Social ingenjörskonst

Denna attackmetod är en anpassning av den trojanska hästen och består av att använda fysiska medier . Angriparen planterar "infekterade" lagringsmedier på offentliga platser där dessa medier lätt kan hittas, såsom toaletter, parkeringsplatser, matsalar eller på den attackerade medarbetarens arbetsplats [5] . Medierna är förpackade som officiella för företaget som attackeras, eller åtföljs av en signatur utformad för att väcka nyfikenhet. Till exempel kan en angripare slänga en CD med en företagslogotyp och en länk till företagets officiella webbplats, förse den med inskriptionen "Lön för ledningsgruppen." Skivan kan lämnas på hissgolvet eller i lobbyn. En anställd kan omedvetet plocka upp en skiva och sätta in den i en dator för att tillfredsställa sin nyfikenhet.

Insamling av information från öppna källor

Användningen av social ingenjörsteknik kräver inte bara kunskap om psykologi , utan också förmågan att samla in nödvändig information om en person. Ett relativt nytt sätt att få sådan information har blivit dess insamling från öppna källor, främst från sociala nätverk . Till exempel innehåller sajter som livejournal , Odnoklassniki , VKontakte en enorm mängd data som människor inte ens försöker dölja. Som regel uppmärksammar användarna inte säkerhetsfrågorna, och lämnar data och information fritt tillgänglig som kan användas av en angripare. (när det gäller Vkontakte, adress, telefonnummer, födelsedatum, bilder, vänner, etc.)

Ett illustrativt exempel är historien om bortförandet av sonen till Eugene Kaspersky. Under utredningen fann man att brottslingarna lärde sig dagens schema och tonåringens rutter från hans register på sidan på det sociala nätverket [10] .

Även genom att begränsa åtkomsten till information på sin sida på ett socialt nätverk kan användaren inte vara säker på att den aldrig kommer att falla i händerna på bedragare. Till exempel visade en brasiliansk datasäkerhetsforskare att det är möjligt att bli vän med vilken Facebook- användare som helst inom 24 timmar med hjälp av social ingenjörsteknik. Under experimentet valde forskaren Nelson Novaes Neto [11] ett offer och skapade ett falskt konto av en person från hennes omgivning - hennes chef. Först skickade Neto vänförfrågningar till vänner till vänner till offrets chef och sedan direkt till hans vänner. Efter 7,5 timmar uppnådde forskaren ett väntillägg från offret. Därmed fick forskaren tillgång till användarens personuppgifter, som han endast delade med sina vänner.

Axelsurfning

Shoulder surfing (eng. shoulder surfing ) innebär att man observerar offrets personliga information över hennes axel. Denna typ av attack är vanlig på offentliga platser som kaféer, köpcentra, flygplatser, tågstationer och kollektivtrafik.

En undersökning av IT-proffs i en vitbok [12] om säkerhet visade att:

• 85 % av de tillfrågade medgav att de såg konfidentiell information som de inte skulle känna till;
• 82 % medgav att informationen som visas på deras skärm kunde ses av obehöriga personer;
• 82 % har lite förtroende för att någon i deras organisation kommer att skydda sin skärm från främlingar.

Omvänd social ingenjörskonst

Omvänd social ingenjörskonst nämns när offret själv erbjuder angriparen den information han behöver. Det kan tyckas absurt, men i själva verket skaffar tekniska eller sociala myndigheter ofta användar-ID och lösenord och annan känslig personlig information bara för att ingen tvivlar på deras integritet. Till exempel, helpdesk-anställda ber aldrig användare om ett ID eller lösenord; de behöver inte denna information för att lösa problem. Många användare delar dock frivilligt med sig av denna känsliga information för att lösa problem så snart som möjligt. Det visar sig att angriparen inte ens behöver fråga om det .

Ett exempel på omvänd social ingenjörskonst är följande enkla scenario. Angriparen, som arbetar tillsammans med offret, ändrar namnet på filen på sin dator eller flyttar den till en annan katalog. När offret märker att filen saknas, hävdar angriparen att de kan fixa det. Offret vill slutföra arbetet snabbare eller undvika straff för förlust av information, samtycker till detta förslag. Angriparen hävdar att det enda sättet att lösa problemet är genom att logga in med offrets referenser. Nu ber offret angriparen att logga in under hennes namn för att försöka återställa filen. Angriparen går motvilligt med och återställer filen och stjäl offrets ID och lösenord på vägen. Efter att ha genomfört attacken framgångsrikt förbättrade han till och med sitt rykte, och det är mycket möjligt att andra kollegor kommer att vända sig till honom för att få hjälp efter det. Detta tillvägagångssätt stör inte normala supporttjänster och gör det svårare att fånga angriparen. [13]

Anmärkningsvärda sociala ingenjörer

Kevin Mitnick

En av historiens mest kända sociala ingenjörer är Kevin Mitnick. Som en världsberömd datorhacker och säkerhetskonsult är Mitnick också författare till ett flertal böcker om datorsäkerhet, med fokus främst på social ingenjörskonst och psykologiska manipulationstekniker. 2001 publicerades boken " The  Art of Deception" under hans författarskap [5] , som berättar om verkliga historier om användningen av social ingenjörskonst [14] . Kevin Mitnick hävdar att det är mycket lättare att få ett lösenord genom att fuska än att försöka bryta sig in i ett säkerhetssystem [15] .

