Обзор Phishman 2.35, системы повышения осведомлённости пользователей в сфере ИБ

1. 1. Введение
2. 2. Функциональные возможности Phishman 2.35
   1. 2.1. Портал администрирования
      1. 2.1.1. Главная или информационная панель системы
      2. 2.1.2. Сотрудники
      3. 2.1.3. Обучение и контроль за действиями сотрудников
      4. 2.1.4. Шаблоны
      5. 2.1.5. Атаки
      6. 2.1.6. Правила
      7. 2.1.7. Отчёты
      8. 2.1.8. Настройки
      9. 2.1.9. Помощь
   2. 2.2. Портал обучения
3. 3. Лицензирование, архитектура и техподдержка Phishman 2.35
4. 4. Системные требования Phishman 2.35
   1. 4.1. Обновление
5. 5. Применение Phishman 2.35
6. 6. Выводы

Введение

Рост числа кибератак и повышение качества сценариев социальной инженерии за счёт инструментов искусственного интеллекта (ИИ) привели к тому, что злоумышленники всё чаще делают ставку не на поиск технических уязвимостей, а на действия сотрудников. Бухгалтер, специалист отдела кадров, системный администратор работают с разными данными, используют разные информационные системы и имеют разный уровень доступа к корпоративным ресурсам. Поэтому и сценарии атак в их отношении разные.

Например, кто-то может получить письмо с просьбой срочно согласовать платёж или обновить реквизиты, кто-то — уведомление о блокировке учётной записи с переходом на поддельную страницу входа, кто-то — сообщение в мессенджере от имени руководителя с просьбой переслать файл или подтвердить доступ. Часто используются формы входа в корпоративные системы или ссылки на внутренние сервисы, которые внешне не отличаются от привычных рабочих инструментов. Попробуйте сами определить, какая из форм ниже официальная.

Это первая часть обзора, а вторую можно найти по этой ссылке.

Рисунок 1. Фишинговая форма авторизации или настоящая: найди отличия

Правильный ответ: фишинговая — слева. Проблема здесь не в невнимательности пользователей. В большинстве случаев сотрудники просто не обучены распознавать современные сценарии атак и не понимают, как действовать в спорных ситуациях.

Поэтому развитие киберкультуры нельзя свести к проведению одного курса или рассылке одинаковых материалов для всей компании. Такой подход неизбежно приведёт к тому, что часть сотрудников получит информацию, которая практически не связана с их повседневной работой, а реальные пробелы в знаниях останутся незамеченными. Киберкультура формируется тогда, когда сотрудник понимает, какие угрозы характерны именно для его работы, умеет распознавать признаки атаки и знает, как правильно реагировать на потенциальный инцидент.

Чтобы понять, насколько эти навыки сформированы у наших сотрудников, мы решили провести собственную оценку уровня киберкультуры в компании и протестировать Phishman 2.35 — систему повышения осведомлённости пользователей в сфере ИБ (реестровая запись № 6076 от 19.11.2019). Она позволяет не только оценивать знания сотрудников, но и последовательно развивать киберкультуру компании. Обучение в системе не строится по принципу единой программы для всех: она анализирует результаты тестирования, выявляет индивидуальные пробелы и формирует персональные траектории развития для каждого сотрудника.

Для начала погрузились в теорию.

Функциональные возможности Phishman 2.35

Задача Phishman 2.35: развивать киберкультуру, формировать у сотрудников устойчивые навыки безопасной работы с информацией, цифровыми сервисами и корпоративными ресурсами, обучать сотрудников распознавать актуальные сценарии атак, закреплять корректные модели поведения, а также снижать вероятность инцидентов, связанных с человеческим фактором.

За счёт этого уменьшается и нагрузка на подразделение информационной безопасности, поскольку сотрудники начинают быстрее выявлять потенциальные угрозы и правильно реагировать на подозрительные события.

Портал администрирования

Для управления процессом обучения как отдельных сотрудников, так и целых отделов или учебных групп в Phishman используется портал администрирования.

