KnowBe4のPhishERは、ユーザーが報告するメッセージを管理するSOAR（セキュリティオーケストレーション、自動化、レスポンス）プラットフォームです。PhishERを使用することで、潜在的な脅威を特定し、セキュリティ対策と多層防御計画を強化できます。
PhishERはスタンドアローンのプラットフォームとして利用できますが、KnowBe4コンソールと組み合わせて使用すると最高の効果を発揮します。また、PhishERはVirusTotalやSyslogなどのサードパーティの解析ツールと連携し、セキュリティスキャンを実行してその評価を提供できます。
PhishERのワークフロー
以下は、PhishERのワークフローの図です。PhishERを正しく理解するために、操作を開始する前にこのワークフローを確認しておくことをお勧めします。
このワークフローの詳細については、以下のリストを参照してください。
- ユーザーが不審なメールやMicrosoft Teamsメッセージを報告すると、そのメールはPhishERの[受信箱]に送信されます。
- PhishERは、カスタマイズされたルールを使用して、メールやTeamsメッセージに悪意のあるコンテンツやレッドフラグがないか分析します。次に、PhishERは、ルールの条件と一致したメールやメッセージにタグを割り当てます。
- これらのタグによって、PhishERは特定のアクションを実行します。自社でカスタマイズしたルールとアクションに基づいて、PhishERは各メールやTeamsメッセージを自動的に処理します。この処理によって、報告されたメールとメッセージに優先順位が設定され、実際のフィッシング攻撃に迅速に対応できるようになります。
- PhishERブロックリストを有効にすると、悪意のあるメールやスパムメールに関する情報を利用して、同様のメールがユーザーの受信箱に配信されないようにブロックできます。PhishER Plusのサブスクリプションに加入し、グローバルブロックリストを有効にしている場合、クラウドで収集される情報を利用して同様のメールをブロックできます。
- PhishRIPを有効にしている場合、既にユーザーの受信箱に配信されている類似する悪意のあるメールやスパムメールを削除できます。PhishER Plusのサブスクリプションに加入し、グローバルPhishRIPを有効にしている場合、クラウドで収集される情報を利用して同様のメールを削除できます。
- PhishFlipを有効にしている場合、報告されたメールを利用してKSATフィッシングテンプレートやキャンペーンを作成できます。PhishFlipは、報告されたメールから悪意のあるリンクなどを削除してから、ユーザーにフィッシングテストを送信します。
前提条件
PhishERとKSATを一緒に使用する場合は、両製品で同じシート数を購入する必要があります。サブスクリプション期間中にいずれかの製品のシートを追加で購入する場合、他の製品のシートも購入する必要があります。
PhishERを使用するお客様は、全てのユーザーの報告メールをPhishERの [受信箱]（Inbox）に転送して分析できるように、メール転送システムが必要になります。Phish Alert Button（PAB）を導入することをお勧めしますが、ユーザーが手動で報告用のメールアドレスにメールを転送できるオプションも利用できます。これらの方法の詳細については、「Phish Alert Button（PAB）製品マニュアル」および「PhishERの設定」の記事を参照してください。
アカウントの作成
まず、PhishERアカウントを作成する必要があります。
アカウントを作成するには、以下のステップに従って操作します。
- 自分のKnowBe4アカウントにログインします。
- ページの右上隅にある自分の名前をクリックします。ドロップダウンメニューが開いたら、[アカウント設定]を選択します。
- [アカウント統合] > [PhishER]に移動します。
- [PhishERアカウントの作成]ボタンをクリックします。
PhishERへのアクセス
PhishERアカウントを作成し、自分のアカウントでPhishERを有効にすると、KnowBe4の[アカウント設定]ページに[PhishERへ移動]ボタンが表示されます。このボタンを選択すると、PhishERコンソールに直接移動します。また、KnowBe4インスタンスに対応するURLに移動して、PhishERコンソールにアクセスすることもできます。詳細については、以下のスクリーンショットとリストを参照してください。
- 米国： https://phisher.knowbe4.com
- カナダ： https://ca.phisher.knowbe4.com
- 欧州連合： https://eu.phisher.knowbe4.com
- ドイツ： https://de.phisher.knowbe4.com
- イギリス： https://uk.phisher.knowbe4.com