Bröderna Badir

Även om bröderna Badir, Mushid och Shadi Badir var blinda från födseln, lyckades de genomföra flera stora bedrägerier i Israel på 1990-talet med hjälp av social ingenjörskonst och röstförfalskning. I en tv-intervju sa de: "Endast de som inte använder telefon, elektricitet och laptop är helt försäkrade mot nätverksattacker." Bröderna har redan suttit i fängelse för att de hört servicesignalerna på telefonlinjen. De ringde långa samtal utomlands på någon annans bekostnad och simulerade interstationssignalering i kanalen .

Ärkeängel

Archangel, en välkänd datorhackare och säkerhetskonsult för Phrack Magazine , en välkänd engelskspråkig onlinetidning , visade kraften i social ingenjörsteknik genom att erhålla lösenord från ett stort antal olika system på kort tid och lura flera hundra offer .

Andra

Mindre kända sociala ingenjörer är Frank Abagnale , David Bannon , Peter Foster och Stephen Jay Russell .

Sätt att skydda mot social ingenjörskonst

För att utföra sina attacker utnyttjar angripare inom social ingenjörskonst ofta godtrogenhet, lättja, artighet och till och med entusiasm hos användare och anställda i organisationer. Att försvara sig mot sådana attacker är inte lätt, eftersom deras offer kanske inte misstänker att de har blivit lurade. Angripare inom social ingenjörskonst har i princip samma mål som alla andra angripare: de behöver pengar, information eller IT-resurser från offrets företag. För att skydda dig mot sådana attacker måste du studera deras typer, förstå vad angriparen behöver och bedöma vilken skada som kan orsakas för organisationen. Med all denna information kan nödvändiga skyddsåtgärder integreras i säkerhetspolicyn.

Hur man upptäcker en social ingenjörsattack

Följande är socialingenjörernas handlingsmetoder:

• att presentera dig själv som en vän-anställd eller en ny anställd som ber om hjälp;
• presentera sig som anställd hos en leverantör, ett partnerföretag, en representant för lagen;
• representerar dig själv som någon från ledningen;
• låtsas vara en leverantör av operativsystem eller tillverkare som ringer för att erbjuda en uppdatering eller patch till offret för installation;
• erbjuda hjälp när ett problem uppstår och sedan provocera fram ett problem som får offret att be om hjälp;
• användning av intern slang och terminologi för att bygga upp förtroende;
• skicka ett virus eller en trojansk häst som en e-postbilaga;
• använda ett falskt popup-fönster som ber dig att autentisera igen, eller ange ett lösenord;
• erbjuda ett pris för registrering på webbplatsen med ett användarnamn och lösenord;
• spela in nycklarna som offret anger på sin dator eller i sitt program ( keylogging );
• kasta olika databärare (flash-kort, diskar, etc.) med skadlig programvara på offrets bord;
• slänga ett dokument eller en mapp till företagets postavdelning för intern leverans;
• modifiera bokstäverna på faxet så att det ser ut som om det kom från ett företag;
• sekreterarens begäran att acceptera och sedan skicka faxet;
• en begäran om att skicka dokumentet till en plats som verkar vara lokal (det vill säga belägen på organisationens territorium);
• anpassa röstbrevlådan så att anställda som bestämmer sig för att ringa tillbaka tror att angriparen är deras anställd;

Klassificering av hot

Telefonhot

Telefonen är fortfarande ett av de mest populära kommunikationsmedlen inom och mellan organisationer, så det är fortfarande ett effektivt verktyg för social ingenjörskonst. När man pratar i telefon är det omöjligt att se samtalspartnerns ansikte för att bekräfta hans identitet, vilket ger angripare en chans att utge sig för en anställd, chef eller någon annan person som kan litas på konfidentiell eller till synes oviktig information. Angriparen ordnar ofta samtalet på ett sådant sätt att offret inte har något annat val än att hjälpa till, särskilt när förfrågan ser ut som en bagatell.

Olika bedrägerier som syftar till att stjäla pengar från mobiltelefonanvändare är också populära. Det kan handla om både samtal och sms om vinster i lotterier, tävlingar, förfrågningar om att få tillbaka pengar som förfallit av misstag, eller meddelanden om att offrets nära anhöriga har problem och ett akut behov av att överföra en viss summa pengar.

