DeteAct

Социотехническое тестирование

Контролируемая проверка устойчивости сотрудников к методам социальной инженерии и эффективности технических средств защиты от фишинга. Тестирование идёт по согласованному плану, в безопасных для работы организации условиях, с измеримым результатом.

Получить расчётСценарии и метрики
Паспорт услуги
Что проверяем
Устойчивость сотрудников к фишингу и социальной инженерии, работу средств защиты почты
Каналы
Электронная почта, телефон (вишинг), мессенджеры; по согласованию — сценарии второго уровня
Результат
Статистика результативности по подразделениям и ролям, рекомендации по обучению
Условия
По договору и NDA, по согласованному плану, с ограниченным кругом посвящённых
Связанная услуга
Может входить в red teaming как вектор первоначального доступа

О социотехническом тестировании

Социотехническое тестирование — это контролируемая симуляция атак на сотрудников организации для оценки их устойчивости к методам социальной инженерии и эффективности существующих мер защиты. Используются фишинговые рассылки, целевой фишинг, телефонное мошенничество (вишинг) и другие техники по согласованию.

Цель — выявить уязвимости «человеческого фактора», а не наказать сотрудников. Результаты позволяют понять, какие группы наиболее подвержены атакам, и выстроить обучение и защиту так, чтобы снизить риск реального инцидента.

Сценарии и каналы

Набор сценариев подбирается под задачу и согласуется заранее. Каждый сценарий даёт измеримый результат, а не просто факт «прошёл или нет».
Канал / сценарийЧто делаемЧто измеряем
Фишинговая рассылкаМассовое письмо со ссылкой на поддельную форму или вложением под видом рабочего документаДоля открывших, перешедших, вводивших данные или запустивших вложение
Целевой фишинг (спирфишинг)Персонализированное письмо под конкретного сотрудника или подразделениеСрабатывание на адресные сценарии у ключевых ролей
Вишинг (телефон)Звонок от имени ИТ-поддержки, подрядчика или коллеги с просьбой о действии или данныхГотовность выполнить просьбу, передать данные или код подтверждения
МессенджерыОбращение через мессенджер или рабочий чат от имени сотрудника или сервисаРеакция на запросы вне привычного почтового канала
Сценарии «второго уровня»Рассылка от имени отделов ИТ/ИБ или скомпрометированных сотрудниковДоверие к внутренним отправителям, распространение атаки внутри компании
Контрольная рассылкаПовторный заход после первой волны для проверки измененийДинамика осведомлённости и эффект от предупреждений

Этапы тестирования

Процесс выстроен так, чтобы получить честную статистику и при этом не нарушить работу организации.
  1. 01

    Сбор информации

    Получаем или собираем методами разведки по открытым источникам перечень сотрудников и их контактные данные. Изучаем используемые корпоративные и облачные сервисы, стиль и формат корпоративной переписки. Анализируем конфигурацию почтовых серверов и средств защиты от спама и вредоносных рассылок.

  2. 02

    Разработка сценариев

    Готовим сценарии с учётом собранной информации: тексты и оформление писем, доменные имена и адреса для рассылок, при необходимости — поддельные веб-страницы и вспомогательные файлы. Сценарии согласуются с заказчиком до запуска.

  3. 03

    Проведение

    Последовательно реализуем согласованные сценарии, при необходимости по подгруппам сотрудников в зависимости от их роли. По согласованию демонстрируем уровень риска, используя полученный доступ, и применяем сценарии «второго уровня» и контрольные рассылки.

  4. 04

    Отчётная документация

    Описываем собранную информацию, разработанные сценарии и ход их проведения, приводим статистику результативности (конверсию рассылок) и резюме с рекомендациями по повышению осведомлённости сотрудников в вопросах информационной безопасности.

Что показывает отчёт

Отчёт строится на конверсии сценариев: он отвечает на вопрос, сколько сотрудников и в каких подразделениях выполнили действие, которого ждал бы злоумышленник.

  • Доля сотрудников, открывших письмо
  • Доля перешедших по ссылке
  • Доля вводивших учётные данные на поддельной странице
  • Доля запустивших вложение
  • Результативность по подразделениям и ролям
  • Динамика между первой и контрольной рассылкой

Вопросы о социотехническом тестировании

Законно ли проводить фишинговое тестирование сотрудников?
Да, когда работы заказывает сама организация в отношении своих сотрудников и информационных систем и оформлены договором. Тестирование выполняется по согласованному плану и в границах, которые определяет заказчик. Это внутренняя проверка устойчивости к атакам, а не атака на третьих лиц.
Нужно ли предупреждать сотрудников заранее?
Нет, иначе результат не отразит реальную картину. О работах знает ограниченный круг лиц со стороны заказчика. При этом мы заранее согласуем сценарии, каналы и период, чтобы исключить ущерб и не затронуть критичные для работы процессы.
Собираете ли вы пароли сотрудников и что происходит с данными?
Факт ввода учётных данных на поддельной странице фиксируется как событие для статистики; сами пароли не используются для доступа и не передаются за пределы проекта, если иное прямо не согласовано для демонстрации риска. Все данные обрабатываются по NDA и уничтожаются после завершения работ по запросу.
Можно ли получить результаты по подразделениям, а не по конкретным людям?
Да. Формат отчётности согласуется заранее: по умолчанию мы приводим статистику по подразделениям и ролям. Детализация по отдельным сотрудникам предоставляется только если этого требует заказчик и это допустимо по его внутренним правилам и трудовому законодательству.
Как результаты помогают HR и обучению?
Практическая демонстрация повышает осведомлённость лучше теоретических тренингов. По итогам видно, какие подразделения и роли наиболее уязвимы, какие сценарии срабатывают, и на что направить обучение. Контрольная рассылка показывает эффект от принятых мер.
Проверяете ли вы технические средства защиты от фишинга?
Да. По ходу анализируем конфигурацию почтовых серверов и работу средств защиты от спама и вредоносных рассылок: какие письма и вложения доходят до пользователей, а какие блокируются.
Является ли это частью red teaming?
Социальная инженерия может быть отдельной услугой или одним из векторов в киберучениях, когда фишинг используется для первоначального доступа и дальнейшего продвижения. Подробнее — на странице red teaming.

Заказать социотехническое тестирование

Напишите, сколько сотрудников нужно охватить и какие каналы интересны: почта, телефон, мессенджеры. Согласуем сценарии и период, зафиксируем стоимость и формат отчётности. NDA подписываем до передачи любых данных о сотрудниках.

Почта
info@deteact.ru
Телефон
+7 499 444-12-46
Офис
Москва, Пресненская набережная, 10с2 (IQ-квартал, Москва-Сити)
Лицензия
ФСТЭК России №Л024-00107-00/00581935
Заявка уходит напрямую команде, без колл-центра. Ответим с рабочей почты.