Leitfaden zu PhishRIP

In der PhishER-Konsole können Sie mit PhishRIP E-Mail-Bedrohungen aus den Posteingängen Ihrer Nutzerinnen und Nutzer entfernen. Mit PhishRIP können Sie aktive Phishing-Angriffe abwehren, indem Sie nach von Nutzerinnen und Nutzern gemeldeten E-Mails suchen und alle ähnlichen E-Mails von Ihrem Microsoft 365- oder Google Workspace-E-Mail-Server entfernen.

Aktivieren von PhishRIP

In den folgenden Unterabschnitten erfahren Sie, wie Sie PhishRIP auf Ihrem Microsoft 365- oder Google Workspace-E-Mail-Server aktivieren. Sie können PhishRIP mit mehreren E-Mail-Servern verknüpfen.

Aktivieren für Microsoft 365

Gehen Sie wie folgt vor, um PhishRIP für Microsoft 365 zu aktivieren.

1. Melden Sie sich bei der PhishER-Konsole an.
2. Klicken Sie links auf der Seite auf das Zahnradsymbol, um die Einstellungen aufzurufen.
3. Navigieren Sie zum Abschnitt PhishRIP.
4. Klicken Sie auf die Schaltfläche Connect to Microsoft 365. Sie werden zur Anmeldeseite von Microsoft 365 weitergeleitet.
5. Melden Sie sich bei Ihrem Microsoft 365-Konto als Administratorin bzw. Administrator an.

6. Nach der Anmeldung wird das Pop-up-Fenster Permissions requested mit dem ersten Satz von Berechtigungen angezeigt. Lesen Sie die Informationen zu den Berechtigungen und akzeptieren Sie diese. Sie werden daraufhin zurück zu PhishER geleitet.

   Hinweis: Quarantäne-Ordner werden nach der Ausführung jeder Abfrage für Nutzerinnen und Nutzer erstellt, die nach der letzten Abfrage hinzugefügt wurden. Diese Aktion erfolgt nur, wenn die letzte Abfrage mehr als 10 Minuten vor der nächsten Abfrage ausgeführt wurde.

   

7. Unter dem Abschnitt Mailserver in Ihren PhishER-Einstellungen wird die neue Instanz Ihres Microsoft 365-Mailservers angezeigt. Die Verbindung des Mailservers mit PhishRIP ist unvollständig, bis Sie einen zweiten Satz von Berechtigungen akzeptieren, um die Anwendung zum Mailserver hinzuzufügen.
8. Klicken Sie auf Weiter, um die Berechtigungen zu akzeptieren. Sie werden anschließend zu Microsoft weitergeleitet.
9. Melden Sie sich erneut bei Ihrem Microsoft 365-Konto als Admin an.

10. Wenn Sie angemeldet sind, wird unter Angeforderte Berechtigungen der zweite Berechtigungssatz angezeigt. Lesen Sie die Informationen zu den Berechtigungen und klicken Sie dann auf „Akzeptieren“. Sie werden daraufhin zurück zu PhishER geleitet. Ihre Microsoft 365-Mailserver-Instanz wird mit PhishRIP verbunden.

    

11. Klicken Sie im Abschnitt PhishRIP der PhishER-Einstellungen auf den Schalter Disabled. Klicken Sie dann auf Save. Durch diese Aktion wird PhishRIP in der PhishER-Konsole aktiviert.

    

12. (Optional) Aktivieren Sie das Kontrollkästchen Defend-Integration aktivieren, sodass PhishRIP mithilfe von KnowBe4 Defend die Suche beschleunigen und das Bedrohungsmanagement verbessern kann. Diese Einstellung ist nur für Microsoft 365 verfügbar.

13. (Optional) Aktivieren Sie das Kontrollkästchen Allow Permanent Message Deletion, um die Löschoption in PhishRIP zu aktivieren. Nach dem Aktivieren der Löschoption können Admins eine Anforderung an PhishRIP senden, E-Mails auf dem Microsoft 365-E-Mail-Server unter Quarantäne zu stellen, wiederherzustellen oder dauerhaft zu löschen.

    Wichtig: Dauerhaft gelöschte E-Mails können von KnowBe4 nicht wiederhergestellt werden.

    

14. (Optional) Aktivieren Sie das Kontrollkästchen Enable Hidden Quarantine Folder, um unter Quarantäne gestellte Mitteilungen in Zukunft in einen ausgeblendeten Ordner zu verschieben. Dies soll verhindern, dass Nutzerinnen und Nutzer unbeabsichtigt mit möglicherweise schädlichen Inhalten interagieren. Vorhandene Quarantäneordner und Mitteilungen, die vor der Aktivierung dieser Funktion erstellt wurden, bleiben für die Nutzerinnen und Nutzer sichtbar und zugänglich. Diese Einstellung ist ausschließlich für Microsoft 365 verfügbar und wird für neue PhishER-Konten aktiviert, wenn PhishRIP aktiviert ist.

