CYBERBEZPIECZEŃSTWO – ZESTAW ĆWICZEŃ PRAKTYCZNYCH Kierunek: technik teleinformatyk Forma: praca przy komputerze, głównie przeglądarka internetowa Poziom: wprowadzający Zasada: najpierw działanie, potem krótkie omówienie ====================================================================== ZASADY NA START ====================================================================== 1. Nie logujemy się na cudze konta. 2. Nie próbujemy łamać haseł. 3. Nie wysyłamy wiadomości phishingowych do prawdziwych osób. 4. Nie publikujemy i nie zbieramy prywatnych danych kolegów. 5. Nie otwieramy podejrzanych załączników ani nieznanych plików. 6. W ćwiczeniach wykorzystujemy wyłącznie informacje publicznie dostępne. 7. Adresy zakończone domeną ".example" są przykładami szkoleniowymi – nie należy ich traktować jako prawdziwych serwisów. ====================================================================== ZAJĘCIA 1 – DZISIAJ Temat: PHISHING – NIE UFAJ TEMU, CO WIDZISZ Czas praktyczny: około 45–60 minut ====================================================================== CEL: Nauczyć się zauważać podstawowe oznaki phishingu i sprawdzać informacje bez bezmyślnego klikania w link. ---------------------------------------------------------------------- ĆWICZENIE 1 – JAKA JEST PRAWDZIWA DOMENA? Czas: 10 minut ---------------------------------------------------------------------- WPROWADZENIE: Adres może wyglądać wiarygodnie, mimo że prowadzi zupełnie gdzie indziej. Atakujący liczy na to, że użytkownik przeczyta początek adresu i nie sprawdzi jego właściwej domeny. ZADANIE: Dla każdego adresu zaznacz, jaka jest właściwa domena serwisu. Nie otwieraj adresów – analizuj sam tekst. A) https://www.google.com/ B) https://google.com.login-security.example/ C) https://konto-bank.example/ D) https://microsoft.com.account-security.example/ E) https://support.mozilla.org/ F) https://paypal.com.secure-login.example/ PYTANIA: 1. Które adresy wyglądają na próbę podszycia się pod znaną usługę? 2. Co w adresie powinno wzbudzić podejrzenie? 3. Dlaczego samo wystąpienie słowa "google", "microsoft" lub "paypal" w adresie niczego nie gwarantuje? ---------------------------------------------------------------------- ĆWICZENIE 2 – ANALIZA WIADOMOŚCI PHISHINGOWEJ Czas: 15 minut ---------------------------------------------------------------------- WPROWADZENIE: Phishing najczęściej próbuje wywołać emocję: strach, pośpiech, ciekawość albo chęć szybkiego zysku. SCENARIUSZ: Od: "Zespół Microsoft 365" Temat: PILNE – Twoje konto zostanie zablokowane Treść: Wykryliśmy nietypową aktywność na Twoim koncie. Jeżeli nie potwierdzisz danych w ciągu 15 minut, konto zostanie zablokowane. Potwierdź konto: https://microsoft.com.account-security.example/login Prosimy nie odpowiadać na tę wiadomość. Zespół bezpieczeństwa Microsoft 365 ZADANIE: Znajdź minimum 5 elementów, które powinny wzbudzić podejrzenie. ZAPISZ: 1. 2. 3. 4. 5. DODATKOWO: Jak sprawdziłbyś prawdziwość tej wiadomości BEZ używania linku z e-maila? ---------------------------------------------------------------------- ĆWICZENIE 3 – SPRAWDŹ SERWIS, ZANIM MU ZAUFASZ Czas: 10–15 minut ---------------------------------------------------------------------- WPROWADZENIE: Nieznanego adresu nie trzeba od razu otwierać. Można najpierw sprawdzić informacje o domenie i jej reputację. ZADANIE A – ICANN LOOKUP: Wejdź na: https://lookup.icann.org/ Sprawdź domeny: example.com mozilla.org wikipedia.org Dla każdej spróbuj znaleźć: - rejestratora, - datę utworzenia domeny, - serwery DNS. ZAPISZ: Domena: Rejestrator: Data utworzenia: DNS: ZADANIE B – VIRUSTOTAL: Wejdź na: https://www.virustotal.com/ W sekcji URL sprawdź: https://example.com/ ODPOWIEDZ: 1. Czy serwisy bezpieczeństwa zgłaszają zagrożenie? 