Sophos Phish Threat: Zarządzanie kampaniami

Funkcja zarządzania kampaniami w Sophos Fusion (dawniej Sophos Central) obejmuje szkice oraz zaplanowane, aktywne i zakończone kampanie Sophos Phish Threat. Stan jest przy tym decydujący: zaplanowaną kampanię można jeszcze bezpośrednio dostosować, trwającą kampanię powinno się wstrzymać przed wprowadzeniem zmian, a zakończonej kampanii nie można już zmieniać.

Centralna ścieżka to My Products > Phish Threat > Campaigns. Tam można wyszukiwać i filtrować kampanie, zarządzać ich cyklem życia oraz eksportować dane otwartej kampanii.

Szybkie znajdowanie kampanii

Pasek wyszukiwania pozwala wyszukać kampanię według jej nazwy. Dodatkowo filtr typu kampanii ogranicza listę:

• All Campaigns pokazuje wszystkie kampanie.
• Phishing pokazuje symulowane kampanie ataków phishingowych.
• Credential Harvesting pokazuje kampanie zbierania danych logowania.
• Attachment pokazuje kampanie z symulowanymi złośliwymi załącznikami.
• Training pokazuje wyłącznie kampanie szkoleniowe.

Filtr według typu nie jest tym samym co status kampanii. Strona dodatkowo porządkuje kampanie według ich cyklu życia:

Wstrzymana kampania posiada obok swojej nazwy oznaczenie Paused. Dzięki temu można odróżnić celowo zatrzymaną wysyłkę od kampanii tylko zaplanowanej lub zakończonej.

Dokończ lub odrzuć szkice

Nieukończony asystent pojawia się pod Campaign Drafts. Wybierz Finish, aby kontynuować konfigurację. Opcja Discard usuwa szkic.

Przed odrzuceniem należy sprawdzić, czy szkic zawiera własne modyfikacje szablonów, rozbudowaną listę odbiorców lub uzgodniony już harmonogram. Odrzucenie nie jest tym samym co wstrzymanie: szkic zostanie usunięty i nie będzie można po prostu wznowić go jako trwającej kampanii. Aby zachować jego konfigurację, należy go ukończyć lub najpierw udokumentować.

Przypominanie administratorom siedem dni przed rozpoczęciem

Sophos może powiadomić wybranych administratorów siedem dni przed rozpoczęciem kampanii Sophos Phish Threat. Odbiorcy tego administracyjnego przypomnienia są ustalani globalnie:

1. Otwórz ikonę Global Settings.
2. Przejdź do Products and Services > Sophos Phish Threat > Campaign Reminders.
3. Wybierz administratorów, którzy mają otrzymać przypomnienie siedem dni przed rozpoczęciem kampanii.

To ustawienie przypomina administratorom przed rozpoczęciem kampanii. Nie kontroluje ono przypomnień o szkoleniach dla uczestników ani wiadomości konfigurowanych w kampanii dla użytkowników.

Po dokonaniu zmiany należy sprawdzić wybrane konta adminów i ich aktualne adresy e-mail. W przypadku kampanii, która rozpoczyna się za mniej niż siedem dni, nie można zakładać, że zostanie później wysłane wstępne przypomnienie.

Otwieranie kampanii i sprawdzanie możliwych działań

Otwórz wybraną kampanię w My Products > Phish Threat > Campaigns. W zależności od stanu dostępne są Edit, Delete, Clone, Pause, Resume i Export.

Edycja kampanii

Nadchodzącą kampanię można edytować przed jej rozpoczęciem. W przypadku kampanii już trwającej bezpieczny proces jest następujący:

1. Otwórz aktywną kampanię i wybierz Pause.
2. Sprawdź, czy kampania jest oznaczona jako Paused.
3. Wybierz Edit. Kreator konfiguracji otworzy się w trybie edycji.
4. Dostosuj wymagane wartości w kreatorze.
5. Sprawdź nową konfigurację, zanim wybierzesz Resume.

W przypadku wstrzymanej kampanii wartości kampanii można zmieniać z dwoma wyjątkami: Campaign Type i Campaign Start Date pozostają niezmienne. Odbiorcy mogą być dodawani lub usuwani. Jednak odbiorcy, do których wiadomość kampanii została już wysłana, nie mogą być usunięci.