    Hinweis: Die PhishRIP-Aktionen Restore und Permanently Delete bleiben in diesem ausgeblendeten Ordner voll funktionsfähig.

    

15. (Optional) Geben Sie im Abschnitt Quarantäne-Schutzmaßnahmen (Quarantine Safeguards) einen Schwellenwert für unter Quarantäne gestellte Mitteilungen (Quarantine Messages Threshold) und einen Schwellenwert für unter Quarantäne gestellte Nutzer (Quarantine Users Threshold) ein. Machen Sie Angaben in beiden Feldern oder lassen Sie beide Felder leer. Weitere Informationen finden Sie im Abschnitt Quarantäne-Schutzmaßnahmen. ADD IMAGE BELOW

Wenn PhishRIP in der PhishER-Konsole aktiviert ist, wird im Navigationsbereich ein Fischgrätsymbol angezeigt. Über dieses Symbol können Sie auf PhishRIP zugreifen.

Klicken Sie im Abschnitt Mail Servers nochmals auf Connect to Microsoft 365, um einen weiteren E-Mail-Server zu verknüpfen.

Aktivieren für Google Workspace

Gehen Sie wie folgt vor, um PhishRIP für Google Workspace zu aktivieren:

1. Melden Sie sich bei der PhishER-Konsole an.
2. Klicken Sie links auf der Seite auf das Zahnradsymbol, um die Einstellungen aufzurufen.
3. Navigieren Sie zum Abschnitt PhishRIP.

4. Klicken Sie auf Connect to Google Workspace. Ein Pop-up-Fenster zur Eingabe der Google Workspace-Anmeldedaten mit Anweisungen wird geöffnet.

   

5. Kopieren Sie Ihre Client ID.

6. Öffnen Sie eine neue Registerkarte in Ihrem Browser und melden Sie sich dort bei der Admin-Konsole von Google Workspace Google Workspace (Link wird in einem neuen Fenster geöffnet) an. Sie benötigen die Rolle „Super User Administrator“.

   Hinweis: Informationen darüber, wie Sie Ihre Administratorrolle anzeigen, finden Sie im Google-Artikel Rollenzuweisungen und ‐berechtigungen ansehen Rollenzuweisungen und ‐berechtigungen ansehen (Link wird in einem neuen Fenster geöffnet).

7. Navigieren Sie nach der Anmeldung zu Security > Access and data control > API Controls > Manage Domain wide delegation.

   

8. Klicken Sie auf Add new.

   

9. Fügen Sie die in Schritt 5 kopierte Client-ID ein.

10. Geben Sie im Feld OAuth scopes Folgendes ein: „https://www.googleapis.com/auth/admin.directory.user.readonly,https://mail.google.com/“.

    

11. Klicken Sie auf Authorize.
12. Suchen Sie in den Google Workspace-Kontoeinstellungen Ihre Kundennummer für Google Workspace und kopieren Sie diese. Weitere Informationen erhalten Sie im Google-Artikel Kundennummer ermitteln Kundennummer ermitteln (Link wird in einem neuen Fenster geöffnet).
13. Kehren Sie zur PhishER-Konsole zurück.

14. Geben Sie im Pop-up-Fenster für die Google Workspace-Anmeldedaten Ihre E-Mail-Adresse als Kontoadministratorin bzw. Kontoadministrator im Feld Access User ein.

    

    Hinweis: Für das Konto, das Sie im Feld Access User eingeben, muss in Google Workspace der Gmail-Dienst aktiviert sein. Melden Sie sich bei der Admin-Konsole für Google Workspace an und navigieren Sie zu Apps > Google Workspace > Gmail, um dies zu überprüfen. Wenn Gmail für dieses Konto nicht aktiviert ist, schlägt der Verbindungsversuch fehl. Für dieses Konto ist keine Google Workspace Enterprise-Lizenz erforderlich, jedoch ein Google Workspace-Plan, der Gmail umfasst.
15. Geben Sie die in Schritt 12 kopierte Kundennummer im Feld Mailserver ID ein.

16. Klicken Sie auf Connect.

    Hinweis: Quarantäne-Ordner werden nach der Ausführung jeder Abfrage für Nutzerinnen und Nutzer erstellt, die nach der letzten Abfrage hinzugefügt wurden. Diese Aktion erfolgt nur, wenn die letzte Abfrage mehr als 10 Minuten vor der nächsten Abfrage ausgeführt wurde.

