Questo articolo descrive cosa sono le campagne di simulazione in SMARTFENSE, quali tipi includono e quando utilizzarne ciascuno. L'obiettivo è aiutarla a scegliere il formato adeguato in base al vettore di attacco che desidera valutare e al pubblico di destinazione.
Cosa sono le campagne di simulazione?
Le campagne di simulazione sono quelle che misurano il comportamento reale degli utenti di fronte a un attacco controllato. A differenza delle campagne di sensibilizzazione, che si concentrano sulla trasmissione di conoscenza, le simulazioni riproducono scenari di attacco per osservare come reagiscono gli utenti e, opzionalmente, attivare un Momento Educativo che sensibilizzi nell'istante esatto in cui viene compiuta un'azione di rischio.
La durata massima di una campagna di simulazione è di 4 giorni, il che consente di ottenere risultati simili a quelli di campagne reali realizzate da criminali informatici.
Tipi disponibili
SMARTFENSE include cinque tipi di campagne di simulazione. Ognuno riproduce un vettore di attacco diverso, il che consente di coprire molteplici superfici di rischio all'interno dell'organizzazione.
Phishing
Email che cercano di ingannare l'utente per fargli rivelare informazioni riservate. Includono link che reindirizzano a una pagina con un modulo che tenta di catturare tali dati. Consentono di misurare clic, inserimento di dati e segnalazioni dell'email.
Raccomandato per valutare il comportamento di fronte al vettore di attacco più comune e rafforzare il riconoscimento di email malevole.
Come creare una campagna di simulazione di Phishing.
Ransomware
Email che mirano a far scaricare un file all'utente e fare doppio clic su di esso. Il file può arrivare come allegato o tramite un link di download e può essere un HTML, un HTML compresso in ZIP o un file eseguibile che verifica se è possibile crittografare file nella cartella dell'utente.
Raccomandato per valutare la risposta di fronte a file sospetti e validare l'efficacia degli strumenti di sicurezza endpoint.
Come configurare una campagna di simulazione di Ransomware.
Smishing
SMS che cercano di ingannare l'utente per fargli rivelare informazioni riservate tramite messaggistica mobile. Includono link che reindirizzano a una pagina con un modulo che tenta di catturare tali dati. Richiede di disporre di Invii SMS e di un numero di telefono valido nel profilo dell'utente.
Raccomandato per valutare il comportamento di fronte ad attacchi mobili, sempre più frequenti al di fuori dell'ambiente aziendale.
Come creare una campagna di simulazione di Smishing.
QR Phishing
Esercizio in formato fisico che utilizza uno scenario con QR all'interno di una campagna di Phishing o Ransomware. Il QR viene stampato e collocato in un luogo fisico dell'organizzazione (bacheca, ascensore, caffetteria) e, quando viene scansionato, reindirizza alla landing page dello scenario.
Raccomandato per valutare il comportamento di fronte a vettori di attacco fisici e rafforzare la sensibilizzazione negli spazi condivisi.
Come creare una campagna di simulazione di QR Phishing.
USB Drop
Campagne che misurano il comportamento degli utenti quando trovano una memoria USB che non gli appartiene. Consentono di sapere se aprono i file contenuti nella memoria e se attivano le Macro dei file aperti. Non richiede selezione di utenti: i dati vengono raccolti in base alle azioni compiute con il contenuto del dispositivo.
Raccomandato per valutare la risposta di fronte a vettori di attacco fisici basati su dispositivi rimovibili.
Come creare una campagna di simulazione di USB Drop.
Momento Educativo
Componente complementare che non viene pianificato in modo indipendente: si aggiunge a una campagna di simulazione di Phishing, Ransomware o Smishing dalla sezione Azioni derivate. Sensibilizza l'utente nell'istante esatto in cui compie un comportamento di rischio all'interno della simulazione, aumentando il grado di assimilazione del messaggio e promuovendo l'adozione di abitudini sicure.
Raccomandato per rafforzare la sensibilizzazione all'interno delle simulazioni, insegnando all'utente nel momento più rilevante dell'apprendimento.
Cos'è un Momento Educativo e come si utilizza.
💡 Buone pratiche
- Applicare un processo di Whitelist in tutti gli strumenti di sicurezza dell'organizzazione prima di lanciare campagne di Phishing o Ransomware, per evitare blocchi e statistiche generate da software.
- Lanciare una Campagna di prova prima della campagna reale per rilevare falsi positivi, validare la navigabilità della landing page e confermare la consegna delle email o degli SMS.
- Combinare le simulazioni con un Momento Educativo per sensibilizzare l'utente nell'istante esatto in cui compie un'azione non sicura.
- Utilizzare l'opzione Invio casuale per riprodurre comportamenti reali e ridurre l'effetto "passaparola tra utenti" durante la campagna.
- Mantenere la durata della campagna entro il massimo di 4 giorni per ottenere risultati realistici e confrontabili con attacchi reali.
- Combinare le simulazioni con campagne di sensibilizzazione per misurare l'impatto del contenuto formativo sul comportamento reale dell'utente.