halásszunk adatot!

… Amikor ilyet kérnek az ügyfelek, mindig azzal válaszolok: oké, megcsináljuk a tesztet, de mihez kezdtek majd az eredménnyel?

OK, es mit valaszolnak?

Ugye vagy rá klikkel vagy nem, de ebből nem lehet tudni a miértet. Igy azok átmennek a teszten akik nem dolgoznak és a szorgos hangyák közül lesznek akik nem. Ha ez alapján lenne egy elbocsátás, akkor a végén az aktívak száma csökkene.

Egyebkent itt mi az elvart viselkedes? A nem elvart nyilvan az, ha kitolti valos adatokkal.

Ha megnyitja VM-ben, kicsit megpiszkalja mi van mogotte, es utana eleg reszletes reporttal szol az ITsec csapatnak, hogy ezt es ezt kaptam, az jo?

Ha scripttel elarasztja random generalt adatokkal, az mennyire elfogadhato reakcio? (toron keresztul kitunoen megy)

Szégyen vagy sem, mi a tűzfal analitikájával játszunk, ott “jól megnézem” kik nem állnak a helyzet magaslatán. Aztán amikor a vigaszság mélabúba vált, akkor levonjuk a konzekvenciát. Legfőképp azért, hogy extra (úgy értem kiegészítő) módon meg tudjam védeni a., a tagot önmagától. b., magunkat tőle. Van, akinél emiatt eltérő policy van az átfogó védelmi megoldásban. Van, aki röpoktatást kap. Van úgy, hogy support-levél megy házon belül mindenkinek (az analitikára alapozva), hogy mire figyeljen már legyen kedves akit érint ilyesmi.

Szerencsére nem sok szar jön át a tűzfalon és a szűrőkön, évi 10-15 eset alatt vagyunk szerintem, lehet túltippelem - de nem volt mindig így: 3-4-5 éve ezek tényleg sokszor fordultak elő. 

Nagyjából a fentiek lehetnek az okai másoknál is a felmérésnek. Illetve van, ahol auditálhatják is a partnereid, hogy milyen képességű emberek férnek hozzá az ő adataihoz. 

Tapasztalatból mondom, IT cégnél az edukáció évente megismételve jelentősen csökkenti a következő teszten való megbukást. 

Nálunk rendszeresen van ilyen teszt (nagyjából havonta), és igen, egy trükkös domain név kell hozzá (ez azért nem egy nagy ügy, főleg, hogy amúgy is sok domaint kezelünk). O365 a levelezés, szerintem ott eleve trükköznek, hogy átmenjen a spamfilteren, az URL-ben pedig egy hosszú szám az egyedi, így visszakövethető, hogy ki kattintott rá, viszont nem lehet (vagy meglehetősen nehéz lenne) behazudni másokat, mert nyilván egy hosszú számtérnél sok lyuk van. Nálunk az outlookban van egy külön gomb, ami nyilván egy makrón keresztül elküldi a biztonsági részleghez a gyanús leveleket, erre minden gyanús levélnél illik rákattintani, az elintézi a többit. Szokták mérni, és a teamleadernek elküldeni, hogy ki kattintott rá, illetve ki nem jelentette. A véletlen rákattintás eredménye az, hogy újra el kell végezni az adathalászat e-learninget, más retorzióról nem tudok, szóval ez kicsit bosszantó, de nyilván emiatt következő alkalommal jobban figyel a delikvens.

A levél tartalma még egy-egy kampány alatt is eltérő, vagyis van jónéhány csalilevél formátum, random, hogy ki mit kap. Egyetlen helyen bukott meg ez a metódus: van egy header, ami mindig előfordul a csalilevelekben, és csak azokban, úgyhogy erre írtam egy filtert, ha ilyen levél érkezik, az Outlook nekem feldobta a pop-up ablakot, hogy ismét jön egy csapda :)

Beszopjak. Viccesen, hogy az IT fejlesztes (programozok) tobben kattintottak (elmondas szerint poenbol), mint a HR lanyok/fiuk....

Volt kis ejnye bejnye, meg akkor gyertek es hallgassatok meg a sec boss 40 perces előadását.

Ez elég büntetés volt látszólag, mert legközelebb 90+% csökkent a vicceskedők száma :D

Vagy amikor orvosként te jösz rá, hogy miért akad fenn a többiek spamszűrőin a saját levelünk, mert nincs dkim aláírás rajta 

Vagy amikor a külső partner megkér rá, hogy regelj be a http:// linkjén és a noreply.cegnev@gmail.com-ról küldött levélen és fel van háborodva, mert nem csinálom, amit mond és szerződésbontással fenyeget. Persze, amikor megkérem, hogy hagyományos levélben írja le, mert a gmail nálunk tiltólistás(kamu),  akkor előjön a rendes céges emailcím, meg a rendes link is https-sel. 

Vagy amikor lassú a gép, a rendszergazda leül elé és bepetyegi az admin jelszót (administrator/akarmi)), és másnapra minden gépet megfertőz a fos, csak azokat nem, ami nem volt fenn a sophos csoda, csak a beépített defender.

Vagy amikor az igazgatóság 2 gépet használ, mert a céges olyan lassú az egekbe emelt heurisztikától, hogy 1 word megnyitása is percekbe kerül. 

Vagy amikor egy receptíráshoz 5 felhasználónevet és 6 jelszavat kell begépeljek, és mindenki csodálkozik, hogy tüntetésből kinyomtatva is tartok kamujelszavakat az asztalomon, csak hogy érzékeltessem, hogy 24 karakter, szám, betű(kisnagy), különleges karakter véletlenszerű kombinációját lehetetlen megjegyezni.

IT, én így szeretlek!

Nálunk rendszeresen vannak ilyen akciók az inner security team részéről. Ha rákattintasz kapsz egy "Ezt bebuktad" típusú oldalt. Ötödik ilyen eset után következik egy kis elbeszélgetés a menedzsereddel. :-)