A közelmúltban elért hírek rájöttek, hogy az emberi érzelmek és gondolatok hogyan lehetnek mások hasznára. Majdnem mindannyian ismered Edward Snowden-t, a NSA feljelentőjét. A Reuters beszámolt arról, hogy körülbelül 20-25 NSA-t kapott, akik átadják jelszavát neki, hogy visszanyerje azokat az adatokat, amelyeket később kiszivárgott [1]. Képzeld el, milyen törékeny a vállalati hálózatod, még a legerősebb és legbiztonságosabb szoftverrel is!
Mi a Social Engineering?
Emberi gyengeséget, kíváncsiságot, érzelmeket és más jellemzőket gyakran használtak az adatok illegális kitermelésére - legyen az bármely iparág. Az informatikai ipar azonban a szociális tervezés nevét adja. A szociális tervezést a következőképpen definiálom:
“The method whereby an external person gains control over one or more employees of any organization by any means with intention to obtain the organization’s data illegally”
Itt van egy másik vonal ugyanabból a hírszólóból [1], amelyet idézni akarok - "A biztonsági ügynökségek nehezen tudják elképzelni, hogy a következő kabinban lévő srác valószínűleg nem megbízható„. Egy kicsit módosítottam a kijelentést, hogy illeszkedjen a kontextusba. A teljes cikket a Hivatkozások részben található link segítségével olvashatja el.
Más szóval, akkor nincs teljes körű ellenőrzése a szervezet biztonságát illetően, mivel a szociális tervezés sokkal gyorsabban fejlődik, mint a technikákkal szemben. A társadalomtudományi technika bármi lehet, mint amikor felszólítja valakit, hogy azt mondja, hogy technikai támogatásról van szó, és kérdezze meg őket a bejelentkezési adatokkal kapcsolatban. Önnek adathalász üzeneteket kell kapnia a lottókról, gazdag emberekről a Közép-Keleten és Afrikában, akik üzleti partnereiket szeretnék kérni, és az állásajánlatokat.
Az adathalász támadásokkal ellentétben a szociáltechnika sokkal inkább egy közvetlen személyes kapcsolattartás. Az előbbi (adathalászat) csalit használ - vagyis az emberek "halászatot" kínálnak neked valami abban a reményben, hogy le fog esni. A szociáltechnika többet jelent a belső alkalmazottak bizalmának megnyeréséért, hogy felismerhesse a szükséges cégadatokat.
Olvas: A társadalomtudomány népszerű módszerei.
Ismert szociális mérnöki technikák
Sokan vannak, és mindegyikük az alapvető emberi tendenciákat használja bármely szervezet adatbázisába való bejutáshoz. A leggyakrabban használt (valószínűleg elavult) szociáltechnikai technika az emberek hívása és találkozása, valamint azok meggyőződése, hogy technikai támogatást nyújtanak, akiknek ellenőrizniük kell a számítógépet. Hamis személyazonosító igazolványokat is létrehozhatnak a bizalom megteremtéséhez. Bizonyos esetekben a bűnösök állami tisztviselők.
Egy másik híres technika az, hogy alkalmazottaidént foglalkoztatják a célszervezetben. Most, mivel ez a kolléga a kollégája, bízhat benne a cég részleteivel. A külső munkatárs segíthet valamiben, ezért úgy érzi, hogy kötelességtudó, és ez az, amikor ki tudják számolni a maximumot.
Elolvastam néhány jelentést az elektronikus ajándékokat használókról. A díszes USB-stick, amelyet az Ön cégcímén vagy az autójában fekvő pendrive-on szállítanak, bizonyíthat katasztrófákat. Ebben az esetben valaki szándékosan elhagyta az USB meghajtókat a parkolóban, mint csalétek [2].
Ha a vállalati hálózat minden csomópontnál jó biztonsági intézkedéseket tesz, akkor áldott. Ellenkező esetben ezek a csomópontok könnyű hozzáférést biztosítanak a rosszindulatú programokhoz - ez az ajándék vagy az "elfelejtett" tollvezetékek - a központi rendszerhez.
Mint ilyen, nem tudunk átfogó listát adni a szociális mérnöki módszerekről. Ez egy tudomány a magban, a művészet a tetején. És tudod, hogy egyik sem rendelkezik határokkal. A társadalomtudományi szakemberek továbbra is kreatívak, miközben olyan szoftvereket fejlesztenek ki, amelyek szintén visszaélnek a Wi-Fi hozzáféréssel rendelkező vezeték nélküli eszközök használatával.
Olvas: Mi az a társadalmilag tervezett rosszindulatú program?
Megakadályozza a szociális tervezést
Személy szerint én nem hiszem, hogy létezik olyan tétel, amelyet az adminisztrátorok használhatnak a social engineering hackek megelőzésére. A szociáltechnikai technikák változatlanul változóak, ezért az IT-adminisztrátorok számára nehezebb lesz nyomon követni, hogy mi történik.
Természetesen szükség van egy lapra a social engineering híreket illetően, hogy elegendő információ legyen a megfelelő biztonsági intézkedések megtételére. Például az USB-eszközök esetében az adminisztrátorok blokkolhatják az egyes meghajtók USB-meghajtásait, így csak a jobb biztonsági rendszerrel rendelkező kiszolgálón lehet. Hasonlóképpen, a Wi-Fi-nek jobb titkosításra van szüksége, mint a helyi szolgáltatók többsége.
Az alkalmazottak képzése és a különböző munkavállalói csoportok véletlenszerű tesztelése segíthet a gyenge pontok azonosításában. Könnyű lenne a gyengébb egyének felkészítése és óvatossága. Az észlelés a legjobb védelem. A stressz az, hogy a bejelentkezési információkat nem szabad megosztani a csapattagokkal sem - a nyomástól függetlenül. Ha egy csapatvezetőnek hozzáférnie kell egy tag belépéséhez, használhatja a fő jelszót. Ez csak egy javaslat arra, hogy biztonságban maradjanak, és elkerüljék a szociális technikai csapásokat.
A lényeg az, hogy a rosszindulatú programok és az online hackerek mellett az IT-embereknek is szükségük van a szociális tervezésre. Az adatok megsértésének módszereinek azonosítása (például jelszavak stb. Írása) az adminisztrátoroknak azt is biztosítaniuk kell, hogy munkatársaik elegendően intelligensek legyenek ahhoz, hogy a társadalomtudományi technikát azonosítsák, hogy teljesen elkerüljék. Mit gondolsz a legjobb módszerek a szociális tervezés megakadályozására? Ha bármilyen érdekes esetet észlel, kérjük ossza meg velünk.
Töltsd le ezt a könyvet a Microsoft által közzétett Social Engineering Attacks-ról, és megtudd, hogyan képes észlelni és megelőzni az ilyen támadásokat a szervezetedben.
Irodalom
[1] Reuters, Snowden meggyőzte az NSA alkalmazottait a bejelentkezési információ megszerzésére
[2] Boing Net, Pen meghajtók, amelyek felhasználták a kártékony programokat.
