Zou jouw collega op een valse e-mail van "IT-support" klikken en zijn wachtwoord invullen? Met Attack simulation training in Microsoft Defender for Office 365 test je dat veilig: je stuurt een realistische phishingmail, ziet wie klikt of gegevens invult en geeft die mensen meteen een korte opleiding. In dit artikel lees je wat je nodig hebt, hoe je een simulatie opzet en hoe je de resultaten gebruikt zonder iemand aan de schandpaal te nagelen.
Licentie en rollen
Attack simulation training hoort bij Microsoft Defender for Office 365 Plan 2. Dat zit in Microsoft 365 E5 en is ook als add-on te koop. Met alleen Plan 1 of Business Premium heb je de functie niet. Wil je eerst proberen, dan kun je in de Defender-portal een proefversie van Defender for Office 365 starten.
Je hoeft geen globale beheerder te zijn. Deze Microsoft Entra-rollen volstaan:
- Attack Simulation Administrator: maakt en beheert simulaties, trainingscampagnes en automatiseringen.
- Attack Payload Author: maakt alleen payloads (e-mails) die een beheerder later gebruikt.
- Security Administrator: heeft volledige toegang. Security Reader en Security Operator kunnen alleen meekijken.
Een simulatie starten
- Ga naar security.microsoft.com > E-mail en samenwerking > Training in aanvalssimulatie. In de Engelstalige portal heet dat Attack simulation training.
- Open het tabblad Simulaties en klik op Een simulatie starten.
- Kies een techniek (zie hieronder) en geef de simulatie een duidelijke naam.
- Kies een payload: een kant-en-klare e-mail uit de bibliotheek of een eigen e-mail, bij voorkeur in het Nederlands en afgestemd op je organisatie.
- Kies de doelgebruikers: begin met een testgroep, bijvoorbeeld het IT-team, voor je de hele organisatie meeneemt. Je kunt ook gebruikers uitsluiten.
- Kies de opleiding die gebruikers krijgen als ze in de val trappen, en de vervaldatum ervan.
- Kies een landingspagina (wat iemand ziet na het klikken) en de meldingen voor eindgebruikers.
- Plan het moment van verzenden en de einddatum, controleer de samenvatting en klik op Verzenden.
De technieken
- Credential Harvest: een link naar een valse aanmeldpagina. De meest gebruikte en herkenbare test.
- Malware Attachment: een bijlage die gebruikers moeten openen.
- Link in Attachment: een bijlage met een link naar een valse aanmeldpagina.
- Link to Malware: een link naar een bestand op een bekende deelsite.
- Drive-by URL: een link naar een website die ongemerkt code zou kunnen uitvoeren.
- OAuth Consent Grant: een valse app die toestemming vraagt voor je gegevens.
- How-to Guide: geen test, maar een e-mail die gebruikers uitlegt hoe ze phishing melden.
Resultaten lezen
Bij elke simulatie zie je wie de e-mail ontving, opende, op de link klikte, gegevens invulde of de e-mail meldde als phishing. Volg vooral het aantal meldingen op: dat is het gedrag dat je wilt zien. De voorspelde compromitteringsgraad vergelijkt je resultaat met wat Microsoft voor die payload verwachtte, en het tabblad over trainingen toont wie zijn opleiding afrondde.
Automatiseren
Met simulatieautomatiseringen plan je een reeks simulaties met wisselende technieken en payloads, bijvoorbeeld één per maand. Met trainingscampagnes wijs je opleidingen toe zonder simulatie, handig voor nieuwe medewerkers of als jaarlijkse opfrissing.
Veelvoorkomende problemen
- Klikken die niemand deed: een extern e-mailfilter, een Outlook-invoegtoepassing of antivirussoftware opent links automatisch. Je herkent het aan een klik enkele seconden na de levering. Microsoft raadt aan om de simulatie-URL's en -domeinen in die tools uit te zonderen. Op IP-adres toestaan werkt niet.
- Meldingen tellen niet mee: controleer in de Defender-portal bij Instellingen > E-mail en samenwerking > Instellingen voor gemelde berichten dat de knop Melden in Outlook aan staat. De exacte naam kan licht verschillen.
- Gemelde berichten ontbreken nog steeds: een e-mailstroomregel in Exchange kan het doorsturen naar de meldadressen van Microsoft blokkeren. Kijk je regels na.
Tips
- Laat je directie en HR weten dat je simulaties doet, en communiceer vooraf het doel: leren, niet straffen.
- Zorg dat gebruikers makkelijk kunnen melden. Hoe dat werkt, lees je in spam en phishing melden in Outlook.
- Herhaal simulaties een paar keer per jaar, met andere technieken en moeilijkheidsgraden.
- Koppel de resultaten aan je bredere aanpak, bijvoorbeeld de beveiligingsmaatregelen voor thuiswerken.
Veelgestelde vragen
Zien gebruikers dat het een test is?
Pas nadat ze klikken of na afloop, via de landingspagina en de meldingen die jij kiest.
Kan ik een simulatie stoppen?
Ja, je kunt een geplande of lopende simulatie annuleren. Wie al gegevens invulde, blijft wel als gecompromitteerd in het rapport staan.
Werkt het met PowerShell?
Er zijn geen PowerShell-cmdlets voor Attack simulation training. Je werkt via de Defender-portal.