17. Klicken Sie im Abschnitt PhishRIP der PhishER-Einstellungen auf den Schalter Disabled. Klicken Sie dann auf Save. Durch diese Aktion wird PhishRIP in der PhishER-Konsole aktiviert.

    

18. (Optional) Aktivieren Sie das Kontrollkästchen Allow Permanent Message Deletion, um die Löschoption in PhishRIP zu aktivieren. Nach dem Aktivieren der Löschoption können Admins eine Anforderung an PhishRIP senden, Mitteilungen auf dem Google Workspace-E-Mail-Server unter Quarantäne zu stellen, wiederherzustellen oder dauerhaft zu löschen.

    Wichtig: Dauerhaft gelöschte E-Mails können von KnowBe4 nicht wiederhergestellt werden.

    

19. (Optional) Geben Sie im Abschnitt Quarantäne-Schutzmaßnahmen (Quarantine Safeguards) einen Schwellenwert für unter Quarantäne gestellte Mitteilungen (Quarantine Messages Threshold) und einen Schwellenwert für unter Quarantäne gestellte Nutzer (Quarantine Users Threshold) ein. Machen Sie Angaben in beiden Feldern oder lassen Sie beide Felder leer. Weitere Informationen finden Sie im Abschnitt Quarantäne-Schutzmaßnahmen.

    Hinweis: In Google Workspace liest PhishRIP die ersten 100 übereinstimmenden Mitteilungen in jedem Postfach aus. Ein Schwellenwert für unter Quarantäne gestellte Mitteilungen über 100 löst in Google Workspace nie eine Aktion aus.

Wenn PhishRIP in der PhishER-Konsole aktiviert ist, wird im Navigationsbereich ein Fischgrätsymbol angezeigt. Über dieses Symbol können Sie auf PhishRIP zugreifen.

Klicken Sie im Abschnitt Mail Servers nochmals auf Connect to Google Workspace, um einen weiteren E-Mail-Server zu verknüpfen.

Quarantäne-Schutzmaßnahmen

Quarantäne-Schutzmaßnahmen begrenzen, wie umfangreich eine einzelne PhishRIP-Abfrage ausgeführt wird, wenn Mitteilungen unter Quarantäne gestellt werden. Wenn eine Abfrage beide Schwellenwerte erreicht, beendet PhishRIP die Quarantänisierung und sendet Ihnen einen Hinweis. Die Suche wird trotzdem fertiggestellt und alle übereinstimmenden Mitteilungen werden aufgeführt. Nur die Quarantänisierung wird gestoppt.

Navigieren Sie zum Festlegen Ihrer Schwellenwerte zu Einstellungen > PhishRIP und dann zum Abschnitt „Quarantäne-Schutzmaßnahmen (Quarantine Safeguards)“. Füllen Sie beide Felder aus und klicken Sie dann auf „Speichern (Save)“. Wenn Sie keine Schutzmaßnahmen aktivieren möchten, lassen Sie beide Felder leer.

• Schwellenwert für unter Quarantäne gestellte Mitteilungen (Quarantine Messages Threshold): Die Anzahl der Mitteilungen einer Nutzerin bzw. eines Nutzers, die über eine Abfrage unter Quarantäne gestellt werden sollen, bevor dieser Nutzer auf den Schwellenwert für unter Quarantäne gestellte Nutzer angerechnet wird.
• Schwellenwert für unter Quarantäne gestellte Nutzer (Quarantine Users Threshold): Die Anzahl der Nutzerinnen und Nutzer, die den Schwellenwert für unter Quarantäne gestellte Nutzer erreichen müssen, bevor die Quarantänisierung für die ganze Abfrage gestoppt wird.

Beispiel: Wenn der Schwellenwert für unter Quarantäne gestellte Mitteilungen 10 und der Schwellenwert für unter Quarantäne gestellte Nutzer 5 beträgt, wird die Quarantänisierung gestoppt, wenn 5 Nutzerinnen und Nutzer jeweils 10 Mitteilungen aufweisen, die unter Quarantäne gestellt werden sollen.

Beim Stoppen einer Abfrage

Wenn eine Abfrage die Quarantänisierung stoppt, sendet PhishRIP eine Warnung. Klicken Sie auf die Schaltfläche in der Warnung, um die Seite PhishRIP-Mitteilungen (PhishRIP Messages) für diese Abfrage zu öffnen. Ein Banner mit dem Hinweis Quarantäne angehalten (Quarantine Halted) wird auf dieser Seite und im Dialogfeld „Abfrage anzeigen (View Query)“ angezeigt.

Mitteilungen, die bereits unter Quarantäne gestellt wurden, bleiben in Quarantäne. Der Rest behält den Status Erkannt (Discovered) bei. Wird eine Abfrage gestoppt, kann es sein, dass keine Mitteilungen unter Quarantäne gestellt wurde.

