Phishing-Simulation

Phishing Simulation mira principalmente ad aumentare la consapevolezza sul phishing fornendo un tutorial intuitivo e una valutazione personalizzata (senza alcuna configurazione reale - nessun dominio, nessuna infrastruttura, nessun indirizzo email reale) per valutare l'azione delle persone in una data situazione e dare la possibilità di comprendere l'attuale postura di consapevolezza

Cosa?

• Uno degli obiettivi delle organizzazioni che conducono valutazioni red team è conoscere la debolezza nell'ecosistema IT, che include persone e rete. L'organizzazione si impegna al massimo per migliorare la sicurezza perimetrale e correggere le vulnerabilità scoperte, ma le persone rimangono l'anello più debole. Il phishing gioca un ruolo fondamentale nella comprensione della consapevolezza sulla sicurezza dei dipendenti.
• Phishing Simulation consente all'utente di capirlo senza eseguire effettivamente l'attacco di phishing 'live', sfruttando sessioni di formazione coinvolgenti e intuitive.
• Lo strumento ti fornirà un ambiente personalizzato per progettare il tuo test in base alle tue esigenze, rendendo le domande su misura per ogni organizzazione e uniche per ogni persona, vicine a un attacco di phishing in tempo reale, mirate e difficili da rispondere, basate su scenari e con copertura di domande SMishing, ma tutto questo senza alcuna configurazione reale. Una volta progettato il test, tutto il pubblico target può sostenere la valutazione e inviare le proprie risposte. Alla fine della campagna avremo un'analisi per comprendere l'attuale postura di consapevolezza.
• Basta solo un clic! Quindi questo ci farà pensare due volte prima di fare quel clic.

Perché?

• Durante una valutazione red team, è un compito arduo impostare l'intera campagna di phishing. Decidere un dominio, comprarlo, configurare un sito web di phishing, progettare un'email e scegliere il pubblico target, tracciare i clic solo per sapere chi li ha fatti e la loro consapevolezza.
• Questo richiederà tempo e competenze per essere configurato.
• Lo strumento ti aiuterà a fare tutto questo con pochi clic (E quei clic sono legittimi e ti aiutano :))
• Le persone sono le più imprevedibili e questo strumento ti aiuterà a conoscerle e a capire il modello dei loro clic.

Funzionalità e Come Usare

Lo strumento ha principalmente 2 moduli:

1. Modulo Admin: che ha accesso per configurare il test e visualizzare l'analisi, accessibile all'indirizzo http://localhost/AdminPanel/login.php, credenziali di default sono admin/admin
2. Modulo Client: che ha solo accesso al tutorial e alla valutazione, accessibile all'indirizzo http://localhost/phishClient/

• Tutorial (Modulo Client)
  • Questo avrà un libro tutorial che introduce il phishing e le tecniche generali utilizzate, che creerà consapevolezza e istruirà.
• Valutazione (Modulo Client)
  • Questo includerà varie domande che possono essere email di phishing, siti di phishing, scenari o SMiShing e l'utente dovrà scegliere la propria azione: se cliccare, ignorare o segnalare.
  • Le domande saranno diverse per ogni utente anche all'interno dello stesso codice test.
  • Le domande avranno un mix equilibrato di domande positive e negative.
  • Per superare il test tutte le risposte devono essere corrette perché basta un solo clic!
• Configurare il test (Modulo Admin)
  • Lo strumento ti chiederà alcune informazioni di base. Per citarne alcune,
    • Nome Dominio: qui inserirai il tuo dominio legittimo e lo strumento creerà un insieme di domini simili che gli avversari potrebbero usare per attaccarti. Puoi sceglierne uno che verrà utilizzato durante la valutazione di simulazione phishing.
    • URL: qui inserirai gli URI dei siti web più usati, e creeremo un sito web di phishing dall'aspetto simile che verrà mostrato sotto il dominio simile scelto per creare uno scenario reale, noto anche come 'Typosquatting' durante la valutazione.
    • Codice Test: puoi creare un codice test per ogni dipartimento e creare diverse configurazioni di test per loro, in modo che tutti ricevano siti di phishing diversi rendendo la valutazione ancora più difficile. Anche all'interno dello stesso set di test, le domande saranno diverse per ogni dipendente.
    • Anteprima: puoi vedere l'aspetto e la sensazione della pagina web di phishing che abbiamo creato simile al tuo sito originale.
    • Email: qui dovresti aggiungere un indirizzo email ufficiale generalmente usato per comunicazioni di massa e genereremo più combinazioni di indirizzi email e li useremo durante la valutazione.
• Analisi (Modulo Admin)
  • Questo avrà un grafico di analisi di diversi scenari basati sul modello in cui i dipendenti hanno risposto alle domande.
  • Questo aiuterà a conoscere l'attuale postura di consapevolezza dell'organizzazione.
• Invita (Modulo Admin)
  • L'amministratore può caricare un file CSV e invitare i membri a sostenere il test.

Vantaggi

• Questo eliminerà la necessità di configurare manualmente l'intera campagna di phishing e l'ambiente di phishing 'live'.
• La valutazione è personalizzata, il che la renderà un attacco mirato per l'utente target.
• Un'interfaccia intuitiva e interattiva per esercitare l'intero processo.
• Non c'è bisogno di avere un penetration tester o consulente per eseguire una campagna di phishing, puoi farlo da solo con pochi clic.
• Conosci le tue persone e rendile consapevoli.

Linee Guida per l'Installazione

Docker

Da aggiornare presto (v2.0)

Installazione Manuale per Windows (simile dovrebbe essere applicabile a Linux)

1. Scarica XAMPP da - https://www.apachefriends.org/download.html e segui il flusso di installazione sullo schermo. Installerà il webserver e MySQL per te.
2. Se non vuoi usare XAMPP, qualsiasi webserver tu abbia e un'installazione indipendente di MySQL dovrebbero essere sufficienti.
3. Una volta completato il Passo 1 o il Passo 2 a seconda della tua scelta, sul pannello di controllo di XAMPP avvia i servizi 'Apache' e 'MySQL'.
4. Apri http://localhost/phpmyadmin/ o http://IP/phpmyadmin/ nel browser.
5. Clicca su 'Database' e crea un database con nome 'phishadmin'
6. Clicca su 'Importa' e importa il file allegato qui con il codice, sotto la cartella /sql/ il file phishadmin.sql
7. Copia il codice sorgente disponibile qui sotto la cartella C:\xampp\htdocs\ (il percorso varierà per gli utenti Linux) e hai completato la configurazione.

Fare riferimento alla sezione 'Come Usare' per l'usabilità.

(i) Modulo Admin - http://localhost/AdminPanel/login.php, credenziali di default sono admin/admin. (ii) Modulo Client - http://localhost/phishClient/

Anteprima