Saldırı Simülasyonu Eğitimi: RBAC ve Son Kullanıcı Bildirimleri

Son Kullanıcıların Tehlikeli E-postaları Tanımasına Yardımcı Olma

Saldırı Simülasyonları, Microsoft'un, kullanıcıları simüle edilmiş Kimlik Avı veya kötü amaçlı yazılım bulaşmış mesajlarla tehlikeli e-postaları tanıma konusunda eğiten bir hizmet sağlayan kalabalık bir rakipler alanına atılımıdır. Microsoft, ek simülasyon türleri, farklı yükler, özel yükler, özelleştirilebilir eğitim ve daha fazlasını içeren Saldırı Simülasyonlarını piyasaya sürdüğünden beri sürekli olarak özellikler ve işlevler ekledi. En son yükseltmeler, Rol Tabanlı Erişim Denetimi (RBAC) izinleri ve son kullanıcı bildirimleridir.

Rol Tabanlı Erişim Kontrolü

Herhangi bir Microsoft 365 özelliğine memnuniyetle eklenen bir eklenti olarak, Azure AD'de başlangıçta iki rol mevcuttur: Saldırı Simülasyon Yöneticisi ve Saldırı Yükü Yazarı. Roller, belirlenen kullanıcıların simülasyonları yönetmesine olanak tanırken diğerleri saldırı yükleri oluşturmaya odaklanır, ancak orta ve büyük ölçekli kuruluşlarda yöneticiler genellikle bu görevleri yerine getirmediğinden, eğitim kurulumunu ve son kullanıcı bildirimlerini yönetecek roller eksiktir. Rolleri, Azure AD yönetim merkezinin Roller ve yöneticiler bölümü aracılığıyla atayabilirsiniz. Varsayılan olarak bu roller Genel Yönetici rolüne atanmaz.

RBAC rolleri PowerShell (Exchange Online yönetim modülü) aracılığıyla da yönetilebilir. Exchange Online'a bağlandıktan sonra uyumluluk uç noktasına bağlanın:

Connect-IPPSSession

Daha sonra aşağıdakileri çalıştırarak Saldırı Simülasyonu için iki yönetim rolünün ayrıntılarını görebileceksiniz:

Get-ManagementRole | where {$_.Name -like '*attack*'}
 
Name                            RoleType
----                            --------
Attack Simulator Admin          AttackSimAdmin
Attack Simulator Payload Author AttackSimPayloadAuthor

PowerShell'de bu rollerin kime atandığını görmek gibi eylemler gerçekleştirebilseniz de, PowerShell'de yeni bildirim mesajı oluşturma gibi herhangi bir saldırı simülasyon özelliğini gerçekleştiremezsiniz.

Devamını Okuyun: Exchange RBAC atamaları hakkında nasıl rapor oluşturulur?

Son Kullanıcı Bildirimlerini Yapılandırma

Saldırı Simülasyonu, saldırı simülasyonlarını kullanan son kullanıcılarla iletişim kurmak için Son Kullanıcı Bildirimleri adı verilen mesajları kullanır. Bildirimler, son kullanıcılar bir sorun mesajını fark edip bildirdiğinde, kötü durumdaki bir iş için övgüyü ve gerekli eğitim için hatırlatmaları içerir.

Şu anda yalnızca övgü bildirimleri mevcuttur. Her iki bildirim türüne yönelik şablonlara, Microsoft 365 Defender yönetim merkezinin Saldırı simülasyonu eğitimi bölümündeki Son Kullanıcı Bildirimleri sekmesinden ulaşılabilir. İki seçenek mevcuttur: Genel Bildirimler ve Kiracı Bildirimleri. Genel Bildirimler sekmesi, Microsoft tarafından oluşturulan ve düzenlenemeyen Bildirimleri gösterir. Kiracı Bildirimleri sekmesi, Yöneticinin özel bildirimler oluşturduğu yerdir. Microsoft bildirimine dayalı özel bir bildirim oluşturmak için bildirimi vurgulayın ve 'Bir Kopya Oluştur'a tıklayın (Şekil 1):

Yöneticiler özel bildirimleri Kiracı Bildirimleri sekmesi aracılığıyla yönetir ve iki tür Bildirim vardır:

  • Olumlu Takviye Bildirimi: Bir son kullanıcı bir mesajı bildirdiğinde olumlu bir takviye e-postası alır.
  • Simülasyon Bildirimi: Bir kullanıcı Saldırı Simülasyonu Eğitimine kaydolduğunda ve kimlik avına maruz kaldığında gönderilen iletişimler.

