IT-Sicherheit: Fake Mail, - Analyse, - Schulungssystem

Mitglied: m4rc.x

m4rc.x (Level 1)

21.11.2019 um 09:37 Uhr, 2340 Aufrufe, 12 Kommentare, 5 Danke

Hallo zusammen,

für mein Abschlussprojekt hat mir mein Abteilungsleiter eine Projektidee in den Raum geworfen:

Ein anderer IT-Leiter eines Automobilhändlers hat ein System aufgebaut welches die Mitarbeiter für IT-Sicherheit sensibilisieren soll.
Das System sendet z.B. eine E-Mail an einen Mitarbeiter, die nach einer relativ offensichtlichen Phishing Mail aussieht. Das System trackt dann, wie die Mitarbeiter mit der Mail umgegangen ist und wertet dies aus.

Mehr Infos haben wir dazu leider nicht bekommen.
Kennt jemand so ein System?
Google hat bei der geringen Informationsmenge nicht viel ausgespuckt...


Vielen Dank im Voraus
LG
Mitglied: Visucius
21.11.2019, aktualisiert um 09:59 Uhr
Mal nach "Penetration tools" suchen. Ich würde vielleicht noch IT u/o Security als Suchbegriff ergänzen.

Wurde früher auch gerne mal mit "vergessenen" USB-Sticks usw. gemacht. Jetzt also schon Autohäuser ... werden die von der Brut der eigenen grünen Kundschaft attackiert?
Mitglied: sirhc4022
21.11.2019 um 10:06 Uhr
Mir fällt da spontan "Lucy" ein.
Mitglied: m4rc.x
21.11.2019 um 10:28 Uhr
Danke!

"werden die von der Brut der eigenen grünen Kundschaft attackiert?"
...Hm ich denke soweit ist es NOCH nicht... Aber mal sehen :D
Genug Fake und Phishing Mails gibt es hier auf jeden Fall.
Mitglied: sofifreak
21.11.2019 um 10:29 Uhr
Hallo,

wir nutzen Phish Thread von sophos.

Da kannst 3 Angriffsszenarien wählen und hast je Szenario zig Vorlagen. Die sich dann noch editieren lassen.

Und alle klickwütigen Kollegen dürfen direkt im Anschluss ein Awarnesstraining am Browser besuchen.
Tolle Sache.

Gruß Daniel
Mitglied: Bitboy
21.11.2019, aktualisiert um 10:34 Uhr
Hi,

oder selber bauen.
Exchange Search-Mailbox und dazu ein Office Dokument mit VBA Code drin erfüllen da schon den Zweck.

Wichtig: Da man das als Überwachung der Mitarbeiter auslegen könnte muss das ganze vom Datenschutzbeauftragten und der GF abgesegnet sein.

Grüße
Mitglied: sxxt60
21.11.2019 um 10:45 Uhr
Hallo,

wir (~ 3500 User) nutzen hierfür seit Anfang diesen Jahres das System von Wombat Security (seit letztem Jahr ein Teil von proofpoint).
Wir haben seinerzeit die Lösung vom Wombat, sowie Sophos PhishThreat evaluiert.
Die Lösung vom wombat bietet im Vergleich jedoch weit mehr Möglichkeiten. Es handelt sich hier um eine Lösung für eLearning (Security Awareness Training) in Kombination mit einer ThreatSimulation Lösung (fingierte Phishingmails). Wir sind soweit zufrieden damit und können das System weiterempfehlen.

Wir konnten innerhalb dieser kurzen Zeit mittels eLearning und Phishingtests die Clickraten auf Phishingmails von ursprünglich ca. 25% auf rund 5-10% senken. Wir streben eine Quote unter 5% an. Zuvor hatten wir nur über Newsletter "geschult".

VG
Florian
Mitglied: Lochkartenstanzer
21.11.2019 um 12:28 Uhr
Moin,

Sowas ist relativ einfach selbst zu bauen. Du setzt einen Webserver auf, der auf dem ein Logger läuft und der protokolliert, welche URLs angefordert werden.

Dann sendest Du einfach Mails mit einem eingebetteten Link (kann sowohl manuell auch automatiseirt erfolgen), wobei Du dem Link eindeutige Parameter zur Identifikation des "Empfängers" schickst.

Anschließend einfach die Logs des Webserver auswerten.

Für einen einfachen Test reicht da ein RasPi mit klein wenig Handarbeit (1h Aufwand)

Bei größeren Ansprüchen oder der Zielsetzung das Ding universell einsetzen zu können kann man da ein paar Tage Arbeit reinstecken.

lks
Mitglied: m4rc.x
21.11.2019, aktualisiert um 14:28 Uhr
@sofifreak

Hi,

danke für die Antwort.
Das ist genau das was ich gesucht habe.
Vor allem das die seit kurzem die Deutsche Version im Learning-Tool released haben ist perfekt.
Dann zieht das beim Übersetzen (fast) keine Zeit.

Danke!
Mitglied: Visucius
21.11.2019, aktualisiert um 14:35 Uhr
Fast wie ein „richtiger“ Spammer. 1x1 Pixel nicht vergessen. Der Kollege im Nachbarthread hat ja vielleicht noch ein paar osteuropäische Gestaltungsempfehlungen in seiner Mail 😉
Mitglied: NetzwerkDude
21.11.2019 um 18:55 Uhr
Mal ein nichttechnischer Einwand:
Ich find sowas assi, weil am Ende wird es von irgendwelchen fiesen Vorgesetzten eingesetzt um ungeliebte Mitarbeiter anzugreifen:
Früher oder später klickt jeder mal auf einen Fake Mail Link - und dann werden irgendwelche Alöcher es ausnutzen um diese Person zu diskreditieren.

Am Ende fallen Werkzeige immer in Hände der falschen Leute - bau einfach keine solchen Werkzeuge.
Such dir ein anderen Projekt

Just my 2 cents

MFG
N-Dude
Mitglied: m4rc.x
23.11.2019 um 10:17 Uhr
Dein Einwand ist berechtigt.
Wir (damit meine ich die gesamte IT-Abteilung) haben nicht vor, dass für andere Vorgesetzte zu berechtigen.
Das System wird ausschließlich von uns genutzt und soll uns ein Überblick geben, in welchen Bereichen wir noch schulen müssen.
Wir werden keine einzelne Person damit konfrontieren, sondern direkt eine Sparte bei uns im Unternehmen, bspw. alle Kollegen der Buchhaltung. Die Analysedaten werden dem Vorgesetzten nicht übermittelt, da wir niemanden an den Pranger stellen wollen.
Mitglied: Visucius
23.11.2019, aktualisiert um 10:20 Uhr
... ja! So fängts immer an

Und wenn der Chef, ggfs. der Inhaber, die Daten anfordert?! Dann sind die Daten "mausgerutscht"?!
Titel: IT-Sicherheit: Fake Mail, - Analyse, - Schulungssystem
Content-ID: 517519
Art des Inhalts: Frage
Ausgedruckt am: 28.02.2020 um 18:55:15 Uhr
URL: https://administrator.de/contentid/517519