Главная или информационная панель системы

На главной странице представлена сводная информация об обученности, иммунности и киберосознанности сотрудников и др. По умолчанию данные отображаются примерно за последний год. Возможность менять сроки отображения информации на дашбордах, настраивать на главной странице отображение тех виджетов, которые ему необходимы, отсутствует.

Рисунок 2. Информационная панель Phishman 2.35 

Кривая забывания. На некоторых дашбордах есть отметка «Сегодня» — это текущий уровень показателя. Дальше идёт линия прогноза, которая показывает, как со временем может измениться уровень знаний, если их не закреплять повторным обучением или практикой, — кривая забывания.

Рисунок 3. Пример кривой забывания

Кривая позволяет заранее увидеть, когда знания начнут терять актуальность, и поддерживать необходимый уровень компетенций без постоянного ручного контроля при помощи правил. Например, если расчётный уровень знаний сотрудника опускается ниже заданного значения, правило автоматически назначает ему курс, содержащий необходимую компетенцию.

Рисунок 4. Назначение курса при помощи правила в Phishman 2.35

Рисунок 5. Выбор компетенции при создании правила (часть 1)

Рисунок 6. Выбор компетенции при создании правила (часть 2)

Охват аудитории. График предоставляет информацию об общем числе сотрудников, которые:

• не попались на фишинг;
• попались на последний фишинг;
• повторно попались на последний фишинг;
• не тестировались.

Данные отображаются за все время, последние 90 и 180 дней. При необходимости отсюда можно сразу выбрать сотрудников и запустить тестирование.

Рисунок 7. Дашборд «Охват аудитории» в Phishman 2.35

Уровень риска. На основании агрегированных метрик система определяет общий уровень риска и формирует на его основе интерпретируемую картину состояния киберкультуры компании.

Особенность дашборда заключается в том, что он не только отображает общий индекс риска, но и детализирует его по отдельным метрикам, таким как уровень иммунности, обученность сотрудников и киберосознанность. Для каждой из этих метрик система автоматически формирует рекомендации, объясняющие текущее состояние показателей: почему они находятся на определённом уровне, какие факторы на это влияют и какие действия могут привести к улучшению. Рекомендации можно скачать.

Рисунок 8. Рекомендации по повышению иммунности в Phishman 2.35

Рисунок 9. Рекомендации по повышению обученности в Phishman 2.35

Рисунок 10. Рекомендации по повышению киберосознанности

Сотрудники

В разделе расположены инструменты для управления данными сотрудников и выстраивания структуры отделов в соответствии со штатным расписанием компании. Доступны следующие действия:

• добавление / удаление сотрудников, отделов;
• запись на учебный курс;
• проведение быстрой атаки, индивидуальной или групповой;
• назначение сервера системы обучения.

Рисунок 11. Управление сотрудниками в Phishman 2.35

Списком можно добавить до 200 сотрудников единовременно. Доступен их импорт из файла в систему, также возможна синхронизация с AD / ALD Pro.

Рисунок 12. Карточка сотрудника в Phishman 2.35

Обучение и контроль за действиями сотрудников

Раздел предназначен для работы с учебными программами и курсами. Здесь формируются образовательные траектории разной сложности: подбираются курсы и микрокурсы по отдельным темам ИБ, задаётся порядок их прохождения и фиксируются сроки обучения.

Обучение не ограничивается одной категорией сотрудников. Для разных ролей предусмотрены отдельные программы: для топ-менеджмента, для ИТ-специалистов и для остальных сотрудников с разным уровнем доступа к системам и разными зонами риска. Структура курсов не фиксированная: содержание можно адаптировать под внутренние регламенты компании, а также изменить визуальное оформление и логику подачи материала. Платформа поддерживает полное брендирование курсов в формате white label.

Рисунок 13. Вкладка «Курсы» в Phishman 2.35

Доступен контроль процесса обучения: отслеживаются статусы прохождения курсов, направляются напоминания, собирается статистика, включая данные о завершении обучения и других связанных показателях.

