Phishious は、レッドチーム向けに設計されたオープンソースの Secure Email Gateway (SEG) 評価ツールキットであり、CanIPhish のチームによって開発されました。Phishious を使用すると、フィッシングマテリアルを提示した際に、さまざまな Secure Email Gateway 技術がどのように動作するかを確認できます。
Phishious が Secure Email Gateway 評価において世界初であると言っても冗談ではありません。現在、あなたのフィッシングメールを複数の Secure Email Gateway に対してスキャンできるツールは（無料・有料問わず）他に存在しません。最も近いユーティリティは VirusTotal ですが、これは特にマルウェア検出に焦点を当てており、スパム/フィッシング検出ではありません。Phishious を使用することで、世界で最も人気のある Secure Email Gateways に対して自由にフィッシングマテリアルをテストできます。これは、フィッシングキャンペーンがどの程度成功するかの指標を提供するため、非常に貴重な機能です。
Phishious は、多くの組織がメールのバウンス応答や未達レポートで過度に機密性の高い情報を送信するという一般的な設定ミスを利用します。機密情報は通常、改ざんされていない元の着信メールヘッダーの形で提供されます。この情報を Phishious に取り込むことで、関連情報を抽出し、メールが宛先の迷惑メールフォルダに入る可能性が高いか、SEG によって完全にブロックされるかを検出できます。これを多くのターゲットに拡大すると、これらの情報を集約して、特定のフィッシングマテリアルが配信されたときにさまざまな SEG がどのように動作するかについての全体像を提供できます。メールバウンス攻撃とその結果生じる問題をより深く理解するには、以下の ブログ記事 を読むか、BSides Canberra のプレゼンテーション をご覧になるか、または以下の youtube の紹介ビデオをご視聴ください。
Windows 10 Endpoint, Windows Server 2012+ または .NET Core 5.0 を実行可能な任意の Linux システム（ https://dotnet.microsoft.com/download/dotnet/5.0 を参照）
Phishious は .NET Core 5.0 MVC Web アプリケーションです。したがって、Windows では IIS を使用して、Linux では Apache を Web サーバーとして使用して実行できます。ただし、Phishious を使用する最も簡単な方法は、プロジェクトをクローンして、お気に入りの IDE（例：Visual Studio、Visual Studio Code、Rider など）を使用してデバッグすることです。
自動スキャンは、数回のクリックで Phishious が自動的にメールを送信し、バウンス応答を取り込み、メールヘッダーを分析するオーケストレーションレイヤーを追加します。ユーザーとしての主な作業は、脆弱なメール受信者を特定することです。
Phishious は公開インフラを悪用するように設計されているため、異なるメールセキュリティ技術を使用するさまざまなターゲットを特定する必要があります （例：ターゲット 1 は Sophos PureMessage、ターゲット 2 は Cisco IronPort など）。脆弱なメール受信者の特定は、手動分析 （例：CanIPhish Supply Chain Analysis） またはプログラムによる手段 （例：CanIPhish Supply Chain API） で行うことができます。
参考：付随する画像は CanIPhish Supply Chain Scan のもので、脆弱な 'Mail Receiver Supply Chain' を示しています。
ターゲット設定。 ターゲットドメインをスペース、改行、またはカンマで区切って入力します。続いて、ローカルパートアドレスに存在しないアドレスを入力します。
SMTP 設定。 使用予定の SMTP サーバー設定を入力します。
注意：Gmail を使用する場合は、「安全性の低いアプリのアクセス」を有効にした使い捨ての Gmail アドレスを使用してください。この設定は、こちらをクリックして切り替えることができます - https://myaccount.google.com/lesssecureapps。受信メールが迷惑メールに振り分けられないようにフィルタを設定します（設定歯車 > すべての設定を表示 > フィルタとブロック中のアドレス > 新しいフィルタを作成）。最後に、Gmail の場合、ユーザー名とパスワードはあなたの Gmail メールアドレスとパスワードです。
ストレージスキャン設定。 メールのバウンス応答が保存される場所を入力します。現時点では、Gmail と Amazon S3 の両方がストレージ先としてサポートされています。
注意：Amazon S3 を使用する場合は、バウンス応答をこの場所に転送するための何らかの転送機能を設定する必要があります（例：宛先を S3 にした Amazon SES Mail Receiver）。
メールプライミング設定。 送信元メールアドレス、表示名、および悪意のない件名とメール本文を入力します。メールプライミングは、それぞれの Secure Email Gateway 技術の通常の動作をベースライン化し、悪意のあるメールを配信したときの差分を分析するために使用されます。
すべての設定を入力したら、[Save Settings] をクリックし、次に [Prime Filters] をクリックします。プライミングが完了するまで最大 1 分待ちます。
プライミング中にメールを送信した同じターゲットに、悪意のあるコンテンツをメールで送信する時です。
ステップ 1. 送信元メールアドレス、表示名、悪意のある件名とメール本文を入力します。
ステップ 2. [Detonate Filters] をクリックします。起爆が完了するまで最大 1 分待ちます。
結果を分析して、フィッシングマテリアルがブロックされたか、検出されなかったかを判断します。[View Detail] をクリックして、Email Headers 内で分析されたテキストと、それが Phishious の全体的な評価にどのように影響したかを確認します。
