم وضع الوعي الحالي

ماذا؟

• أحد أهداف المؤسسات التي تجري تقييم الفريق الأحمر هو معرفة نقاط الضعف في النظام البيئي لتكنولوجيا المعلومات والذي يشمل الأشخاص والشبكة. تبذل المؤسسات كل جهد لتحسين أمان المحيط وإصلاح الثغرات الموجودة، لكن يظل الأشخاص الحلقة الأضعف. يلعب التصيد دورًا حيويًا في فهم الوعي الأمني للموظف.
• تمكن محاكاة التصيد المستخدم من فهم التصيد دون تنفيذ هجوم تصيد 'حي' فعليًا، من خلال الاستفادة من جلسات التدريب الجذابة والبديهية.
• ستمنحك الأداة بيئة مخصصة لتصميم اختبارك وفقًا لمتطلباتك، مما يجعل الأسئلة مصممة خصيصًا لكل مؤسسة وفريدة لكل شخص، قريبة من هجوم التصيد في الوقت الفعلي، مستهدفة ويصعب الإجابة عليها، تغطي السيناريوهات وأسئلة التصيد عبر الرسائل النصية (SMiShing)، وكل ذلك بدون أي إعداد فعلي. بمجرد تصميم الاختبار، يمكن لجميع الجمهور المستهدف إجراء التقييم وتقديم إجاباتهم. سيكون لدينا تحليل في نهاية الحملة لفهم وضع الوعي الحالي.
• كل ما يتطلبه الأمر هو نقرة واحدة فقط! لذا فإن هذا سيجعلنا نفكر مرتين قبل القيام بتلك النقرة الواحدة.

لماذا؟

• عند إجراء تقييم الفريق الأحمر، تكون مهمة إعداد حملة تصيد كاملة مهمة شاقة. قرر نطاقًا، اشتره، قم بإعداد موقع تصيد، صمم بريدًا إلكترونيًا واختر الجمهور المستهدف، تتبع النقرات لمعرفة من قام بالنقر عليها فقط ووعيهم.
• سيحتاج هذا إلى وقت وخبرة للإعداد.
• ستساعدك الأداة في القيام بكل هذا ببضع نقرات فقط (وهذه النقرات مشروعة وتساعدك :))
• الأشخاص هم الأكثر توقعًا غير متوقع، وهذه الأداة ستساعدك على معرفتهم ونمط نقراتهم.

الميزات وكيفية الاستخدام

الأداة تحتوي على وحدتين رئيسيتين:

1. وحدة الإدارة: التي لديها صلاحية إعداد الاختبار وعرض التحليل، يمكن الوصول إليها على http://localhost/AdminPanel/login.php، بيانات تسجيل الدخول الافتراضية هي admin/admin
2. وحدة العميل: التي لديها صلاحية الوصول إلى البرنامج التعليمي والتقييم فقط، يمكن الوصول إليها على http://localhost/phishClient/

