攻擊模擬訓練部署考慮和常見問題

攻擊模擬訓練使 Microsoft 365 E5 或 適用於 Office 365 的 Microsoft Defender Plan 2 組織能夠衡量並管理社會工程風險。 攻擊模擬訓練可讓您執行以真實但無害的網路釣魚承載提供技術支援的網路釣魚模擬。 與 Terranova Security 合作提供的超精準訓練，有助於提升知識並改變使用者行為。

欲了解更多關於攻擊模擬訓練的開始資訊，請參見「開始使用攻擊模擬訓練」。

雖然建立與排程模擬設計得簡單，但企業規模的模擬則需要規劃。 本文有助於解決我們在客戶自身環境中執行模擬時所面臨的特定挑戰。

使用者體驗問題

遭 Google 安全瀏覽服務封鎖的網路釣魚模擬網址

URL 聲譽服務可能會將攻擊模擬訓練中使用的一個或多個 URL 視為不安全。 Google Chrome 中的 Google 安全瀏覽會封鎖部分模擬的網路釣魚網址，並顯示「前方有欺騙性網站」訊息。 雖然我們與許多 URL 信譽廠商合作，盡力讓我們的模擬 URL 一律獲得允許，但涵蓋範圍不一定完整。

Google 安全瀏覽所發出的欺騙性網站警告不會影響 Microsoft Edge。

在規劃階段，務必在使用該網址進行釣魚攻擊前，先確認該網址在你支援的瀏覽器中是否可用。 如果 Google 安全瀏覽封鎖了這些網址，請在 Google Chrome Enterprise 中允許這些網址，以允許存取這些網址。

請參閱「開始使用攻擊模擬訓練」一節，了解目前攻擊模擬訓練所使用的網址列表。

網路 Proxy 解決方案和篩選驅動程式封鎖的網路釣魚模擬與系統管理員 URL

中介安全性裝置或篩選條件可能會封鎖或捨棄您的網路釣魚模擬 URL 和系統管理員 URL。 例如：

• 防火牆
• Web 應用程式防火牆 (WAF) 解決方案
• 非Microsoft濾波器驅動程式 (核心模式濾波器)

雖然很少客戶在此層被封鎖，但此層的阻塞確實存在。 若您遇到問題，請考慮視需要將下列 URL 設定為略過安全裝置或篩選器的掃描：

• 模擬的網路釣魚 URL，如開始使用攻擊模擬訓練中所述。
• https://security.microsoft.com/attacksimulator
• https://security.microsoft.com/attacksimulationreport
• https://security.microsoft.com/trainingassignments
• http://asttrainingfdendpoint-a6fva0cjbsbbereq.b02.azurefd.net/

模擬訊息未傳送給所有目標使用者

有可能所有被模擬鎖定的使用者都不會收到模擬的電子郵件。 以下類型的使用者在目標驗證中被排除：

• 收件人電子郵件地址無效。
• 訪客。
• 這些使用者已不再活躍於 Microsoft Entra ID。

你可以在 Exchange Online PowerShell 中使用 Get-DistributionGroupMember 指令碼來查看並驗證目標群組成員。

未預期地指派給使用者的訓練，或未指派給使用者的訓練

訓練活動中的訓練門檻可防止在特定時間間隔內（預設為 90 天）再次將相同的訓練指派給使用者。 欲了解更多資訊，請參閱 設定訓練門檻。

如果您建立了模擬或模擬自動化，且其訓練指派值設為為我指派訓練（建議），我們會根據使用者先前的模擬與訓練結果來指派訓練。 若要根據特定標準分配訓練，請自行選擇 選擇課程與模組。

當使用者回覆或轉寄模擬訊息時會發生什麼事？

如果使用者回覆或轉寄模擬訊息至其他信箱，該訊息會視為一般電子郵件訊息 (包括由安全連結或安全附件進行引爆)。 模擬報告顯示該模擬訊息是否已被回覆或轉發。 模擬電子郵件中的每個 URL 都會與個別使用者建立關聯，因此安全連結的引爆會被識別為該使用者的點閱。