Шаблоны

Раздел позволяет управлять категориями шаблонов и самими шаблонами. Всего их в системе около 100 (число не зависит от лицензии). Реализована возможность использовать системные и создавать пользовательские, загрузки шаблона из файла.

В разделе представлены 3 вкладки: 

• «Шаблоны писем» — письма для имитации фишинговой атаки.
• «Системные сообщения» — для уведомления пользователя о важном событии.
• «Фишинговые формы» — поддельные формы для заполнения своих данных пользователем. Встроены в письмо фишинговой атаки (шаблон письма). Добавляются в письмо по желанию.

Рисунок 14. Вкладка «Шаблоны писем» в Phishman 2.35

Рисунок 15. Вкладка «Системные сообщения» в Phishman 2.35

Рисунок 16. Вкладка «Фишинговые формы» в Phishman 2.35

Доступно создание / редактирование шаблона способами:

• вручную, с помощью редактора кода;
• загрузкой письма, экспортированного из почтового клиента. Поддерживаемые форматы — *.EML, *.HTML;
• вставка текста из буфера обмена;
• импорт шаблона.

Чекбокс «Продвинутый режим редактора» расширяет функциональность текстового редактора. 

Эффективность шаблона показывает, насколько часто шаблон используется в рассылках.

Одно из последних обновлений Phishman — граббер (парсер) фишинговых форм. Функция предназначена для автоматического анализа указанной веб-страницы и извлечения ее структуры. После указания URL система загружает страницу, анализирует ее содержимое и формирует локальное представление интерфейса, которое затем может быть использовано в редакторе для дальнейшей работы. Это позволяет избежать ручного переноса элементов страницы и ускоряет подготовку шаблонов.

Рисунок 17. Загрузка URL для граббера фишинговых форм

В качестве примера мы решили загрузить страницу «Госуслуг». Платформа проанализировала страницу, извлекла её структуру и сформировала шаблон, доступный для последующего редактирования. 

Рисунок 18. Результат работы обновления Phishman 2.35

Полученный результат представляет собой отдельную сущность, независимую от созданной формы. Благодаря этому исходные данные можно повторно использовать для пересборки формы, если пользователь внёс неудачные изменения или удалил форму.

Атаки

Раздел отвечает за управление и настройку рассылки шаблонов пользователям.

Рисунок 19. Раздел «Атаки» в Phishman 2.35

Типы фишинговых атак, которые можно запустить:

• Обычная. Рассылка по одному письму по выбранным шаблонам выбранным целям (сотрудникам) в атаке.
• Автоатака. Рассылка писем волнами (группами) по заданному расписанию по всем выбранным шаблонам для выбранных целей.
• Случайная. Рассылка писем по расписанию волнами (группами) по заданному проценту случайных шаблонов от всех выбранных для заданного процента случайных целей от всех выбранных в атаке.
• Быстрая. Рассылка, производимая со страницы «Сотрудники» или через правила сразу после её создания. В рассылке может участвовать несколько шаблонов. Есть возможность отправить часть случайных шаблонов из выбранных. Из атак данного типа можно создать обычные атаки.

Под проведённой атакой размещены графики, показывающие отношение количества писем, удовлетворяющих условию, к общему числу отправленных писем за выбранный в выпадающем списке период.

График «Коэффициент уязвимости» — отношение количества уязвимых писем к общему количеству отправленных писем. В графиках «Перешли по ссылке», «Открыли вложение», «Заполнили форму» диаграммы показывают отношение количества писем с соответствующим уязвимым действием к общему числу отправленных писем за выбранный этап. Рядом с диаграммой отображается число писем с действием.

Помимо фишинговых атак в системе также доступны атаки через USB-накопители. Их подготовка осуществляется через командную строку на сервере с установленной системой Phishman. Флеш-накопители для атак предоставляются заказчиком, консультационную поддержку в подготовке файлов оказывает вендор. В текущей версии функциональность USB-атак поддерживается только в ОС Windows. На данном этапе система фиксирует попытки открытия файлов, а не сам факт подключения носителя.

