Sophos Phish Threat: Campagneseries maken en veilig plannen

Met een campagneserie herhaalt Sophos Phish Threat aanvalssimulaties of veiligheidstrainingen volgens een vast ritme. Een serie is niet eenvoudig een enkele campagne met een lange looptijd: Sophos genereert daaruit afzonderlijke campagnes, waarvan de inhoud en deelnemers afhangen van het serietype en de gekozen instellingen.

De configuratie gebeurt in Sophos Fusion (voorheen Sophos Central) onder My Products > Phish Threat > Campaigns via New Series.

Vereisten

De licentie, beheerderstoegang en geverifieerde ontvangerdomeinen moeten vooraf zijn ingesteld. Sophos Phish Threat: Eerste stappen beschrijft deze basisvereisten. Een geverifieerd domein garandeert nog geen werkende bezorging: Stel de e-mailroute afhankelijk van het platform in via Phish Threat voor Microsoft 365 of Phish Threat voor Google Workspace en controleer daarnaast de Phish-Threat-afzender-allowlisting.

Test de levering met een gecontroleerde interne mailbox voordat u een serie voor de definitieve doelgroep aanmaakt. Het aanmaken van een afzonderlijke campagne wordt beschreven in Een Sophos Phish Threat-campagne aanmaken.

Bepaal het serietype vóór de configuratie

Voer onder Get Started de campagnenaam in en kies een van de twee serietypen:

Serietype	Doel	Belangrijke vervolgstap
Simulated attack series	Gebruikers herhaaldelijk testen met gesimuleerde aanvallen	Aanvalstype, moeilijkheidsgraad en optionele vervolgtraining worden als serieregels ingesteld
Security training series	Gebruikers periodiek inschrijven voor verplichte trainingen	Eén of meer trainingen en de slaaggrens worden gepland

Het serietype bepaalt de volgende pagina’s van de assistent. Bepaal daarom van tevoren of het primaire doel het meten van het gebruikersgedrag of een bindend trainingsplan is.

Kies daarna de frequentie en de taal voor e-mails en trainingsmateriaal en klik op Next. De taal moet geschikt zijn voor de aanvalssjabloon, de trainingsinhoud en de doelgroep; de taal van het beheerdersaccount is daarvoor niet van belang.

Serie met gesimuleerde aanvallen configureren

Onder Series preferences zijn drie aanvalstypes beschikbaar:

Phishing lokt gebruikers om op een link in een e-mail te klikken.
Credential Harvesting leidt naar een vervalste website en vraagt om inloggegevens in te voeren. Sophos legt hierbij geen wachtwoorden vast.
Attachment verleidt gebruikers ertoe een gesimuleerde schadelijke e-mailbijlage te openen.

U kunt meerdere aanvalstypen selecteren. Voor een voorspelbaar verloop wordt echter één aanvalstype per serie aangeraden. Als u meerdere typen selecteert, kiest Sophos voor elke campagne die uit de serie wordt gegenereerd willekeurig één type. Bij een kwartaalserie wordt bijvoorbeeld elk kwartaal opnieuw een willekeurige keuze gemaakt. Deze meervoudige selectie levert geen vaste roulatie op.

Stel vervolgens het moeilijkheidsniveau in en beslis of betrapte gebruikers na de simulatie voor een training moeten worden aangemeld. Standaard wijst Sophos een training toe die bij de geselecteerde aanvallen past. Als vervolgtraining wordt gebruikt, stelt u ook de slaaggrens in; de standaardwaarde is 80 %.

Controleer daarbij twee verschillende succesmaten apart:

De aanvalssimulatie meet of de gebruiker op de simulatie heeft gereageerd.
De slaaggrens bepaalt of de daaropvolgende training succesvol is voltooid.

Klik na de controle op Next.

Reeks van veiligheidstrainingen configureren

Onder Series selections opent u een cursus om de korte samenvatting ervan te controleren. Met Choose this training neemt u deze op in de serie. Meerdere trainingscursussen kunnen worden geselecteerd.

Controleer bij meerdere cursussen of alle geselecteerde trainingen bij de doelgroep passen. Onder Review & Schedule wordt de slaaggrens per training vastgesteld. De standaardwaarde is hier ook 80 %; met Next schakelt u bij meerdere trainingen naar de slaaggrens van de volgende cursus.

