Saldırı simülasyonu eğitimini kullanmaya başlama
İpucu
Office 365 Plan 2 için Microsoft Defender XDR'daki özellikleri ücretsiz olarak deneyebileceğinizi biliyor muydunuz? Microsoft Defender portalı deneme hub'ında 90 günlük Office 365 için Defender deneme sürümünü kullanın. Deneme Office 365 için Microsoft Defender'nda kimlerin kaydolabileceği ve deneme koşulları hakkında bilgi edinin.
Office 365 için Microsoft Defender Plan 2'ye (eklenti lisansları veya Microsoft 365 E5 gibi aboneliklere dahil) sahip kuruluşlarda, Saldırı simülasyonu eğitimi Microsoft Defender portalını kullanarak kuruluşunuzda gerçekçi saldırı senaryoları çalıştırabilirsiniz. Bu sanal saldırılar, gerçek bir saldırı sonucu etkilemeden önce savunmasız kullanıcıları belirlemenize ve bulmanıza yardımcı olabilir.
Bu makalede Saldırı simülasyonu eğitimi temelleri açıklanmaktadır.
Saldırı simülasyonu eğitimi hakkında daha fazla bilgi edinmek için bu kısa videoyu izleyin.
Not
Saldırı simülasyonu eğitimi, Tehdit yönetimi> Saldırısimülatörü veya https://protection.office.com/attacksimulatorkonumundaki Güvenlik & Uyumluluk Merkezi'nde bulunan eski Saldırı Simülatörü v1 deneyiminin yerini alır.
Başlamadan önce bilmeniz gerekenler
Saldırı simülasyonu eğitimi için Microsoft 365 E5 veya Office 365 için Microsoft Defender Plan 2 lisansı gerekir. Lisanslama gereksinimleri hakkında daha fazla bilgi için bkz . Lisanslama koşulları.
Saldırı simülasyonu eğitimi, şirket içi posta kutularını destekler ancak raporlama işlevselliğini azaltır. Daha fazla bilgi için bkz . Şirket içi posta kutularıyla ilgili raporlama sorunları.
Microsoft Defender portalını açmak için adresine https://security.microsoft.comgidin. Saldırı simülasyonu eğitimi Email ve işbirliğinde> kullanılabilir Saldırı simülasyonu eğitimi. Doğrudan Saldırı simülasyonu eğitimi gitmek için kullanınhttps://security.microsoft.com/attacksimulator.
Farklı Microsoft 365 abonelikleri arasında Saldırı simülasyonu eğitimi kullanılabilirliği hakkında daha fazla bilgi için bkz. Office 365 için Microsoft Defender hizmet açıklaması.
Bu makaledeki yordamları gerçekleştirmeden önce size izinler atanmalıdır. Seçenekleriniz şunlardır:
Microsoft Entra izinleri: Aşağıdaki rollerden birinde üye olmanız gerekir:
- Genel Yönetici¹
- Güvenlik Yöneticisi
- Saldırı Simülasyonu Yöneticileri²: Saldırı simülasyonu kampanyalarının tüm yönlerini oluşturun ve yönetin.
- Saldırı Yükü Yazarı²: Bir yöneticinin daha sonra başlatabileceği saldırı yükleri oluşturun.
Önemli
¹ Microsoft, rolleri en az izinle kullanmanızı önerir. Daha düşük izinli hesapların kullanılması, kuruluşunuzun güvenliğini artırmaya yardımcı olur. Genel Yönetici, mevcut bir rolü kullanamıyorsanız acil durum senaryolarıyla sınırlı olması gereken yüksek ayrıcalıklı bir roldür.
² Microsoft Defender portalında bu rol grubuna kullanıcı ekleme Email & işbirliği izinleri şu anda desteklenmiyor.
Şu anda Microsoft Defender XDR Birleşik rol tabanlı erişim denetimi (RBAC) desteklenmemaktadır.
Saldırı simülasyonu eğitimi için karşılık gelen PowerShell cmdlet'leri yoktur.