Подсчёт статистики по атакам. При необходимости предварительного тестирования атак следует использовать отдельный тестовый стенд. В противном случае действия пользователя, выполняемые в ходе проверки на собственном аккаунте, будут учитываться в общей статистике системы и влиять на итоговые показатели. Исключить их из расчётов невозможно.

Правила

Правила позволяют настраивать логику работы системы в соответствии с текущими потребностями организации, расширяя её функциональные возможности и обеспечивая поддержку широкого спектра индивидуальных и нестандартных бизнес-задач.

Рассмотрим пример, когда при поступлении на новую должность сотруднику необходимо пройти обучение. Для этого администратору следует записать его на учебную программу. Чтобы при каждом переходе сотрудника на новую должность не настраивать вручную его отправку на обучение, можно создать правило, благодаря которому система будет назначать сотрудника на нужную учебную программу автоматически.

В системе есть пользовательские правила и системные. Первые — те, которые создаются / редактируются / удаляются самим пользователем. Они позволяют расширить систему под индивидуальные нужды пользователя, как в примере, который был описан выше. Системные правила — правила, поставляемые с системой по умолчанию. Их нельзя удалить. Но можно на 3-м шаге редактировать список сотрудников, на которых правила будут распространяться, и менять местами, удалять или добавлять действия на 4-м.

Рисунок 20. Раздел «Правила» в Phishman 2.35

Отчёты

Запустить создание отчёта можно в разделах «Обучение», «Атаки» и «Отчёты». В разделе представлены пользовательские и системные отчёты — все варианты показаны на рисунке ниже.

Рисунок 21. Раздел «Отчёты» в Phishman 2.35

Настройки

Раздел предназначен для управления настройками Phishman. Здесь можно управлять компаниями, синхронизацией сотрудников, серверами, обновлениями, настраивать параметры отправления писем и многое другое.

Рисунок 22. Раздел «Настройки» в Phishman 2.35

Одним из наиболее востребованных инструментов в ходе нашего эксперимента стал журнал событий. Именно к нему мы обращались чаще всего, поскольку он позволял оперативно отслеживать качество выполнения наших действий. Например, было ли сотруднику доставлено письмо об обучении или завершён ли перерасчёт статистики по атакам и т. д. 

Рисунок 23. Проверка, было ли доставлено письмо об обучении выбранному сотруднику

Помощь

В интерфейс Phishman 2.35 встроена документация по системе: руководство и инструкции, которые помогают быстро разобраться в работе платформы и при необходимости уточнить отдельные функции.

Рисунок 24. Раздел «Помощь» в Phishman 2.35

Рисунок 25. Встроенное руководство по Phishman 2.35

Портал обучения

Портал обучения Phishman — это единая точка входа для сотрудника, где он видит все свои курсы и состояние обучения. После входа отображаются назначенные программы, отдельно — уже завершённые курсы, а также история прохождения. Отсюда же можно выгрузить сертификаты о завершении обучения и вернуться к результатам прошлых периодов.

Рисунок 26. Портал обучения Phishman 2.35

Обучение построено вокруг интерактивных сценариев, где сотрудник проходит практические задания и сразу видит, как действовать в типовых ситуациях. Такой формат помогает не просто познакомиться с материалом, а закрепить его через действия.

Рисунок 27. Выполнение упражнений на реальных примерах

Перед началом обучения сотруднику заранее объясняется, как будет использоваться информация о его результатах. Это влияет на восприятие обучения и делает участие более осознанным.

Количество попыток прохождения курсов задаётся компанией и может быть индивидуально настроено в зависимости от программы обучения. Если с первой попытки результат не достигнут, это не рассматривается как критическая ситуация и не блокирует дальнейшее прохождение обучения. Пользователю предоставляется возможность повторного прохождения.

Рисунок 28. Тест не пройден

Каждый сотрудник может самостоятельно отслеживать свою статистику прохождения обучения.