Wenn Sie die verbleibenden Mitteilungen unter Quarantäne stellen möchten, wählen Sie diese auf der Seite PhishRIP-Mitteilungen (PhishRIP Messages) aus und klicken Sie dann im Drop-down-Menü Ausführen (Run) auf Quarantäne (Quarantine). Eine neu gestartete angehaltene Abfrage wird nicht zurückgesetzt und es wird keine zweite Warnung angezeigt.

Wenn PhishFlip für die Abfrage aktiviert ist, wird von PhishRIP keine Kampagne erstellt. Für die Mitteilungen wird ein fehlgeschlagener PhishFlip-Status mit dem Grund Quarantäne-Schwellenwert erreicht (Quarantine threshold reached) angezeigt.

Starten einer PhishRIP-Abfrage

In der PhishER-Konsole können Sie an vier Orten PhishRIP-Abfragen initiieren: in der Spalte Inbox von PhishER, über das Drop-down-Menü Run, auf der Seite Message Details und auf der Seite PhishRIP Queries. In den nachfolgenden Unterabschnitten sind die Schritte für die einzelnen Methoden aufgeführt.

Methode 1: Spalte „Inbox“ von PhishER

Gehen Sie wie folgt vor, um eine Abfrage über die Spalte Inbox zu initiieren:

1. Navigieren Sie zur Registerkarte Inbox.

   

2. Klicken Sie in der Spalte PhishRIP auf das Plussymbol, um das Pop-up-Fenster Find Similar Messages zu öffnen.

   Hinweis: Wenn PhishRIP für die Mitteilung bereits initiiert wurde, wird anstelle des Plussymbols ein Fischgrätsymbol angezeigt. Wenn die Spalte PhishRIP nicht verfügbar ist, wählen Sie das Zahnradsymbol in der oberen rechten Ecke der Seite Inbox aus. Das Pop-up-Fenster Inbox Table Settings wird daraufhin geöffnet. Sie können das Kontrollkästchen PhishRIP aktivieren, um die Spalte anzuzeigen.

   

Methode 2: Drop-down-Menü „Run“

Gehen Sie wie folgt vor, um im Drop-down-Menü Run eine Abfrage zu initiieren:

1. Navigieren Sie zur Registerkarte Inbox.

2. Aktivieren Sie das Kontrollkästchen links neben der Mitteilung, für die Sie eine Abfrage initiieren möchten.

   

3. Klicken Sie links oben auf der Seite auf das Drop-down-Menü Run.

4. Klicken Sie im Abschnitt PhishRIP auf Find Similar Messages, um das entsprechende Pop-up-Fenster zu öffnen.

   

Methode 3: Seite „Message Details“

Gehen Sie wie folgt vor, um auf der Seite Message Details eine Abfrage zu initiieren:

1. Navigieren Sie zur Registerkarte Inbox.

2. Klicken Sie auf eine Mitteilung, um die Seite Mitteilungsdetails (Message Details) zu öffnen.

   

3. Klicken Sie rechts auf der Seite in der Seitenleiste Actions and Discussion unter der Registerkarte Actions auf die Schaltfläche Create New Query. Beim Klicken auf diese Schaltfläche wird das Pop-up-Fenster Find Similar Messages geöffnet.

   

Wenn eine PhishRIP-Abfrage fehlschlägt, können Sie sie durch Klicken auf Retry in der Spalte Status der Seite PhishRIP Queries wiederholen. Diese Option wird unabhängig vom Lösungsstatus nur für fehlgeschlagene Abfragen angezeigt. Zum Wiederholen einer Abfrage wird keine neue Abfrage erstellt.

Methode 4: Seite „PhishRIP Queries“

Wenn auf der Unterregisterkarte Einstellungen (Preferences) Ihrer PhishER-Einstellungen die Einstellung Zulassen, dass PhishRIP-Abfragen ohne Quellmitteilung initiiert werden können (Allow PhishRIP queries to be initiated without a source message) aktiviert ist, können Sie über die Seite PhishRIP-Abfragen (PhishRIP Queries) eine Abfrage ohne eine zugehörige gemeldete Mitteilung initiieren.

Gehen Sie wie folgt vor, um eine Abfrage auf der Seite PhishRIP Queries zu initiieren:

1. Melden Sie sich bei der PhishER-Konsole an.
2. Navigieren Sie zum Abschnitt PhishRIP.

3. Klicken Sie rechts oben auf der Seite auf Create New Query, um das Pop-up-Fenster Find Similar Messages zu öffnen.

   

Wenn Sie mithilfe dieser Methode eine Abfrage initiieren, sind die Optionen zum Anpassen von Kriterien andere als bei anderen Methoden. Weitere Informationen finden Sie im Unterabschnitt Kriterien ohne Quellmitteilung weiter unten.