如果你在 SecOps () 信箱使用專用的安全作業，請務必在 進階投遞政策 中標示為 SecOps，這樣郵件才能不經過濾地送達。

我該如何交錯傳送模擬訊息？

您可以使用下列功能錯開傳遞時間：

• 模擬提供 可感知區域的傳遞。
• 模擬自動化有一個模擬 排程頁面 ，你可以在那裡隨機化配送並設定其他配送細節。

無論你使用區域感知交付或模擬自動化排程，都應使用不同的有效載荷，以避免使用者間的討論與識別。

為什麼模擬訊息中的圖片會被 Outlook 阻擋？

預設情況下，Outlook 會被設定為阻擋從網際網路訊息中自動下載圖片。 雖然你可以 設定 Outlook 自動下載圖片，但我們不建議這麼做，因為安全上 (可能自動下載惡意程式碼或網頁錯誤，也就是網頁信標或追蹤像素) 。

我看到聲稱未按一下模擬訊息中連結之使用者的點閱或入侵事件，或是我看到許多使用者在傳遞後幾秒內就出現點閱記錄 (誤判)。 發生什麼事了？

當其他安全裝置或應用程式檢查模擬訊息時，可能會發生意外點擊與入侵事件。 例如 (但不限於) ：

• Outlook 內的應用程式或外掛，用來檢查或攔截該訊息。
• Email 安全應用程式。
• 端點安全或防毒軟體。
• 自動分級或自動回應已回報訊息的安全性協調、自動化及回應 (SOAR) 劇本。

Outlook 增益集、電子郵件安全性工具、端點安全性軟體及 SOAR 劇本可以檢查 Web 內容以偵測網路釣魚，因此您需要在這些工具中為模擬訊息定義排除項目。

EmailLinkClicked_IP和EmailLinkClicked_TimeStamp數據可能會提供更多關於該事件的細節。 例如，如果點擊發生在送達幾秒後，且該 IP 位址不屬於 Microsoft、您的公司或使用者，那麼很可能是非 Microsoft 的過濾系統或其他服務攔截了該訊息。

對於任何非 Microsoft 的過濾系統或服務，您需要允許或豁免以下項目：

• 所有攻擊模擬訓練的網址及相應網域。 目前，我們不會從靜態的 IP 位址清單發送模擬訊息。
• 你在自訂承載資料中使用的任何其他網域。

我可以在模擬訊息中加上外部標籤或安全提示嗎？

你可以設定自訂承載資料，為訊息加上 External 標籤。 欲了解更多資訊，請參閱 「建立有效載荷」中的步驟5。

雖然沒有內建可為有效載荷添加安全提示的選項，但你可以在有效載荷設定精靈的 「配置有效載荷 」頁面使用以下方法：

• 使用包含安全提示的現有電子郵件作為範本。 將訊息儲存成 HTML 並複製資訊。

• 請使用以下範例代碼作為首次接觸安全提示：

  <table class="MsoNormalTable" border="0" cellspacing="0" cellpadding="0" align="left" width="100%" style="width:100.0%;mso-cellspacing:0in;mso-yfti-tbllook:1184;
  mso-table-lspace:2.25pt;mso-table-rspace:2.25pt;mso-table-anchor-vertical:
  paragraph;mso-table-anchor-horizontal:column;mso-table-left:left;mso-padding-alt:
  0in 0in 0in 0in">
  <tbody><tr style="mso-yfti-irow:0;mso-yfti-firstrow:yes;mso-yfti-lastrow:yes">
    <td style="background:#A6A6A6;padding:5.25pt 1.5pt 5.25pt 1.5pt"></td>
    <td width="100%" style="width:100.0%;background:#EAEAEA;padding:5.25pt 3.75pt 5.25pt 11.25pt" cellpadding="7px 5px 7px 15px" color="#212121">
    <div>
    <p class="MsoNormal" style="mso-element:frame;mso-element-frame-hspace:2.25pt;
    mso-element-wrap:around;mso-element-anchor-vertical:paragraph;mso-element-anchor-horizontal:
    column;mso-height-rule:exactly"><span style="font-size:9.0pt;font-family:
    wf_segoe-ui_normal;mso-fareast-font-family:&quot;Times New Roman&quot;;mso-bidi-font-family:
    Aptos;color:#212121;mso-ligatures:none">You don't often get email from
    this sender <a rel="noopener" href="https://aka.ms/LearnAboutSenderIdentification" tabindex="-1" target="_blank">Learn why
    this is important</a></span></p>
    </div>
    </td>
    <td width="75" style="width:56.25pt;background:#EAEAEA;padding:5.25pt 3.75pt 5.25pt 3.75pt;
    align:left" cellpadding="7px 5px 7px 5px" color="#212121"></td>
  </tr>
  </tbody></table>
  <div>
  <p class="MsoNormal"><span lang="DA" style="font-size:12.0pt;font-family:&quot;Georgia&quot;,serif;
  color:black;mso-ansi-language:DA">Insert payload content here,</span></p>
  </div>
  

