Começar a usar o Treinamento de simulação de ataque

Em organizações com o Microsoft Defender para Office 365 Plano 2 (licenças de suplementos ou incluídos em subscrições como o Microsoft 365 E5), pode utilizar a Formação de simulação de ataques no portal do Microsoft Defender para executar cenários de ataque realistas na sua organização. Estes ataques simulados podem ajudá-lo a identificar e encontrar utilizadores vulneráveis antes que um ataque real afete a sua linha de fundo.

Este artigo explica as noções básicas da preparação de simulação de ataques.

Veja este breve vídeo para saber mais sobre a Formação de simulação de ataques.

Do que você precisa saber para começar?

• A formação de simulação de ataques requer uma licença do Microsoft 365 E5 ou do Microsoft Defender para Office 365 Plano 2 . Para obter mais informações sobre os requisitos de licenciamento, veja Termos de licenciamento.

• A formação de simulação de ataques suporta caixas de correio no local, mas com funcionalidade de relatórios reduzida. Para obter mais informações, consulte Comunicar problemas com caixas de correio no local.

• Para abrir o portal do Microsoft Defender, aceda a https://security.microsoft.com. A formação de simulação de ataques está disponível em E-mail e colaboraçãoFormação de simulação de ataques>. Para aceder diretamente a Preparação de simulação de ataques, utilize https://security.microsoft.com/attacksimulator.

• Para obter mais informações sobre a disponibilidade da Formação de simulação de ataques em diferentes subscrições do Microsoft 365, consulte Descrição do serviço do Microsoft Defender para Office 365.

• Tem de lhe ser atribuídas permissões antes de poder efetuar os procedimentos neste artigo. Você tem as seguintes opções:

  • Permissões do Microsoft Entra: precisa de ser associado a uma das seguintes funções:

    • Administrador Global¹
    • Administrador de Segurança
    • Administradores de Simulação de Ataques²: crie e faça a gestão de todos os aspetos das campanhas de simulação de ataques.
    • Attack Payload Author²: crie payloads de ataque que um administrador pode iniciar mais tarde.

    Importante

    ¹ A Microsoft recomenda que utilize funções com menos permissões. A utilização de contas com permissões mais baixas ajuda a melhorar a segurança da sua organização. O Administrador Global é uma função altamente privilegiada que deve ser limitada a cenários de emergência quando não pode utilizar uma função existente.

    ² A adição de utilizadores a este grupo de funções no E-mail & permissões de colaboração no portal do Microsoft Defender não é atualmente suportada.

    Atualmente, o controlo de acesso unificado (RBAC) do Microsoft Defender XDR não é suportado.

• Não existem cmdlets do PowerShell correspondentes para a preparação de simulação de ataques.

• Os dados relacionados com a simulação de ataques e a preparação são armazenados com outros dados de cliente para serviços do Microsoft 365. Para obter mais informações, consulte Localizações de dados do Microsoft 365. A preparação da simulação de ataques está disponível nas seguintes regiões: APC, EUR e NAM. Os países nessas regiões onde a formação de simulação de ataques está disponível incluem ARE, AUS, BRA, CAN, CHE, DEU, FRA, GBR, IND, JPN, KOR, LAM, NOR, POL, QAT, SGP, SWE e ZAF.

  Observação

  NOR, ZAF, ARE e DEU são as mais recentes adições. Todas as funcionalidades, exceto a telemetria de e-mail comunicada, estão disponíveis nestas regiões. Estamos a trabalhar para ativar as funcionalidades e iremos notificar os clientes assim que a telemetria de e-mail comunicada ficar disponível.

• A partir de setembro de 2023, a formação de simulação de ataques está disponível em ambientes do Microsoft 365 GCC e GCC High, mas determinadas funcionalidades avançadas não estão disponíveis no GCC High (por exemplo, automatização de payload, payloads recomendados, a taxa comprometida prevista). Se a sua organização tiver o Office 365 G5 GCC ou o Microsoft Defender para Office 365 (Plano 2) para a Administração Pública, pode utilizar a formação de Simulação de ataques, conforme descrito neste artigo. A preparação da simulação de ataques ainda não está disponível em ambientes DoD.

Simulações

Uma simulação na formação de simulação de ataques é a campanha geral que fornece mensagens de phishing realistas, mas inofensivas, aos utilizadores. Os elementos básicos de uma simulação são:

• Quem recebe a mensagem de phishing simulada e com que agenda.
• Formação que os utilizadores obtêm com base na respetiva ação ou falta de ação (para ações corretas e incorretas) na mensagem de phishing simulada.
• O payload utilizado na mensagem de phishing simulada (uma ligação ou um anexo) e a composição da mensagem de phishing (por exemplo, pacote entregue, problema com a sua conta ou ganhou um prémio).
• A técnica de engenharia social que é usada. A payload e a técnica de engenharia social estão intimamente relacionadas.

