フィッシングプログラム

フィッシングプログラム

GitLabフィッシングプログラムは、GitLabがフィッシング試行を検出・防止する能力を教育・評価するために設計されています。このプログラムの目標は、最新の教育資料を維持し、継続的なトレーニングを提供し、現実世界のシミュレーションを実施することで、GitLabチームメンバーがフィッシング試行を識別、報告、ブロックする知識を提供することです。フィッシングシミュレーションは、GitLabのサードパーティプロバイダーであるProofPointによって提供され、外部規制要件を満たし、顧客への信頼を強化することに役立ちます。

セキュリティガバナンスチームは、フィッシングシミュレーション演習の前に以下のチームと連携します。

• セキュリティインシデント対応チーム（SIRT）

  • フィッシングメールのトリアージを担当
  • シミュレーションを認識した場合、追加の指示をチームメンバーに提供する

• IT運用/チームメンバーイネーブルメント

  • GSuite（GitLabのメールプラットフォーム）のオーナー

フィッシングシミュレーションキャンペーン

フィッシングシミュレーションは、私たちの全体的なセキュリティ意識教育の不可欠な部分です。セキュリティガバナンスチームは、ProofPointを利用してシミュレートされたフィッシングメールを生成・送信し、GitLabチームメンバーがフィッシング試行を識別する能力を評価します。目標は、TMがフィッシング試行を報告する（理想的な行動）か、メールを削除する（許容される行動）ことです。リンクをクリックしたTMには、ProofPoint経由でフィッシング固有のトレーニングモジュールが自動的に割り当てられます。

フィッシングシミュレーションはいつ実施されますか？

最低でも、四半期に1回フィッシングシミュレーションキャンペーンが実施されます。フィッシングキャンペーンの開始前に、#whats-happening-at-gitlab Slackチャンネルに、GitLab組織への一般的な通知が投稿されます。ただし、最大限の効果のため、メールの正確な内容、日時、受信するチームメンバーは伝えられません。キャンペーンには、1週間のキャンペーン期間中にランダムな時間に配信されるシミュレートメールのさまざまなバージョンが含まれる場合があります。

フィッシングシミュレーションは誰が受け取りますか？

すべてのGitLabチームメンバー、契約社員、本番データへのアクセス権を持つその他の人々は、キャンペーン開始時に長期休暇中の個人を除いて、四半期キャンペーンに含まれます。

フィッシングシミュレーションメールはどのように見えますか？

ProofPointからのフィッシングシミュレーションメールは、GitLabや架空の会社から送信されているように見えます。このメールは、TMにリンクをクリックさせようと、リアル/本物に見えるようになっています。お見せしたいところですが、それではテストの目的が損なわれてしまいます。

フィッシングシミュレーションにはどう対応すべきですか？

フィッシングや悪意のあるメールが疑われる場合と同様に、フィッシングメールが疑われる場合のハンドブックプロセスに従って報告してください。フィッシングメールの報告には、Option 1のPhishArmが推奨されます。

リンクをクリックするとどうなりますか？

リンクがクリックされると、チームメンバーはこれがシミュレーションの一部であることを通知するランディングページにリダイレクトされます。TMはクイックなTeachable Momentを見て、短いトレーニング課題（同様にProofPointから提供）に自動的に登録されます。皆さんが可能な限り成功できるよう、これらのクイックなトレーニングは、将来悪意のあるメールを認識するためのいくつかのヒントをガイド・提供します。トレーニングは短くインタラクティブな動画で、それらを完了することは将来のトレーニング評価に役立ちます。

トレーニングモジュール

私たちのフィッシングパートナーであるProofPointは、リンクがクリックされた際に割り当てられるトレーニングモジュールをキュレーションしホストしています。トレーニングは、フィッシングを検出・報告する実世界の例を強化・提供するように設計されています。受け取ってからすぐにトレーニングを完了することを強く推奨します。これにより、将来フィッシング試行を見つける準備をより強化することができます。トレーニングモジュールは短くインタラクティブで、[email protected] から送信されます。