2. Czy brak wykrycia przez VirusTotal oznacza, że strona na pewno jest bezpieczna? 3. Dlaczego wynik skanera powinien być tylko jednym z elementów oceny? ---------------------------------------------------------------------- ĆWICZENIE 4 – MINI OSINT: CO MOŻNA USTALIĆ O ORGANIZACJI? Czas: 15 minut ---------------------------------------------------------------------- WPROWADZENIE: OSINT (Open Source Intelligence) polega na zdobywaniu informacji z publicznie dostępnych źródeł. Takie informacje wykorzystują administratorzy, analitycy bezpieczeństwa, dziennikarze, ale również atakujący. ZADANIE: Wybierz jedną znaną instytucję publiczną, uczelnię, muzeum albo firmę. Nie wybieraj prywatnej osoby. Za pomocą zwykłej wyszukiwarki znajdź: 1. Oficjalną domenę: 2. Oficjalny adres siedziby: 3. Oficjalny numer telefonu: 4. Oficjalny profil w mediach społecznościowych: 5. Jeden publiczny dokument PDF opublikowany przez tę organizację. Do znalezienia PDF spróbuj wyszukania: site:domena.pl filetype:pdf Przykład składni: site:example.com filetype:pdf PYTANIE: Które z publicznych informacji mogłyby zostać wykorzystane przez oszusta, żeby przygotować bardziej wiarygodną wiadomość phishingową? ---------------------------------------------------------------------- ĆWICZENIE KOŃCOWE – CO ROBISZ? Czas: 5 minut ---------------------------------------------------------------------- Dostajesz SMS: "Twoja paczka została zatrzymana. Dopłać 1,49 zł w ciągu 30 minut: https://inpost-doplata.example/platnosc" ZADANIE: Nie klikając linku, zapisz krok po kroku, jak sprawdzisz, czy wiadomość jest prawdziwa. 1. 2. 3. 4. 5. ====================================================================== ZAJĘCIA 2 – ZA TYDZIEŃ Temat: OSINT + PHISHING – MYŚL JAK ANALITYK Czas: około 90–120 minut ====================================================================== CEL: Nauczyć się samodzielnie zbierać i łączyć publiczne informacje oraz wykorzystywać je do oceny wiarygodności wiadomości i stron. ---------------------------------------------------------------------- ĆWICZENIE 1 – LEPSZE WYSZUKIWANIE INFORMACJI Czas: 15 minut ---------------------------------------------------------------------- WPROWADZENIE: Wyszukiwarka potrafi znacznie więcej niż zwykłe wpisanie kilku słów. Operatorami można ograniczyć wyniki do konkretnej domeny lub rodzaju pliku. ZADANIE: Wybierz domenę znanej organizacji i wykonaj kolejno wyszukiwania: site:domena.pl site:domena.pl filetype:pdf site:domena.pl "kontakt" site:domena.pl "regulamin" ZAPISZ: 1. Ile różnych rodzajów informacji udało Ci się znaleźć? 2. Czy znalazłeś dokument, którego nie zauważyłbyś podczas zwykłego przeglądania strony? 3. Jakie informacje w dokumentach mogą być wartościowe dla atakującego? WAŻNE: Nie próbujemy wyszukiwać haseł, danych logowania ani danych prywatnych osób. ---------------------------------------------------------------------- ĆWICZENIE 2 – CZY STRONA JEST PRAWDZIWA? Czas: 20 minut ---------------------------------------------------------------------- WPROWADZENIE: Logo, kolory i poprawny język nie są dowodem autentyczności strony. Najważniejsze jest sprawdzenie domeny i kontekstu. SCENARIUSZ: Otrzymujesz wiadomość: "Administrator poczty: Kończy się miejsce na Twojej skrzynce. Zaloguj się, aby zwiększyć limit: https://poczta-firma.example/login" ZADANIE: Przygotuj procedurę weryfikacji tej wiadomości. Sprawdź lub opisz: 1. Nadawcę. 2. Domenę linku. 3. Czy do panelu poczty można wejść niezależnie, przez znany wcześniej adres. 4. Czy organizacja publikuje oficjalne komunikaty o takiej zmianie. 