Ontvangers en automatische registratie

Selecteer onder Enroll Users de gewenste Users of Groups. Activeer Auto-enroll new users to this series alleen als later in Sophos Fusion aangemaakte gebruikers zonder verdere goedkeuring in de serie moeten worden opgenomen.

Automatische inschrijving werkt anders naargelang het type serie:

Bij een gesimuleerde aanvalserie komen nieuwe gebruikers in de volgende door de serie aangemaakte campagne. Al gestarte campagnes worden niet achteraf bijgewerkt met deze gebruikers.
Bij een Security training series neemt Sophos nieuwe gebruikers op in elke trainingscampagne van de serie; ze beginnen met de eerste campagne. Zijn er meerdere cursussen als trainingsserie gerangschikt, dan begint elke nieuw geregistreerde gebruiker met de eerste cursus.
De verzending blijft het ritme van de serie volgen en begint niet noodzakelijk op de inschrijvingsdatum. Als een maandelijkse cursus op de 1e van de maand begint en een gebruiker op de 15e wordt ingeschreven, ontvangt die gebruiker de eerste trainingsmail pas op de 1e van de volgende maand. De daaropvolgende cursussen verschuiven voor die gebruiker overeenkomstig.

De verschillen met zelfstandige campagnes en andere serietypen worden uitgelegd in Automatische registratie in Phish Threat.

Geverifieerde domeinen en beheerseenheden

Gesimuleerde phishingmails mogen alleen worden verzonden naar adressen in domeinen die eigendom zijn van het bedrijf en in Sophos Fusion zijn geverifieerd.

Bevat de gebruikerskeuze adressen uit niet-geverifieerde domeinen, dan toont Enroll Users een waarschuwing.
Bevat een groep zowel geverifieerde als niet-geverifieerde adressen, dan neemt Sophos alleen de adressen uit geverifieerde domeinen over en toont ook een waarschuwing.
Via Verify domains in de waarschuwing kunt u naar de verificatie gaan. Na voltooiing keert u via Phish Threat terug naar de campagnecreatie.
In Sophos Central Enterprise moet het domein in elke betrokken beheereenheid (Sub-Estate) afzonderlijk worden toegevoegd en geverifieerd. Verificatie in een andere beheereenheid is niet voldoende.

Ga bij een gemengde groep niet zonder controle verder met alleen het toegestane deel. Anders kan de serie zonder foutmelding starten, maar de beoogde doelgroep niet bereiken.

Controleren en plannen

Open na Next de stap Review & Schedule. Controleer elke sectie en gebruik Edit voordat u de serie opslaat.

Voor een gesimuleerde aanvalserie stelt u onder End Series ofwel het aantal maanden of When I cancel in. Gebruikersacties na de einddatum worden niet meer in de campagneresultaten meegeteld. Plan dus voldoende tijd voor reacties en eventueel vervolgtraining. When I cancel is geen automatische eindvoorwaarde; de serie loopt door tot handmatig beëindigen.

Voor een trainingsreeks stelt u de start van de reeks en de slaaggrens in. Bij meerdere trainingen wordt elke cursus afzonderlijk gecontroleerd. Pas wanneer serietype, ritme, taal, inhoud, ontvangers en planning kloppen, sluit u de assistent af met Done.

Gefaseerde verzending is niet beschikbaar bij het aanmaken

Een Sending Increment kan niet worden ingesteld bij het aanmaken van de campagneserie. De verzendstaffel kan pas na het opslaan worden geconfigureerd door de serie voor de start te bewerken.

Hierbij bepaalt u:

het percentage gebruikers per verzendfase,
het interval tussen de fasen,
en op basis van de weergegeven schatting, hoeveel dagen de volledige verzending duurt.

Dit proces is belangrijk: Sla eerst de serie op met Done, bewerk deze daarna opnieuw voordat u start en stel de verzendstappen in. Start de serie niet handmatig voordat deze tweede controle is voltooid. Bij maandelijkse series moet ook de automatisch gegenereerde campagne binnen het beperkte venster onder Upcoming Campaigns worden gecontroleerd.