Na formação de simulação de ataques, estão disponíveis vários tipos de técnicas de engenharia social. Com exceção do Guia de Procedimentos, estas técnicas foram organizadas a partir da arquitetura MITRE ATT&CK®. Estão disponíveis payloads diferentes para diferentes técnicas.

Estão disponíveis as seguintes técnicas de engenharia social:

• Recolha de Credenciais: um atacante envia ao destinatário uma mensagem que contém um URL. Quando o destinatário clica no URL, é redirecionado para um site que normalmente mostra uma caixa de diálogo que pede ao utilizador o respetivo nome de utilizador e palavra-passe. Normalmente, a página de destino tem como tema representar um site conhecido para criar confiança no utilizador.

• Anexo de Software Maligno: um atacante envia ao destinatário uma mensagem que contém um anexo. Quando o destinatário abre o anexo, o código arbitrário (por exemplo, uma macro) é executado no dispositivo do utilizador para ajudar o atacante a instalar código adicional ou a entrincheirar-se ainda mais.

• Ligação no Anexo: esta técnica é um híbrido de uma colheita de credenciais. Um atacante envia ao destinatário uma mensagem que contém um URL dentro de um anexo. Quando o destinatário abre o anexo e clica no URL, é redirecionado para um site que normalmente mostra uma caixa de diálogo que pede ao utilizador o respetivo nome de utilizador e palavra-passe. Normalmente, a página de destino tem como tema representar um site conhecido para criar confiança no utilizador.

• Ligação para Software Maligno: um atacante envia ao destinatário uma mensagem que contém uma ligação para um anexo num site de partilha de ficheiros conhecido (por exemplo, o SharePoint Online ou o Dropbox). Quando o destinatário clica no URL, o anexo é aberto e o código arbitrário (por exemplo, uma macro) é executado no dispositivo do utilizador para ajudar o atacante a instalar código adicional ou a entrincheirar-se ainda mais.

• Drive-by-url: um atacante envia ao destinatário uma mensagem que contém um URL. Quando o destinatário clica no URL, é redirecionado para um site que tenta executar o código em segundo plano. Esse código em segundo plano tenta coletar informações sobre o destinatário ou implantar código arbitrário em seu dispositivo. Normalmente, o site de destino é um site conhecido que foi comprometido ou um clone de um site conhecido. A familiaridade com o site ajuda a convencer o utilizador de que a ligação é segura para clicar. Esta técnica também é conhecida como um ataque de poço de rega.

• Concessão de Consentimento OAuth: um atacante cria uma Aplicação maliciosa do Azure que procura obter acesso aos dados. A aplicação envia um pedido de e-mail que contém um URL. Quando o destinatário clica no URL, o mecanismo de concessão de consentimento da aplicação pede acesso aos dados (por exemplo, a Caixa de Entrada do utilizador).

• Guia de Procedimentos: um guia de ensino que contém instruções para os utilizadores (por exemplo, como comunicar mensagens de phishing).

Os URLs utilizados pela preparação de simulação de ataques estão listados na tabela seguinte:

Criar simulações

Para obter instruções sobre como criar e iniciar simulações, veja Simular um ataque de phishing.

A página de destino na simulação é onde os utilizadores vão quando abrem o payload. Quando cria uma simulação, seleciona a página de destino a utilizar. Pode selecionar a partir de páginas de destino incorporadas, páginas de destino personalizadas que já criou ou pode criar uma nova página de destino a utilizar durante a criação da simulação. Para criar páginas de destino, veja Páginas de destino na preparação de simulação de ataques.

As notificações do utilizador final na simulação enviam lembretes periódicos aos utilizadores (por exemplo, atribuição de formação e notificações de lembrete). Pode selecionar a partir de notificações incorporadas, notificações personalizadas que já criou ou pode criar novas notificações para utilizar durante a criação da simulação. Para criar notificações, veja Notificações do utilizador final para a preparação da Simulação de ataques.

Payloads

Embora a Simulação de ataques contenha muitos payloads incorporados para as técnicas de engenharia social disponíveis, pode criar payloads personalizados para se adequar melhor às suas necessidades empresariais, incluindo copiar e personalizar um payload existente. Pode criar payloads em qualquer altura antes de criar a simulação ou durante a criação da simulação. Para criar payloads, veja Criar um payload personalizado para a preparação de simulação de ataques.

