executing-phishing-simulation-campaign

执行钓鱼模拟活动

适用场景

• 作为安全意识计划的一部分，衡量员工易受钓鱼攻击影响的程度
• 测试电子邮件安全控制（安全邮件网关、DMARC、SPF、DKIM）的有效性
• 开展红队演练中的社会工程环节，以获取初始访问权限
• 在部署安全意识培训之前，建立员工易受钓鱼攻击程度的基线
• 验证员工报告可疑电子邮件时，事件响应流程是否有效

未经授权不得使用：未获得组织领导层明确的书面授权时；超出授权范围实施实际凭据窃取时；以个人而非职业身份为目标时；或发送可能造成心理伤害或法律责任的钓鱼电子邮件时。

前提条件

• 获得执行领导层的书面授权，明确活动范围、目标群体和升级流程
• 与 IT/安全团队协调，将发送基础设施加入白名单（或根据活动范围测试其是否能绕过控制措施）
• 配置好 GoPhish 或同类钓鱼平台，并设置发送域名、SMTP 中继和落地页基础设施
• 注册钓鱼域名并配置 SPF、DKIM 和 DMARC 记录，以最大限度提高送达率
• 从 HR 获取员工电子邮件列表，并按部门整理，以便开展定向活动
• 向事件响应团队说明活动时间安排和升级流程

工作流

步骤 1：活动规划与诱饵设计

根据与目标组织相关的威胁，设计逼真的钓鱼场景：

• 诱饵选择：选择反映真实攻击的场景：
  • IT 支持：要求立即操作的密码过期通知
  • HR 部门：福利登记、政策确认、W-2/税务文件
  • 冒充高管：CEO/CFO 要求紧急审核文件
  • 供应商：需要审核的发票、送货通知
  • 云服务：Microsoft 365 共享文档、Google Drive 访问、Zoom 会议邀请
• 目标分组：按部门、职位或访问级别将员工分组。高价值目标（财务、IT 管理员、高管）可能会收到更复杂的诱饵。
• 时间安排：安排在工作时间发送，最好选在电子邮件互动率最高的周二至周四。避开节假日、大规模裁员期间或其他敏感时段。
• 成功指标：定义活动成功的衡量标准：电子邮件打开率、链接点击率、凭据提交率、报告率（向 IT 报告钓鱼邮件的员工比例）

步骤 2：基础设施设置

配置钓鱼基础设施：

• 域名注册：注册一个与目标组织域名相似的域名（拼写抢注、同形异义或与品牌相近）。示例：target-corp.com、targetcorp-portal.com、targetsupport.net
• SSL 证书：为钓鱼域名获取 TLS 证书（Let's Encrypt），以显示挂锁图标
• GoPhish 配置：
  • 在 VPS 上使用钓鱼域名设置 GoPhish 服务器
  • 使用钓鱼域名的邮件服务器配置 SMTP 发送配置文件
  • 创建包含跟踪像素和落地页链接的电子邮件模板
  • 构建仿照目标登录门户的凭据收集落地页
  • 导入目标电子邮件列表并创建用户组
• 电子邮件身份验证：为钓鱼域名配置 SPF、DKIM 和 DMARC 记录，以通过电子邮件身份验证检查并提高送达率
• 测试送达：向受控收件箱发送测试电子邮件，以验证邮件呈现、链接跟踪和落地页功能

步骤 3：执行活动

发起钓鱼活动：

• 分批发送电子邮件，避免触发速率限制或垃圾邮件过滤器（例如，每小时 50 封）
• 实时监控 GoPhish 仪表板，查看投递失败、退信和早期互动情况
• 随着数据产生，跟踪各项指标：已发送的电子邮件、已打开的电子邮件（跟踪像素已触发）、已点击的链接、已提交的凭据
• 如果 IT 安全团队或 SOC 发现了此次活动（如果这是测试的一部分），记录发现时间和响应措施
• 制定紧急停止流程：如果员工感到不安，或活动造成意外后果，立即暂停
• 活动持续 48-72 小时后再关闭登录页面，因为大多数互动都发生在前 24 小时内

步骤 4：凭据捕获与访问影响演示

处理捕获的凭据，以演示其影响（如已获授权）：

• 在 GoPhish 中查看所有捕获的凭据。除非获得明确授权，否则不要使用凭据尝试登录真实系统。
• 如果获准进行全面利用：使用捕获的凭据尝试登录组织的实际登录门户（VPN、OWA、SSO）
• 记录成功攻陷的账户、这些账户可访问的数据，以及是否启用了 MFA
• 如果 MFA 阻止了访问，记录 MFA 如何阻止攻陷，并建议继续强制执行 MFA
• 识别凭据提交的规律：哪些部门、角色或地点最容易受到攻击