我可以指派訓練模組而不讓使用者經歷模擬嗎？

是。 欲了解更多資訊，請參閱攻擊模擬訓練中的訓練活動。

如何查詢未送達的模擬訊息？

每個模擬的 使用者索引標籤 都可依據 模擬訊息傳遞：傳遞失敗 進行篩選。

如果您擁有寄件者網域，未送達的模擬報告會以非送達報告回傳 (也稱為 NDR 或退信) 。 欲了解更多關於 NDR 中代碼的資訊，請參閱 Exchange Online 中的 Email 未送達報告與 SMTP 錯誤。

報告問題

攻擊模擬訓練報告與其他報告中使用者活動資料的差異

關於與模擬訊息相關的使用者活動報告，我們建議使用 內建的模擬報告。 其他來源的報告 (例如 《先進狩獵) 》可能不準確。

Safe Links 不會包裝模擬 URL，因此這些 URL 被視為未包裝的連結。 並非所有對未展開連結的點擊都會經過安全連結，因此與模擬訊息相關的使用者活動可能不會被記錄在 UrlClickEvents 日誌中。

攻擊模擬訓練報告中不包含任何活動細節

攻擊模擬訓練帶來豐富且可行的洞見，讓你隨時掌握使用者的威脅準備進度。 如果攻擊模擬訓練報告未顯示資料，請確認您的組織已開啟稽核記錄（其預設為開啟）。

攻擊模擬訓練需要稽核日誌來捕捉、記錄並回讀事件。 關閉稽核日誌對攻擊模擬訓練有以下影響：

• 並非所有報告中都能取得報告資料。 報告看起來空洞無物。
• 訓練任務會被封鎖，因為資料無法取得。

要確認稽核日誌是否開啟或啟用，請參閱 「開啟或關閉稽核」。

本地郵箱問題的回報

攻擊模擬訓練支援本地郵箱，但報告功能較為有限：

• 關於使用者是否閱讀、轉發或刪除模擬郵件的資料，無法在本地郵箱中取得。
• 針對內部部署信箱，無法取得回報模擬電子郵件的使用者人數。

模擬報告不會立即更新

詳細的模擬報告不會在你啟動戰役後立即更新。 別擔心;報告更新延遲是預期中的。

每個模擬戰役都有生命週期。 模擬首次建立時，處於 已排程 狀態。 當模擬開始時，會切換到 進行中 狀態。 完成後，模擬會轉換為 完成 狀態。

當模擬處於 排程 狀態時，模擬報告大多是空白的。 在此階段，模擬引擎會解析目標使用者電子郵件地址、擴展分發群組、將訪客從列表中移除等：

一旦模擬進入 進行 中階段，資訊便開始逐步流入報告：

轉換到 進行 中狀態後，個別模擬報告更新可能需要長達 30 分鐘。 報告資料會持續累積，直到模擬達到 完成 狀態。 報告更新會在以下時間間隔進行：

• 前60分鐘每10分鐘一次。
• 60 分鐘後起，直到兩天內每 15 分鐘一次。
• 兩天後至七天內，每30分鐘一次。
• 每60分鐘一次，七天後。

概覽頁面上的小工具可讓您快速掌握貴組織一段時間內的模擬式安全態勢。 由於這些小工具反映整體安全狀況與歷程，每次模擬活動結束後都會更新。

使用者回報為網路釣魚的訊息未顯示在模擬報告中

攻擊模擬器訓練中的模擬報告提供使用者活動的詳細資訊。 例如：

• 點擊訊息中連結的用戶。
• 放棄帳號的使用者。
• 將訊息回報為網路釣魚的使用者。

如果使用者回報為網路釣魚的訊息未擷取到攻擊模擬訓練的模擬報告中，可能是因為有 Exchange 郵件流程規則 (也稱為傳輸規則) 封鎖了已回報訊息傳送給 Microsoft。 確認任何郵件流規則沒有阻擋寄送至以下電子郵件地址：

