安全意识培训的一种创新方法是对工人进行模拟攻击。最近的一项赤裸裸的安全调查显示，85%的IT安全专家表示，向员工发送假的网络安全提示，让他们了解自己的漏洞，并改变自己的行为，这样做很好。这种方法对用户教育有好处吗?
以下新闻片段是从工业控制系统网络紧急响应小组（ICS-CERT），这是美国国土安全部的一部分：
最近的矛钓鱼运动的开始和结束于2012年10月，使用从电力公司的网站上公开的信息来定制对能源部门的成员的攻击。员工姓名，公司的电子邮件地址，公司的隶属关系和工作头衔上，在最近的一次委员会会议上所列出的参加者页面上的实用程序的网站被发现。该公开的信息给攻击者在电力行业内的必要目标特定个人的公司知识。
恶意邮件被精心制作，告知收件人发件人的新电子邮件地址，并要求他们点击附加的链接。这个链接指向一个含有恶意软件的网站。另一封带有恶意附件的电子邮件也可能与这次活动有关。
幸运的是，没有入侵或感染者发现，针对11米具体的实体的运动以下。
如果这发生在组织中的人员？请问你的同事愿者上钩，点击该链接，把您的企业在危险中为恶意软件？
我们都愿意相信我们的同事足够聪明，能够察觉到“钓鱼”企图的臭味，但情况并非总是如此。有些信息——就像上面提到的那条——是相当可信的，即使是最精明的人也被愚弄了。
[有关：如何打击钓鱼攻击]
最近的实验表明这些类型的广告活动是如何成功的可能。关键情报和PhishMe的斯科特Greaux的泰勒克林格从事送假鱼叉式网络钓鱼邮件到两个现实公用事业公司的员工。收件人的百分之二十六的假电子邮件中的链接点击。有了这是一个真正的网络钓鱼攻击，恶意链接，只需点击一下可以有如虎添翼的恶意软件进入该组织。
虽然有技术解决方案来打击网络钓鱼企图，但它们不是特别有效。很难开发出一种技术，能在一封精心制作的电子邮件到达预定目标之前将其剔除。
安全专家同意最好的防御之一是加强“人防火墙”。换句话说，就是为工人提供培训，让他们学会识别(或至少怀疑)钓鱼的企图。如果你能让你的同事放慢脚步，在行动之前认真评估他们收到的信息，你就已经成功了一半。
一个创新的方法来教育用户是使用你的同事模拟攻击。最近的裸安全调查在Sophos安全威胁报告精选在2013年表明，谁对调查作出回应说，企业应该在933信息安全人员的85％“傻瓜员工与教育的目的开设不适当的电子邮件。”
一份新的报告讨论这是否是一个有效的方法来安全意识和培训。该报告是基于Wisegate的成员，其中包括财富500强企业实行民间组织之间的圆桌讨论。圆桌会议由袋熊安全技术，安全意识和培训公司的CEO乔·费拉拉，发起。
民间社会组织被问，“难道模拟攻击训练的工作？”该小组的共识是肯定的，它的工作。作为一个安全的领导者所说的那样，“它更是一个可教时刻 - 而关键是培训跟进该作品的员工。”此外，它有助于让员工认识到他们是使用社会工程学来得到他们的信任攻击是多么的脆弱。
CSOs列举了模拟攻击训练的一些具体好处:
- 它增加了网络钓鱼和鱼叉式网络钓鱼威胁的具体认识。当工作人员都在一个模拟的攻击，他们越来越意识到真正的威胁，更容易接受从IT安全的消息。
- 它提高了安全性的普遍认识。模拟攻击计划帮助打开工作人员和保安人员之间的沟通，从而有助于提高整体安全意识培训效率的线。
- 它提供安全培训指标。模拟攻击允许您跟踪安全培训的有效性，并将最需要额外培训的区域或人员作为目标。
- 这有助于公司和安全人员关注用户行为，以及如何将薄弱环节转化为优势。当涉及到社会工程攻击时，人可能是安全链中的薄弱环节。运行模拟攻击可以帮助您在技术支出和安全培训支出之间取得平衡。
公民社会组织同意，模拟攻击是用户意识培训的一个有价值的部分——如果他们做得正确的话。Ferrara提供了以下最佳实践，以确保您从您的培训项目中获得最大收益:
- 获取内部买入从高管所有部门的做法。
- 在开始一个新的模拟攻击方法之前，评估用户的现有意识水平。这为你判断这种方法的有效性和计划未来的活动提供了一个基线。
- 使用前期评估数据，从模拟攻击的新的数据，计划和优先未来培训相结合。
- ，以便通过你的同事，以确保最大的保持学习科学原理相结合的培训方法。
- 持续到年底的学习任务。
- 通过持续不断的培训来提高用户的认知度。
要了解更多信息，请阅读完整的报告，“安全官员辩论:模拟网络钓鱼攻击是提高安全意识和培训的有效方法吗?”
Linda Musthaler是Essential Solutions公司的首席分析师。你可以写信给她:LMusthaler@essential-iws.com。
______________________________________________________________
关于方案的基本公司：
基本解决方案研究信息技术的实用价值，以及它如何使个体员工和整个组织更有效率。基本解决方案提供给计算机厂商和企业客户咨询服务，以帮助定义和实现它的潜力。