• البرنامج التعليمي (وحدة العميل)
  • سيكون لديه كتاب تعليمي يقدم التصيد والتقنيات العامة المستخدمة مما سيخلق الوعي والتثقيف.
• التقييم (وحدة العميل)
  • سيشمل أسئلة متنوعة يمكن أن تكون رسائل تصيد أو موقع تصيد أو سيناريوهات أو تصيد عبر الرسائل النصية (SMiShing)، وسيتعين على المستخدم اختيار إجراءهم سواء كانوا سينقرون عليه أو يتجاهلونه أو يبلغون عنه.
  • ستكون الأسئلة مختلفة لكل مستخدم حتى تحت نفس رمز الاختبار.
  • ستحتوي الأسئلة على مزيج عادل من الأسئلة الإيجابية والسلبية.
  • لاجتياز الاختبار، يجب أن تكون جميع الإجابات صحيحة لأن كل ما يتطلبه الأمر هو نقرة واحدة!
• إعداد الاختبار (وحدة الإدارة)
  • ستطلب الأداة منك بعض المعلومات الأساسية هنا. على سبيل المثال لا الحصر،
    • اسم النطاق: هنا ستُدخل نطاقك الشرعي وستنشئ الأداة مجموعة من النطاقات المشابهة التي يمكن للخصوم استخدامها لمهاجمتك. يمكنك اختيار واحد منها والذي سيتم استخدامه أثناء تقييم محاكاة التصيد الخاص بك.
    • الرابط: هنا ستُدخل رابط مواقع الويب الأكثر استخدامًا لديك، وسنقوم بإنشاء موقع تصيد مشابه سيتم عرضه تحت النطاق المشابه الذي اخترته لإنشاء سيناريو واقعي يُعرف أيضًا باسم 'Typosquatting' أثناء التقييم.
    • رمز الاختبار: يمكنك إنشاء رمز اختبار لكل قسم وإنشاء تكوين اختبار مختلف لهم بحيث يحصل الجميع على مواقع تصيد مختلفة مما يجعل التقييم أكثر صعوبة. حتى تحت نفس مجموعة الاختبار، ستكون الأسئلة مختلفة لكل موظف.
    • المعاينة: يمكنك معاينة شكل ومظهر صفحة التصيد التي أنشأناها مشابهة لموقعك الأصلي.
    • معرف البريد الإلكتروني: هنا يجب إضافة معرف بريد إلكتروني رسمي يُستخدم عادة للتواصل الجماعي، وسنقوم بتوليد المزيد من هذه المجموعات من عناوين البريد الإلكتروني واستخدامها أثناء التقييم.
• التحليل (وحدة الإدارة)
  • سيكون لديه رسم بياني لتحليل السيناريوهات المختلفة بناءً على النمط الذي أجاب به الموظفون على الأسئلة.
  • سيساعد هذا في معرفة وضع الوعي الحالي للمؤسسة.
• الدعوة (وحدة الإدارة)
  • يمكن للمسؤول رفع ملف CSV ودعوة الأعضاء لإجراء الاختبار.

الفوائد

• سيؤدي هذا إلى التخلص من الحاجة إلى إعداد حملة تصيد كاملة يدويًا وبيئة تصيد 'حية'.
• التقييم مخصص، مما سيجعله هجومًا مستهدفًا للمستخدم المستهدف.
• واجهة بديهية وتفاعلية لممارسة العملية بأكملها.
• لا حاجة لوجود مختبر اختراق أو مستشار لتنفيذ حملة التصيد، يمكنك القيام بذلك بنفسك ببضع نقرات.
• اعرف موظفيك واجعلهم واعين.

إرشادات التثبيت

دوكر

سيتم تحديثه قريبًا (الإصدار 2.0)

التثبيت اليدوي لنظام ويندوز (يجب أن يكون مشابهًا لنظام لينكس)

1. قم بتنزيل XAMPP من - https://www.apachefriends.org/download.html واتبع عملية التثبيت على الشاشة. سيقوم بتثبيت خادم الويب وMySQL لك.
2. إذا كنت لا ترغب في استخدام XAMPP، فإن أي خادم ويب لديك وتثبيت مستقل لـ MySQL سيكون كافيًا.
3. بمجرد الانتهاء من الخطوة 1 أو الخطوة 2 حسب اختيارك، في لوحة تحكم XAMPP، ابدأ خدمات 'Apache' و'MySQL'.
4. افتح http://localhost/phpmyadmin/ أو http://IP/phpmyadmin/ في المتصفح.
5. انقر على 'قواعد البيانات' وأنشئ قاعدة بيانات باسم 'phishadmin'
6. انقر على 'استيراد' وقم باستيراد الملف المرفق هنا مع الكود، الموجود في مجلد /sql/ باسم phishadmin.sql
7. انسخ الكود المصدري المتاح هنا تحت مجلد C:\xampp\htdocs\ (سيختلف المسار لمستخدمي لينكس) وبذلك تكون قد انتهيت من الإعداد.

راجع قسم 'كيفية الاستخدام' للاستخدام.

(1) وحدة الإدارة - http://localhost/AdminPanel/login.php، بيانات تسجيل الدخول الافتراضية هي admin/admin. (2) وحدة العميل - http://localhost/phishClient/

لمحة