피싱과 사회공학
클릭률은 잘못된 지표입니다. 누군가는 늘 클릭하며, 누가 클릭했는지 순위를 공개하면 직원들은 그것을 숨기는 법을 배웁니다. 실제 사고가 어떻게 흘러갈지 예측하는 숫자는, 첫 번째 사람이 그 메시지를 신고하기까지 걸리는 시간, 그리고 신고했을 때 실제로 무언가 일어나는지입니다.
포함 사항
- 귀사에 대해 공개적으로 찾을 수 있는 정보를 반영한 시나리오 개발
- 합의된 대상 명단, 요청 시 특정 인원 제외
- 훈련을 위해 구축하고 끝난 뒤 철거하는 인프라
- 전달, 상호작용, 자격 증명 입력, 신고에 대한 측정
- 선택 사항으로, 접근이 아닌 인식 제고를 위한 페이로드 없는 랜딩 페이지
받으시는 것
- 첫 신고까지 걸린 시간 - 가장 중요한 수치입니다
- 전달률과 상호작용률은 집계로만, 결코 이름이 담긴 명단으로는 제공하지 않습니다
- 귀사 메일 필터링이 걸러낸 것과 통과시킨 것
- 누군가 실제로 신고했을 때 보안 대기열에서 무슨 일이 있었는지
- 개인이 아니라 프로세스를 겨냥한 인식 제고 권고
- 요청 시 감사인과 고객을 위한 확인서
- 재테스트 이후의 조치 확인서(별도 문서)
프로젝트의 형태
- 개별적으로 범위 설정테스트 시작 전에 서면으로 확정합니다. 신고 기간을 포함해 1~3주일반적인 수행 기간. 마감일이 있다면 그에 맞춰 구성합니다. 가격 산정 방식
클릭이 아니라 신고
집계된 수치를 보고드리며, 누가 클릭했는지에 대한 명단은 넘기지 않습니다. 이는 의도된 제약이며, 협의의 여지는 더 많은 프라이버시 쪽으로만 있고 그 반대는 없습니다. 이유는 원칙이 아니라 실무적입니다. 징계 명단을 만들어내는 훈련은 다음 진짜 피싱을 숨기는 조직을 만들어냅니다. 바로 귀사가 막으려는 실패 양상입니다.
대신 저희가 정밀하게 측정하는 것은 신고 경로입니다. 첫 신고까지 얼마나 걸렸는지, 어떤 채널을 통했는지, 그다음 무슨 일이 있었는지. 40퍼센트가 클릭하더라도 첫 신고가 90초 만에 들어와 대응이 작동하는 조직은, 5퍼센트만 클릭하지만 아무도 아무에게 말하지 않는 조직보다 훨씬 나은 상태입니다.
승인과 경계
테스트 대상이 되는 사람들을 대신해 승인할 수 있는 분의 서면 승인, 명시적인 대상 명단, 명시적인 제외 명단, 그리고 정해진 수행 기간입니다. 실존하는 특정 임직원, 규제 기관, 의료 제공자, 또는 진짜 개인적 긴급 상황을 건드리는 시나리오는 사용하지 않습니다. 자격 증명이 입력되었다는 사실 이상으로 자격 증명을 수집하지 않습니다. 일어났다는 사실만 기록하며, 그 내용은 기록하지 않습니다.
조사는 어디서 오는가
시나리오의 질은 무언가를 가르치는 훈련과 모두가 알아채는 훈련을 가르는 차이입니다. 저희는 귀사 조직에 대해 실제로 찾아낼 수 있는 것에서 시나리오를 만듭니다. 공격자가 쓸 바로 그 공개 출처입니다. 찾아낼 수 있는 표면이 예상보다 넓다는 사실 자체가 하나의 지적 사항이 되기도 합니다. 이 작업의 바탕에는 피싱 수법과 신뢰된 인프라 악용에 관한 공개 연구가 있습니다.
질문
아닙니다. 의도적입니다. 집계된 비율과 신고 경로에 대한 자세한 그림을 받으십니다. 개인을 지목하면 다음 진짜 피싱 메일을 숨기는 조직이 어김없이 만들어지고, 그 손실은 훈련으로 얻는 것보다 큽니다.
귀사 조직에 대해 공개적으로 찾을 수 있는 정보로 만든 현실적인 시나리오입니다. 실존하는 특정 임직원, 규제 기관, 의료 제공자, 개인적 긴급 상황을 사칭하는 일은 결코 없습니다. 경계는 무엇이든 발송되기 전에 수행 규칙에 명시됩니다.
자격 증명이 입력되었다는 사실만 기록합니다. 자격 증명 자체는 저장하지 않습니다. 인식 제고가 목적이라면 랜딩 페이지에 자격 증명 입력란을 아예 두지 않도록 구성할 수도 있습니다.
음성 시나리오는 해당 관할에서 합법이고 서면으로 승인된 경우 범위에 포함할 수 있습니다. 물리적 침입은 이 프로젝트에 포함되지 않습니다.
개별적으로, 대상 명단 규모, 시나리오 수, 수행 기간 길이에 따라 정해집니다.
구매하기 전에 범위를 제대로 정하십시오.
통화 30분, 24시간 이내 서면 고정 가격, 그리고 이것이 필요한 프로젝트가 아니라면 솔직한 답변.