Olumlu Takviye Bildirimi

Öncelikle bir Olumlu Takviye e-postası oluşturacağız. Çalışan iletişimleri oluştururken, uygun ve anlaşılır metin içeren bir mesaj oluşturmak önemlidir (İK veya pazarlama departmanı, gerekirse uygun metnin çerçevelenmesine yardımcı olabilir).

Kiracı Bildirimleri altında yeni bir bildirim oluşturarak başlayın. Bildirim türünü seçin ve ardından bir ad ve açıklama girin (Şekil 2):

Daha sonra teslim edilecek e-postanın içeriğini eklememiz gerekecek (Şekil 3):

Özel bir bildirim için içerik oluşturmak biraz öngörü ve planlama gerektirir ve ayrıca bir kullanıcı kötü amaçlı/şüpheli bir e-posta bildirdiğinde ortaya çıkan, sağlamanız gereken gerekli ayrıntılar da vardır:

  • Görünen Ad: Gönderen için bir ad girin. İdeal olarak gönderenin son kullanıcılara aşina olması gerekir.
  • E-posta Adresinden: Bu e-posta adresi son kullanıcı tarafından görülebilecektir. Yanıtlara izin vermek istiyorsanız gerçek bir e-posta adresi girmeniz gerekir. Aksi takdirde noreply@practicalpowershell.com veya noreply@ gibi bir e-posta adresi uygundur.
  • Dil: Mevcut on iki dilden birini seçin: Çince (geleneksel), Basitleştirilmiş Çince, İngilizce, Fransızca, Almanca, İtalyanca, Japonca, Korece, Portekizce, Rusça, İspanyolca ve Felemenkçe.
  • Konu: Bu alan "Kimlik avını bildirdiğiniz için teşekkür ederiz!" ifadesiyle önceden doldurulmuş olsa da, onaylanmış bir konuya göre özelleştirilebilir.
  • E-posta Gövdesi: Metin, Kod, Dinamik Etiketler kullanma seçeneklerinin yanı sıra Olumlu Takviye bildirimi için Microsoft'un Varsayılan Şablonlarından içerik dahil olmak üzere en iyi özelleştirme seçenekleri burada mevcuttur. Şekil 4'te özelleştirilmiş bir bildirim örneği gösterilmektedir:

Kiracıya özel bildirim bir Microsoft Şablonundan oluşturulmuş olsa da bir kuruluşun iletişim ihtiyaçlarını karşılamak üzere daha da özelleştirilebilir. Bildirime eklemek istediğiniz içeriği ekledikten sonra, oluşturma işlemini tamamlamak için Kaydet, İleri ve Gönder'i tıklayın:

Simülasyon Bildirimleri

Simülasyon bildirim e-postaları son kullanıcılara, bir bağlantıya tıkladıkları veya simüle edilen saldırıda başarısız oldukları için atanan eğitimin hatırlatıcısı olarak gönderilir. Microsoft, bu tür iletişimi yönetmek için bir e-posta içerir ve Olumlu Takviye e-postası gibi kendi sürümümüzü oluşturabiliriz. Oluşturma süreci, Olumlu Takviye Bildirimi'nin aynısıdır; aradaki belirgin fark, Microsoft şablonundan içe aktarılan metnin, alıcıyı kötü amaçlı yazılım ve kimlik avı tehlikeleri hakkında bilgilendirme ihtiyacını yansıtmasıdır.

Özel Kiracı Bildirimlerini oluşturduktan sonra bildirimleri yeni bir Simülasyon Eğitimine ekleyebiliriz. Şu anda bu yalnızca Olumlu Takviye Mesajı için mümkündür.