• junk@office365.microsoft.com
• abuse@messaging.microsoft.com
• phish@office365.microsoft.com
• not_junk@office365.microsoft.com

使用者在回報模擬訊息後會被分配訓練

如果使用者在回報網路釣魚模擬訊息後被指派訓練，請前往 https://security.microsoft.com/securitysettings/userSubmission 檢查您的組織是否使用回報信箱來接收使用者回報的訊息。 報告信箱需設定以跳過許多安全檢查，如 報表信箱前置條件所述。

如果沒有設定自訂報告信箱所需的排除事項，安全連結或安全附件保護可能會引爆訊息。 已引爆的訊息會導致指派訓練。

其他常見問題

問：針對模擬演練活動鎖定使用者的建議方法是什麼？

答：針對目標用戶有多種選擇：

• 包含所有使用者（目前僅適用於使用者少於 40,000 名的組織）。
• 選擇特定使用者。
• 從 CSV 檔案中選取使用者（每行一個電子郵件地址）。
• 使用 Microsoft Entra 群組。 支援以下群組類型：
  • Microsoft 365 群組 (靜態與動態)
  • 分配組 (靜態)
  • 已啟用郵件功能的安全性群組（僅限靜態）

我們發現分配給 Microsoft Entra 群組的活動管理起來比較容易。

問：有多少訓練模組？

目前， 培訓模組 頁面內建了 94 項訓練。

問：語言如何用於訓練模組和通知等體驗？

語言行為會因經驗而異：

• 訓練模組：會使用瀏覽器的區域設定。 但一旦訓練被指派給使用者，語言選擇會持續，未來的訓練也會以該語言分配。
• 終端使用者通知：使用信箱地點/語言設定。
• 模擬有效載荷：使用管理員在建立時選擇的語言。
• 著陸頁：使用 Microsoft 365 帳號語言設定。 使用者也可以在登陸頁面更改語言。

問：從 CSV 匯入或新增使用者時，鎖定使用者是否有任何限制？

答：從 CSV 檔案匯入收件人或將個別接收者加入模擬的上限為 40,000 個。

收件人可以是個人使用者或群組。 一個群組可能包含數百甚至數千名收件人。 用戶數量上限為 400,000 人，但我們建議每次模擬限制為 200,000 人以維持最佳效能。

管理大型 CSV 檔案或新增多個收件人可能會很繁瑣。 使用 Microsoft Entra 群組簡化了模擬的整體管理。

問：在特定時間區間內，模擬數量是否有限制？

答： 不會，不過如果你啟動多個平行模擬，可能會遇到速度變慢。 服務的訊息速率限制也限制了模擬訊息速率。

問：Microsoft 是否提供其他語言版本的內容套件？

答：目前有40+種本地化有效載荷，支援29+種語言：英語、西班牙語、德語、日語、法語、葡萄牙語、荷蘭語、義大利語、瑞典語、中文 (簡體) 語、挪威博克默爾語、波蘭語、俄語、芬蘭語、韓語、土耳其語、匈牙利語、希伯來語、泰語、阿拉伯語、越南語、斯洛伐克語、希臘語、印尼語、羅馬尼亞語、斯洛維尼亞語、克羅埃西亞語、加泰隆尼亞語等。 我們發現，直接或機器翻譯現有有效載荷到其他語言會導致不準確度與相關性降低。