Em simulações que utilizam a Recolha de Credenciais ou a Ligação em Técnicas de engenharia social de anexos, as páginas de início de sessão fazem parte do payload que selecionar. A página de início de sessão é a página Web onde os utilizadores introduzem as respetivas credenciais. Cada payload aplicável utiliza uma página de início de sessão predefinida, mas pode alterar a página de início de sessão utilizada. Pode selecionar a partir de páginas de início de sessão incorporadas, páginas de início de sessão personalizadas que já criou ou pode criar uma nova página de início de sessão para utilizar durante a criação da simulação ou do payload. Para criar páginas de início de sessão, veja Páginas de início de sessão na formação de Simulação de ataques.

A melhor experiência de preparação para mensagens de phishing simuladas é torná-las o mais próximas possível de ataques de phishing reais que a sua organização possa experimentar. E se pudesse capturar e utilizar versões inofensivas de mensagens de phishing do mundo real que foram detetadas no Microsoft 365 e utilizá-las em campanhas de phishing simuladas? Pode, com automatizações de payload (também conhecidas como recolha de payload). Para criar automatizações de payload, veja Payload automations for Attack simulation training (Automatizações de payload para a preparação de simulação de ataques).

Relatórios e informações

Depois de criar e iniciar a simulação, tem de ver como está a correr. Por exemplo:

• Todos o receberam?
• Quem fez o quê à mensagem de phishing simulada e ao payload na mesma (eliminar, reportar, abrir o payload, introduzir credenciais, etc.).
• Quem concluiu a formação atribuída.

Os relatórios e informações disponíveis para a preparação da simulação de ataques estão descritos em Informações e relatórios para a preparação de simulação de ataques.

Taxa de compromisso prevista

Muitas vezes, precisa de personalizar uma campanha de phishing simulada para audiências específicas. Se a mensagem de phishing estiver demasiado perto de ser perfeita, quase todos serão enganados por ela. Se for muito suspeito, não será enganado por isso. Além disso, as mensagens de phishing que alguns utilizadores consideram difíceis de identificar são consideradas fáceis de identificar por outros utilizadores. Então, como se equilibra?

A taxa de compromisso prevista (PCR) indica a eficácia potencial quando o payload é utilizado numa simulação. O PCR utiliza dados históricos inteligentes no Microsoft 365 para prever a percentagem de pessoas que serão comprometidas pelo payload. Por exemplo:

• Conteúdo do payload.
• Taxas de compromisso agregadas e anonimizadas de outras simulações.
• Metadados de payload.

O PCR permite-lhe comparar o clique previsto vs. o clique real através de taxas para as simulações de phishing. Também pode utilizar estes dados para ver o desempenho da sua organização em comparação com os resultados previstos.

As informações do PCR para um payload estão disponíveis onde quer que veja e selecione payloads e nos seguintes relatórios e informações:

• Impacto de comportamento no cartão de taxa de compromisso
• Separador Eficácia da preparação para o relatório Simulação de ataques

Formação sem truques

As simulações de phishing tradicionais apresentam aos utilizadores mensagens suspeitas e os seguintes objetivos:

• Faça com que os utilizadores comuniquem a mensagem como suspeita.
• Fornecer formação após os utilizadores clicarem ou iniciarem o payload malicioso simulado e abdicarem das respetivas credenciais.

No entanto, por vezes, não quer esperar que os utilizadores tomem medidas corretas ou incorretas antes de lhes dar formação. A preparação da simulação de ataques fornece as seguintes funcionalidades para ignorar a espera e ir diretamente para a preparação:

• Campanhas de formação: uma campanha de Formação é uma atribuição apenas de formação para os utilizadores visados. Pode atribuir formação diretamente sem colocar os utilizadores no teste de uma simulação. As campanhas de formação facilitam a realização de sessões de aprendizagem, como a formação mensal de sensibilização sobre cibersegurança. Para obter mais informações, veja Campanhas de formação em Formação de simulação de ataques.

• Manuais de instruções em simulações: as simulações baseadas na técnica de engenharia social Guia de Procedimentos não tentam testar os utilizadores. Um Guia de procedimentos é uma experiência de aprendizagem simples que os utilizadores podem ver diretamente na respetiva Caixa de Entrada. Por exemplo, estão disponíveis os seguintes payloads do Guia de Procedimentos incorporados e pode criar o seu próprio (incluindo copiar e personalizar um payload existente):

  • Guia de ensino: Como comunicar mensagens de phishing
  • Guia de Ensino: Como reconhecer e reportar mensagens de phishing QR