Past Campaigns nie mogą być edytowane. Nawet zakończonej kampanii nie można przedłużyć przez ustalenie nowej daty zakończenia. Jeśli ta sama struktura jest ponownie potrzebna, kampania jest klonowana i planowana jako nowa kampania.

Klonuj kampanię

Clone przejmuje szczegóły kampanii do nowego wpisu w Campaign Drafts. Nazwa klona zawiera datę utworzenia. Otwórz szkic i sprawdź przynajmniej nazwę, odbiorców, szablony, szkolenie oraz daty rozpoczęcia i zakończenia, zanim go aktywujesz.

Klon to nowa kampania, a nie wsteczna kontynuacja oryginału. Dlatego nie obejmuje zdarzeń, które wystąpiły już w oryginalnej kampanii. Jest to odpowiednia droga, jeśli zakończona kampania ma być przeprowadzona ponownie z dostosowanym harmonogramem lub grupą odbiorców.

Usuń kampanię

Otwórz kampanię i wybierz w prawym górnym rogu Delete. Sophos pozwala również na usunięcie kampanii zakończonej.

Wstrzymywanie i wznawianie kampanii

Pause przerywa wysyłkę jeszcze niewysłanych wiadomości e-mail dotyczących ataku, szkolenia i przypomnień. Już dostarczone e-maile pozostają u odbiorców. Według pomocy Sophos działania użytkowników wobec dostarczonych wiadomości e-mail nadal są rejestrowane i aktualizowane w raporcie kampanii. Jednak w przypadku kampanii, które wysłały wszystkie e-maile natychmiast, FAQ firmy Sophos zawiera sprzeczną informację: po wstrzymaniu działania i zachowanie użytkowników nie są już aktualizowane. Jeśli te dane są istotne dla decyzji, najpierw sprawdź zachowanie za pomocą kampanii testowej we własnym środowisku.

Wstrzymanie jest szczególnie odpowiednie, gdy:

• Wiadomości e-mail kampanii nie są prawidłowo dostarczane i najpierw musi zostać poprawiony serwer pocztowy,
• należy naprawić błąd w szablonie,
• należy użyć innej lekcji szkoleniowej,
• należy uzupełnić odbiorców dla jeszcze niewysłanych wiadomości.

Jeżeli kampania wysłała wszystkie wiadomości e-mail natychmiast, późniejsze wstrzymanie nie może ich cofnąć. Przy wysyłce w odstępach czasowych e-maile, których jeszcze nie zaplanowano, nie zostaną wysłane. W przypadku wysyłki natychmiastowej zwróć również uwagę na opisaną powyżej sprzeczność dotyczącą dalszej aktualizacji zdarzeń.

Przed Resume sprawdzana jest zarówno kampania, jak i ewentualnie skorygowany serwer poczty. Następnie kampania zostaje ponownie aktywowana: pozostałe wiadomości e-mail z symulowanym atakiem są wysyłane zgodnie z ustalonym harmonogramem, a powiązane wiadomości szkoleniowe i przypomnienia trafiają do odpowiednich odbiorców.

Zmiany mają efekt jedynie w zakresie, w jakim jest to jeszcze możliwe

Zmiany w wstrzymanej kampanii dotyczą pozostałego przebiegu kampanii. Nie cofają one już zaistniałych zdarzeń.

• Jeśli użytkownik A już otrzymał stary e-mail atakujący, nowy szablon nie zastąpi tej wiadomości. Tylko odbiorcy, którzy jeszcze nie otrzymali wiadomości, otrzymają nową wersję.
• Jeśli użytkownik A został już przypisany do szkolenia, a administrator następnie zmieni kurs szkoleniowy, później otwarty link do szkolenia prowadzi do nowego kursu.
• Wysłane już e-maile i istniejące zdarzenia użytkownika nie zostaną cofnięte przez wstrzymanie, edycję ani wznowienie. Czy Sophos po wstrzymaniu nadal wykrywa nowe działania względem już dostarczonych e-maili, nie jest jednolicie udokumentowane w przypadku natychmiastowej wysyłki.

