Meldungen einrichten, sichten und Webhooks anbinden

Ihre Mitarbeitenden erhalten zweifelhafte E-Mails: echtes Phishing, Spam oder PhishTrainer-Simulationen. Mit einer Meldung leiten sie diese E-Mails an Ihr Sicherheitsteam weiter, das sie in PhishTrainer wiederfindet.

Eine Quelle beschreibt den Weg einer gemeldeten E-Mail zu PhishTrainer. Es gibt zwei Arten, die im Fenster Meldequelle hinzufügen angezeigt werden:

• PhishTrainer ruft ein Postfach ab: Ihre Mitarbeitenden leiten die verdächtige E-Mail an eine eigene Adresse weiter (zum Beispiel meldung@ihre-domain.ch), die PhishTrainer in regelmässigen Abständen liest;
• Eine Schaltfläche „Melden“ im E-Mail-Programm: Ein Add-In fügt eine Schaltfläche im E-Mail-Programm hinzu; die E-Mail geht direkt an PhishTrainer, ohne Zwischenpostfach.

Sie können mehrere Quellen einrichten und kombinieren, zum Beispiel ein Meldepostfach und ein Outlook-Add-In. Jede wird unabhängig aktiviert.

Richten Sie zuerst bei Ihrem E-Mail-Anbieter ein Postfach für Meldungen ein. Wählen Sie dann Postfach (IMAP) und füllen Sie die Felder aus. Mit Sternchen markierte Felder sind Pflichtfelder.

Teilen Sie ihnen die Adresse des Meldepostfachs mit. Bitten Sie sie, die verdächtige E-Mail als Anhang weiterzuleiten, wenn das E-Mail-Programm dies erlaubt: PhishTrainer analysiert dann die ursprüngliche E-Mail unverändert. Eine normale Weiterleitung (im Nachrichtentext) wird ebenfalls angenommen, der ursprüngliche Absender wird dann aber nur gefunden, wenn er im weitergeleiteten Block lesbar bleibt.

PhishTrainer liest ein Exchange-Online-Postfach über Microsoft Graph, mit einer in Ihrem Microsoft Entra registrierten Anwendung, ohne Postfachpasswort. Die Anwendung hat nur Lesezugriff auf dieses eine Postfach. Zusammen mit der in Outlook integrierten Schaltfläche „Melden“ empfängt diese Quelle die E-Mails, die Ihre Mitarbeitenden mit dieser Schaltfläche melden.

Wählen Sie Microsoft-365-Postfach. Das Fenster zeigt links die Anleitung (Microsoft 365 vorbereiten) und rechts die auszufüllenden Felder. Zwei Methoden stehen zur Wahl: Manuell (empfohlen), wobei Sie jede Einstellung in den Microsoft-Portalen vornehmen, oder Mit dem Skript, ein PowerShell-Skript, das die Einstellungen für Sie vornimmt. Das Fenster beschreibt jeden Schritt im Detail; hier der Ablauf.

Exchange-Berechtigungen brauchen 30 Minuten bis 2 Stunden, bis sie gelten: Ein abgelehnter Test direkt nach dem Speichern ist normal, versuchen Sie es später erneut. Der Test liest keine Nachricht; er zeigt an, ob das Postfach leer ist oder abzurufende Nachrichten enthält.

Die drei Add-Ins (Outlook für Windows (VSTO), Outlook Microsoft 365, Gmail (Google Workspace)) werden gleich hinzugefügt: Typ wählen, Name der Quelle: ausfüllen, prüfen, dass Empfang aktiviert eingeschaltet ist, und speichern. Die Quelle zeigt dann einen Aktivierungscode und die Registerkarten Einstellungen, Installation, Nachricht an Mitarbeitende sowie Registrierte Geräte (VSTO) oder Verknüpfungen und Benutzer (Microsoft 365, Gmail). Die Option E-Mail nach der Meldung löschen verschiebt die gemeldete E-Mail in die gelöschten Elemente der Mitarbeitenden, wo sie wiederherstellbar bleibt.

Für die Verteilung jedes Add-Ins gibt es einen eigenen Leitfaden:

Jede Quelle in der Liste Meine Empfangsquellen trägt ein Abzeichen Aktiviert oder Deaktiviert. Quellen, die ein Postfach abrufen, zeigen Letzter Abruf: und den letzten Fehler, falls vorhanden; Add-Ins zeigen Letzte empfangene Meldung:. Verfügbare Aktionen:

Öffnen Sie Verdächtige E-Mails im PhishTrainer-Menü oder klicken Sie auf der Seite der Quellen auf Verdächtige E-Mails anzeigen. Eine von mehreren Mitarbeitenden gemeldete E-Mail erscheint nur einmal: Ihre Klassifizierung gilt für alle.