PhishERには、KSATまたはKnowBe4 Security Center（KSC）コンソールの左上にあるナビゲーションメニューからもアクセスできます。詳細については、以下のセクションを参照してください。
以下のGIFは、KSATからPhishERへ移動する方法を示しています。
以下のGIFは、KnowBe4 Security Center（KSC）からPhishERへ移動する方法を示しています。
言語サポート
KnowBe4プラットフォームからPhishERにアクセスすると、プラットフォームで設定されている言語で表示されます。PhishERはユーザープロフィールに設定されているKnowBe4の管理コンソールの言語を使用するため、個別に言語設定を行う必要はありません。プラットフォームの言語設定の詳細については、「ローカライズガイド」の「管理コンソールの言語」セクションを参照してください。
ローカライズは継続的に改善されているため、PhishERの一部の項目はまだローカライズされていない場合があります。ローカライズされていない部分は英語（米国）で表示され、ローカライズバナーが表示されてコンテンツがまだローカライズされていないことが通知されます。
報告用のメールアドレスの設定
[受信箱]（Inbox）にメールを転送するために、少なくとも1つの報告用のメールアドレスを設定する必要があります。組織でPABを使用する場合、PABインスタンスごとに報告用のメールアドレスを設定する必要があります。
報告用のメールアドレスを設定する場合は、以下のステップに従って操作します。
- 自分のKnowBe4アカウントにログインします。
- ページの右上隅にある自分の名前をクリックします。ドロップダウンメニューが開いたら、[アカウント設定]を選択します。
- [アカウント統合] > [Phish Alert]に移動し、PABインスタンスの設定を開きます。
-
[非シミュレーションメールの送信先]フィールドに、報告用のメールアドレスを入力します。このフィールドの詳細については、「Phish Alert Button（PAB）製品マニュアル」の 「PABの有効化と構成」セクションを参照してください。
- [Phish Alert設定の保存]ボタンをクリックします。
- ページ下部にある[変更を保存]ボタンをクリックします。
ダッシュボード
PhishERプラットフォームを開くと、[ダッシュボード]（Dashboard）ページが表示されます。このページでは、PhishERプラットフォームの概要を表示できます。このページの詳細については、以下のスクリーンショットとリストを参照してください。
- [検索]（Search）：この検索バーを使用して、Luceneクエリでダッシュボードをフィルタリングできます。ダッシュボードには、条件に一致する全てのメッセージに関する情報の概要が表示されます。
-
[ダッシュボードレイアウト編集]（Edit Dashboard Layout）：このアイコンをクリックすると、ダッシュボードにウィジェットを追加したりダッシュボードから削除したりできます。各ウィジェットをドラッグ、ドロップ、リサイズして、カスタムレイアウトを作成できます。このアイコンをクリックすると、[ダッシュボードレイアウトのリセット]（Reset Dashboard Layout）と[ウィジェットの追加]（Add Widget）ボタンが表示されます。
-
[最近30日間]（Last 30 days）：デフォルトでは、ダッシュボードには過去30日間のデータとアクティビティが表示されます。ただし、[最近30日間]（Last 30 days）ボタンをクリックすると、ダッシュボードの表示を調整して別の日付範囲のデータを表示できます。このボタンをクリックすると、日付範囲を指定するポップアップウィンドウが開きます。
- [報告されたメッセージ]（Reported Messages）：このセクションでは、PhishERの[受信箱]（Inbox）に転送された報告メッセージの数が表示されます。
- [自動で解決済み]（Automatically Resolved）：このセクションには、有効なルールとアクションに基づいて処理されたメッセージ数が表示されます。
- [手動で解決済み]（Manually Resolved）：このセクションには、有効なルールとアクションを使用せずに処理されたメッセージ数が表示されます。
- [未解決]（Unresolved）：このセクションには、処理されていないメッセージの件数が表示されます。
- [受信したメッセージ]（Received Messages）：この棒グラフには、PhishERの [受信箱]（Inbox）に転送された報告メッセージの数が表示されます。日または時間ごとに報告されたメッセージの数が表示されます。
- [メッセージの概要]（Messages Summary）：この円グラフには、[自動で解決済み]（Automatically Resolved）、[手動で解決済み]（Manually Resolved）、[レビュー待ち]（Pending Review）のステータスのメッセージ数が比較され表示されます。
