Security Awareness und E-Learning Applikation Lucy

Security Awareness Kampagnen einfach selber machen

| Redakteur: Peter Schmitz

Die Phishing-Simulation Lucy lässt sich dank vieler vorbereiteter Templates leicht auf die Bedürfnisse des eigenen Unternehmens und den Schulungsbedarf der eigenen Mitarbeiter anpassen.
Die Phishing-Simulation Lucy lässt sich dank vieler vorbereiteter Templates leicht auf die Bedürfnisse des eigenen Unternehmens und den Schulungsbedarf der eigenen Mitarbeiter anpassen. (Bild: GTTA)

Eine neu in der Schweiz entwickelte Plattform mit dem Namen Lucy bietet Möglichkeiten zur Verbesserung der Security Awarness in einer Firma. Lucy kann dazu realistische Social Engineering Kampagnen durchführen und die Mitarbeiter im Anschluss daran mit einem integrierten E-Learning Modul über die Gefahren aufklären.

Die Wirkungen traditioneller Schulungen zur Förderung der Security Awareness verpuffen in der Regel relativ rasch und sind daher nicht sehr wirkungsvoll. Erst wenn der Benutzer selber einmal im Zentrum einer perfekt inszenierten Attacke steht, ist mit der notwendigen Aufmerksamkeit zu rechnen.

Genau dort setzt Lucy an, indem sie den Firmen ein sehr einfach zu konfigurierendes Werkzeug zur Durchführung und Messung von Security Awareness gibt. Lucy kann dabei alle gängigen Bedrohungstypen testen. Bei Drive-By Attacken wird eine Webseite simuliert, die mit Malware infiziert ist. Die E-Mails locken den Benutzer dann auf diese Seite. In anderen Szenarien wird der Benutzer zur Eingabe vertraulicher Informationen (z.B. Windows Logins) aufgefordert. Bei Attachment Kampagnen versucht man den Benutzer schließlich dazu zu bewegen, Malware (z.B. Trojaner in einem Word Dokument) auf einer Webseite bzw. in einem Mail auszuführen.

Alle Bedrohungstypen werden durch eine Vielzahl von vordefinierten Mail- und Webtemplates unterstützt. Lässt sich kein passendes Template finden, kann man durch eine eingebaute Webseitenkopierfunktion jede beliebige Seite im Internet funktionstüchtig auf Lucy kopieren. Aber auch die Malwaresimulation von Lucy ist einzigartig.

So kann man auf einer bedienerfreundlichen Weboberfläche die Eigenschaften der "Malware" selber zusammenstellen und einstellen, welche Informationen man vom Benutzer erhalten möchte. Lucy erstellt im Rahmen der Kampagne dann diese Malware vollautomatisch und bei Ausführung durch den Benutzer werden die Daten zurück an die Applikation gesendet. Da sich Lucy der gängigen Hackertricks bedient, funktioniert diese Form der Datenübermittlung in allen gängigen Firmennetzen mit Firewalls und geschützten Internetzugängen.

Lucy bietet sehr umfassende statistische Tools zur Auswertung der gesamten Kampagne. So sieht man von wo, welcher Art von Device was durch den Benutzer gemacht wurde. Es lässt sich sogar ableiten, ob die Links mit veralteten Browsern oder verwundbaren Plugins geöffnet wurden.

Mittels der integrierten E-Learning Applikation kann man die Benutzer automatisch im Anschluss an die Attacke sensibilisieren. Lucy kann bspw. erkennen, ob jemand sicherheitsrelevante Daten übermittelt hat und würde diesem Benutzer dann eine andere Aufklärungsmail bzw. Webseite zu Schulungszwecken senden, als einem Benutzer, welcher sich korrekt verhalten hat.

Lucy kann von Interessierten gratis heruntergeladen werden. Obschon Lucy bei Firmen mit mehr als 10‘000 Benutzern zu Einsatz kam, besteht eine Einschränkung hinsichtlich der Maximalzahl der zu testenden Benutzer (maximal 500 Benutzer). So soll ein gröberer Missbrauch verhindert werden. Für die meisten KMU's bzw. als Stichprobenchecks für größere Firmen sollte dies aber bereits reichen.

Kommentare werden geladen....

Kommentar zu diesem Artikel

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 43145026 / Hacker und Insider)