5. Jak zgłosić wiadomość administratorowi. NA KONIEC: Napisz jedno zdanie wyjaśniające, dlaczego nie powinno się korzystać z przycisku "Zaloguj się" znajdującego się w podejrzanej wiadomości. ---------------------------------------------------------------------- ĆWICZENIE 3 – OSINT ORGANIZACJI Czas: 25 minut ---------------------------------------------------------------------- WPROWADZENIE: Przed przygotowaniem ataku socjotechnicznego napastnik często poznaje organizację. Spróbujemy zobaczyć, ile informacji można zebrać bez żadnych specjalistycznych narzędzi. PRACA W PARACH. Wybierzcie jedną organizację. Znajdźcie wyłącznie publiczne informacje: 1. Oficjalna domena. 2. Lokalizacja/siedziba. 3. Główne numery telefonów. 4. Profile społecznościowe. 5. Nazwy działów lub jednostek organizacyjnych. 6. Publiczne dokumenty PDF. 7. Nazwy wykorzystywanych usług widocznych na oficjalnej stronie (np. Microsoft 365, Google Workspace, system rekrutacyjny, sklep, system rezerwacyjny – tylko jeśli informacja jest publiczna). 8. Informacje o aktualnym wydarzeniu, remoncie, rekrutacji, konferencji albo innej publicznej aktywności organizacji. PYTANIE: Wybierzcie 3 informacje, które najbardziej ułatwiłyby oszustowi stworzenie wiarygodnej wiadomości. NIE TWORZYMY I NIE WYSYŁAMY TAKIEJ WIADOMOŚCI. Tylko wskazujemy, jakie informacje zwiększałyby jej wiarygodność. ---------------------------------------------------------------------- ĆWICZENIE 4 – PHISHING CZY PRAWDZIWA WIADOMOŚĆ? Czas: 20 minut ---------------------------------------------------------------------- WPROWADZENIE: Nie każda nietypowa wiadomość jest phishingiem. Zadaniem analityka jest znalezienie dowodów, a nie zgadywanie. SCENARIUSZ A: Od: szkolenia@firma.example "W przyszłym tygodniu odbędzie się obowiązkowe szkolenie BHP. Szczegóły zostaną opublikowane w firmowym intranecie." SCENARIUSZ B: Od: szkolenia@firma-bhp.example "Obowiązkowe szkolenie BHP. Zaloguj się natychmiast: https://firma.example.logowanie-bhp.example" SCENARIUSZ C: Od: administrator@firma.example "Zmiana zasad logowania od przyszłego tygodnia. Instrukcja znajduje się na naszej oficjalnej stronie. Nie wysyłamy linków do logowania pocztą." ZADANIE: Dla każdego scenariusza oceń: - NISKIE PODEJRZENIE - WYMAGA WERYFIKACJI - WYSOKIE PODEJRZENIE Do każdej decyzji dopisz 2 argumenty. ---------------------------------------------------------------------- ĆWICZENIE 5 – CO JEŚLI JUŻ KLIKNĄŁEŚ? Czas: 15 minut ---------------------------------------------------------------------- WPROWADZENIE: Każdemu może zdarzyć się kliknięcie podejrzanego linku. Najważniejsza jest szybka i właściwa reakcja. SCENARIUSZ: Kliknąłeś link w fałszywej wiadomości i wpisałeś login oraz hasło. Po dwóch minutach orientujesz się, że strona była fałszywa. ZADANIE: Ułóż działania w prawidłowej kolejności. A. Zgłosić incydent administratorowi / działowi IT. B. Zmienić hasło, korzystając z prawdziwego serwisu. C. Sprawdzić aktywne sesje i wylogować pozostałe urządzenia. D. Sprawdzić lub włączyć MFA. E. Nie robić nic, jeśli konto nadal działa. F. Poinformować administratora, jakie dane zostały wpisane. G. Jeśli to samo hasło było używane gdzie indziej – zmienić je również tam. ZAPISZ KOLEJNOŚĆ: __________________________________________________________ Którego działania NIE należy wykonywać? __________________________________________________________ ---------------------------------------------------------------------- CYBER CHALLENGE – FINAŁ Czas: 15–20 minut ---------------------------------------------------------------------- SCENARIUSZ: Otrzymujesz wiadomość: Od: "Dział IT" Temat: Wymagana aktualizacja zabezpieczeń "W związku z nowymi wymaganiami bezpieczeństwa wszyscy pracownicy muszą ponownie aktywować MFA do godziny 14:00. Brak aktywacji spowoduje blokadę konta. Panel aktywacyjny: https://microsoft.com.company-support.example/mfa Pozdrawiamy Dział IT" ZADANIE: Macie 15 minut, żeby udowodnić, czy wiadomości można zaufać. Sprawdźcie: 1. Adres nadawcy. 