Bildirimler yapılandırma sayfasında bu bildirimlerin nasıl ele alınacağına ilişkin üç seçenek mevcuttur:

  • Bildirim teslim etme: Son kullanıcılara herhangi bir bildirim gönderilmeyecektir.
  • Microsoft varsayılan bildirimi: Bir simülasyonun hem başarılı hem de başarısız olması durumunda Microsoft tarafından oluşturulan bildirimler son kullanıcılara gönderilecektir.
  • Özelleştirilmiş son kullanıcı bildirimleri: Özel bildirimler oluşturulduysa ve bu seçenek seçilmişse bunlar son kullanıcılara gönderilebilir.

Bildirimleri göndermemeyi seçersek, Microsoft bu seçeneği seçmemenizi öneren bir mesaj açar. Açıkçası, eğer bir simülasyon çalıştırıyorsanız, insanlara sonuçlar hakkında bilgi vermelisiniz ve bildirimleri iletmeyi seçmek aynı zamanda son kullanıcılara Olumlu Takviye mesajı iletme fırsatını da sağlar. Bunun için üç seçenek mevcuttur:

  • Teslim Etmeyin
  • Kampanya Bittikten Sonra Teslim Edin
  • Kampanya Sırasında Teslim Edin

Teslimat seçeneğinin yanında 'İşlem' sütunu bulunur. Bu tıklandığında son kullanıcıyla iletişimin bir önizlemesi oluşturulur (Şekil 7):

Uyarılar

  • Yeni bir Saldırı Simülasyonu oluştururken Simülasyon Bildirimi e-postalarını değil, yalnızca Olumlu Takviye Bildirimlerini seçebiliyoruz.
  • Olumlu Takviye e-postaları, bir kullanıcı bir e-postayı bildirdiğinde hemen teslim edilmez.

Saldırı Simülasyonlarının Son Kullanıcı Deneyimi

Bir kampanya başladığında, son kullanıcının tehdide yanıt vermek için çeşitli seçenekleri vardır: e-postayı yoksay, e-postayı sil, e-postayı bildir veya şüpheli içeriğe tıkla. Kullanıcı iyi eğitilmişse ve Simülasyon bunu yapacak şekilde yapılandırılmışsa üçüncü seçenek bir Olumlu Takviye e-postasını tetikleyecektir ve iletişim Şekil 8'deki gibi görünebilir:

Kullanıcı mesajı bildirmez ve bunun yerine şüpheli içeriğe tıklarsa, öncelikle gelen e-postada gizlenebilecek tehditleri anlamalarına yardımcı olmak için gerekli ek eğitimi bildiren bir e-posta alacaktır (Şekil 9):

Yukarıdaki eğitim bildirimine ek olarak kullanıcının bir Simülasyon bildirimi alması gerekir. Ancak bu henüz bir seçenek değil ve gelecekte sunulacak bir özellik olacak.

İyi Bir Başlangıç

Saldırı Simülasyon Eğitimi çoğu Microsoft bulut özelliğinin modelini takip eder: ürün, iyi bir başlangıç özellikleri kümesiyle görünür ve ürün, yetenekler eklemek için zaman içinde gelişir. Microsoft, artık her ikisi de değer katan RBAC ve Son Kullanıcı Bildirimlerini Saldırı Simülasyon Eğitimine ekledi. Ancak bu alandaki birçok teklif gibi Microsoft da daha iyisini yapabilir.

İşte gelecekte görmek istediğim bazı geliştirmeler:

  • Son Kullanıcı Bildirimleri ve Raporlama gibi daha fazla RBAC rolü.
  • Simülasyon e-postaları Exchange aktarım hattından geçmez; bu, aktarım kurallarının mesajları işlemediği anlamına gelir. Kurallar genellikle mesajlara markalama veya uyarılar uygular; bu da simülasyonu mesajın görünümü açısından daha gerçekçi hale getirir.
  • Simülasyon yapılandırmasının kendisinde Simülasyon Bildirimleri eksik görünüyor.
  • Saldırı simülasyonunun çeşitli yönlerini yönetmek ve yapılandırmak için Graph API ve PowerShell için daha iyi destek.

Günün sonunda, Saldırı Simülasyonu Eğitimine yapılan bu iki ekleme, bu işlevin konuşlandırılması ve benimsenmesi için büyük bir teşviktir; çünkü Son Kullanıcı iletişimleri, bu özelliği bir kuruluş için değerli kılan temel geliştirmedir.

İlgili makaleler