Saldırı benzetimi ve eğitimle ilgili veriler, Microsoft 365 hizmetleri için diğer müşteri verileriyle birlikte depolanır. Daha fazla bilgi için bkz. Microsoft 365 veri konumları. Saldırı simülasyonu eğitimi şu bölgelerde kullanılabilir: APC, EUR ve NAM. Saldırı simülasyonu eğitimi kullanılabildiği bu bölgelerdeki ülkeler şunlardır: ARE, AUS, BRA, CAN, CHE, DEU, ESP, FRA, GBR, IND, ISR, ITA, JPN, KOR, LAM, MEX, NOR, POL, QAT, SGP, SWE, TWN ve ZAF.
Not
NOR, ZAF, ARE ve DEU en son eklemelerdir. Bildirilen e-posta telemetrisi dışındaki tüm özellikler bu bölgelerde kullanılabilir. Özellikleri etkinleştirmek için çalışıyoruz ve bildirilen e-posta telemetrisi kullanılabilir duruma gelir gelmez müşterileri bilgilendireceğiz.
Saldırı simülasyonu eğitimi Microsoft 365 GCC, GCC High ve DoD ortamlarında kullanılabilir, ancak bazı gelişmiş özellikler GCC High ve DoD'da kullanılamaz (örneğin, yük otomasyonu, önerilen yükler, tahmin edilen risk altındaki hız). Kuruluşunuzda Microsoft 365 G5, Office 365 G5 veya Kamu için Office 365 için Microsoft Defender (Plan 2) varsa, bu makalede açıklandığı gibi Saldırı simülasyonu eğitimi kullanabilirsiniz.
Not
Saldırı simülasyonu eğitimi, E3 müşterilerine deneme olarak bir özellik alt kümesi sunar. Deneme teklifi, Kimlik Bilgisi Toplama yükünü kullanma ve 'ISA Kimlik Avı' veya 'Kitle Market Kimlik Avı' eğitim deneyimlerini seçme özelliğini içerir. E3 deneme teklifinin parçası başka hiçbir özellik yoktur.
Simülasyon
Saldırı simülasyonu eğitimi simülasyonu, kullanıcılara gerçekçi ancak zararsız kimlik avı iletileri sunan genel bir kampanyadır. Simülasyonun temel öğeleri şunlardır:
- Kimlik avı simülasyonu iletisini kim ve hangi zamanlamaya göre alır?
- Kullanıcıların sanal kimlik avı iletisindeki eylemlerini veya eylem eksikliğini (hem doğru hem de yanlış eylemler için) temel alarak aldıkları eğitim.
- Kimlik avı simülasyonu iletisinde kullanılan yük (bağlantı veya ek) ve kimlik avı iletisinin bileşimi (örneğin, paket teslim edildi, hesabınızla ilgili sorun veya ödül kazandınız).
- Kullanılan sosyal mühendislik tekniği . Yük ve sosyal mühendislik tekniği yakından ilgilidir.
Saldırı simülasyonu eğitimi'da birden çok sosyal mühendislik tekniği mevcuttur. Nasıl Yapılır Kılavuzu dışında, bu teknikler MITRE ATT&CK® çerçevesinden seçilmiştir. Farklı teknikler için farklı yükler kullanılabilir.
Aşağıdaki sosyal mühendislik teknikleri mevcuttur:
Kimlik Bilgisi Toplama: Saldırgan, alıcıya bağlantı* içeren bir ileti gönderir. Alıcı bağlantıya tıkladığında, genellikle kullanıcıdan kullanıcı adını ve parolasını isteyen bir iletişim kutusu gösteren bir web sitesine yönlendirilir. Genellikle hedef sayfa, kullanıcıya güven oluşturmak için iyi bilinen bir web sitesini temsil edecek şekilde temalıdır.
Kötü Amaçlı Yazılım Eki: Saldırgan, alıcıya ek içeren bir ileti gönderir. Alıcı eki açtığında, saldırganın ek kod yüklemesine veya kendini daha fazla geliştirmesine yardımcı olmak için kullanıcının cihazında rastgele kod (örneğin, bir makro) çalışır.