2. Strukturę linku. 3. Faktyczną domenę. 4. Presję czasu. 5. Czy wiadomość wymaga podania danych uwierzytelniających. 6. Jak należałoby niezależnie zweryfikować taki komunikat. 7. Jak powinien zachować się użytkownik. 8. Jak powinien zachować się administrator po otrzymaniu zgłoszenia. PUNKTACJA: 1 punkt za każdy poprawnie zauważony element. +2 punkty za poprawną metodę niezależnej weryfikacji. +2 punkty za poprawną reakcję po potencjalnym wyłudzeniu danych. ====================================================================== KLUCZ / NOTATKI DLA PROWADZĄCEGO ====================================================================== ZAJĘCIA 1 – ĆWICZENIE 1: A) google.com – prawidłowy wygląd. B) google.com jest tylko subdomeną; właściwa domena szkoleniowa to example. C) domena szkoleniowa zawierająca nazwę sugerującą bank. D) microsoft.com występuje jako część subdomeny; nie oznacza domeny Microsoft. E) mozilla.org – prawidłowa domena organizacji Mozilla. F) paypal.com jest tylko częścią nazwy; właściwy kontekst domeny jest inny. Najważniejszy wniosek: Nie szukamy znanej nazwy "gdzieś w adresie". Sprawdzamy właściwą domenę. ZAJĘCIA 1 – ĆWICZENIE 2: Przykładowe sygnały phishingu: - podejrzany adres nadawcy, - presja czasu, - groźba blokady konta, - link prowadzący do innej domeny, - prośba o wykonanie działania z poziomu wiadomości, - próba wywołania strachu. Poprawna reakcja: samodzielnie otworzyć znany adres usługi lub aplikację, sprawdzić komunikaty, ewentualnie skontaktować się z administratorem. ZAJĘCIA 1 – ĆWICZENIE 3: Warto podkreślić: - WHOIS/RDAP nie zawsze pokazuje wszystkie dane, - dane właścicieli domen często są ukryte ze względów prywatności, - stara domena nie musi być bezpieczna, - nowa domena nie musi być złośliwa, - brak wykrycia w VirusTotal nie jest gwarancją bezpieczeństwa. ZAJĘCIA 1 – ĆWICZENIE 4: Najważniejszy wniosek: pojedyncza publiczna informacja zwykle nie jest problemem, ale połączenie wielu informacji może pozwolić przygotować bardzo wiarygodną socjotechnikę. ZAJĘCIA 2 – ĆWICZENIE 4: A – wymaga weryfikacji / niskie podejrzenie zależnie od kontekstu. Nie wymaga logowania i odsyła do znanego intranetu. B – wysokie podejrzenie. Presja, link do logowania, myląca struktura domeny. C – niskie podejrzenie / wymaga weryfikacji. Dobra praktyka: informacja bez linku do logowania. ZAJĘCIA 2 – ĆWICZENIE 5: Poprawne działania: B, C, D, A/F, G – dokładna kolejność może zależeć od procedur organizacji. Najważniejsze: natychmiast ograniczyć skutki i zgłosić incydent. NIEPRAWIDŁOWE: E – brak działania. ====================================================================== PYTANIA DO KRÓTKIEGO PODSUMOWANIA PO OBU ZAJĘCIACH ====================================================================== - Czy poprawne logo oznacza, że strona jest prawdziwa? - Czy HTTPS oznacza, że strona jest uczciwa? - Czy brak alarmu w VirusTotal oznacza pełne bezpieczeństwo? - Co jest ważniejsze: wygląd strony czy jej domena? - Dlaczego presja czasu jest często używana w phishingu? - Jak zweryfikować wiadomość bez korzystania z linku znajdującego się w niej? - Jakie informacje publiczne o organizacji mogą ułatwić socjotechnikę? - Co zrobić natychmiast po wpisaniu hasła na fałszywej stronie? ====================================================================== KONIEC ZESTAWU ======================================================================