トレーニングが1週間以内に完了しない場合、ProofPointからリマインダーが送信されます。必要に応じて、セキュリティガバナンスチームが完了支援のために未完了の割り当てトレーニングモジュールをマネージャーに伝達します。トレーニング完了の証明は、フィッシングプログラムへの準拠をサポートし、規制要件を強化します。

シミュレーション結果のアウトカム

フィッシングシミュレーションとトレーニングのメトリクス

セキュリティガバナンスチームは、ProofPoint内で四半期フィッシングシミュレーションキャンペーンを開始・追跡します。キャンペーンが完了すると、セキュリティガバナンスチームはPhishing Programプロジェクトで非識別結果を提供します。

質問と回答

メール内のリンクをクリックしてしまいました、どうすればよいですか？

• 割り当てられた必須トレーニングモジュールをできるだけ早く完了してください。これがフィッシングシミュレートメールであることを知っているので、他の人と話したり、Slackで受信したメールのスクリーンショットを投稿したいと思ったりしないでください。フィッシング演習の結果に偏りが出る可能性があります。

メール内のリンクをクリックしませんでした、どうすればよいですか？

• 経由で、または手順を使って添付ファイルとして [email protected] にメールを転送してください。これがフィッシングシミュレーションであることを知っているので、他の人と話したり、Slackで受信したメールのスクリーンショットを投稿したいと思ったりしないでください。フィッシング演習の結果に偏りが出る可能性があります。

メール内のリンクをクリックせずにトレーニングが割り当てられました、どうすればよいですか？

• セキュリティガバナンス @sec-governance に連絡し、これが偽陽性とみなすべきかどうかを特定するために、トレーニングを受け取る前に取られた手順を報告してレビューしてください。フィッシングメールで直接クリックされていなくても、リンクがトリガーされる方法はあります。セキュリティガバナンスは、何が起こったかのトラブルシューティングをお手伝いします。

注意

• フィッシングメールで提供されたリンクがクリックされていないが、コピー/ペーストされた場合、それも「クリック」をトリガーする可能性があります。リンクを解読しようとしないでください。
• メールを報告するためにOption 3が使用された場合、トラッキング画像がATPやプロキシサービスによってキャッシュされている可能性があるため、これも「クリック」をトリガーする可能性があります。

割り当てられたトレーニングを完了し、セキュリティを保つための追加ステップとして考えていただいて構いません！

多要素認証に物理的なYubikeyを使用していますが、なぜフィッシングシミュレーションに失敗したのですか？

• 物理的なYubikeyやその他のトークンデバイスを使用すると完全にフィッシングされるのを防止できますが、すべてのGitLabシステムがこれらのデバイスをサポートしているわけではありません。このシミュレーション演習はトレーニングと意識向上のためなので、目標はGitLabチームメンバーがこれらのメールにどう反応するかをテストすることです。

Red Teamがフィッシング演習を実施していたと思っていました？

• 正解です！Red Teamは自分たちで構築したツールでフィッシング演習を実施していましたが、残念ながらGoogleが演習を悪意のあるものとして識別し始め、試行のたびにより早くシャットダウンするようになりました。これによりフィッシング演習が有益でなくなり、扱える結果もなくなりました。

なぜ外部ベンダーを使用しているのですか？

• 内部で作成したソリューションがGoogleによって悪意のあるものとして識別されたため、一貫したプロセスと信頼できる結果を提供できる外部ソリューションを利用する必要があり、それがProofPointとのパートナーシップにつながりました。

誰がこれらのフィッシングシミュレーションを受け取るかを誰が決めますか？

• すべてのGitLabチームメンバー、契約社員、本番データへのアクセス権を持つその他の人々は、キャンペーン開始時に長期休暇中の個人を除いて、四半期キャンペーンに含まれます。

