菜单
执行授权的钓鱼模拟活动，评估组织对基于电子邮件的社会工程攻击的脆弱性。测试人员设计真实的钓鱼场景，构建凭据收集基础设施，发送定向钓鱼邮件，并追踪打开率、点击率和凭据提交率，以衡量人员安全意识水平。适用于钓鱼模拟、社会工程评估、电子邮件安全测试或安全意识测量等请求场景。
默认使用会先检查来源的 Prompt；你也可以切换为直接命令，或下载本地副本。
决定是否安装前，请先阅读 SKILL.md，以及 SkillsMP 当前展示的配套文件。
用 Codex 或 Claude 帮你安装 复制这段 Prompt，粘贴到 Codex、Claude 或其他助手里，让它检查 Skill 页面并帮你完成安装。
直接命令不会经过审查 Prompt；运行前请先检查来源。
npx skills add https://github.com/killvxk/cybersecurity-skills-zh --skill executing-phishing-simulation-campaign命令会保持在同一行。复制前请横向滚动并检查完整内容。
想先保存到本地？可下载 SkillsMP 当前能够提供的文件。
通过分析 Zeek dns.log 中的高熵子域名查询、超量查询量、超长查询长度以及异常 DNS 记录类型，检测 DNS 隧道和数据外泄中的隐蔽通道通信。适用于：当需要狩猎基于 DNS 的 C2 或数据外泄通道、调查异常 DNS 查询模式、或响应涉及 DNS 隧道工具（iodine、dnscat2、DNSExfiltrator）的威胁情报时使用。
实施 Google 的 BeyondCorp 零信任访问模型，通过 IAP、Access Context Manager 和 Chrome Enterprise Premium，消除网络边界的隐式信任，强制执行基于身份的访问控制，实现无 VPN 的安全应用访问。适用于将传统 VPN 替换为零信任架构、部署 Identity-Aware Proxy、配置设备信任策略、或为远程办公实施上下文感知访问控制时使用。
在授权的安全评估过程中，使用 Burp Suite 的扫描器、Intruder 和 Repeater 工具识别和验证跨站脚本（XSS）漏洞。适用于 Web 应用渗透测试中检测反射型、存储型和 DOM 型 XSS，验证自动化扫描器报告的 XSS 发现，以及评估 CSP 和 XSS 过滤器的有效性时使用。
基于 SOC 职业分类
正在显示 SKILL.md
| name | executing-phishing-simulation-campaign |
| description | 执行授权的钓鱼模拟活动，评估组织对基于电子邮件的社会工程攻击的脆弱性。测试人员设计真实的钓鱼场景，构建凭据收集基础设施，发送定向钓鱼邮件，并追踪打开率、点击率和凭据提交率，以衡量人员安全意识水平。适用于钓鱼模拟、社会工程评估、电子邮件安全测试或安全意识测量等请求场景。 |
| domain | cybersecurity |
| subdomain | penetration-testing |
| tags | ["phishing-simulation","social-engineering","GoPhish","email-security","security-awareness"] |
| version | 1.0.0 |
| author | mahipal |
| license | Apache-2.0 |
不适用于：未获得组织领导层明确书面授权的情况、超出授权范围的实际凭据窃取、针对个人而非职业角色的定向攻击，或可能造成心理伤害或法律风险的钓鱼邮件发送。
根据目标组织面临的威胁，设计真实的钓鱼场景：
配置钓鱼基础设施：
target-corp.com、targetcorp-portal.com、targetsupport.net启动钓鱼活动：
处理捕获的凭据以演示影响（若已获授权）：
分析活动结果并产出评估报告：
| 术语 | 定义 |
|---|---|
| 借口（Pretext） | 用于说服目标执行期望动作（如点击链接或输入凭据）的虚构场景和社会背景 |
| 凭据收集（Credential Harvesting） | 通过模仿合法服务的虚假登录页面收集用户名和密码 |
| GoPhish | 开源钓鱼模拟平台，管理邮件模板、落地页、目标群组和活动追踪 |
| 鱼叉式钓鱼（Spear Phishing） | 针对特定个人的定向钓鱼，使用通过侦察收集的个人化信息 |
| 域名抢注（Typosquatting） | 通过字符替换、添加或删除注册与合法域名视觉上相似的域名 |
| 安全意识（Security Awareness） | 旨在教育员工了解社会工程威胁和正确举报流程的培训计划 |
| DMARC | 基于域名的邮件认证、报告和一致性协议，防止域名被未授权用于发送电子邮件 |
场景背景：一家拥有 2,000 名员工的公司从未进行过钓鱼模拟。CISO 希望在部署新安全意识培训计划前建立基线脆弱性比率。活动应使用真实但不过于复杂的借口测试所有员工。
方法：
m365-targetcorp.com，设置 GoPhish，构建克隆 Microsoft 365 登录门户的落地页常见陷阱：
## 钓鱼模拟活动报告
**活动名称**: 2025 年第四季度基线钓鱼评估
**借口**: Microsoft 365 密码过期通知
**活动时长**: 2025 年 11 月 15-18 日
**目标人群**: 2,000 名员工（所有部门）
### 活动指标
| 指标 | 数量 | 比率 |
|--------|-------|------|
| 已发送邮件 | 2,000 | 100% |
| 已投递邮件 | 1,847 | 92.4% |
| 已打开邮件 | 1,243 | 67.3% |
| 链接点击 | 487 | 26.4% |
| 凭据提交 | 312 | 16.9% |
| 向 IT 举报 | 23 | 1.2% |
### 部门分类
| 部门 | 员工数 | 点击率 | 提交率 | 举报率 |
|------------|-----------|---------|-----------|----------|
| 财务 | 120 | 38.3% | 28.3% | 0.8% |
| 市场 | 85 | 35.3% | 24.7% | 1.2% |
| 工程 | 300 | 15.0% | 8.3% | 3.7% |
| IT | 45 | 8.9% | 4.4% | 11.1% |
### 关键发现
1. 基线凭据提交率 16.9% 超过行业平均水平（12%）
2. 举报率仅 1.2%，表明员工未受过举报可疑邮件的培训
3. 财务部门是最高风险群体，凭据提交率达 28.3%
4. 邮件安全网关未标记该钓鱼域名，尽管该域名注册仅 48 小时
### 建议
1. 部署强制性安全意识培训，重点介绍钓鱼识别
2. 在邮件客户端中安装钓鱼举报按钮并培训所有员工使用
3. 实施 DMARC 强制执行（p=reject）并增强邮件过滤规则
4. 对财务和市场部门开展定向培训
5. 安排季度钓鱼模拟以追踪改进效果