Validatie voor de eerste productieve start

Gebruik voor de goedkeuring een gedocumenteerde checklist:

Serietype: Komt de serie overeen met het doel – een aanvalssimulatie of verplichte training?
Ritme: Zijn de frequentie, de eerste start en het gewenste einde van de serie correct?
Taal: Zijn de taal van de e-mails en die van de training afgestemd op de doelgroep?
Aanval: Is alleen het beoogde type aanval gekozen, of is het willekeurig selecteren van meerdere types uitdrukkelijk gewenst?
Training: Kloppen de cursusindeling en de slaaggrens voor elke cursus?
Ontvangers: Komt het aantal gebruikers en groepen overeen met de goedgekeurde omvang? Zijn waarschuwingen over overgeslagen adressen opgehelderd?
Domeinen: Zijn alle ontvangerdomeinen in de juiste beheerseenheid geverifieerd?
Automatische registratie: Is het opnemen van gebruikers die in de toekomst in Sophos Fusion worden aangemaakt gewenst en organisatorisch goedgekeurd?
Verzendfasen: Is de opgeslagen serie opnieuw bewerkt voor de start en is de verwachte totale duur gecontroleerd?
Aankomende campagne: Komen de inhoud en de ontvangers van de eerste daadwerkelijk gegenereerde campagne overeen met de planning?

Test nieuwe sjablonen, ontvangersbronnen of mailflow-instellingen in een afzonderlijke campagne of pilotserie met een kleine interne doelgroep. Controleer het bezorgde bericht, de landingspagina, de gebeurtenisregistratie en eventueel de toewijzing van trainingen. Maak daarna de productieserie opnieuw aan met de definitieve, opnieuw gecontroleerde selectie van ontvangers. Ga er niet van uit dat u de doelgroep van een reeds opgeslagen serie van de pilotgroep naar de productiegroep kunt wijzigen.

Serie stoppen en gevolgen beperken

Tot de afronding met Done kunt u de pagina’s van de assistent corrigeren. Een niet-afgeronde invoer verschijnt onder Campaign Drafts; daar kunt u deze voortzetten met Finish of verwijderen met Discard. Na het opslaan kan de verzendstaffel vóór de start worden bewerkt; andere serie-opties moet u niet als achteraf aanpasbaar plannen. Voor maandelijkse series kan de gemaakte individuele campagne gedurende de week onder Upcoming Campaigns worden aangepast.

U beëindigt een actieve serie door de campagneserie te openen en End this series te kiezen. Dit beëindigt niet automatisch alle daaruit reeds gegenereerde campagnes: dergelijke vermeldingen kunnen nog steeds onder Upcoming Campaigns staan. Een enkele van deze campagnes kan pas een week voor de geplande datum worden beëindigd. Controleer het gebied daarom ook na het einde van de serie.

Als er al een enkele campagne loopt en de verdere verzending slechts tijdelijk moet worden stopgezet, gebruik dan Pause. Dan worden aanval-, trainings- en herinneringsmails niet meer naar de resterende gebruikers gestuurd; reeds bezorgde berichten worden niet teruggeroepen. In de gepauzeerde toestand kan de campagne worden bewerkt met Edit; Campaign Type en Campaign Start Date blijven onveranderbaar, en een ontvanger met reeds verzonden e-mail kan niet meer worden verwijderd.

Na verzending kunnen reeds bezorgde e-mails technisch niet worden teruggehaald. Wijzigingen na Resume gelden voor het resterende campagneverloop en veranderen geen eerdere gebeurtenissen. Bij een vastgelegde einddatum van de serie worden latere gebruikersacties alleen uitgesloten van de campagneresultaten.

Bij een verkeerde configuratie geldt daarom:

Een nog niet gestarte aankomende campagne niet handmatig starten.
Corrigeer bij een nog niet gestarte serie zo nodig alleen de instelling voor gefaseerde verzending waarvan is gedocumenteerd dat deze bewerkbaar is; ga er niet van uit dat ontvangers en automatische inschrijving achteraf kunnen worden gewijzigd.
Een lopende individuele campagne stoppen met Pause en de nog aanpasbare waarden corrigeren.
Een niet meer benodigde actieve serie beëindigen via End this series en daarna reeds gegenereerde aankomende campagnes afzonderlijk controleren.
Reeds verzonden berichten en geregistreerde gebeurtenissen als bestaande toestand documenteren.
Correcties eerst met interne ontvangers valideren en pas daarna Resume kiezen of opnieuw plannen.

De veilige rollback-grens ligt daarmee voor verzending naar de betreffende ontvanger. Daarna beperken Pause en End this series alleen toekomstige processen; reeds geleverde simulaties en gebeurtenissen uit het verleden worden niet ongedaan gemaakt. Meer handelingen voor statuscontrole, bewerking en beëindiging worden beschreven in Phish Threat-campagnes beheren.