步骤 5：分析与报告

分析活动结果并编写评估报告：

• 指标分析：
  • 电子邮件投递率：成功送达收件箱的电子邮件百分比
  • 打开率：打开电子邮件的收件人百分比
  • 点击率：点击钓鱼链接的收件人百分比
  • 提交率：提交凭据的收件人百分比
  • 举报率：向 IT 安全部门举报该电子邮件的收件人百分比
• 部门对比：比较各部门的易受攻击率，识别需要针对性培训的群体
• 电子邮件安全有效性：记录钓鱼电子邮件是否绕过了安全电子邮件网关、DMARC/SPF 是否阻止了投递，以及链接扫描工具是否检测到了钓鱼 URL
• 建议：提出可执行的建议，包括安全意识培训主题、技术控制措施改进和策略变更

关键概念

术语	定义
诱饵情境	为说服目标执行所需操作（例如点击链接或输入凭据）而编造的情境和社交背景
凭据收集	通过仿冒合法服务的虚假登录页面收集用户名和密码
GoPhish	一款开源钓鱼模拟平台，可管理电子邮件模板、登录页面、目标群组和活动跟踪
鱼叉式网络钓鱼	利用侦察收集到的个性化信息，针对特定个人发起的钓鱼攻击
域名仿冒	通过替换、添加或省略字符，注册与合法域名在视觉上相似的域名
安全意识	旨在教育员工了解社会工程威胁和正确举报流程的培训计划
DMARC	基于域名的消息认证、报告与一致性；一种电子邮件身份验证协议，可防止未经授权使用某个域名发送电子邮件

工具与系统

• GoPhish：开源钓鱼模拟框架，提供活动管理、邮件模板、落地页和详细分析功能
• Evilginx2：高级钓鱼框架，可通过反向代理技术捕获会话令牌并绕过多因素身份验证
• King Phisher：钓鱼活动工具包，提供双因素身份验证测试和地理位置跟踪等高级功能
• SET (Social Engineering Toolkit)：社交工程攻击框架，涵盖钓鱼、凭据窃取和载荷投递

常见场景

场景：为安全意识基线开展企业钓鱼模拟

背景：一家拥有 2,000 名员工的公司从未开展过钓鱼模拟。CISO 希望在部署新的安全意识培训计划之前，先确定员工易受攻击的基线比例。本次活动应面向所有员工，采用真实但不太复杂的借口。

方法：

1. 设计 Microsoft 365 密码过期借口：“您的密码将在 24 小时后过期。点击此处更新。”
2. 注册 m365-targetcorp.com，设置 GoPhish，并构建一个克隆 Microsoft 365 登录门户的落地页
3. 导入全部 2,000 名员工的邮箱地址，并安排在 20 小时内分批发送，每批 100 封
4. 72 小时后的活动结果：成功送达 1,847 封（92.4%），打开 1,243 封（67.3%），点击 487 次（26.4%），提交凭据 312 次（16.9%），向 IT 举报 23 次（1.2%）
5. 分析显示，财务部门（提交率 28%）和营销部门（提交率 24%）最容易受骗；IT 部门最低（4%）
6. 建议针对易受骗率较高的部门开展培训、部署钓鱼举报按钮，并按季度开展模拟

注意事项：

• 使用过于激进或带有威胁性的借口，导致员工焦虑或引发法律问题
• 活动启动前未与 HR 和法务部门协调，造成员工关系问题
• 同时发送所有邮件，导致邮件服务器不堪重负或触发批量发送检测
• 只关注点击率和提交率，却忽视极低的举报率（1.2%）

输出格式

## Phishing Simulation Campaign Report

**Campaign Name**: Q4 2025 Baseline Phishing Assessment
**Pretext**: Microsoft 365 Password Expiration Notice
**Campaign Duration**: November 15-18, 2025
**Target Population**: 2,000 employees (all departments)

### Campaign Metrics
| Metric | Count | Rate |
|--------|-------|------|
| Emails Sent | 2,000 | 100% |
| Emails Delivered | 1,847 | 92.4% |
| Emails Opened | 1,243 | 67.3% |
| Links Clicked | 487 | 26.4% |
| Credentials Submitted | 312 | 16.9% |
| Reported to IT | 23 | 1.2% |

### Department Breakdown
| Department | Employees | Clicked | Submitted | Reported |
|------------|-----------|---------|-----------|----------|
| Finance    | 120       | 38.3%   | 28.3%     | 0.8%     |
| Marketing  | 85        | 35.3%   | 24.7%     | 1.2%     |
| Engineering| 300       | 15.0%   | 8.3%      | 3.7%     |
| IT         | 45        | 8.9%    | 4.4%      | 11.1%    |

### Key Findings
1. Baseline credential submission rate of 16.9% exceeds industry average (12%)
2. Report rate of 1.2% indicates employees are not trained to report suspicious emails
3. Finance department is the highest-risk group with 28.3% credential submission rate
4. Email security gateway did not flag the phishing domain despite being registered 48 hours prior

### Recommendations
1. Deploy mandatory security awareness training with emphasis on phishing identification
2. Install a phishing report button in email clients and train all employees on its use
3. Implement DMARC enforcement (p=reject) and enhanced email filtering rules
4. Conduct targeted training for Finance and Marketing departments
5. Schedule quarterly phishing simulations to track improvement