En este artículo, encontrará preguntas frecuentes sobre el uso de la plataforma PhishER de KnowBe4. Si tiene alguna otra pregunta que no se incluya en este artículo, envíe una solicitud a nuestro equipo de asistencia técnica equipo de asistencia técnica (el enlace se abrirá en una nueva ventana).

Para obtener más información sobre PhishER, consulte nuestro Manual de producto de PhishER.

Información general

Para obtener información general sobre PhishER, consulte las siguientes preguntas y respuestas:

1. ¿Cómo se protege mi información en la plataforma PhishER?
2. ¿Cómo puedo conceder y gestionar el acceso a PhishER de otros miembros de mi organización?
3. ¿Cómo puedo comprar PhishER para mi organización?
4. ¿Qué rescritores y acortadores de URL son compatibles con PhishER?
5. ¿Puedo utilizar PhishER para procesar y bloquear virus?
6. ¿Están cifrados los datos enviados hacia y desde mi plataforma PhishER?

¿Cómo se protege mi información en la plataforma PhishER?

PhishER utiliza todas las prácticas recomendadas en materia de seguridad y privacidad de KnowBe4, como se detalla en la página Declaración de seguridad Declaración de seguridad (el enlace se abrirá en una nueva ventana). Para obtener una capa adicional de protección, puede habilitar la autenticación multifactor en su cuenta de administrador de la consola KSAT.

¿Cómo puedo conceder y gestionar el acceso a PhishER de otros miembros de mi organización?

Los administradores de cuentas de PhishER pueden conceder acceso a PhishER a otros miembros de la organización habilitando la configuración de PhishER en sus Perfiles de usuarios de la consola KSAT. Los administradores de KSAT tienen acceso a PhishER automáticamente.

Los administradores de cuentas también pueden deshabilitar el acceso a PhishER desde el Perfil de usuario de KSAT.

¿Cómo puedo comprar PhishER para mi organización?

Si quiere comprar la plataforma PhishER, póngase en contacto con el administrador de su cuenta. Si no sabe quién administra su cuenta, puede ponerse en contacto con nuestro equipo de asistencia técnica equipo de asistencia técnica (el enlace se abrirá en una nueva ventana).

¿Qué rescritores y acortadores de URL son compatibles con PhishER?

Si quiere rescribir o acortar una URL, como una URL utilizada para configurar un webhook, le recomendamos que utilice uno de nuestros rescritores y acortadores compatibles.

Para obtener una lista de los acortadores de URL compatibles, consulte la siguiente tabla:

Para obtener una lista de los rescritores de URL compatibles, consulte la siguiente tabla:

¿Puedo utilizar PhishER para procesar y bloquear virus?

No, no puede utilizar PhishER para procesar y bloquear virus. PhishER no se diseñó para ser un filtro de correo. El objetivo de PhishER es ofrecer a su organización una plataforma para evaluar todos los correos electrónicos sospechosos que denuncian sus usuarios. No obstante, puede utilizar PhishER para detectar elementos comunes en los correos electrónicos denunciados para automatizar sus acciones de respuesta ante incidentes.

¿Están cifrados los datos enviados hacia y desde mi plataforma PhishER?

Sí, PhishER utiliza el protocolo de cifrado de seguridad de capa de transporte (TLS) para enviar datos hacia y desde la plataforma.

Comencemos

Para obtener información que le ayude a comenzar a trabajar con PhishER, consulte las siguientes preguntas:

1. ¿Cuánto tiempo se tarda en configurar la plataforma PhishER?
2. ¿Tengo que utilizar Phish Alert Button (PAB) para reenviar correos electrónicos a mi bandeja de entrada de PhishER?
3. ¿Existe un límite de correos electrónicos para denuncias que puedo generar?
4. ¿Dónde se ubican mis salas guardadas?
5. ¿Puedo filtrar mi bandeja de entrada de PhishER por una etiqueta específica?
6. ¿Cómo puedo eliminar un mensaje de mi bandeja de entrada de PhishER?
7. ¿Cómo puedo eliminar un correo electrónico de la bandeja de entrada de mis usuarios de forma permanente?
8. He creado una nueva regla. ¿Afectará esta regla a los mensajes que estaban en mi bandeja de entrada de PhishER antes de que se creara la regla?
9. ¿Qué versión de YARA es compatible con la asistencia técnica de la plataforma PhishER?
10. ¿Puedo utilizar expresiones regulares en la regla YARA?
11. ¿Puedo abrir archivos adjuntos en PhishER de forma segura?
12. ¿Puedo informar a un usuario final cuando se etiqueta un mensaje como spam?
13. ¿Puedo utilizar prefijos de archivos adjuntos para encontrar correos electrónicos con archivos adjuntos similares?
14. ¿Existe alguna recomendación para los umbrales de PhishML?

