社交工程演練測試

社交工程

KENL 2024-05-22 13:34:15 ‧ 2354 瀏覽

分享至

近來公司三不五時都收到網路社交詐騙的電子郵件，想要降低公司被駭的風險還有增加同仁們對網路詐騙的警覺性，打算進行內部的社交工程郵件測試，是透過呼叫outlook來寄信，想透過一組仿冒的郵件寄信但會出現錯誤碼554 5.2.252目前應該是應為o365會檢查是否為偽造郵件，仿冒郵件的寄信人還是只能改成跟SMTP驗證帳號同一個，但這樣會降低郵件的真實性，想問各位大大有解決方法嗎。

看更多先前的討論...收起先前的討論...

PIZZ iT邦新手 2 級 ‧ 2024-05-22 13:44:55 檢舉

https://phishinsight.trendmicro.com/

㊣浩瀚星空㊣ iT邦大神 1 級 ‧ 2024-05-22 14:22:45 檢舉

你只能用真實EMAIL，不能用仿冒的。
但所謂的真實郵件，並不一定需要存在POP3。
只要有對應的SMTP及可用的域名就可以。

O365會檢查的原因，就是要杜絕垃圾信。
如果今天連仿冒的MAIL能發。那你也會有收不完的垃圾信。

KENL iT邦新手 5 級 ‧ 2024-05-22 15:35:22 檢舉

那如果我直接在 Exchange Online 中使用連接器設定郵件流程
https://learn.microsoft.com/zh-tw/exchange/mail-flow-best-practices/use-connectors-to-configure-mail-flow/use-connectors-to-configure-mail-flow
他有一個使用案例是透過 Microsoft 365 或 Office 365，從內部部署環境中的裝置、應用程式或其他非信箱實體轉送郵件。這樣可行嗎

JAF001 iT邦新手 5 級 ‧ 2024-05-22 16:41:35 檢舉

也是推 trendmicro Phishinsight Standard (Free) ，官網有詳細設定說明，釣魚郵件有模板可選擇設計內容(不多就是了)，也有教育訓練。
200 recipients per campaign 5 email domains As a standard user, you can create a campaign for a maximum of 200 recipients and send emails to up to 5 domains

微和的風 iT邦新手 5 級 ‧ 2024-05-23 08:00:10 檢舉

我去年也是使用trendmicro Phishinsight Standard (Free) 進行測試，因為第一次測缺少些經驗，不過也證明也有一些使用者的確會去點，所以實施總是好的，免費版中似乎只能一次發送或選群組，群組還要先定義很麻煩，而且時間不能隨機發送，一次發放大量很容易被使用者警覺或互相通知，另外測試網址或網域有可能會被防火牆或防毒封鎖，我是事先開特定開放才能正確抓到使用的有點擊，不然會被封鎖誤以為使用者沒有點擊連結，一般其他正規的測試方式是否還有些不一樣的？

jasonlin268 iT邦研究生 3 級 ‧ 2024-05-23 11:17:57 檢舉

Trendmicro Phishinsight Standard (Free)的確是好用，除了事先有一些模板可以參考、修改以外，對受測者的郵件處理方式也有追蹤、統計的功能，只是免費版無法指定隨機發送測試與一次發送的郵件數量有限制以外(好像是200筆)，其他使用上都還不錯。
測試前需要參考軟體的使用說明，預先在公司的防毒、防垃圾信系統與防火牆設一些網域的白名單，以免測試郵件被攔阻下來，不過實測有些其他廠牌的個人防毒軟體還是會攔阻這些趨勢科技用來測試的網域。
不過大致上使用這套演練系統確實能達到預期的效果。

DennisLu iT邦研究生 1 級 ‧ 2024-05-23 13:28:41 檢舉

假冒公司某些身分，董事長、總經理、人資、財務採購，上鉤率更大。
遇過真正的社交工程攻擊，假冒常用HR來騙。
新進人員收到很緊張差點想點，但又覺得怪，剛好我在旁邊，一看就知道假的。心理狀態就是大咖的信都不敢怠慢。假冒大咖就是好上鉤。

jasonlin268 iT邦研究生 3 級 ‧ 2024-05-27 09:19:46 檢舉

這幾天收到負責資安的同仁傳過來的新聞(如以下連結)，標題是"Google 資安人員疾呼：不要再用「釣魚信」測試員工了！適得其反！"，他大概是想了解我的想法，其實這幾年每年我都會對全公司同仁進行一次社交工程演練，然後針對演練的結果再請負責資安教育訓練的同仁針對不小心被釣的人員進行線上課程補充(平時每年也都會安排對全公司同仁進行一次資安訓練課程)，不知道各位先進對這篇新聞的想法如何？因為意見的來源是Google資安人員，所以覺得似乎也是有些參考的價值，只是與我們平時的做法有些相反。
https://www.inside.com.tw/article/35109-google-stop-trying-to-trick-employees-with-fake-phishing-emails