executing-phishing-simulation-campaign

name	executing-phishing-simulation-campaign
description	执行授权的钓鱼模拟活动，评估组织对基于电子邮件的社会工程攻击的脆弱性。测试人员设计真实的钓鱼场景，构建凭据收集基础设施，发送定向钓鱼邮件，并追踪打开率、点击率和凭据提交率，以衡量人员安全意识水平。适用于钓鱼模拟、社会工程评估、电子邮件安全测试或安全意识测量等请求场景。
domain	cybersecurity
subdomain	penetration-testing
tags	["phishing-simulation","social-engineering","GoPhish","email-security","security-awareness"]
version	1.0.0
author	mahipal
license	Apache-2.0

执行钓鱼模拟活动

适用场景

• 作为安全意识计划的一部分，衡量员工对钓鱼攻击的脆弱性
• 测试电子邮件安全控制措施的有效性（安全电子邮件网关、DMARC、SPF、DKIM）
• 执行红队演练（Red Teaming）中的社会工程组件，以获取初始访问权限
• 在部署安全意识培训前建立钓鱼脆弱性基线
• 验证员工举报可疑邮件时事件响应流程是否正常运作

不适用于：未获得组织领导层明确书面授权的情况、超出授权范围的实际凭据窃取、针对个人而非职业角色的定向攻击，或可能造成心理伤害或法律风险的钓鱼邮件发送。

前置条件

• 来自高管层的书面授权，注明活动范围、目标群体和上报流程
• 与 IT/安全团队协调，将发送基础设施加入白名单（或按范围测试是否能绕过控制措施）
• GoPhish 或同类钓鱼平台，配置了发送域名、SMTP 中继和落地页基础设施
• 注册钓鱼域名并配置 SPF、DKIM 和 DMARC 记录以最大化投递率
• 来自 HR 的员工邮件列表，按部门组织以用于定向活动
• 事件响应团队已被告知活动时间表和上报流程

工作流程

步骤 1：活动规划与借口设计

根据目标组织面临的威胁，设计真实的钓鱼场景：

• 借口（Pretext）选择：选择与真实世界攻击相似的场景：
  • IT 支持：密码即将过期，需要立即操作
  • HR 部门：福利注册、政策确认、W-2/税务文件
  • 高管冒充：来自 CEO/CFO 的紧急请求，要求审查文件
  • 供应商：需要审查的发票、送货通知
  • 云服务：Microsoft 365 共享文档、Google Drive 访问、Zoom 会议邀请
• 目标分组：按部门、角色或访问级别将员工分组。高价值目标（财务、IT 管理员、高管）可能收到更复杂的借口
• 时间安排：在工作时间发送，最好选择周二至周四（邮件参与度最高时段）。避免节假日、大规模裁员期或其他敏感时期
• 成功指标：定义活动成功标准：邮件打开率、链接点击率、凭据提交率、举报率（向 IT 举报钓鱼邮件的员工比例）

步骤 2：基础设施搭建

配置钓鱼基础设施：

• 域名注册：注册与目标组织域名相似的域名（域名抢注、同形字攻击或品牌相邻域名）。示例：target-corp.com、targetcorp-portal.com、targetsupport.net
• SSL 证书：为钓鱼域名申请 TLS 证书（Let's Encrypt），以显示锁形图标
• GoPhish 配置：
  • 在 VPS 上使用钓鱼域名设置 GoPhish 服务器
  • 配置 SMTP 发送配置文件，使用钓鱼域名的邮件服务器
  • 创建带追踪像素和落地页链接的邮件模板
  • 构建模仿目标登录门户的凭据收集落地页
  • 导入目标邮件列表并创建用户组
• 邮件认证：为钓鱼域名配置 SPF、DKIM 和 DMARC 记录，通过邮件认证检查并提高投递率
• 测试投递：向受控收件箱发送测试邮件，验证渲染效果、链接追踪和落地页功能

步骤 3：活动执行

启动钓鱼活动：

• 分批发送邮件以避免触发频率限制或垃圾邮件过滤（例如每小时 50 封）
• 实时监控 GoPhish 仪表板，关注投递失败、退回和早期交互情况
• 实时追踪指标：已发送邮件数、已打开邮件数（追踪像素触发）、链接点击数、凭据提交数
• 若 IT 安全团队或 SOC 检测到活动（如果这是测试的一部分），记录检测时间和响应行动
• 维护紧急停止流程：若员工感到痛苦或活动产生意外后果，立即暂停
• 活动运行 48-72 小时后关闭落地页，因为大多数交互发生在前 24 小时内

步骤 4：凭据捕获与访问演示

处理捕获的凭据以演示影响（若已获授权）：

• 在 GoPhish 中审查所有捕获的凭据。除非明确授权，否则不要对真实系统测试这些凭据
• 若获授权进行完整利用：对组织的实际登录门户（VPN、OWA、SSO）测试捕获的凭据
• 记录成功被攻破的账户、其可访问的数据以及是否存在 MFA
• 若 MFA 阻止了访问，记录 MFA 阻止了攻击并建议保持 MFA 强制执行
• 识别凭据提交的规律：哪些部门、角色或地点最为脆弱

