Phishing-Simulation

Phishing-Simulation zielt in erster Linie darauf ab, das Bewusstsein für Phishing zu schärfen, indem ein intuitives Tutorial und eine maßgeschneiderte Bewertung (ohne tatsächliche Einrichtung – keine Domain, keine Infrastruktur, keine echte E-Mail-Adresse) bereitgestellt wird, um das Verhalten von Personen in einer bestimmten Situation zu bewerten, und ermöglicht es, den aktuellen Stand des Sicherheitsbewusstseins zu verstehen.

Was?

• Eines der Ziele von Organisationen, die Red-Team-Assessments durchführen, ist es, die Schwachstellen im IT-Ökosystem zu kennen, zu denen Menschen und Netzwerke gehören. Organisationen unternehmen alle Anstrengungen, um ihre Perimetersicherheit zu verbessern und gefundene Schwachstellen zu patchen, aber der Mensch bleibt das schwächste Glied. Phishing spielt eine entscheidende Rolle beim Verständnis des Sicherheitsbewusstseins der Mitarbeiter.
• Phishing-Simulation ermöglicht es dem Benutzer, dies zu verstehen, ohne tatsächlich einen „Live“-Phishing-Angriff durchzuführen, indem sie ansprechende und intuitive Schulungssitzungen nutzt.
• Das Tool bietet eine maßgeschneiderte Umgebung, um Ihren Test nach Ihren Anforderungen zu gestalten. Dies macht Fragen maßgeschneidert für jede Organisation und einzigartig für jede Person, nah an einem Echtzeit-Phishing-Angriff, zielgerichtet und schwer zu beantworten, szenariobasiert und mit Abdeckung von SMishing-Fragen – aber all dies ohne tatsächliche Einrichtung. Sobald der Test entworfen ist, können alle Zielpersonen die Bewertung durchführen und ihre Antworten einreichen. Am Ende der Kampagne haben wir eine Analyse, um den aktuellen Stand des Sicherheitsbewusstseins zu verstehen.
• Alles, was es braucht, ist nur ein Klick! So bringt uns das dazu, zweimal nachzudenken, bevor wir diesen einen Klick machen.

Warum?

• Bei der Durchführung eines Red-Team-Assessments ist es eine mühsame Aufgabe, eine gesamte Phishing-Kampagne aufzusetzen. Eine Domain auswählen, kaufen, eine Phishing-Website einrichten, eine E-Mail entwerfen und die Zielgruppe auswählen, um die Klicks zu verfolgen und nur zu erfahren, wer alle geklickt hat und deren Bewusstsein.
• Dies erfordert Zeit und Fachwissen für die Einrichtung.
• Das Tool hilft Ihnen, all dies mit nur wenigen Klicks zu erledigen (Und diese Klicks sind legitim und helfen Ihnen :))
• Menschen sind die unberechenbarsten, und dieses Tool hilft Ihnen, sie und die Muster ihrer Klicks zu kennen.

Funktionen und Anwendung

Das Tool hat hauptsächlich 2 Module:

1. Admin-Modul: Hat Zugriff auf das Einrichten von Tests und das Anzeigen von Analysen. Erreichbar unter http://localhost/AdminPanel/login.php, Standard-Anmeldedaten sind admin/admin.
2. Client-Modul: Hat nur Zugriff auf Tutorial und Bewertung. Erreichbar unter http://localhost/phishClient/