Die Karte Überblick zeigt für den gewählten Zeitraum der Statistiken (7 Tage bis 12 Monate): die Anzahl Gemeldete E-Mails, die Zu analysieren, den Anteil der PhishTrainer-Simulationen, die Verteilung nach Analyseergebnis und nach gemeldetem Typ (Gemeldet als) sowie die Zu analysierende Domänen und die Als Phishing oder Spam klassifizierte Domänen. Ein Klick auf eine Domäne filtert die Liste auf ihre E-Mails.

Die Registerkarten filtern nach Ergebnis: Alle, Zu analysieren, Phishing, Spam, Harmlos, Unbestimmt, PhishTrainer-Simulationen. Weitere Filter: Absenderdomäne, Gemeldet als (Phishing oder Spam, wie von der meldenden Person angegeben), Gemeldete Interaktionen und Zeitraum. Sortieren nach bietet Neueste zuerst, Am längsten zu analysieren und Am häufigsten gemeldet. Zu analysierende E-Mails sind hervorgehoben.

Klicken Sie auf eine Zeile, um Details der E-Mail zu öffnen: Absender, Betreff, Datum der ersten und letzten Meldung, Typ, Ergebnis, Letzte Klassifizierung (wer und wann), dann Mitarbeitende, die sie erhalten haben, Nachrichteninhalt, Indikatoren (URLs, Domänen, Absender, IP-Adressen, Prüfsummen von Anhängen) und Anhänge (Name, Typ, Grösse, SHA-256). Der Inhalt wird in einem abgeschotteten Rahmen angezeigt; Anhänge lassen sich nicht herunterladen.

Jede Meldung hat einen Status: Zu analysieren, In Analyse oder Klassifiziert. Eine E-Mail ohne Klassifizierung wird als Zu analysieren angezeigt.

Meldet eine mitarbeitende Person eine Simulations-E-Mail, erkennt PhishTrainer sie und klassifiziert sie automatisch (Letzte Klassifizierung: Automatisch). Der Link Kampagnenergebnisse anzeigen öffnet die betreffende Kampagne. Nicht zugeordnete PhishTrainer-Simulation kennzeichnet eine erkannte Simulation, zu der keine Kampagne gefunden wurde.

Bei einigen Add-Ins gibt die meldende Person an, was sie mit der E-Mail getan hat: Link geklickt, Anhang geöffnet, Zugangsdaten eingegeben, geantwortet oder angerufen. Das Abzeichen Hat interagiert steht für eingegebene Zugangsdaten oder einen geöffneten Anhang; Interaktion gemeldet für einen geklickten Link, eine Antwort oder einen Anruf. Beim Abruf eines Postfachs wird die Frage nicht gestellt (Nicht abgefragt). Der Filter Mit riskanter Interaktion zeigt nur diese E-Mails.

Ein Webhook ist eine Webadresse (URL) Ihrer Anwendung, an die PhishTrainer im Verlauf Ihrer Kampagnen Daten sendet. Damit versorgen Sie ein SIEM, ein Ticketsystem oder einen Team-Chat, ohne das Extranet von Hand zu prüfen.

Jede Sendung ist eine HTTP-Anfrage POST, deren Inhalt ein JSON-Dokument ist. Ihre Anwendung muss mit einem HTTP-Code unter 400 antworten: Ein Code ab 400 oder keine Antwort innert 10 Sekunden gilt als Fehlschlag. Weiterleitungen werden nicht verfolgt. Gesendete Kopfzeilen:

Ist ein Secret hinterlegt, fügt PhishTrainer die Kopfzeile X-Gophish-Signature hinzu, in der Form sha256= gefolgt von einer hexadezimalen Signatur. Diese Signatur ist der HMAC-SHA256 des unveränderten Anfrageinhalts, berechnet mit dem Secret als Schlüssel. Zur Prüfung berechnet Ihre Anwendung diesen HMAC über den empfangenen Inhalt, vor jeder JSON-Dekodierung, und vergleicht ihn mit dem Wert der Kopfzeile. Weisen Sie jede Anfrage ohne diese Kopfzeile oder mit abweichender Signatur zurück.

Die Liste zeigt Titel, URL und Status jedes Webhooks. Die Schaltflächen Diesen Webhook bearbeiten und Diesen Webhook löschen wirken auf die Zeile. Das Löschen ist endgültig. Um Sendungen auszusetzen, ohne die Konfiguration zu verlieren, schalten Sie Ist aktiv? aus.