Рисунок 29. Статистика сотрудника в личном кабинете на портале обучения

После завершения всех модулей сотрудник проходит итоговое тестирование, после которого система показывает, где были ошибки, и сразу даёт правильные ответы, чтобы закрепить материал. По итогам успешного обучения сотруднику выдаётся сертификат.

При желании из портала обучения возможно отправить заявку на прохождения других курсов в Phishman.

Платформа также интегрируется с внешними системами. Она может работать вместе с HR-системами и другими обучающими платформами.

Лицензирование, архитектура и техподдержка Phishman 2.35

Базовый. Подходит для малого и среднего бизнеса. Состоит из модулей:

• Фишинговый модуль. Включает конструктор фишинговых писем, готовые шаблоны и сайты (формы) с ежеквартальными обновлениями.
• Модуль сбора информации. Позволяет добавлять сотрудников вручную списком или синхронизироваться с Active Directory для сбора информации о сотрудниках, учитывая структуру организации.
• Модуль обучения. Портал обучения помогает сформировать у пользователей необходимые навыки в противодействии фишингу в почте, интернете и Telegram, обучает основам ИБ. В этой лицензии доступны 3 курса и 9 микромодулей. 
• Модуль автоматизации. Предоставляет набор готовых предустановленных сценариев (правил) автоматизации.

Продвинутый. Подходит для среднего и крупного бизнеса. Состоит из модулей:

• Фишинговый модуль. Включает конструктор фишинговых писем, готовые шаблоны и сайты (формы) с ежеквартальными обновлениями.
• Модуль сбора информации. Возможность добавления сотрудников через различные системы: AD / ALD Pro / SQL (запросы в произвольную БД). Сбор информации о пользователях из внешних систем (MaxPatrol SIEM, Kaspersky Security Center). Возможность подключения к любой системе через API.
• Модуль обучения. Использование СДО Phishman, возможность интеграции с уже использующейся внешней LMS. Доступны 17 курсов по кибербезопасности, состоящих из 49 обучающих модулей с возможностью брендирования и кастомизации.
• Модуль автоматизации. Свободный мастер создания сценариев правил позволит максимально гибко настроить автоматизированный процесс по формированию киберкультуры и необходимых у сотрудников навыков ИБ. При необходимости возможно приобрести услугу по менеджменту (сопровождению) системы.

Количество шаблонов в обеих лицензиях одинаковое. Ограничений по количеству добавления сотрудников нет.

Техническая поддержка предоставляется только для актуальной версии Phishman. Она включает консультирование пользователей по следующим вопросам:

• установка и настройка продукта, уточнение функций и характеристик продукта, порядок его использования, разъяснение технической документации;
• сбои, неисправности, анализ и диагностика проблемы, предоставление решений и рекомендаций, исправление проблем в работе продукта;
• поддержка и выпуск актуальных версий, поддержка технической работоспособности курсов, брендирование.

Техническая поддержка не проводит демонстрацию системы и обучение сотрудников пользователя работе с системой. Не диагностирует и не оказывает услуги в отношении телекоммуникационного, инфраструктурного и прочего оборудования, не входящего в Phishman.

Для неактуальных версий продукта предоставляется только консультация.

Системные требования Phishman 2.35

Процесс установки дистрибутива состоит из нескольких этапов ручного ввода данных и автоматического развёртывания системы, что подробно описано в инструкции по установке.

Таблица 1. Требования к ИТ-инфраструктуре

Необходимо добавить два доменных имени (А-записи в DNS) для порталов системы Phishman и техническую А-запись для рассылок. Например:

• phishman.YOURDOMAIN.ru для портала администрирования и отчётности;
• edu.YOURDOMAIN.ru для портала обучения;
• *.phishman.YOURDOMAIN.ru для рассылок. В письмах системы ссылки будут содержать различные поддомены, обслуживаемые данной записью.

Кириллические адреса не поддерживаются.