¿Cuánto tiempo se tarda en configurar la plataforma PhishER?

El tiempo de configuración dependerá de la configuración de su servidor de correo y de si reenvía los correos electrónicos de forma manual o automáticamente mediante Phish Alert Button (PAB). Si su organización utiliza PAB, puede comenzar rápidamente a trabajar con PhishER porque sus correos electrónicos denunciados se enviarán a PhishER de forma automática. Puede reducir el tiempo de configuración en la pestaña Rules (Reglas) de la plataforma PhishER. Esta ofrece reglas del sistema para ayudarle a comenzar a clasificar los correos electrónicos rápidamente. Para obtener información que le ayude a comenzar a trabajar con PhishER, consulte nuestra Guía rápida de PhishER.

¿Tengo que utilizar Phish Alert Button (PAB) para reenviar correos electrónicos a mi bandeja de entrada de PhishER?

Como alternativa al uso de PAB, puede reenviar manualmente los correos electrónicos denunciados de los usuarios a una dirección de correo electrónico de denuncia vinculada a la plataforma PhishER de su organización. También puede descargar el archivo EML de un correo electrónico, adjuntar el archivo EML en un nuevo correo electrónico y, a continuación, enviar el correo electrónico a PhishER. PhishER reconocerá este proceso como una denuncia de PAB. Si se ha marcado la casilla Forwarded Only (Solo reenviado) para la dirección de correo electrónico para denuncias en la configuración de PhishER, PhishER reconocerá este proceso como una denuncia manual. Este método de reenvío de correos electrónicos requiere que los correos electrónicos reenviados se transmitan en formato EML, específicamente en formato RFC 822. Este formato incluye los encabezados y el cuerpo completos del correo electrónico original.

Para obtener más información sobre estos métodos, consulte el artículo Configuración de PhishER: cuenta.

¿Existe un límite de correos electrónicos para denuncias que puedo generar?

No. Puede generar tantas direcciones de correo electrónico para denuncias como quiera. Por ejemplo, puede crear varias direcciones de correo electrónico para denuncias si su organización quiere utilizar diferentes direcciones de correo electrónico para las denuncias de diferentes grupos de usuario, instancias de Phish Alert Button (PAB) u oficinas.

¿Dónde se ubican mis salas guardadas?

Después de guardar una sala en PhishER, la sala se almacena en Saved Queries (Consultas guardadas) de la página Rooms (Salas). Para obtener más información sobre las salas, consulte el artículo Crear y gestionar salas de PhishER.

¿Puedo filtrar mi bandeja de entrada de PhishER por una etiqueta específica?

Puede utilizar la sintaxis de consultas Lucene para filtrar su bandeja de entrada de PhishER por una etiqueta específica. Por ejemplo, puede introducir la siguiente consulta en la barra de búsqueda de su bandeja de entrada y esta mostrará todos los mensajes que tengan una etiqueta Threat (Amenaza) asociada.

tags: "threat"

Para obtener más información sobre su bandeja de entrada, consulte el artículo Guía de la bandeja de entrada de PhishER.

¿Cómo puedo eliminar un mensaje de mi bandeja de entrada de PhishER?