Aktivieren Sie die Suche nach ähnlichen Mitteilungen.

Bei jeder Methode zum Initiieren einer PhishRIP-Abfrage wird das Pop-up-Fenster Find Similar Messages geöffnet. Weitere Informationen zu diesem Pop-up-Fenster finden Sie im Screenshot und in der folgenden Liste.

1. Match Criteria: Wählen Sie mindestens zwei Kriterienoptionen für die PhishRIP-Abfrage aus. Anhand dieser Informationen sucht PhishRIP auf dem gesamten E-Mail-Server nach allen übereinstimmenden Mitteilungen.

   Hinweis: Wenn in den Einstellungen die Option Allow PhishRIP queries to be initiated with one match criterion aktiviert ist, können Sie mindestens ein Kriterium auswählen.

2. Find messages received in the: Standardmäßig sucht PhishRIP nach ähnlichen Mitteilungen, die in den letzten 24 Stunden empfangen wurden. Klicken Sie auf das Drop-down-Menü, um eine der folgenden Optionen auszuwählen: Last 72 hours, Last Week oder Last Month.

   Hinweis: Wenn Sie die Defend-Integration in den PhishRIP-Einstellungen aktivieren, findet PhishRIP Mitteilungen, die in den vergangenen 40 Tagen eingegangen sind. Die Defend-Integration ist nur für Microsoft 365 verfügbar.
3. Match Processing: Sie können die folgenden Quarantäne- und PhishFlip-Optionen für eine PhishRIP-Abfrage auswählen:

   1. Allow PhishRIP to automatically quarantine all found messages: Aktivieren Sie dieses Kontrollkästchen, wenn alle gefundenen Mitteilungen von PhishRIP unter Quarantäne gestellt werden sollen. Mitteilungen bleiben im Quarantäne-Ordner, bis sie wiederhergestellt oder dauerhaft gelöscht werden.

      Hinweis: Der Quarantäne-Ordner wird beim Durchsuchen der Mitteilungen von PhishRIP nicht gescannt.
   2. Zulassen, dass PhishFlip alle gefundenen Mitteilungen automatisch verwenden darf (Allow PhishFlip to automatically use all found messages): Aktivieren Sie dieses Kontrollkästchen, wenn PhishER aus den in PhishRIP-Abfragen gefundenen E-Mails automatisch Phishing-Vorlagen erstellen und Phishing-Kampagnen in KSAT starten soll. Bei automatisierten Phishing-Kampagnen werden simulierte Phishing-E-Mails an Nutzerinnen und Nutzer gesendet, die die ursprünglichen, schädlichen E-Mails erhalten haben.
4. Customized Criteria: Erstellen Sie eine neue PhishRIP-Abfrage, indem Sie eines der folgenden Kriterien auswählen und das Textfeld bearbeiten. Klicken Sie zum Bearbeiten des Textfelds auf das Bleistiftsymbol. Wenn Sie eine neue Abfrage ohne eine gemeldete Mitteilung erstellen, finden Sie im Unterabschnitt Kriterien ohne Quellmitteilung weiter unten entsprechende Informationen.
   • Subject: In diesem Feld können Sie die Suchkriterien verfeinern, indem Sie den Text aus der ursprünglichen Betreffzeile eingeben. Sie müssen mindestens vier aufeinanderfolgende Zeichen der ursprünglichen Betreffzeile eingeben. Wenn der Betreff Sonderzeichen enthält, müssen diese in der Abfrage beibehalten werden, damit die Suche erfolgreich ist.
   • Sender und Recipient: In diesen Feldern können Sie die ursprüngliche E-Mail-Adressen eingeben oder die Suchkriterien verfeinern, indem Sie die Domain oder Subdomain eingeben.
   • Attachment: In diesem Feld können Sie die ursprünglichen Namen von Anhängen eingeben oder die Suchkriterien verfeinern, indem Sie einen Dateityp eingeben. Damit E-Mails in den Suchergebnissen angezeigt werden, müssen alle aufgeführten Anhänge gefunden werden. Nicht erwünschte Anhänge können aus der Liste entfernt werden. Wenn Sie nach allen Dateien eines bestimmten Typs suchen möchten, geben Sie ein Sternchen vor der Dateierweiterung ein, z. B. „*.pdf“.

   • Body: In diesem Feld können Sie die Suchkriterien verfeinern, indem Sie einen Teil der Zeichenfolge in der ursprünglichen Mitteilung angeben. Geben Sie mindestens 30 Zeichen bzw. 50 Prozent des Inhalts der ursprünglichen Mitteilung ein.

