Configurare le segnalazioni, smistarle e collegare webhook

I vostri collaboratori ricevono email dubbie: phishing reale, spam o simulazioni PhishTrainer. La segnalazione permette loro di trasmettere queste email al vostro team di sicurezza, che le ritrova in PhishTrainer.

Una fonte descrive il percorso di un’email segnalata fino a PhishTrainer. Esistono due famiglie, presentate nella finestra Aggiungere una fonte di segnalazione:

• PhishTrainer legge una casella email: i vostri collaboratori inoltrano l’email sospetta a un indirizzo dedicato (ad esempio segnalazione@vostro-dominio.ch), che PhishTrainer legge a intervalli regolari;
• Un pulsante «Segnala» nella posta: un componente aggiuntivo inserisce un pulsante nella posta; l’email arriva direttamente a PhishTrainer, senza casella intermedia.

Potete configurare più fonti e combinarle, ad esempio una casella di segnalazione e un componente aggiuntivo Outlook. Ciascuna si attiva in modo indipendente.

Create prima, presso il vostro fornitore di posta, una casella dedicata alle segnalazioni. Scegliete poi Casella email (IMAP) e compilate i campi. I campi contrassegnati da un asterisco sono obbligatori.

Comunicate l’indirizzo della casella di segnalazione. Chiedete di inoltrare l’email sospetta come allegato quando la posta lo consente: PhishTrainer analizza così l’email originale tale e quale. Un inoltro classico (nel corpo del messaggio) è accettato, ma il mittente originale viene ritrovato solo se resta leggibile nel blocco di inoltro.

PhishTrainer legge una casella Exchange Online tramite Microsoft Graph, con un’applicazione registrata nel vostro Microsoft Entra, senza password della casella. L’applicazione ha accesso solo a questa casella, in lettura. Abbinata al pulsante «Segnala» integrato in Outlook, questa fonte riceve le email che i vostri collaboratori segnalano con quel pulsante.

Scegliete Casella Microsoft 365. La finestra mostra a sinistra la procedura (Preparare Microsoft 365) e a destra i campi da compilare. Sono proposti due metodi: A mano (consigliato), in cui eseguite ogni impostazione nei portali Microsoft, oppure Con lo script, uno script PowerShell che esegue le impostazioni per voi. La finestra descrive ogni passo; ecco come si susseguono.

I diritti Exchange impiegano da 30 minuti a 2 ore per applicarsi: un test rifiutato subito dopo il salvataggio è normale, riprovate più tardi. Il test non legge alcun messaggio; indica se la casella è vuota o contiene messaggi da prelevare.

I tre componenti aggiuntivi (Outlook per Windows (VSTO), Outlook Microsoft 365, Gmail (Google Workspace)) si aggiungono allo stesso modo: scegliete il tipo, compilate Nome della fonte:, verificate che Ricezione attivata sia attivo e salvate. La fonte mostra poi un codice di attivazione e le schede Impostazioni, Installazione, Messaggio ai collaboratori, oltre a Dispositivi registrati (VSTO) o Collegamenti e utenti (Microsoft 365, Gmail). L’opzione Elimina l'email dopo la segnalazione sposta l’email segnalata negli elementi eliminati del collaboratore, da dove resta recuperabile.

La distribuzione di ciascun componente ha la sua guida:

Ogni fonte dell’elenco Le mie fonti di ricezione porta un badge Attivata o Disattivata. Le fonti che leggono una casella mostrano Ultimo prelievo: e l’ultimo errore, se presente; i componenti aggiuntivi mostrano Ultima segnalazione ricevuta:. Azioni disponibili:

Aprite Email sospette nel menu PhishTrainer, oppure fate clic su Visualizza le email sospette dalla pagina delle fonti. Un’email segnalata da più collaboratori compare una sola volta: classificarla la classifica per tutti.

La scheda Panoramica indica, per il Periodo delle statistiche scelto (da 7 giorni a 12 mesi): il numero di Email segnalate, quelle Da analizzare, la quota di Simulazioni PhishTrainer, la ripartizione per Risultato dell'analisi e per tipo segnalato (Segnalate come), oltre ai Domini da analizzare e ai Domini classificati come phishing o spam. Un clic su un dominio filtra l’elenco sulle sue email.

Le schede filtrano per risultato: Tutto, Da analizzare, Phishing, Spam, Innocue, Indeterminate, Simulazioni PhishTrainer. Altri filtri: Dominio mittente, Segnalate come (phishing o spam, secondo quanto dichiarato dal collaboratore), Interazioni dichiarate e Periodo. Ordina per propone Più recenti, Da analizzare da più tempo e Più segnalate. Le email da analizzare sono evidenziate.

Fate clic su una riga per aprire Dettaglio dell'email: mittente, oggetto, date della prima e dell’ultima segnalazione, tipo, risultato, Ultima classificazione (chi e quando), poi Collaboratori che l'hanno ricevuta, Corpo del messaggio, Indicatori (URL, domini, mittente, indirizzi IP, impronte degli allegati) e Allegati (nome, tipo, dimensione, SHA-256). Il corpo è mostrato in un riquadro isolato; gli allegati non si possono scaricare.

Ogni segnalazione ha uno stato: Da analizzare, In analisi o Classificata. Un’email senza classificazione è mostrata come Da analizzare.

Quando un collaboratore segnala un’email di simulazione, PhishTrainer la riconosce e la classifica automaticamente (Ultima classificazione: Automatica). Il link vedi i risultati della campagna apre la campagna interessata. La dicitura Simulazione PhishTrainer non associata indica una simulazione riconosciuta ma senza campagna ritrovata.

Con alcuni componenti aggiuntivi, il collaboratore indica cosa ha fatto con l’email: link cliccato, allegato aperto, credenziali inserite, risposta o chiamata. Il badge Ha interagito segnala credenziali inserite o un allegato aperto; Interazione dichiarata segnala un link cliccato, una risposta o una chiamata. Per il prelievo da una casella la domanda non viene posta (Non richiesto). Il filtro Con interazione a rischio isola queste email.

Un webhook è un indirizzo web (URL) della vostra applicazione a cui PhishTrainer invia dati man mano che le campagne si svolgono. Serve ad alimentare un SIEM, uno strumento di ticketing o un canale di chat del team, senza consultare a mano l’extranet.

Ogni invio è una richiesta HTTP POST il cui corpo è un documento JSON. La vostra applicazione deve rispondere con un codice HTTP inferiore a 400: un codice 400 o superiore, o nessuna risposta entro 10 secondi, conta come errore. I reindirizzamenti non vengono seguiti. Intestazioni inviate:

Se è indicato un secret, PhishTrainer aggiunge l’intestazione X-Gophish-Signature, nella forma sha256= seguito da una firma esadecimale. Questa firma è l’HMAC-SHA256 del corpo grezzo della richiesta, calcolato con il secret come chiave. Per verificare un invio, la vostra applicazione ricalcola questo HMAC sul corpo ricevuto, tale e quale, prima di qualsiasi decodifica JSON, e lo confronta con il valore dell’intestazione. Una richiesta senza intestazione o con una firma diversa va respinta.

L’elenco mostra titolo, URL e stato di ogni webhook. I pulsanti Modifica questo Webhook e Elimina questo Webhook agiscono sulla riga. L’eliminazione è irreversibile. Per sospendere gli invii senza perdere la configurazione, disattivate È attivo?.