步骤 5：分析与报告

分析活动结果并产出评估报告：

• 指标分析：
  • 邮件投递率：到达收件箱的邮件百分比
  • 打开率：打开邮件的收件人百分比
  • 点击率：点击钓鱼链接的百分比
  • 提交率：提交凭据的百分比
  • 举报率：向 IT 安全部门举报邮件的百分比
• 部门对比：跨部门比较脆弱性比率，识别需要定向培训的群体
• 邮件安全有效性：记录钓鱼邮件是否绕过了安全邮件网关，DMARC/SPF 是否阻止了投递，链接扫描工具是否检测到钓鱼 URL
• 建议：提供可操作的建议，包括安全意识培训主题、技术控制改进和政策变更

核心概念

术语	定义
借口（Pretext）	用于说服目标执行期望动作（如点击链接或输入凭据）的虚构场景和社会背景
凭据收集（Credential Harvesting）	通过模仿合法服务的虚假登录页面收集用户名和密码
GoPhish	开源钓鱼模拟平台，管理邮件模板、落地页、目标群组和活动追踪
鱼叉式钓鱼（Spear Phishing）	针对特定个人的定向钓鱼，使用通过侦察收集的个人化信息
域名抢注（Typosquatting）	通过字符替换、添加或删除注册与合法域名视觉上相似的域名
安全意识（Security Awareness）	旨在教育员工了解社会工程威胁和正确举报流程的培训计划
DMARC	基于域名的邮件认证、报告和一致性协议，防止域名被未授权用于发送电子邮件

工具与系统

• GoPhish：开源钓鱼模拟框架，提供活动管理、邮件模板、落地页和详细分析功能
• Evilginx2：高级钓鱼框架，能够通过反向代理技术捕获会话令牌并绕过多因素认证（MFA）
• King Phisher：钓鱼活动工具包，具有双因素认证测试和地理位置追踪等高级功能
• SET（Social Engineering Toolkit）：社会工程攻击框架，包括钓鱼、凭据收集和载荷投递

常见场景

场景：企业钓鱼模拟以建立安全意识基线

场景背景：一家拥有 2,000 名员工的公司从未进行过钓鱼模拟。CISO 希望在部署新安全意识培训计划前建立基线脆弱性比率。活动应使用真实但不过于复杂的借口测试所有员工。

方法：

1. 开发 Microsoft 365 密码过期借口："您的密码将在 24 小时内过期，请点击此处更新。"
2. 注册 m365-targetcorp.com，设置 GoPhish，构建克隆 Microsoft 365 登录门户的落地页
3. 导入全部 2,000 名员工邮件，分批次安排在 20 小时内发送（每批 100 封）
4. 72 小时后的活动结果：1,847 封投递成功（92.4%），1,243 封已打开（67.3%），487 次点击（26.4%），312 次凭据提交（16.9%），23 次向 IT 举报（1.2%）
5. 分析显示财务部门（28% 提交率）和市场部门（24% 提交率）脆弱性最高；IT 部门最低（4%）
6. 建议对高脆弱性部门进行定向培训、部署钓鱼举报按钮并制定季度模拟计划

常见陷阱：

• 使用过于激进或威胁性的借口，导致员工焦虑或法律问题
• 启动活动前未与 HR 和法务协调，引发员工关系问题
• 同时发送所有邮件，使邮件服务器过载或触发批量发送检测
• 只关注点击率和提交率，忽略极低的举报率（1.2%）

输出格式

## 钓鱼模拟活动报告

**活动名称**: 2025 年第四季度基线钓鱼评估
**借口**: Microsoft 365 密码过期通知
**活动时长**: 2025 年 11 月 15-18 日
**目标人群**: 2,000 名员工（所有部门）

### 活动指标
| 指标 | 数量 | 比率 |
|--------|-------|------|
| 已发送邮件 | 2,000 | 100% |
| 已投递邮件 | 1,847 | 92.4% |
| 已打开邮件 | 1,243 | 67.3% |
| 链接点击 | 487 | 26.4% |
| 凭据提交 | 312 | 16.9% |
| 向 IT 举报 | 23 | 1.2% |

### 部门分类
| 部门 | 员工数 | 点击率 | 提交率 | 举报率 |
|------------|-----------|---------|-----------|----------|
| 财务    | 120       | 38.3%   | 28.3%     | 0.8%     |
| 市场    | 85        | 35.3%   | 24.7%     | 1.2%     |
| 工程    | 300       | 15.0%   | 8.3%      | 3.7%     |
| IT      | 45        | 8.9%    | 4.4%      | 11.1%    |

### 关键发现
1. 基线凭据提交率 16.9% 超过行业平均水平（12%）
2. 举报率仅 1.2%，表明员工未受过举报可疑邮件的培训
3. 财务部门是最高风险群体，凭据提交率达 28.3%
4. 邮件安全网关未标记该钓鱼域名，尽管该域名注册仅 48 小时

### 建议
1. 部署强制性安全意识培训，重点介绍钓鱼识别
2. 在邮件客户端中安装钓鱼举报按钮并培训所有员工使用
3. 实施 DMARC 强制执行（p=reject）并增强邮件过滤规则
4. 对财务和市场部门开展定向培训
5. 安排季度钓鱼模拟以追踪改进效果