話雖如此，你也可以利用自訂的有效載荷創作體驗，用你選擇的語言建立自己的有效載荷。 我們也強烈建議您收集曾用於鎖定特定地區使用者的現有承載。 換句話說，讓攻擊者幫你在地化內容。

問：有多少訓練影片可用？

答：目前，內容庫中已有超過85個培訓模組可供參考。

問：我該如何轉換語言以提升我的管理入口網站和培訓經驗？

答：在 Microsoft 365 或 Office 365 中，語言設定是針對每個使用者帳號專屬且集中的。 關於如何更改語言設定的說明，請參閱 Microsoft 365 for Business 中的「更改你的顯示語言與時區」。

設定變更可能需要長達 30 分鐘才能在所有服務間同步。

問：我可以在啟動正式活動前，先啟動測試模擬，了解實際效果嗎？

答：可以。 在新增模擬精靈的最後一個 檢閱模擬 頁面上，選取 傳送測試訊息。 此選項會將網路釣魚模擬訊息範例傳送給目前登入的使用者。 在您的收件匣中驗證網路釣魚訊息後，即可提交模擬。

問：我可以鎖定屬於不同組織的用戶，作為同一模擬活動的一部分嗎？

答：不能。 目前，尚未支援跨組織模擬。 確認所有目標用戶都在同一個組織中。 任何跨組織使用者或訪客都被排除在模擬活動之外。

問：區域感知配送是如何運作的？

答：區域感知投遞利用目標用戶信箱的時區屬性，並以「未提前」邏輯判斷何時投遞訊息。 每位收件人會在自己信箱時區的預定時間收到模擬，從不早於此。 如果該當地時間在發射日已經過去，接收者隔天會在同一當地時間收到訊息。 由於模擬訊息是以限速批次方式傳送，傳送會在預定開始後逐步完成，對於大型模擬可能會花費更長時間。 例如，請考量下列情境：

• 在太平洋時區（UTC-8）上午 7:00，管理員建立並將行銷活動排定於當天上午 9:00 開始。
• 使用者A位於東部時區 (UTC-5) 。
• UserB 也屬於太平洋時區。

同日上午 9：00，模擬訊息會傳送給 UserB。 使用區域感知傳遞時，訊息不會在同一天傳送給 UserA，因為太平洋時間上午 9:00 為東部時間中午 12:00。 相反地，訊息會在隔天東部時間上午9點發送給 UserA。

因此，在啟用區域感知投遞的初期活動中，模擬訊息可能只發送給特定時區的用戶。 但隨著時間推移，越來越多用戶進入範圍，目標用戶數量也會增加。

如果您未使用區域感知傳遞，活動會依設定者的使用者時區開始執行。

問：Microsoft 是否會收集或儲存使用者在 Credential Harvest 登入頁面輸入的資訊，這些資訊用於 Credential Harvest 模擬技術？

答：不能。 在認證獲取登入頁面中輸入的任何資訊都會靜默捨棄。 只有「點擊」聲被錄下來，以捕捉妥協事件。 Microsoft 不會收集、記錄或儲存使用者在此階段輸入的任何細節。

問：模擬資訊可以保留多久？ 我可以刪除模擬資料嗎？

答：請參考以下表格：

若整個租戶被刪除，攻擊模擬訓練資料在 90 天後也會被刪除。

欲了解更多資訊，請參閱 適用於 Office 365 的 Microsoft Defender 的資料保留資訊。

問：我可以使用 API 來建立、檢視和管理模擬嗎？

答：可以。 Microsoft 圖形 API 支援讀取和寫入案例：

• AttackSimulation.Read.All:
  • 讀取模擬元資料
  • 讀取使用者活動
  • 讀取訓練資料
  • 讀取重複違規者
• AttackSimulation.ReadWrite.All：使用指定的有效載荷、通知及登入頁面執行模擬。