Puede seleccionar un mensaje en su bandeja de entrada de PhishER y eliminarlo desde la página Message Details (Detalles del mensaje). Para eliminar un mensaje, siga estos pasos:

1. En PhishER, diríjase a la página Inbox (Bandeja de entrada).
2. Seleccione el mensaje que quiere eliminar. Se abrirá la página Message Details (Detalles del mensaje).
3. En el lado derecho de la página Message Details (Detalles del mensaje) puede ver la barra lateral Actions and Discussion (Acciones y debates). En la pestaña Actions (Acciones), haga clic en el botón Delete Message (Eliminar mensaje). Se abrirá la ventana emergente Delete Message? (¿Eliminar mensaje?).
4. En la ventana emergente Delete Message? (¿Eliminar mensaje?), haga clic en Yes, delete it (Sí, eliminarlo).

¿Cómo puedo eliminar un correo electrónico de la bandeja de entrada de mis usuarios de forma permanente?

Antes de poder eliminar un correo electrónico de la bandeja de entrada de sus usuarios, debe habilitar la opción Allow Permanent Message Deletion (Habilitar la eliminación permanente de mensajes) en la subpestaña PhishRIP de Settings (Configuración) de PhishER. Cuando se haya habilitado esta opción, PhishRIP debe poner el correo electrónico en cuarentena antes de poder eliminarlo de forma permanente. Para obtener más información sobre esta configuración, consulte el artículo Guía de PhishRIP.

He creado una nueva regla. ¿Afectará esta regla a los mensajes que estaban en mi bandeja de entrada de PhishER antes de que se creara la regla?

No, los mensajes que haya recibido antes de cambiar las reglas no se verán afectados. Si quiere ejecutar su nueva regla sobre mensajes recibidos antes de la creación de la regla, siga estos pasos:

1. En PhishER, diríjase a la página Inbox (Bandeja de entrada).
2. Seleccione la casilla situada a la izquierda de un mensaje para seleccionarlo. Se mostrará el menú desplegable Run (Ejecutar) en la esquina superior izquierda de la página Inbox (Bandeja de entrada).
3. En el menú desplegable Run (Ejecutar), seleccione una acción para que se ejecute en los mensajes seleccionados.

¿Qué versión de YARA es compatible con la asistencia técnica de la plataforma PhishER?

En estos momentos, PhishER es compatible con la versión 4.1.2 de YARA. Para obtener más información sobre esta versión, consulte el apartado Writing YARA rules Writing YARA rules (el enlace se abrirá en una nueva ventana) (Escritura de reglas Yara) de la documentación de Yara.

¿Puedo utilizar expresiones regulares en la regla YARA?

Sí, puede utilizar expresiones regulares al escribir reglas YARA. Sin embargo, el compilador de YARA no reconoce todos los comandos de expresiones regulares. Para obtener una lista de comandos de expresiones regulares que reconoce YARA, consulte el apartado Regular expressions Regular expressions (el enlace se abrirá en una nueva ventana) (Expresiones regulares) de la documentación de YARA.

¿Puedo abrir archivos adjuntos en PhishER de forma segura?

KnowBe4 no le recomienda que abra archivos adjuntos en PhishER, incluso si VirusTotal los marca como seguros. Le recomendamos que abra los archivos adjuntos en un entorno aislado, seguro y protegido para su análisis.

¿Puedo informar a un usuario cuando se etiqueta un mensaje como spam?

En PhishER, puede avisar a un usuario que su mensaje se ha etiquetado como spam creando una acción para notificárselo. Para crear esta acción, configure los pasos 1, 2 y 3 para que coincidan con estos ajustes:

1. Choose how this action should be triggered (Elegir cuándo debería activarse esta acción): seleccione la opción Specify Tags (Mensajes con etiquetas específicas). A continuación, seleccione Has Any (Tiene cualquiera) y añada todas las etiquetas de PhishER relacionadas con el spam.
2. (Opcional) Choose the action to be taken on matched messages (Elegir qué acción llevar a cabo con los mensajes con coincidencias): seleccione las opciones Set Status (Establecer estado), Set Priority (Establecer prioridad) y Set Category (Establecer categoría). Para la opción Set Status (Establecer estado), seleccione Resolved (Resuelto) en el menú desplegable. Para la opción Set Priority (Establecer prioridad), seleccione Low (Baja) en el menú desplegable. Para la opción Set Category (Establecer categoría), seleccione Spam en el menú desplegable.
3. Choose how you would like to report this action (Elegir cómo quiere denunciar esta acción): seleccione la opción Send Email (Enviar correo electrónico). Cuando se selecciona esta opción, puede crear una respuesta de correo electrónico personalizada que se enviará automáticamente a los destinatarios que elija cuando un mensaje se etiquete como spam. Para obtener más información, consulte el artículo Crear una plantilla de correo electrónico personalizada en PhishER.

