会话令牌是用户已登录的凭证。攻击者一旦窃取了Cookie，就能在没有密码、无需触发多因素认证的情况下，直接进入账户，因为这些验证在会话开始时已完成。事后更改密码并不能终止会话；只有使会话失效才能真正阻止攻击。
正是这个事实，让会话劫持成为安全意识培训的重点，而非仅仅是技术文档。员工被告知多因素认证能保护账户，这没错，但一旦令牌被恶意软件、恶意浏览器扩展或介于用户与真实登录页之间的代理钓鱼页面窃取，保护就失效了。发布版本中绝不能包含任何实时令牌或Cookie值，即使是截断的也不行，因为包含真实会话痕迹的培训材料，其风险远超培训本身。
此模板通过七个场景，深入剖析一个被盗会话：一个场景解释什么是会话，两个场景揭示令牌被窃取的三种途径，一个场景说明为何重置密码并非解决方案，一个场景展示用户能察觉到的迹象，一个场景指导如何正确报告，最后一个场景阐述安全团队如何终止会话。
这是一个最难简明扼要地讲解的安全意识主题，因为其机制确实技术性强，且受众对大多数防御措施无能为力。视频应只传达两点非技术用户可以采取行动的信息，其余则交给应用团队处理。
令牌是登录凭证，窃取它即可绕过登录。关于Cookie、请求头和令牌生命周期的其他所有细节都可以省略，而不会削弱信息传达。
浏览器扩展是大多数员工亲自启用，也是他们唯一能直接控制的途径。这是整个主题中唯一可供用户采取行动的环节。
人们普遍认为更改密码就能修复泄露。若不纠正此观念，将导致报告延迟和持续的访问权限，因此必须明确反驳，而非仅仅补充说明。
一旦收到可信报告，会话将在数分钟内被集中终止。员工知道处理迅速且无需提供额外证明时，会更快地进行报告。
上传事件响应手册、会话和浏览器策略，或上次凭证事件的总结报告——支持PDF、DOC、DOCX、PPTX或TXT格式，文件大小限制200 MB。生成的内容可编辑，且原始文件不会被修改。
.PNG)
只有具体明确的承诺才能真正起到安抚作用。在屏幕上展示负责团队、报告渠道以及实际的响应时间，而非泛泛地承诺安全团队会采取行动。
.PNG)
有些组织完全禁止安装扩展，有些则允许使用批准列表。通用建议会与您的实际策略相悖，员工往往会听从视频内容而非政策规定。
.PNG)
安全意识视频通常在共享办公区静音观看。从九种字幕样式中选择一种，并在整个安全系列中保持一致，以便形成独特的识别格式。
一旦会话建立，就无法阻止。多因素认证保护的是登录那一刻，而被盗令牌代表的是已通过认证的登录。这是关于此主题最常见的误解，值得直接阐明而非含糊带过。
用户可能会在账户活动中发现不认识的会话、意外登出，或出现并非自己创建的邮件规则或转发设置。这些迹象单独来看都不可靠，因此报告的门槛应是怀疑而非确定。
不能。请使用伪造值。即使是已过期的令牌也能识别基础设施和用户账户，而培训视频的传播范围和生命周期远超其所基于的事件本身。
因为活跃会话在密码更改前已获得授权，并且大多数应用程序默认不会在密码更改时使现有会话失效。重置密码和终止会话是两个独立的操作，只有后者才能真正清除攻击者。
安全团队维护的事件响应手册是唯一所需的输入——在下一次全员安全更新前，请务必修改草稿。