To ograniczenie należy uwzględnić w każdym planie zmian. Przed większą zmianą warto więc zanotować, którzy odbiorcy zostali już powiadomieni, a którzy jeszcze nie. W przeciwnym razie ta sama kampania będzie celowo obejmować zarówno stare, jak i nowe ustawienia.

Osobna akcja administracyjna to Clear campaign events w wynikach kampanii. Umożliwia to usunięcie zdarzeń użytkownika z wyników. Zdarzenia Email sent pozostają zachowane; Sophos rejestruje usunięcie w Audit Log. Ta funkcja nie zmienia wysłanej wiadomości i jest niezależna od zatrzymania, edytowania lub wznawiania kampanii.

Zakończenie serii kampanii

Aktywna seria kampanii zostaje otwarta i zatrzymana za pomocą End this series. Nie uniemożliwia to jednak koniecznie wyświetlania każdej już widocznej przyszłej kampanii: w sekcji Upcoming Campaigns kampanie z serii mogą nadal się pojawiać, jeśli Sophos utworzył je przed zakończeniem serii.

Dlatego po zakończeniu zawsze sprawdzaj Upcoming Campaigns. Taką pojedynczą kampanię można zakończyć dopiero w tygodniu poprzedzającym jej planowaną datę. Zakończenie serii i zakończenie już utworzonych pojedynczych kampanii to dwa oddzielne kroki.

Eksportuj dane kampanii jako PDF lub CSV

Otwórz odpowiednią kampanię i wybierz Export. Firma Sophos udostępnia dane kampanii jako PDF lub CSV.

Dla dokumentacji zmian eksport jest tworzony przed nieodwracalnym usunięciem i przechowywany z nazwą kampanii, datą eksportu oraz celem. Plik CSV nadaje się do uporządkowanego dalszego przetwarzania, podczas gdy plik PDF dokumentuje czytelny stan. Treściowa interpretacja wyników kampanii nie jest częścią tej instrukcji.

Weryfikacja zmiany i dostępnych opcji wycofania

Po każdej czynności administracyjnej sprawdzane są nie tylko komunikaty potwierdzające, ale także widoczny stan kampanii:

1. Wróć do My Products > Phish Threat > Campaigns.
2. Wyszukaj kampanię według jej dokładnej nazwy.
3. Sprawdź odpowiednią sekcję: szkice, nadchodzące, aktywne lub zakończone.
4. Sprawdź przy zatrzymaniu oznaczenie Paused.
5. Otwórz kampanię i porównaj harmonogram, odbiorców, szablon i szkolenie z zatwierdzonym stanem zmian.
6. Sprawdź przed Resume, którzy odbiorcy już otrzymali e-mail i która zmiana będzie działać tylko dla pozostałych odbiorców.
7. Sprawdź po zakończeniu serii dodatkowo Upcoming Campaigns.
8. Otwórz testowo wygenerowany eksport PDF lub CSV, zanim kampania zostanie usunięta.

Możliwość wycofania zmiany zależy od wykonanej czynności:

• Kampanię wstrzymaną można wznowić po pomyślnej weryfikacji.
• Aktywną kampanię można ponownie wstrzymać i poprawić na pozostałym etapie.
• Błędną zmianę w treściach, które jeszcze nie zostały wysłane, można poprawić poprzez ponowną edycję.
• Wstrzymywanie, edytowanie i wznawianie nie zmieniają już zarejestrowanych zdarzeń. Za pośrednictwem Clear campaign events można osobno usuwać zdarzenia użytkowników; zdarzenia Email sent pozostają, a operacja jest rejestrowana w Audit Log.
• Usuniętych kampanii nie da się przywrócić. Eksport stanowi dokumentację, ale nie jest możliwy do zaimportowania jako kopia zapasowa.
• Zakończonych kampanii nie da się przedłużyć ani edytować. W zamian tworzy się klon jako nową kampanię.
• Zakończonej serii nie reaktywuje się w celu wycofania zmiany. Już wygenerowane nadchodzące kampanie jednostkowe muszą być sprawdzone osobno i w razie potrzeby zakończone w dopuszczalnym przedziale czasowym.