     Denken Sie daran: Defend unterstützt nicht das Kriterium „Body“. Diese Option ist nur für Konten verfügbar, bei denen kein E-Mail-Server mit Defend verknüpft ist und bei denen Defend in den PhishRIP-Einstellungen deaktiviert ist.

Kriterien ohne Quellmitteilung

Wenn Sie über die Seite PhishRIP-Abfragen (PhishRIP Queries) eine neue PhishRIP-Abfrage erstellen, können Sie im Pop-up-Fenster Nach ähnlichen Mitteilungen suchen (Find Similar Messages) eigene Kriterien eingeben, um übereinstimmende Mitteilungen zu finden. Weitere Informationen zum Anpassen dieser Kriterien finden Sie in der nachstehenden Liste:

• Subject: In diesem Feld können Sie die Suchkriterien verfeinern, indem Sie Text für eine Betreffzeile eingeben. Geben Sie mindestens 10 Zeichen ein.
• Sender und Recipient: In diesen Feldern können Sie die Suchkriterien verfeinern, indem Sie vollständige E-Mail-Adressen, Domains oder Subdomains eingeben.
• Attachment: In diesem Feld können Sie die Suchkriterien verfeinern, indem Sie Anhangnamen eingeben. Geben Sie mindestens drei Zeichen ein. Wenn Sie nach allen Dateien eines bestimmten Typs suchen möchten, geben Sie ein Sternchen vor der Dateierweiterung ein ( z. B. „*.pdf“). Damit E-Mails in den Suchergebnissen angezeigt werden, müssen alle aufgeführten Anhänge gefunden werden.
• Body: In diesem Feld können Sie die Suchkriterien verfeinern, indem Sie Text für Mitteilungsinhalte eingeben. Geben Sie mindestens 20 Zeichen ein.

PhishRIP-Abfragen

Auf der Seite PhishRIP Queries werden alle in der PhishER-Konsole initiierten PhishRIP-Abfragen aufgeführt. Bei Auswahl einer Abfrage können Sie diese als Resolved oder Unresolved kennzeichnen. Durch Klicken auf eine eindeutige Abfrage-ID wird die Seite PhishRIP Messages geöffnet.

Weitere Informationen zur Seite PhishRIP Queries finden Sie im Screenshot und in der folgenden Liste:

1. ID: Diese Spalte enthält eine eindeutige Zeichenfolge zur Identifizierung einer PhishRIP-Abfrage.
2. Started: Diese Spalte enthält Datum und Uhrzeit der Initiierung einer PhishRIP-Abfrage.
3. Completed: Diese Spalte enthält Datum und Uhrzeit des Abschlusses der Suche in Postfächern im Rahmen einer PhishRIP-Abfrage.
4. SourceID: Diese Spalte enthält eine eindeutige Zeichenfolge, die einer PhishER-Mitteilung zugewiesen ist, mit der eine PhishRIP-Abfrage erstellt wurde. Durch Klicken auf den Link Quell-ID (Source ID) können Sie die Seite Mitteilungsdetails (Message Details) für die Mitteilung anzeigen.

5. AttackID: Diese Spalte enthält eine eindeutige Zeichenfolge, die der PhishRIP-Mitteilung zugewiesen ist, die einen ähnlichen Betreff oder Absender aufweist wie Mitteilungen, die kürzlich von PhishRIP gefunden wurden.

   Hinweis: Wenn die PhishRIP-Abfrage anstelle einer Mitteilung in Ihrem Posteingang (Inbox) über die Seite PhishRIP-Abfragen (PhishRIP Queries) initiiert wurde, wird in den Spalten „SourceID“ und „AttackID“ der Text „No source message (Advanced Features)“ bzw. „No AttackID (Advanced Features)“ angezeigt.
6. Found: Diese Spalte enthält die Anzahl der Mitteilungen, die mit den Kriterien der PhishRIP-Abfrage übereinstimmten.
7. Opened: Diese Spalte enthält die Anzahl gefundener Mitteilungen, die geöffnet wurden.
8. Originator: Diese Spalte enthält den Vor- und Nachnamen der Nutzerin bzw. des Nutzers, von der/dem die PhishRIP-Abfrage initiiert wurde.
9. Status: In dieser Spalte wird der Status einer PhishRIP-Abfrage angezeigt. Eine Abfrage kann den Status Processing, Completed oder Failed aufweisen.
10. Resolution: In dieser Spalte wird angezeigt, ob eine Abfrage als Resolved oder Unresolved gekennzeichnet wurde.
11. Query: In dieser Spalte werden die für die PhishRIP-Abfrage ausgewählten Übereinstimmungskriterien angezeigt. Beim Klicken auf das Datenbanksymbol wird das Pop-up-Fenster View PhishRIP Details mit den ursprünglich ausgewählten Kriterien angezeigt. Mit dieser Funktion können Sie die Elemente überprüfen, nach denen bei der Abfrage gesucht wurde.
12. Neue Abfrage erstellen (Create New Query): Wenn in Ihren PhishER-Einstellungen die Einstellung Allow PhishRIP queries to be initiated without a source message aktiviert ist, können Sie auf diese Schaltfläche klicken, um das Pop-up-Fenster Find Similar Messages zu öffnen. Anschließend können Sie für die Übereinstimmungskriterien eigene Informationen eingeben.