参考：付随する画像は、2 つの異なる SEG 技術の詳細ビューを示しています。このビューは、Phishious が Email Headers を分析して、1 つのフィッシングメールから 2 つの異なる結果をどのように提供するかを示しています。
Phishious は公開インフラを悪用するように設計されているため、異なるメールセキュリティ技術を使用するさまざまなターゲットを特定する必要があります （例：ターゲット 1 は Sophos PureMessage、ターゲット 2 は Cisco IronPort など）。脆弱なメール受信者の特定は、手動分析 （例：CanIPhish Supply Chain Analysis） またはプログラムによる手段 （例：CanIPhish Supply Chain API） で行うことができます。
参考：付随する画像は CanIPhish Supply Chain Scan のもので、脆弱な 'Mail Receiver Supply Chain' を示しています。
ステップ 1. バウンス攻撃の脆弱性が存在し、既知の Secure Email Gateway (SEG) が使用されているさまざまなターゲットドメインの存在しないアドレスに、悪意のないコンテンツをメール送信します。
注意：現時点では、バウンス応答の受信については Amazon SES と Gmail のみテストされています。Exchange Online は使用しないでください。
参考：付随する画像は、15 のターゲットの存在しないアドレスに送信されたメール（Gmail 内）です。各ターゲットは、異なる Secure Email Gateway 技術に基づいて一意に識別および選択されました。
ステップ 2. 180 秒待ちます。受信したすべてのバウンス応答をダウンロードし、フィルタープライミングのために Phishious にアップロードします。プライミング後、特定されたすべての Secure Email Gateway 技術のステータスが表示されます。フィルター起爆（フェーズ 3）では、これらの技術のみが対象となります。
参考：付随する画像は、メールのバウンス応答が Phishious にアップロードされ、その後フィルタープライミングの観測結果が表示される様子を示しています。
ステップ 1. フェーズ 2 でメールを送信した同じターゲットドメインの存在しないアドレスに、悪意のあるコンテンツをメール送信します。
注意：現時点では、バウンス応答の受信については Amazon SES と Gmail のみテストされています。Exchange Online は使用しないでください。
参考：付随する画像は、フェーズ 2 で対象とした同じ存在しないアドレスに送信されたメール（Gmail 内）です。各ターゲットは、異なる Secure Email Gateway 技術に基づいて一意に識別および選択されました。
ステップ 2. 180 秒待ちます。受信したすべてのバウンス応答をダウンロードし、フィルター起爆のために Phishious にアップロードします。起爆後、特定されたすべての Secure Email Gateway 技術のステータスと、フィッシュがブロックされたか、検出されなかったかが表示されます。
参考：付随する画像は、メールのバウンス応答が Phishious にアップロードされ、その後フィルター起爆の観測結果が表示される様子を示しています。
結果を分析して、フィッシングマテリアルがブロックされたか、検出されなかったかを判断します。[View Detail] をクリックして、Email Headers 内で分析されたテキストと、それが Phishious の全体的な評価にどのように影響したかを確認します。
参考：付随する画像は、2 つの異なる SEG 技術の詳細ビューを示しています。このビューは、Phishious が Email Headers を分析して、1 つのフィッシングメールから 2 つの異なる結果をどのように提供するかを示しています。
ドキュメントは常に進行中の作業であり、CanIPhish のウェブサイトまたはこちらの GitHub で見つけることができます。不足しているものを見つけましたか？ Issue を作成してお知らせください！フィッシングメールの見た目や感触に興味がありますか？ インタラクティブなフィッシングメールシミュレーター をご覧ください。
バグを見つけましたか？ さらに機能が欲しいですか？ ドキュメントに欠けているものがありますか？ お知らせください！ 遠慮なく Issue を作成 してください。すぐに対応します。
Phishious - Open-Source Secure Email Gateway Evaluation Toolkit
The MIT License (MIT)
Copyright (c) 2021 - 2021 CanIPhish Pty Ltd
Permission is hereby granted, free of charge, to any person obtaining a copy
of this software ("Phishious Community Edition") and associated documentation files (the "Software"), to deal
in the Software without restriction, including without limitation the rights
to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
copies of the Software, and to permit persons to whom the Software is
furnished to do so, subject to the following conditions:
The above copyright notice and this permission notice shall be included in
all copies or substantial portions of the Software.
THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN
THE SOFTWARE.
このツールは、使用許可を得ているアプリケーション/ネットワークでのみ使用する必要があります。誤用や損害はすべてユーザーの責任となります。