Ekteki Bağlantı: Bu teknik, kimlik bilgisi toplamasının karmasıdır. Saldırgan, alıcıya ekin içinde bağlantı içeren bir ileti gönderir. Alıcı eki açıp bağlantıya tıkladığında, genellikle kullanıcıdan kullanıcı adını ve parolasını isteyen bir iletişim kutusu gösteren bir web sitesine yönlendirilir. Genellikle hedef sayfa, kullanıcıya güven oluşturmak için iyi bilinen bir web sitesini temsil edecek şekilde temalıdır.
Kötü Amaçlı Yazılım* Bağlantısı: Saldırgan, alıcıya iyi bilinen bir dosya paylaşım sitesindeki (örneğin, SharePoint Online veya Dropbox) ekin bağlantısını içeren bir ileti gönderir. Alıcı bağlantıya tıkladığında ek açılır ve kullanıcının cihazında rastgele kod (örneğin, bir makro) çalıştırılarak saldırganın ek kod yüklemesine veya kendini daha fazla geliştirmesine yardımcı olur.
Drive-by-URL*: Saldırgan, alıcıya bağlantı içeren bir ileti gönderir. Alıcı bağlantıya tıkladığında arka plan kodunu çalıştırmaya çalışan bir web sitesine yönlendirilir. Bu arka plan kodu, alıcı hakkında bilgi toplamaya veya cihazında rastgele kod dağıtmaya çalışır. Genellikle, hedef web sitesi gizliliği ihlal edilmiş iyi bilinen bir web sitesi veya iyi bilinen bir web sitesinin kopyasıdır. Web sitesi hakkında bilgi sahibi olmak, kullanıcıyı bağlantının tıklandığında güvenli olduğuna ikna etmeye yardımcı olur. Bu teknik bir sulama deliği saldırısı olarak da bilinir.
OAuth Onayı Verme*: Saldırgan, verilere erişim elde etmek isteyen kötü amaçlı bir Azure Uygulaması oluşturur. Uygulama, bağlantı içeren bir e-posta isteği gönderir. Alıcı bağlantıya tıkladığında, uygulamanın onay verme mekanizması verilere (örneğin, kullanıcının Gelen Kutusu) erişim ister.
Nasıl Yapılır Kılavuzu: Kullanıcılar için yönergeler içeren bir eğitim kılavuzu (örneğin, kimlik avı iletilerini bildirme).
* Bağlantı bir URL veya QR kodu olabilir.
Saldırı simülasyonu eğitimi tarafından kullanılan URL'ler aşağıdaki tabloda listelenmiştir:
Not
Url'yi bir kimlik avı kampanyasında kullanmadan önce desteklenen web tarayıcılarınızda sanal kimlik avı URL'sinin kullanılabilirliğini denetleyin. Daha fazla bilgi için bkz . Google Güvenli Gözatma tarafından engellenen kimlik avı benzetimi URL'leri.
Benzetimi oluşturma
Simülasyon oluşturma ve başlatma yönergeleri için bkz. Kimlik avı saldırısı simülasyonu.
Simülasyondaki giriş sayfası , kullanıcıların yükü açtıklarında gittiği yerdir. Simülasyon oluşturduğunuzda, kullanılacak giriş sayfasını seçersiniz. Yerleşik giriş sayfaları, önceden oluşturduğunuz özel giriş sayfaları arasından seçim yapabilir veya simülasyon oluşturma sırasında kullanmak üzere yeni bir giriş sayfası oluşturabilirsiniz. Giriş sayfaları oluşturmak için bkz. Saldırı simülasyonu eğitimi giriş sayfaları.
Simülasyondaki son kullanıcı bildirimleri kullanıcılara düzenli anımsatıcılar gönderir (örneğin, eğitim ataması ve anımsatıcı bildirimleri). Yerleşik bildirimler, önceden oluşturduğunuz özel bildirimler arasından seçim yapabilir veya simülasyon oluşturma sırasında kullanmak üzere yeni bildirimler oluşturabilirsiniz. Bildirim oluşturmak için bkz. Saldırı simülasyonu eğitimi için son kullanıcı bildirimleri.