Sie können PhishRIP-Abfragen anhand des Status Processing, Completed oder Failed filtern. Außerdem können Sie nach Resolved oder Unresolved filtern. In der Suchleiste können Sie die PhishRIP-Abfragen mithilfe der Lucene-Abfragesyntax filtern. Bei Auswahl einer Mitteilung können Sie den Lösungsstatus Gelöst (Resolved) oder Nicht gelöst (Unresolved) anwenden.

PhishRIP-Mitteilungen

Auf der Seite PhishRIP-Mitteilungen (PhishRIP Messages) werden die übereinstimmenden Mitteilungen angezeigt, die in allen Posteingängen des E-Mail-Servers gefunden wurden. Weitere Informationen zu dieser Seite finden Sie im Screenshot und in der folgenden Liste:

1. Mailbox Email : Diese Spalte enthält die E-Mail-Adresse des Postfachs mit einer Mitteilung, die mit der PhishRIP-Abfrage übereinstimmt.

   Hinweis: Sie können die Postfächer eingrenzen, die von PhishRIP gescannt werden, indem Sie eine Domain- oder Regex-Liste in Ihren Einstellungen für den E-Mail-Server erstellen. Weitere Informationen finden Sie im Artikel PhishER-Einstellungen: Integrationen.
2. Mailbox Name : Diese Spalte enthält den Namen des Postfachs mit einer Mitteilung, die mit der PhishRIP-Abfrage übereinstimmt.
3. Read: In dieser Spalte wird angezeigt, ob die Mitteilung von der Empfängerin bzw. vom Empfänger gelesen wurde (Read) oder nicht (Unread).
4. Discovery Folder : In dieser Spalte wird der Ordner des Posteingangs angezeigt, in dem die Mitteilung gefunden wurde.
5. Subject: : In dieser Spalte wird der Text aus der Betreffzeile der Mitteilung angezeigt.
6. Date Found : Diese Spalte enthält das Datum, an dem die Mitteilung bei der PhishRIP-Abfrage gefunden wurde.

7. PhishRIP Status : In dieser Spalte wird der letzte bekannte Status einer PhishRIP-Mitteilung angezeigt. Wenn die Mitteilung verfügbar ist, hat sie den Status Erkannt (Discovered), In Quarantäne verschoben (Quarantined), Gelöscht (Deleted) oder Quarantäne ausstehend (Quarantine Pending). Wenn die Mitteilung aufgrund von Aktionen außerhalb von PhishRIP nicht mehr verfügbar ist oder durch eine andere Abfrage gelöscht wurde, hat sie den Status Nicht verfügbar (Unavailable).

   Hinweis: Wenn eine Abfrage stoppt, weil beide Schwellenwerte unter Quarantäne-Schutzmaßnahmen (Quarantine Safeguards), erreicht worden sind, weisen einige Mitteilungen den Status In Quarantäne verschoben (Quarantined) und andere den Status Erkannt (Discovered) auf. Mitteilungen, die bereits unter Quarantäne gestellt wurden, bleiben in Quarantäne. Der Rest behält den Status Erkannt (Discovered) bei.
8. PhishFlip Status: In dieser Spalte wird der letzte bekannte Status einer PhishFlip-Mitteilung angezeigt. Sofern verfügbar, befindet sich die Mitteilung im Status PhishFlip ausstehend (PhishFlip Pending), PhishFlip fehlgeschlagen (PhishFlip Failed) oder PhishFlip erstellt (PhishFlip Created). Wurde die Mitteilung nicht durch PhishFlip bearbeitet, ist dieses Feld leer.
9. Status Updated: Diese Spalte enthält das Datum, an dem die Mitteilung zuletzt geändert wurde.
10. Download CSV: Durch Klicken auf diese Schaltfläche wird die Liste der E-Mails, die in einer PhishRIP-Abfrage ermittelt wurden, inklusive Informationen als CSV-Datei exportiert. Den Download finden Sie in den PhishER-Einstellungen unter Settings > Downloads.