• Tutorial (Client-Modul)
  • Enthält ein Tutorial-Buch, das Phishing und die allgemein verwendeten Techniken einführt, um Bewusstsein zu schaffen und zu schulen.
• Bewertung (Client-Modul)
  • Enthält verschiedene Fragen, die Phishing-E-Mails, Phishing-Websites, Szenarien oder SMiShing sein können, und der Benutzer muss seine Handlung wählen: ob er darauf klickt, es ignoriert oder meldet.
  • Die Fragen sind für jeden Benutzer unterschiedlich, selbst innerhalb desselben Testcodes.
  • Die Fragen haben eine ausgewogene Mischung aus positiven und negativen Fragen.
  • Um den Test zu bestehen, müssen alle Antworten richtig sein, denn es reicht nur ein Klick!
• Test einrichten (Admin-Modul)
  • Das Tool fragt hier nach einigen grundlegenden Informationen. Um einige zu nennen:
    • Domain-Name: Hier geben Sie Ihre legitime Domain ein, und das Tool erstellt eine Reihe von ähnlich aussehenden Domains, die Angreifer verwenden könnten, um Sie anzugreifen. Sie können eine davon auswählen, die während Ihrer Phishing-Simulationsbewertung verwendet wird.
    • URL: Hier geben Sie die URIs Ihrer häufig verwendeten Websites ein, und wir erstellen eine ähnlich aussehende Phishing-Website, die unter Ihrer gewählten ähnlich aussehenden Domain angezeigt wird, um ein reales Szenario zu erstellen, auch bekannt als „Typosquatting“ während der Bewertung.
    • Testcode: Sie können einen Testcode für jede Abteilung erstellen und für sie unterschiedliche Testkonfigurationen erstellen, sodass jeder unterschiedliche Phishing-Websites erhält, was die Bewertung noch schwieriger macht. Selbst innerhalb desselben Tests sind die Fragen für jeden Mitarbeiter unterschiedlich.
    • Vorschau: Sie können das Aussehen und Gefühl der Phishing-Webseite in der Vorschau anzeigen, die wir ähnlich Ihrer ursprünglichen Website erstellt haben.
    • E-Mail-ID: Hier sollten Sie eine offizielle E-Mail-ID hinzufügen, die normalerweise für Massenkommunikation verwendet wird. Wir werden weitere Kombinationen solcher E-Mail-IDs generieren und sie während der Bewertung verwenden.
• Analyse (Admin-Modul)
  • Enthält ein Diagramm mit der Analyse verschiedener Szenarien basierend auf dem Muster, in dem die Mitarbeiter die Fragen beantwortet haben.
  • Dies hilft, den aktuellen Stand des Sicherheitsbewusstseins der Organisation zu kennen.
• Einladen (Admin-Modul)
  • Der Admin kann eine CSV-Datei hochladen und die Mitglieder einladen, am Test teilzunehmen.

Vorteile

• Dies macht die manuelle Einrichtung einer gesamten Phishing-Kampagne und einer „Live“-Phishing-Umgebung überflüssig.
• Die Bewertung ist maßgeschneidert, was sie zu einem gezielten Angriff für den Zielbenutzer macht.
• Eine intuitive und interaktive Oberfläche, um den gesamten Prozess zu üben.
• Keine Notwendigkeit, einen Pen-Tester oder Berater zu beauftragen, um eine Phishing-Kampagne durchzuführen. Sie können es selbst mit wenigen Klicks erledigen.
• Lernen Sie Ihre Mitarbeiter kennen und schärfen Sie ihr Bewusstsein.

Installationsanleitung

Docker

Wird in Kürze aktualisiert (v2.0)

Manuelle Installation für Windows (ähnlich sollte für Linux gelten)

1. Laden Sie XAMPP herunter von https://www.apachefriends.org/download.html und folgen Sie dem Installationsablauf auf dem Bildschirm. Es installiert den Webserver und MySQL für Sie.
2. Wenn Sie nicht XAMPP verwenden möchten, reicht jeder Webserver, den Sie haben, und eine eigenständige Installation von MySQL aus.
3. Nach Abschluss von Schritt 1 oder Schritt 2, je nach Wahl, starten Sie in der XAMPP-Systemsteuerung die Dienste 'Apache' und 'MySQL'.
4. Öffnen Sie http://localhost/phpmyadmin/ oder http://IP/phpmyadmin/ im Browser.
5. Klicken Sie auf 'Datenbanken' und erstellen Sie eine Datenbank mit dem Namen 'phishadmin'.
6. Klicken Sie auf 'Importieren' und importieren Sie die hier mit dem Code beigefügte Datei unter /sql/ phishadmin.sql.
7. Kopieren Sie den hier verfügbaren Quellcode in den Ordner C:\xampp\htdocs\ (der Pfad variiert für Linux-Benutzer) und Sie sind mit der Einrichtung fertig.

Siehe Abschnitt 'Anwendung' zur Nutzung.

(i) Admin-Modul - http://localhost/AdminPanel/login.php, Standard-Anmeldedaten sind admin/admin. (ii) Client-Modul - http://localhost/phishClient/

Einblick