İpucu
Simülasyon otomasyonları, geleneksel simülasyonlar üzerinde aşağıdaki iyileştirmeleri sağlar:
- Simülasyon otomasyonları birden çok sosyal mühendislik tekniğini ve ilgili yükleri içerebilir (simülasyonlar yalnızca bir tane içerir).
- Simülasyon otomasyonları otomatik zamanlama seçeneklerini destekler (simülasyonlarda yalnızca başlangıç tarihi ve bitiş tarihinden fazlası).
Daha fazla bilgi için bkz. Saldırı simülasyonu eğitimi için simülasyon otomasyonları.
Yük
Saldırı simülasyonu eğitimi kullanılabilir sosyal mühendislik teknikleri için birçok yerleşik yük içerse de, mevcut yükü kopyalama ve özelleştirme dahil olmak üzere iş gereksinimlerinize daha uygun özel yükler oluşturabilirsiniz. Simülasyonu oluşturmadan önce veya simülasyonun oluşturulması sırasında istediğiniz zaman yük oluşturabilirsiniz. Yük oluşturmak için bkz. Saldırı simülasyonu eğitimi için özel yük oluşturma.
Ek sosyal mühendislik tekniklerindeKimlik Bilgisi Toplama veya Bağlantı kullanan simülasyonlarda, oturum açma sayfaları seçtiğiniz yükün bir parçasıdır. Oturum açma sayfası, kullanıcıların kimlik bilgilerini girdiği web sayfasıdır. Her geçerli yük varsayılan bir oturum açma sayfası kullanır, ancak kullanılan oturum açma sayfasını değiştirebilirsiniz. Yerleşik oturum açma sayfalarından, önceden oluşturduğunuz özel oturum açma sayfalarından seçim yapabilir veya simülasyon veya yük oluşturma sırasında kullanmak üzere yeni bir oturum açma sayfası oluşturabilirsiniz. Oturum açma sayfaları oluşturmak için bkz. Saldırı simülasyonu eğitimi oturum açma sayfaları.
Kimlik avı iletilerinin simülasyonu için en iyi eğitim deneyimi, bunları kuruluşunuzun karşılaşabileceği gerçek kimlik avı saldırılarına mümkün olduğunca yakın hale getirmektir. Microsoft 365'te algılanan gerçek dünya kimlik avı iletilerinin zararsız sürümlerini yakalayıp kullanabilir ve bunları sanal kimlik avı kampanyalarında kullanabilirseniz ne olur? Yük otomasyonlarıyla (yüktoplama olarak da bilinir) yapabilirsiniz. Yük otomasyonları oluşturmak için bkz. Saldırı simülasyonu eğitimi için yük otomasyonları.
Saldırı simülasyonu eğitimi, yüklerde QR kodlarının kullanılmasını da destekler. Yerleşik QR kodu yükleri listesinden seçim yapabilir veya özel QR kodu yükleri oluşturabilirsiniz. Daha fazla bilgi için bkz. Saldırı simülasyonu eğitimi QR kodu yükleri.
Raporlar ve içgörüler
Simülasyonu oluşturup başlattıktan sonra nasıl gittiğini görmeniz gerekir. Örneğin:
- Herkes aldı mı?
- Kimlik avı simülasyonu iletisine ve içindeki yüke kim ne yaptı (sil, raporla, yükü aç, kimlik bilgilerini gir vb.).
- Atanan eğitimi tamamlayan kişi.
Saldırı simülasyonu eğitimi için kullanılabilir raporlar ve içgörüler, Saldırı simülasyonu eğitimi için içgörüler ve raporlar bölümünde açıklanmıştır.
Tahmin edilen risk oranı
Genellikle belirli hedef kitleler için sanal kimlik avı kampanyasını uyarlamanız gerekir. Kimlik avı iletisi mükemmele çok yakınsa, hemen hemen herkes tarafından kandırılır. Eğer çok kuşkuluysa, kimse kandırılamaz. Ayrıca, bazı kullanıcıların tanımlamakta zorlandığını düşündüğü kimlik avı iletilerinin diğer kullanıcılar tarafından tanımlanması kolay kabul edilir. Peki sen nasıl dengedesin?