Sie können PhishRIP-Mitteilungen anhand der Status Erkannt (Discovered), In Quarantäne verschoben (Quarantined), Gelöscht (Deleted), Ausstehend (Pending) oder Fehlgeschlagen (Failed) filtern.

PhishRIP-Aktionen

Bei Auswahl einer PhishRIP-Mitteilung auf der Seite PhishRIP-Mitteilungen (PhishRIP Messages) wird das Drop-down-Menü Ausführen (Run) angezeigt. Je nach der Löschoption, die unter den PhishRIP-Einstellungen ausgewählt wurde, werden im Drop-down-Menü Run verschiedene Optionen angezeigt.

Weitere Informationen finden Sie in den nachfolgenden Unterabschnitten.

Dauerhafte Mitteilungslöschung deaktiviert

Wenn unter PhishRIP settings die Option Allow Permanent Message Deletion deaktiviert wurde, werden im Drop-down-Menü Run Optionen angezeigt. Weitere Informationen zu diesen Optionen finden Sie im Screenshot und in der folgenden Liste:

1. Quarantine: Mit dieser Aktion wird die ausgewählte Mitteilung in den Quarantäne-Ordner des Posteingangs verschoben, in dem sie gefunden wurde.
2. Restore: Mit dieser Aktion wird die ausgewählte Mitteilung vom Quarantäne-Ordner des Posteingangs in den ursprünglichen Fundordner der Mitteilung verschoben.
3. PhishFlip: Mit dieser Aktion wird eine automatisierte PhishFlip-Kampagne anhand der von Nutzerinnen und Nutzern gemeldeten E-Mails erstellt. Weitere Informationen finden Sie im Abschnitt Erstellen automatisierter PhishFlip-Kampagnen des Artikels Leitfaden zu PhishFlip.
4. Create KSAT Template: Mit dieser Aktion wird automatisch eine KSAT-Phishing-Vorlage erstellt, die Sie in Ihren Phishing-Kampagnen verwenden können. Weitere Informationen finden Sie im Abschnitt Erstellen von KSAT-Vorlagen mit PhishFlip des Artikels Leitfaden zu PhishFlip.
5. Send Custom Email Mit dieser Option können Sie eine benutzerdefinierte E-Mail über den Email Template Editor senden. Klicken Sie auf Send Custom Email, um den Vorlageneditor in einem Pop-up-Fenster zu öffnen. Klicken Sie auf die Schaltfläche Send, wenn die E-Mail bereit zum Senden ist.

Dauerhafte Mitteilungslöschung aktiviert

Wenn die Löschoption unter den PhishRIP-Einstellungen aktiviert wurde, werden im Drop-down-Menü Run Optionen angezeigt. Weitere Informationen zu diesen Optionen finden Sie im Screenshot und in der folgenden Liste:

1. Quarantine: Mit dieser Aktion wird die ausgewählte Mitteilung in den Quarantäne-Ordner des Posteingangs verschoben, in dem sie gefunden wurde.
2. Restore: Mit dieser Aktion wird die ausgewählte Mitteilung vom Quarantäne-Ordner des Microsoft 365- oder Google Workspace-Posteingangs in den ursprünglichen Fundordner der Mitteilung verschoben.

3. Permanently Delete: Diese Aktion führt zu einer dauerhaften Löschung der ausgewählten Mitteilung aus dem Microsoft 365- oder Google Workspace-Posteingang, in dem sie gefunden wurde. Eine Mitteilung muss unter Quarantäne gestellt werden, bevor sie dauerhaft gelöscht werden kann. Wenn eine Mitteilung nicht unter Quarantäne gestellt wurde, ist diese Option ausgegraut.

   Wichtig: Dauerhaft gelöschte E-Mails können von KnowBe4 nicht wiederhergestellt werden.
4. PhishFlip: Mit dieser Aktion wird eine automatisierte PhishFlip-Kampagne anhand der von Nutzerinnen und Nutzern gemeldeten E-Mails erstellt. Weitere Informationen finden Sie im Abschnitt Erstellen automatisierter PhishFlip-Kampagnen des Artikels Verwenden von PhishFlip.
5. Create KSAT Template: Mit dieser Aktion wird automatisch eine KSAT-Phishing-Vorlage erstellt, die Sie in Ihren Phishing-Kampagnen verwenden können. Weitere Informationen finden Sie im Abschnitt Erstellen von KSAT-Vorlagen mit PhishFlip des Artikels Leitfaden zu PhishFlip.
6. Send Custom Email Mit dieser Option können Sie eine benutzerdefinierte E-Mail über den Email Template Editor senden. Klicken Sie auf Send Custom Email, um den Vorlageneditor in einem Pop-up-Fenster zu öffnen. Klicken Sie auf die Schaltfläche Send, wenn die E-Mail bereit zum Senden ist.