¿Puedo utilizar prefijos de archivos adjuntos para encontrar correos electrónicos con archivos adjuntos similares?

Sí, puede utilizar el prefijo si se ha incluido. Por ejemplo, si un archivo adjunto se llama «randomdoc.xml», se aceptarían los siguientes prefijos:

• random
• ran
• rando

¿Existe alguna recomendación para los umbrales de PhishML?

Para obtener información sobre la configuración recomendada para los umbrales de PhishML, consulte la sección Configuración de valores y umbrales de confianza del artículo Guía sobre PhishML.

Uso de PhishRIP y PhishFlip

Para obtener información que le ayude a utilizar PhishRIP y PhishFlip, consulte las siguientes preguntas:

1. ¿Qué permisos necesito para conectar mi instancia de Microsoft 365 con PhishRIP?
2. ¿Qué permisos necesito para habilitar PhishRIP con Google Workspace?
3. ¿Por qué mi cuenta de administrador necesita permisos globales para activar PhishRIP?
4. ¿Qué medidas de seguridad existen para garantizar que la información no se pierda ni se robe al utilizar PhishRIP?
5. Cuando comienza una campaña de PhishFlip, ¿siempre se establece la duración del seguimiento en tres días? ¿Existe alguna forma de modificar la duración del seguimiento?
6. ¿Funcionará PhishFlip con los archivos adjuntos hallados en los correos electrónicos denunciados?

¿Qué permisos necesito para conectar mi instancia de Microsoft 365 con PhishRIP?

Para conceder a PhishRIP acceso a todos los buzones de su instancia de Microsoft 365, debe tener una cuenta de administrador de Microsoft 365 con los permisos globales habilitados. A continuación, puede iniciar sesión en su cuenta y aceptar los permisos necesarios para establecer la conexión con Microsoft 365. Para obtener más información sobre los permisos necesarios, consulte el artículo Guía de PhishRIP.

¿Qué permisos necesito para habilitar PhishRIP con Google Workspace?

Para habilitar PhishRIP con Google Workspace, debe tener una dirección de correo electrónico de administrador de cuenta de Google Workspace.

¿Por qué mi cuenta de administrador necesita permisos globales para activar PhishRIP?

Su cuenta de administrador debe tener permisos globales habilitados para otorgar el acceso que PhishRIP necesita para la conexión inicial a su servidor de correo. Después de activarlo, PhishRIP no utiliza permisos globales para funcionar.

¿Qué medidas de seguridad existen para garantizar que la información no se pierda ni se robe al utilizar PhishRIP?

El equipo de seguridad de la información de KnowBe4 supervisa los servicios de KnowBe4 en busca de usos indebidos y actividades sospechosas. KnowBe4 cuenta con controles que evitan la manipulación de consultas, las búsquedas con caracteres comodín y el acceso entre cuentas. El equipo de seguridad de la información ha probado estos controles para garantizar su eficacia.

PhishRIP se comunica con Microsoft utilizando un token de GraphAPI de Microsoft que no se guarda. PhishRIP tiene un número limitado de consultas fijas que se pueden realizar a una cuenta de Microsoft 365. Estas consultas deben coincidir con criterios específicos de un mensaje que se ha denunciado a PhishER. Todos los mensajes, consultas y respuestas de consultas están cifrados. Los empleados de KnowBe4 no tienen acceso a la cuenta de PhishER de la organización sin su permiso.

PhishER ofrece varias formas de evitar que se pierda su información o la roben al utilizar PhishRIP.