どのくらいの頻度で受け取りますか？

• 最低でも、四半期に1回フィッシングシミュレーションキャンペーンが実施されます。フィッシングキャンペーンの開始前に、#whats-happening-at-gitlab Slackチャンネルに、GitLab組織への一般的な通知が投稿されます。ただし、最大限の効果のため、メールの正確な内容、日時、受信するチームメンバーは伝えられません。キャンペーンには、1週間のキャンペーン期間中にランダムな時間に配信されるシミュレートメールのさまざまなバージョンが含まれる場合があります。

含まれたくありません、どうすれば自分を除外できますか？

• すべてのGitLabチームメンバーには、自分自身、チームメンバー、顧客、会社の安全を保つ責任があります。そのため、チームメンバーはオプトアウトできません。

これはプライバシーの侵害ですか？

• フィッシングプログラムは従業員プライバシーポリシーでカバーされています。

公の場で恥をかかされますか？

• いいえ、私たちはチームメンバーの成功や失敗をフィッシングシミュレーション演習に関連付けるメトリクスを投稿または作成することは決してありません。社内および公開で共有される非識別メトリクスを生成します。

フィッシングシミュレーションに引っかかったことは一度もありません、なぜまだこれらのシミュレーションメールを受け取り続けるのですか？

• 残念ながら、フィッシングメールは欺瞞性と本物に見える能力の点で改善し続けています。フィッシングシミュレーションを受け取ることで、本物を見つけるあなたの能力は、自分自身、チームメンバー、GitLab、顧客を守るのに不可欠なスキルです。

体験についてフィードバックを提供するにはどうすればよいですか？

• すべてのフィードバックはこのIssueで歓迎・推奨されます。プログラムを継続的に改善する唯一の方法はフィードバックです。

基本的なフィッシング攻撃を識別する方法

リンク付きのメールを受け取ったときは、マウスをリンクの上にホバーするか、メールのソースを表示してリンクの真の宛先を確認してください。

Google Chromeでリンクの上にマウスカーソルをホバーすると、ブラウザウィンドウの左下のステータスバーにリンクの宛先が表示されます。

Safariでは、真のリンク宛先を表示するためにステータスバーを有効にする必要があります（View -> Show Status Bar）。

ユーザーをだましてフィッシングフォームに機密データを入力させるために使用される例や方法には、以下のようなものがあります。

• 信頼できるサイトの名前で始まり、悪意のあるサイトで終わるホスト名でHTTP(S)を使用する。

• リクエスト内に信頼できるドメインの名前に対応するユーザー名やパスワードを使用し、閲覧者がURL全体を見ないと仮定する。

• HTTP(S)の代わりにdata URIスキームを使用することは、ユーザーをだます特に巧妙な手段です。データスキームは、URI自体内にウェブページ全体を埋め込むことを許可します。データスキームは、検証済みSSL接続に通常関連付けられているブラウザのアドレスバーの典型的な緑のロックを表示しません。

HTMLメールのソースを表示するとき、「HREF」フィールド内のテキストが実際のリンク宛先/ターゲットであり、</A>タグの前のテキストがユーザーに表示されるテキストであることを覚えておくことが重要です。

<a href="https://evilsite.example.org">Google Login!</a>

この場合、「Google Login!」がユーザーに表示されますが、リンクの実際のターゲットは「evilsite.example.org」です。

リンクをクリックした後は、検証済みSSLサービスを示す緑のロックアイコンと「secure」ラベルを常に探してください。このアイコン単独ではウェブサイトの真正性を検証するには不十分ですが、緑のアイコンがないということは、そのウェブサイトに機密データを入力すべきではないことを意味します。

メールがフィッシング攻撃の疑いがある場合の対処法

メールが疑わしいと思った場合、それはあなたまたはGitLabを標的にしたフィッシング試行であるか、セキュリティテストである可能性があります。Gmailの PhishArm ボタンを使用してメールをセキュリティに報告してください - 手順とGIFは以下のセクションにあります。