По окончании установки будет выведена информационная строка со ссылкой на портал администрирования системы: «The site is available at http://имя.сервера».

Для работы порталов системы по протоколу HTTPS необходимо выпустить сертификаты для доменных имён порталов системы в формате PEM или PFX средствами доменного центра сертификации или внешними удостоверяющими центрами.

Обновление

При каждом обновлении системы проводятся информационные новостные рассылки для заказчиков с описанием изменений, новых функций и рекомендаций по установке.

Заказчики могут самостоятельно запросить обновление через техническую поддержку или через специалистов по сопровождению.

Обновления системы доступны как в формате файлового архива для локальной установки, так и в формате онлайн-обновлений через веб-интерфейс системы. Второй способ позволяет оперативно получать новые версии, исправления и функциональные улучшения без необходимости ручной загрузки файлов.

Применение Phishman 2.35

Phishman разрабатывалась как универсальный инструмент для развития киберкультуры в компаниях из разных отраслей. Вендор понимает, что подход, который работает в финансовом секторе, например, не всегда применим в промышленности или ретейле: отличаются сценарии атак, уровень цифровой нагрузки, модели коммуникации и даже повседневные привычки пользователей. Поэтому в основе Phishman 2.35 лежит не шаблонное обучение, а адаптация сценариев под реальную рабочую среду компании.

За счёт этого решение подходит как для небольших организаций, где сотрудники совмещают несколько ролей, так и для крупных распределённых структур с тысячами пользователей, подрядчиками, филиалами и удалённым доступом к корпоративным системам.

Чтобы проверить, как Phishman 2.35 работает в реальных условиях, мы провели внутренний эксперимент на собственных сотрудниках. Его подробности и результаты сейчас не раскрываем, но именно на них мы и опирались, когда делали выводы о системе. Что пошло не по плану, с какими сложностями столкнулась команда и как отреагировали коллеги — обо всём честно рассказали и всё показали в отдельной статье.

Выводы

По итогам проведённого эксперимента платформа Phishman 2.35 показала себя как гибкий инструмент для решения задач, связанных с развитием киберкультуры в организации. Она позволяет объединить в одном контуре тестирование сотрудников, обучение и последующий анализ результатов, что упрощает организацию подобных мероприятий и снижает объём рутинной работы специалистов по информационной безопасности.

Важной особенностью решения является отсутствие подхода «одна программа для всех». Phishman 2.35 предоставляет возможности для настройки различных сценариев тестирования и обучения с учётом особенностей целевой аудитории, что позволяет адаптировать мероприятия под конкретные задачи и категории сотрудников.

В ходе проекта были выявлены отдельные особенности платформы, которые необходимо учитывать при подготовке сценариев. Но они не помешали реализовать поставленные задачи и получить необходимые результаты.

Достоинства:

• Возможность выстраивания единого процесса тестирования, обучения и анализа результатов в рамках одной платформы, а также поддержание уровня киберкультуры в автоматическом режиме.
• Формирование образовательных траекторий различной сложности с назначением курсов и микрокурсов по отдельным направлениям ИБ, определением последовательности их прохождения и контролем сроков обучения.
• Поддержка интерактивных сценариев обучения, в рамках которых сотрудники выполняют практические задания и получают обратную связь по своим действиям.
• Интеграция с внешними системами, включая кадровые системы и сторонние обучающие платформы, а также предоставление вендором доступа к порталу обучения Phishman.
• Граббер фишинговых форм.
• Правила, позволяющие адаптировать работу платформы под задачи заказчика.
• Широкий набор отчётов для анализа результатов тестирования и обучения, а также возможность создания пользовательских отчётов под собственные задачи.
• Встроенная документация о работе системы.
• Включение платформы в реестр отечественного ПО.

Недостатки:

• Порядок отображения дашбордов на главной странице, а также временной интервал отображаемой на них информации не настраиваются.
• Отсутствует поддержка кириллических адресов.
• Функциональность USB-атак поддерживается только в ОС Windows.
• Нет возможности регулировать статистику.