- [カテゴリ別の報告メッセージ]（Reported Messages by Category）：この折れ線グラフには、メッセージの処理方法が表示されます。メッセージは、[クリーン]（Clean）、[スパム]（Spam）、または[脅威]（Threat）として処理されます。各メッセージがPhishERまたは管理者により特定のカテゴリに分類されるまでは、デフォルトで[不明]（Unknown）として処理されます。
- [カテゴリ]（Categories）：この円グラフには、処理されているメッセージ数が比較され表示されます。
- [優先度別の報告メッセージ]（Reported Messages by Priority）：この折れ線グラフには、報告されたメッセージの優先順位が表示されます。メッセージには、[不明]（Unknown）、[低]（Low）、[中]（Medium）、[高]（High）、または[緊急]（Critical）のいずれかの優先順位が割り当てられます。各優先順位のタイプについて日または時間ごとに報告されたメッセージの数が表示されます。
- [優先度]（Priorities）：この円グラフには、メッセージの優先順位が比較され表示されます。
ルーム
[ルーム]（Rooms）タブでは、PhishERの[受信箱]（Inbox）のメッセージがいくつかの方法でフィルタリングされて表示されます。フィルタリングされた各ビューは、保存されたクエリーとシステムで生成されたフィルタに基づいて表示されます。システムが生成する各フィルタのアイコンをクリックすると、[受信箱]（Inbox）、 [ダッシュボード]（Dashboard）、[レポート]（Report）をフィルタリングして表示できます。
ルーム内の特定のメッセージグループをクリックすると、[受信箱]（Inbox）がフィルタリングされ、そのグループの全てのメッセージが表示されます。少なくとも2つのメッセージがルームの条件を満たす場合に、ルームでメッセージのグループが作成されます。
ルームの詳細については、「PhishERルームの作成と管理方法」の記事を参照してください。
受信箱
[受信箱]（Inbox）タブでは、ユーザーが報告した全てのメッセージを表示できます。[受信箱]（Inbox）は、[メール]（Email）と[チャット]（Chats）の2つのタブに分かれています。どちらのタブでも、カテゴリ、ステータス、および優先度でメッセージをフィルタリングできます。カスタマイズしたフィルタ設定をルームとして保存できるほか、アクションを実行したり、メッセージの処理方法を変更したりできます。
メール
[メール]（Email）タブには、ユーザーがPABを使用して報告したメールや、報告用のメールアドレスに手動で転送したメールなど、ユーザーが報告した全てのメールが含まれます。
PhishERは、サードパーティの分析ツールを使って、メッセージのRawデータ、ヘッダー、添付ファイル、本文などの情報を解析し、それぞれの要素に整理します。個々のメールをクリックすると、[メッセージの詳細]（Message Details）ページが表示され、メッセージの要素などの詳細情報が表示されます。このページでは、メッセージに対してアクションを実行したり、[ディスカッション]（Discussion）機能を使用して、管理者とコミュニケーションしたりできます。
[受信箱]（Inbox）の詳細については、「PhishER受信箱ガイド」を参照してください。
チャット
[チャット]（Chats）タブには、ユーザーがMicrosoft Teams PABを使用して報告した全てのメッセージが表示されます。個々のTeamsメッセージをクリックすると、[チャットメッセージの詳細]（Chat Message Details）ページが表示され、送信者、受信者、ソース、チャットタイプなどのメッセージ情報が表示されます。
このページでは、[プレビュー]（Preview）タブでメッセージのコンテンツを表示したり、[ドメインとURL]（Domains & URLs）タブで抽出されたURLを確認したり、[添付ファイル]（Attachments）タブで添付ファイルを表示したりできます。右側のパネルから、メッセージのカテゴリ、ステータス、優先度を設定することもできます。
ルール
[ルール]（Rules）タブから、PhishERの全ルールを表示できます。ルールとは、PhishERの[受信箱]（Inbox）に転送されるメールを処理するために使用される論理式です。メールを処理するためには、全てのルールがYARAのルールの論理に従っている必要があります。
ルールに基づいて、PhishERの[受信箱]（Inbox）に転送されたメールにタグが追加されます。[ルール]（Rules）タブには、 [ルールリスト]（Rules List）ページがあり、以下のサブタブが表示されます。
- [カスタムルール]（Custom Rules）：このサブタブには、PhishERのルールエディタを使用して組織がゼロから作成したルールが表示されます。