Tahmin edilen risk oranı (PCR), yük simülasyonda kullanıldığında olası etkinliği gösterir. PCR, yük tarafından tehlikeye atılacak kişilerin yüzdesini tahmin etmek için Microsoft 365 genelinde akıllı geçmiş verileri kullanır. Örneğin:
- İçerik yükle.
- Diğer simülasyonlardan toplanan ve anonimleştirilmiş risk oranları.
- Yük meta verileri.
PCR, kimlik avı simülasyonlarınız için tahmin edilen ve gerçek tıklama oranlarını karşılaştırmanıza olanak tanır. Kuruluşunuzun tahmin edilen sonuçlarla karşılaştırıldığında nasıl performans sergilediğini görmek için de bu verileri kullanabilirsiniz.
Yük için PCR bilgileri, yükleri görüntüleyip seçtiğiniz her yerde ve aşağıdaki raporlarda ve içgörülerde kullanılabilir:
İpucu
Saldırı Simülatörü, Güvenli Bağlantılar ilkelerindeki Kullanıcı tıklamalarını izle ayarı kapalı olsa bile, bir kimlik avı kampanyasının hedeflenen alıcılarına gönderilen yük iletisindeki URL'ye ait tıklama verilerini güvenli bir şekilde izlemek için Office 365 için Defender'de Güvenli Bağlantılar'ı kullanır.
Püf noktaları olmadan eğitim
Geleneksel kimlik avı simülasyonları, kullanıcılara şüpheli iletiler ve aşağıdaki hedefleri sunar:
- Kullanıcıların iletiyi şüpheli olarak bildirmesini sağlayın.
- Kullanıcılar sanal kötü amaçlı yüke tıklayıp başlattıktan ve kimlik bilgilerini verdikten sonra eğitim sağlayın.
Ancak bazen kullanıcıların eğitim vermeden önce doğru veya yanlış eylemler gerçekleştirmesini beklemek istemezsiniz. Saldırı simülasyonu eğitimi beklemeyi atlamak ve doğrudan eğitime gitmek için aşağıdaki özellikleri sağlar:
Eğitim kampanyaları: Eğitim kampanyası, hedeflenen kullanıcılar için yalnızca eğitim amaçlı bir ödevdir. Kullanıcıları benzetimi test etmeden doğrudan eğitim atayabilirsiniz. Eğitim kampanyaları, aylık siber güvenlik farkındalığı eğitimi gibi öğrenme oturumları yürütmeyi kolaylaştırır. Daha fazla bilgi için bkz. Saldırı simülasyonu eğitimi'de eğitim kampanyaları.
İpucu
Eğitim modülleri Eğitim kampanyalarında kullanılır, ancak normal simülasyonlarda eğitim atarken Eğitim modüllerini de kullanabilirsiniz.
Simülasyonlarda Nasıl Yapılır Kılavuzları: Nasıl Yapılır Kılavuzu sosyal mühendislik tekniğine dayalı simülasyonlar kullanıcıları test etmeye çalışmaz. Nasıl yapılır kılavuzu, kullanıcıların doğrudan Gelen Kutuları'nda görüntüleyebileceği basit bir öğrenme deneyimidir. Örneğin, aşağıdaki yerleşik Nasıl Yapılır Kılavuzu yükleri kullanılabilir ve kendi yükünüzü oluşturabilirsiniz ( mevcut yükü kopyalama ve özelleştirme dahil):
- Öğretim kılavuzu: Kimlik avı iletilerini bildirme
- Öğretim Kılavuzu: QR kimlik avı iletilerini tanıma ve bildirme
İpucu
Saldırı simülasyonu eğitimi, QR kod tabanlı saldırılar için aşağıdaki yerleşik eğitim seçeneklerini sağlar:
- Eğitim modülleri:
- Kötü amaçlı dijital QR kodları
- Kötü amaçlı yazdırılan QR kodları
- Simülasyonlarda Nasıl Yapılır Kılavuzları: Öğretim Kılavuzu: QR kimlik avı iletilerini tanıma ve raporlama