如需詳細資訊，請參閱列出模擬和適用於 Office 365 的 Microsoft Defender 攻擊模擬訓練報告 API 概觀。

問：我可以刪除自訂有效載荷嗎？

答：可以。 首先你要歸檔有效載荷，然後再刪除已歸檔的有效載荷。 如需操作說明，請參閱 封存有效負載。

問：我可以修改內建的有效載荷嗎？

答：不是直接的。 你可以複製內建的有效載荷，然後再修改副本。 相關說明請參見 複製有效載荷。

問：Microsoft 對於內建（全球）酬載中使用的第三方品牌或標誌有什麼指引？

答：Microsoft 提供攻擊模擬訓練載荷，協助客戶模擬真實世界的攻擊技術。 Microsoft 不提供法律建議，客戶仍需自行決定在自身環境中適當使用任何有效載荷。 如有相關法律、商標使用或其他法律考量，客戶應諮詢自己的法律顧問。 此指引同樣適用於全域有效載荷（由 Microsoft 提供）及租戶有效載荷（你自行建立的自訂有效載荷）。 如需詳細的法律考量，請參閱建立承載。

問：我正在嘗試執行一個 QR 碼模擬，但掃描 QR 碼時顯示的是「ping 成功」，而不是登陸頁面？

A：在承載編輯器中插入 QR 碼時，該 QR 碼會對應至您在網路釣魚連結區段 >選取 URL 中選取的基本網路釣魚 URL。 QR 碼會以圖片形式插入電子郵件訊息中。 如果你從 文字 標籤切換到 程式碼 標籤，你會看到插入的圖片以 Base64 格式呈現。 圖像的開頭包含 <div id="QRcode"...>。 在模擬中使用完成的有效載荷前，務必確認其含有以下成分 <div id="QRcode"...> 。

在建立模擬期間，如果您掃描 QR 碼，或使用傳送測試來檢閱承載，該 QR 碼會指向您所選取的基本網路釣魚 URL。

當承載用於模擬時，服務會以動態產生的 QR 碼取代該 QR 碼，以追蹤點閱和入侵計量。 QR 碼的大小、位置和形狀都與你在有效載荷中設定的配置選項相符。 在實際模擬中掃描 QR 碼會帶你到已設定的登陸頁面。

問：我嘗試用 HTML 建立一個有效載荷，但載荷編輯器似乎會從設計中移除某些內容，或是無法儲存有效載荷？

答：目前，以下 HTML 標籤在有效載荷編輯器中未被支援： applet, base, basefont, command, embed, frame, frameset, iframe, keygen, link, meta, noframes, noscript, param, script, object, title。

包含以下大小寫不區分項的有效載荷會被封鎖： IRS, I.R.S., Internal Revenue Service, Inland Revenue Service, Treasury。 此行為符合 Create payloads 中所述對使用某些政府相關商標與符號的限制。 如果您的酬載意外遭到拒絕，請檢查內容中是否包含這些詞彙，並將其移除。

問：如果你修改現有模擬中使用的內容會發生什麼事？

答：你可以獨立修改模擬中使用的關鍵元素。 例如：

• 承載
• 模組
• 登入頁面
• 登陸頁面

模擬內容會在發射時評估，因此模擬中使用哪個有效載荷、模組、登入頁面或登陸頁，取決於你修改內容時模擬的狀態：

• 進行中 或 進行中：此模擬已啟動，因此不使用任何內容變更。
• 已排程：模擬尚未啟動，因此系統會在啟動時套用任何內容變更。

問：如果在承載已有點閱記錄後取消模擬，會發生什麼情況？ 即使模擬被取消，這些使用者仍被視為重複犯嗎？

重複違規者是指連續在模擬中遭入侵 (交出憑證) 的使用者。 連續模擬的預設值是兩，但你可以 設定閾值。

如果你取消正在進行中的模擬，在取消前已輸入其認證資料的使用者，會在報告中列為累犯或帳號遭入侵者。