- [システムルール]（System Rules）：このサブタブには、KnowBe4が提供するデフォルトのルールセットが表示されます。
- [グローバル変数]（Global Variables）：このサブタブには、組織がカスタムルール用に作成したグローバル変数が表示されます。同じ文字列がある複数のルールを使用する場合、グローバル変数を使用してこれらのルールを全て一度に更新できます。
ルールの詳細については、「PhishERルールの作成と管理の方法」の記事を参照してください。
アクション
[アクション]（Actions）タブから、PhishERの全てのアクションを確認できます。メッセージにはタグが割り当てられますが、そのタグはPhishERでのメッセージの処理方法を示します。アクションは、次に、その処理のステップを開始します。例えば、一致した全てのメッセージに[スパム]（Spam）カテゴリを割り当てるアクションを作成できます。[アクション]（Actions）タブには、[アクションリスト]（Actions List）ページがあります。このページでは、PhishERプラットフォームの全てのアクションを作成および管理できます。
アクションの詳細については、「PhishERアクションの作成と管理方法」の記事を参照してください。
レポート
PhishERの全てのレポートは、[レポート]（Reports）タブから表示できます。各サブタブには、ユーザーが報告したメールに含まれる一般的な情報に関するレポートが表示されます。デフォルトでは、各レポートには過去30日間のデータとアクティビティが表示されますが、ページの右上にある[最近30日間]（Last 30 Days）ボタンをクリックして、データを表示する日付範囲を調整できます。
[レポート]（Reports）タブには、以下のサブタブがあります。
- [添付ファイル]（Attachments）：このサブタブには、ユーザーが報告したメールに最も多く含まれていた添付ファイルの種類が表示されます。
- [報告者]（Reporters）：このサブタブには、メールを最も多く報告したユーザーが表示されます。
- [送信者]（Senders）：このサブタブには、ユーザーが報告したメールに最も多く関連付けられていた送信者ドメインが表示されます。
- [ドメインとURL]（Domains and URLs）：このサブタブには、ユーザーが報告したメールに最も多く含まれていたドメインとURLが表示されます。
- [タグ]（Tags）：このサブタブには、ユーザーが報告したメールに最も多く適用されたタグが表示されます。
レポートの詳細については、 「PhishERレポートの使用方法」の記事を参照してください。
ブロックリスト
PhishERブロックリスト機能は、 Microsoft 365メールサーバーが悪意のあるメールやスパムメールをユーザーの受信箱に配信しないようにします。[ブロックリスト]（Blocklist）タブの[同期されているエントリ]（Your Syncing Entries）サブタブから、全てのブロックリストエントリを表示できます。ユーザーから報告されたメールを確認するときに、ブロックリストを更新し、脅威やスパムに関する情報をメールサーバーに送信できます。
ブロックリストの詳細については、「PhishERブロックリストの使用方法」の記事を参照してください。
PhishRIP
PhishRIPは、PhishERのメール隔離機能であり、Microsoft 365またはGoogle Workspaceのインスタンスに接続されている全ての受信箱で、ユーザーが報告したメールを検索できます。PhishRIPの全ての検索結果やクエリは、[PhishRIP]タブで表示できます。PhishRIPを使用すると、ユーザーの受信箱から潜在的なメールの脅威を取り除き、フィッシング攻撃を防止できます。
[受信箱]（Inbox）で個々のメッセージを選択し、[実行]（Run）ドロップダウンメニューをクリックすると、PhishRIPクエリによって検出されたメッセージに対して実行されるアクションを開始できます。
PhishRIPの詳細については、「PhishRIPの使用方法」の記事を参照してください。
PhishFlip
PhishFlipはPhishERの機能の1つであり、KSATコンソールでユーザーが報告したメールをフィッシングキャンペーンに再利用できるようにします。PhishFlipは、報告されたメールから悪意のあるリンクなどの危険な要素を全て削除し、フィッシングテンプレートとしてユーザーに送信しても安全な状態にします。
PhishFlipをPhishERプラットフォームで有効にすると、ユーザーから報告されたメールからKSATフィッシングテンプレートを作成できます。そのフィッシングテンプレートを使って、KSATコンソールでフィッシングキャンペーンを作成できます。また、PhishERプラットフォームで報告された特定のメールを含む自動PhishFlipキャンペーンも作成できます。
PhishFlipの詳細については、「PhishFlipの使用方法」の記事を参照してください。