Реальные сценарии атак в безопасных условиях

Стоимость социотехнического пентеста зависит от глубины проработки сценариев и масштаба проверяемой выборки персонала.
Основные факторы, влияющие на цену:

• Масштаб тестирования: количество сотрудников, включенных в выборку.
• Сложность сценариев: базовый - массовый фишинг (рассылки). продвинутый - вишинг (телефонные атаки), претекстинг (индивидуальные сценарии с легендой), физическое проникновение в офис.
• Глубина анализа: потребуется ли только отчет о действиях сотрудников или комплексная аналитика с рекомендациями по изменению бизнес-процессов.
• Уровень детализации: нужно ли проводить персональный разбор ошибок с каждым сотрудником или достаточно общей статистики для руководства.
• Интеграция с инфраструктурой: необходимость подготовки индивидуальных доменов, лендингов или серверов для максимально достоверной имитации атаки.

Учебный фишинг — это регулярные симуляции писем, которые помогают сотрудникам научиться распознавать подозрительные сообщения. Социотехнический пентест шире: он имитирует реальную атаку на человеческий фактор, чтобы оценить уязвимости компании, подтвердить возможную эксплуатацию, собрать доказательства и дать рекомендации по снижению риска.

В рамках соцпентеста проверяются не только письма со ссылками, но и OSINT-разведка, вложения с макросами, вишинговые звонки, реакция сотрудников и работа почтовых фильтров, песочниц и EDR.

Тест проводится в контролируемых условиях: вредоносные вложения и ссылки содержат безопасные «маячки», а не реальное вредоносное ПО. В случае фишинговой страницы фиксируется только факт ввода данных, сами пароли не сохраняются.
Чтобы снизить репутационные и психологические риски, до старта стоит зафиксировать допустимые сценарии, целевые группы, период проведения и правила остановки теста. Отраслевые рекомендации по социальному пентесту также предполагают письменное согласование периметра, методов и ограничений.

Обычно сотрудников заранее не предупреждают: иначе результаты не покажут реальную готовность реагировать на фишинг. Такой подход используют и в фишинговых симуляциях: письма отправляются без предварительного уведомления, чтобы оценить, как персонал распознаёт и реагирует на реальные сценарии.
При этом о тесте должны знать уполномоченные представители заказчика - например, руководство, ИБ или HR - чтобы при необходимости оперативно остановить кампанию и корректно обработать обращения сотрудников.

Да, базовый социотехнический тест может проводиться извне: через почтовые рассылки, поддельные страницы входа, вложения и телефонные звонки. Такой формат проверяет поведение сотрудников и внешние каналы доставки атак, не требуя доступа во внутреннюю сеть.
Однако для оценки срабатывания внутренних средств защиты - почтовых фильтров, песочниц, антивируса или EDR - потребуется согласованный доступ к соответствующим системам или логам. Это уже определяется в скоупе проекта.

Это положительный результат: сотрудник распознал подозрительную активность и действовал по правильному сценарию. В рамках теста фиксируется не только количество «сработавших» сотрудников, но и то, сообщил ли кто-то в службу безопасности или ИТ-отдел.
Такие данные помогают оценить не только уязвимость персонала, но и эффективность процессов реагирования: понятны ли сотрудникам каналы эскалации и насколько быстро ИБ получает сигнал.

Универсального минимума нет: выборка зависит от размера компании, целей теста, количества отделов и того, насколько важно проверить отдельные роли. Например, бухгалтерию, HR, ИТ или администраторов. Infosecurity также указывает, что стоимость и объём работ зависят от количества сотрудников в выборке.
Практический подход - включить репрезентативные группы по отделам и уровням доступа, а для критичных ролей провести отдельные, более сложные сценарии. Это соответствует логике фишинговых симуляций, где сложность и релевантность письма оцениваются с учётом характеристик получателей.

Да, и это логичная связка. Результаты пентеста показывают конкретные слабые места: какие сценарии сработали, какие отделы наиболее уязвимы и какие процессы реагирования нужно улучшить. На этой основе можно сформировать адресную программу обучения.
NIST рассматривает фишинговые симуляции именно как часть программ повышения осведомлённости: они готовят сотрудников к реальным сценариям и помогают оценить уровень риска организации. FBI IC3 также рекомендует базовое обучение по фишингу, безопасности почты и паролей как одну из базовых мер защиты. После пентеста закрепить навыки помогает регулярный учебный фишинг