En primer lugar, puede limitar el acceso de los usuarios que añada a la plataforma PhishER creando roles de seguridad. Puede utilizar roles de seguridad para conceder acceso limitado o completo a sus usuarios para las siguientes áreas de la consola:

• Rooms (Salas)
• Inbox (Bandeja de entrada)
• Rules (Reglas)
• Actions (Acciones)
• PhishRIP
• Settings (Configuración)

Al utilizar los roles de seguridad, puede especificar qué administradores pueden iniciar consultas de PhishRIP.

A continuación, puede especificar los criterios personalizados que utiliza PhishER para eliminar los correos electrónicos que sean similares a los correos electrónicos que puedan suponer una amenaza y se hayan enviado a PhishER mediante Phish Alert Button (PAB).

Por último, si se pone un mensaje en cuarentena y descubre que en realidad está limpio, puede restaurar el mensaje desde la plataforma PhishER.

Cuando comienza una campaña de PhishFlip, ¿siempre se establece la duración del seguimiento en tres días? ¿Existe alguna forma de modificar la duración del seguimiento?

Sí. De forma predeterminada, todas las campañas de PhishFlip se configuran para que tengan una duración de seguimiento de tres días. Actualmente, no se puede modificar esta opción.

¿Funcionará PhishFlip con los archivos adjuntos hallados en los correos electrónicos denunciados?

Sí. PhishFlip convertirá el archivo adjunto en una plantilla HTML.

Integraciones

Para obtener información que le ayudará con las integraciones de PhishER, consulte las siguientes preguntas:

1. ¿Qué puedo hacer al integrar PhishER con mi consola KSAT?
2. ¿Qué formato de la certificación de seguridad de la capa de transporte (TLS) del correo de privacidad mejorada (PEM) se necesita para configurar la conexión TSL de PhishER para Syslog?
3. ¿Qué significan las etiquetas VT_Scanned?
4. ¿Por qué la API Pública de VirusTotal está alcanzando el número máximo de peticiones cuando no he recibido correos electrónicos con un total de 500 archivos o URL?

¿Qué puedo hacer al integrar PhishER con mi consola KSAT?

La integración entre la plataforma PhishER y la consola KSAT le permite comprender mejor cómo interactúan sus usuarios con correos electrónicos de phishing reales. En la plataforma PhishER, puede configurar la integración con la consola KSAT para actualizar eventos en las cronologías de los usuarios de KSAT. Cuando se denuncien ciertas acciones de PhishER a su consola KSAT, puede crear un grupo inteligente que tenga como objetivo a usuarios específicos en función de cómo trataron los correos electrónicos de phishing reales. Por ejemplo, puede crear un Grupo inteligente que busque a los usuarios que no denunciaron las amenazas. Luego, puede utilizar esta información para crear una campaña de formación dirigida e insistir en la importancia de utilizar Phish Alert Button (PAB).

Para obtener más información, consulte la sección Consola KSAT del artículo Configuración de PhishER: integraciones.

¿Qué formato de la certificación de seguridad de la capa de transporte (TLS) del correo de privacidad mejorada (PEM) se necesita para configurar la conexión TSL de PhishER para Syslog?

El formato de la certificación de seguridad de la capa de transporte (TLS) del correo de privacidad mejorada (PEM) debe incluir el encabezado, una nueva línea, la información del certificado, una nueva línea y el pie de página. Puede consultar un ejemplo del formato aceptado a continuación:

-----BEGIN CERTIFICATE-----
MIIErzCCApcCFFAUmnV/yNhc8hf6aOY6wCmmh4v2MA0GCSqGSIb3DQEBCwUAMIGRMQswCQYDVQQGEwJVUzEQMA4GA1UECAwHRmxvcmlkYTETMBEGA1UEBwwKQ2xlYXJ3YXRlcjEQMA4GA1UECgdsfasdfasdfjIxNTEyMDVaMIGVMQswCQYDVQQGEwJVUzEQMA4GA1UECAwHRmxvcmlkYTETMBEGA1UEBwwKQ2xlYXJ3YXRlcjEQMA4GA1UECgwHS25vd0JlNDEMMAoGA1UECwwDUiZEMRswGQYDVQQDDBJzeXNsb2cuadyEC6im/QlSps3vCWAoaauSZWtKjt+3/BTn9Sm0BI8KmcEGHyn60yXXrit11g11PR9c0XUDs7ocFnnq00MMaMZh/WxqZnjRvPwV7xLdiWQxdudNgPOjqocWw7ocCuj4HnnrWOkDmHx3Tc9CTFux71azXbcR7uspndgasdfdsffdcxdAc6SoX1ielqSSbsfasdfsa4IgwGZHJGnBjlBpCqfOBBWGGjCEkpKGJLbXPKfrd2l888xgJ8Y8kvmMbMrOrBkAxNrufHKqbBQy94xeOOKvbF+lpLEKWMiXSVGXsfcklCBcUBGx/5GJdaBSz7eO2RNzMzdBoULwJAWfcAhr5IRVLP9id6IYMu5YczqLXjlXXjXkH7qFSL4/GP4mslXCQ/JXmiUpXoRKQiyFr/vsPVcpbNA2pj37GSktc+eWcbi90BGouFnyen/ABBf21Xdtttp46vpYdkVXO5ETba7VJVYdsgsadgasdgfg+fdZ/bQMezrQu4cnI1IrWoIeAxAH2spdfdsfsdfsadfgdsgsfdsfsdgsaadsgasdgasdgasndfmOPm92Wuhg7hIDEg7tGvhzyUyzUYsK+K+UCvOepQB7Ba7lmIKMQkM/USlf265I4+L8mbcL
-----END CERTIFICATE-----

¿Qué significan las etiquetas VT?

Las etiquetas VT son etiquetas de VirusTotal que se aplican a sus mensajes después de un análisis de VirusTotal. Para aprender a integrar su cuenta de VirusTotal con la plataforma PhishER, consulte el artículo Integración de VirusTotal con la plataforma PhishER.

Para obtener más información sobre cada etiqueta VT, consulte la siguiente lista:

• VT_Scanned: esta etiqueta se añade a su mensaje cuando se ha completado un análisis de VirusTotal y el mensaje no se ha evaluado como malicioso.
• VT_Bypassed: esta etiqueta se añade a su mensaje cuando no se ha recibido una respuesta de VirusTotal dentro del período de tiempo establecido.
• VT_Pending: esta etiqueta se añade a su mensaje cuando PhishER está esperando una respuesta de VirusTotal.
• VT_Bad: esta etiqueta se añade a su mensaje cuando VirusTotal evalúa uno o más elementos analizados como maliciosos.

¿Por qué la API Pública de VirusTotal está alcanzando el número máximo de peticiones cuando no he recibido correos electrónicos con un total de 500 archivos o URL?

Para ejecutar un escaneo, PhishER envía cada archivo o URL de cada correo electrónico a VirusTotal como una consulta al punto final de la API. A continuación, PhishER envía una llamada API para cada archivo o URL a VirusTotal para determinar si los resultados del análisis están listos para cada elemento. Si VirusTotal no está preparado para proporcionar los resultados del escaneo, PhishER debe enviar llamadas adicionales a la API. Como resultado, PhishER debe enviar un mínimo de tres peticiones por archivo o URL antes de poder reintentar una consulta.

Resolución de problemas

Para obtener información sobre la resolución de problemas en PhishER, consulte las siguientes preguntas:

1. ¿Qué ocurre cuando se elimina una carpeta de cuarentena?
2. ¿Por qué los correos electrónicos denunciados tienen valores nulos?

¿Qué ocurre cuando se elimina una carpeta de cuarentena?

Respuesta: Cuando se elimina una carpeta de cuarentena, también se elimina todo lo que esté dentro. Sin embargo, puede regenerar la carpeta de cuarentena eliminada ejecutando una nueva consulta de PhishRIP. Para obtener más información, consulte el artículo Guía de PhishRIP.

¿Por qué los mensajes denunciados tienen valores nulos?

Si su organización utiliza un filtrado de spam de Cisco Ironport y está viendo valores nulos en mensajes denunciados, es posible que tenga que crear una excepción en Cisco Ironport. Puede crear esta excepción para los correos electrónicos de salida enviados a la dirección de correo electrónico para denuncias de PhishER.

Para obtener más ayuda, le recomendamos que se ponga en contacto con el equipo de asistencia técnica de Cisco Ironport.