Benutzer für das Erkennen von Phishing-Mails schulen mit dem Angriffssimulator von Microsoft 365

Die meisten Unternehmen versuchen, ihre Mitarbeiter für diese Gefahr zu sensibilisieren, so dass diese beispielsweise Anhänge in Nachrichten unbekannter Absender nicht vorschnell öffnen. In der Praxis fallen viele Benutzer aber dann doch auf die raffiniert gestalteten Nachrichten herein.

Wirksamer als abstrakte Warnungen und Empfehlungen dürfte für die meisten Benutzer sein, wenn sie einschlägigen Nachrichten auf den Leim gehen und dann sofort einen Hinweis auf ihre falsche Reaktion erhalten. Genau dies ist der Zweck von Microsofts Angriffs­simulator, der die Fähigkeit der User testet, schädliche Mails zu erkennen.

Neben Phishing-Attacken bietet der Simulator seit kurzem auch die Möglichkeit, Brute-Force- oder Kennwort-Spray-Angriffe gegen Accounts zu fahren. Damit lässt sich die Stärke der Kennwörter für Benutzer­konten prüfen.

Voraussetzungen für die Nutzung des Simulators

Der Angriffssimulator steht Unternehmen zur Verfügung, wenn sie über folgende M365-Lizenzpläne verfügen:

• M365 E5
• O365 E5
• Microsoft Defender for O365 Plan2
• E3-Kunden wird ein Teil der Funktionen als Test angeboten.

Beim Administrator muss Multifaktor-Authentifizierung (MFA) aktiv sein, um den Simulator ausführen zu können. Zudem muss er den Rollengruppen Organisations­verwaltung oder Sicherheits­administrator angehören.

Eine wichtige Einschränkung besteht darin, dass der Simulator nur mit Cloud-basierten Postfächern funktioniert. Bei anderen Umgebungen muss man leider weiterhin Software eines Drittherstellers einsetzen. Außerdem lässt sich das Tool aktuell noch nicht mit PowerShell konfigurieren.

Typen von Phishing-Mails

Ziel von Phishing-Mails ist es bekanntlich, den Empfänger mit täuschend echt aussehenden Nachrichten so zu manipulieren, dass er vertrauliche Informationen weitergibt oder riskante Aktionen ausführt.

Der Simulator kann zwei Arten von Phishing-Angriffen vortäuschen:

• Spearphishing (Credentials Harvest): Der Empfänger bekommt eine E-Mail, welche einen Link enthält. Der Angreifer leitet den Empfänger damit auf eine Website, die etwa den Online-Auftritt einer Bank oder eines Lieferanten vorspiegelt. Der User sollte dann dort seine Anmelde­informationen eingeben.
• Spearphishin (Anlage): Der Empfänger erhält eine E-Mail mit einer angehängten Datei, zum Beispiel vom Typ DOCX oder PDF. Bestes Beispiel dafür ist eine "Rechnung" von einem Dienstleister. Der Anhang ist dann kompromittiert und enthält Malware oder ebenfalls einen Link auf eine gefälschte Website.

Simulation für Phishing-Angriff konfigurieren

Der Simulator unterstützt den Admin beim Einrichten eines vorgetäuschten Angriffs mit einem Wizard. Diesen startet man, indem man im Bereich Spear-Phishing Konto Breach auf die Schaltfläche Angriff starten klickt.

Im nächsten Dialog folgt man dem Link Eine Simulation starten.

Danach muss man sich entscheiden, welche Art von Angriff man proben möchte. Zur Auswahl stehen die oben besprochenen Varianten, beispielsweise Nachricht oder Anhang mit Link, Link zu Malware oder Drive-by-URL.

Auf der darauffolgenden Seite vergibt man einen Namen und eine Beschreibung für die Simulation.

Anschließend soll man eine "Nutzlast" auswählen. Dabei handelt es sich eigentlich um einen falschen Begriff in der insgesamt schlechten Übersetzung. Gemeint ist hier das Template für die Mail, welche für den vermeint­lichen Angriff verschickt wird.

Im nächsten Bildschirm wählt man die Benutzer aus, welche man mit der Simulation gezielt testen möchte. Hier sind verschiedene Filter verfügbar.

Sind die Benutzer zugeteilt, dann kann man im nächsten Schritt den Teilnehmern der Simulation optional eine Online-Schulung zuweisen, wenn sie durch den Test gefallen sind.

Auf der Startseite der Schulung hinterlegt man eine Nachricht, die den User auf sein falsches Verhalten hinweist.

Zuletzt wird die Simulation geprüft und dann abgeschickt.

Der Empfängerkreis, welchen wir vorhin definiert haben, erhält nun die simulierte Phishing-Mail. Das Beispiel-Template ist hier zugegeben etwas dürftig und dient nur als Anschauungsobjekt.

Klickt der Benutzer auf den in der E-Mail enthaltenen Link, dann wird er zur Eingabe seiner Benutzerdaten aufgefordert.

Wenn der User sich an der gefälschten Website anmeldet, dann wird er auf seinen Fehler aufmerksam gemacht. Zudem erhält er Hinweise, woran er den Angriff hätte erkennen müssen.

Der Administrator kann nun im Admin Center sehen, wie die Simulation insgesamt ausgegangen ist und welche Benutzer für diese Thematik weiter sensibilisiert werden müssen.