モバイルデバイスを使用していてGmailアプリを使用している場合、PhishArmボタンはGmailアプリの下部の利用可能なアドオンセクションにあります。

別のメールクライアントを使用している場合、PhishArmボタンを使用してメールを送信できない可能性があります。この場合、[email protected]に転送することで手動でフィッシングメールを送信できます。

Gmailクライアントの右上にあるReport Phishingボタンを使用する場合も、以下の手動送信手順に従う必要があります。これは、GmailのReport Phishingボタンが私たちのセキュリティチームにメール自体を提供せず、通知のみを提供するためです。

PhishArm経由でのフィッシングメールの送信

PhishArmはGmailの右側パネルにあります。Webブラウザウィンドウの右下隅にある>または<記号をクリックすることで、このパネルを非表示または表示できます。

Gmailを使ってPhishArm経由でGitLabのセキュリティチームにメールを送信するには:

1. Gmailの右側ツールバーでPhishArmアイコンを選択
2. フィッシングを報告するための指示に従う
3. フィッシングメールを報告する準備ができていることを確認
4. メールがGitLabセキュリティチームに転送され、さらなる調査のために送信されたという確認を受け取る

[email protected]へのフィッシングメールの手動送信

Gmailを使ってGitLabのセキュリティチームに添付ファイルとしてメールを転送するには:

1. コンピューターから（モバイルデバイスではなく）メールを右クリック
2. Forward as attachmentを選択
3. [email protected]に送信

CEOおよび役員詐欺

CEO（および役員チーム）は、現金を送金するためのメール、ギフトカードを要求するテキストメッセージ、またはCEO詐欺やCEOスキャムのような感じがする他のものを送信しません。これらのタイプのスピア攻撃イベントは、私たちが成長するにつれてより一般的になります。異常なリクエストは#ceo Slackチャンネルで自由に確認してください。

GitLabのCEOから潜在的なフィッシングメールやテキスト(smishing)を受け取った場合、何をすべきですか？

1. テキストやメールが正当かどうか不明な場合は、セキュリティに連絡してレビューし、#ceo Slackチャンネルで確認してください。
2. メールが偽物であると判定された場合は、以下のフィッシング攻撃の手順に従ってください。
3. WhatsAppやSignalなどのアプリで受信したものを含むテキストが偽物であると判定された場合: 番号をブロックし、セキュリティに通知し、テキストを削除してください。

• iOSを使用している場合、メッセージをスパムまたはジャンクとして報告

疑わしいLinkedInプロフィール

チームメンバーは、LinkedIn上でGitLabでの雇用を確認できます。

LinkedIn上でGitLabで働いていると主張する人物がいる場合:

1. LinkedInプロフィールに認証バッジを探してください。GitLab: Verified using work emailと表示されているはずです。
2. 現在のチームメンバーの単一の真実の源であるWorkdayで名前を調べてください。卒業生やまだGitLabに参加していない人はWorkdayに表示されないことに注意してください。

プロフィールに不正確な情報があると思われる場合は、他のメンバーのLinkedInプロフィールにある不正確な情報を報告してください。ユーザーが疑わしい仕事関連のメッセージで連絡してきた場合は、/security Slackコマンドを使用してください。

何か他のことが疑わしいと思った場合の対処法

フィッシングや他のソーシャルエンジニアリング攻撃はメール経由で送信されるだけではありません。 疑わしいテキスト/SMSメッセージ、LinkedInのようなソーシャルメディアプラットフォーム上の奇妙なダイレクトメッセージ、または電話を受けるかもしれません。仕事関連の場合は、/security Slackコマンドを使用してください。 不確かであるか、些細だと感じても、いつでも#security Slackチャンネルで尋ねることができます。

追加の質問、コメント、懸念事項？

セキュリティガバナンスチームに連絡してください！

ページのソースコードを見る - ページの編集 - please contribute.