Säkerhetsåtgärder tyder på en skeptisk inställning till sådana meddelanden och vissa säkerhetsprinciper:

• Kontrollera identiteten på den som ringer;
• Användning av nummeridentifieringstjänsten;
• Ignorera okända länkar i SMS-meddelanden;

E-posthot

Många anställda får dussintals och till och med hundratals e-postmeddelanden dagligen via företags- och privata postsystem. Naturligtvis, med ett sådant flöde av korrespondens, är det omöjligt att ge vederbörlig uppmärksamhet åt varje brev. Detta gör det mycket lättare att utföra attacker. De flesta användare av e-postsystem är lugna när det gäller behandlingen av sådana meddelanden, och uppfattar detta arbete som en elektronisk analog för att flytta papper från en mapp till en annan. När en angripare skickar en enkel förfrågan med posten gör offret ofta det som begärs av dem utan att tänka på deras handlingar. E-postmeddelanden kan innehålla hyperlänkar som uppmuntrar anställda att bryta mot säkerheten i företagsmiljön. Sådana länkar leder inte alltid till de anspråkade sidorna.

De flesta säkerhetsåtgärder syftar till att förhindra obehöriga användare från att komma åt företagets resurser. Om en användare, genom att klicka på en hyperlänk skickad av en angripare, laddar ner en trojan eller ett virus till företagets nätverk, kommer detta enkelt att kringgå många typer av skydd. Hyperlänken kan också peka på en webbplats med popup-program som begär information eller erbjuder hjälp. Precis som med andra typer av bedrägerier är det mest effektiva sättet att skydda sig mot skadliga attacker att vara skeptisk till alla oväntade inkommande e-postmeddelanden. För att utvidga detta tillvägagångssätt över en organisation bör specifika riktlinjer för e-postanvändning inkluderas i säkerhetspolicyn, som täcker de element som anges nedan. [16]

• Bilagor till dokument.
• Hyperlänkar i dokument.
• Förfrågningar om personlig eller företagsinformation inifrån företaget.
• Begäran om personlig information eller företagsinformation utanför företaget.

Hot associerade med användningen av snabbmeddelandetjänsten

Snabbmeddelanden är ett relativt nytt sätt att överföra data, men det har redan vunnit stor popularitet bland företagsanvändare. På grund av hastigheten och användarvänligheten öppnar denna kommunikationsmetod stora möjligheter för olika attacker: användare behandlar den som en telefonanslutning och associerar den inte med potentiella programvaruhot. De två huvudtyperna av attacker baserade på användningen av snabbmeddelandetjänsten är hänvisningen till skadlig programvara i meddelandetexten och leveransen av själva programmet. Självklart är snabbmeddelanden också ett sätt att begära information. En av funktionerna hos snabbmeddelandetjänster är kommunikationens informella karaktär. I kombination med förmågan att tilldela sig själv vilka namn som helst, gör denna faktor det mycket lättare för en angripare att utge sig för en annan person och ökar hans chanser att framgångsrikt genomföra en attack avsevärt. Om ett företag avser att dra fördel av kostnadsbesparingarna och andra fördelar som snabbmeddelanden ger, måste företagets säkerhetspolicyer hantera dessa hot. Det finns flera krav som måste uppfyllas för att ha tillförlitlig kontroll över snabbmeddelanden i en företagsmiljö. [17]

• Välj en plattform för snabbmeddelanden.
• Bestäm säkerhetsinställningarna som ställs in när du distribuerar snabbmeddelandetjänsten.
• Definiera principer för att etablera nya kontakter
• Sätt standarder för val av lösenord
• Ge rekommendationer för hur du använder snabbmeddelandetjänsten.

Grundläggande defensiva metoder

Socialingenjörsspecialister identifierar följande huvudsakliga skyddsmetoder för organisationer:

• utveckla en genomtänkt dataklassificeringspolicy som tar hänsyn till de till synes ofarliga typer av data som kan leda till viktig information;
• säkerställa skyddet av kundinformation genom att kryptera data eller använda åtkomstkontroll;
• utbilda anställda i färdigheter att känna igen en social ingenjör, visa misstänksamhet när de har att göra med människor de inte känner personligen;
• förbjuda personal från att byta lösenord eller använda ett delat lösenord;
• ett förbud mot att lämna information från avdelningen med hemligheter till någon som inte är så personligt känd eller inte bekräftats på något sätt;
• användningen av särskilda bekräftelseförfaranden för alla som begär tillgång till konfidentiell information;

Skiktad säkerhetsmodell

För att skydda stora företag och deras anställda från bedragare som använder social ingenjörsteknik, används ofta komplexa säkerhetssystem på flera nivåer. Några av funktionerna och ansvarsområdena för sådana system listas nedan.

• Fysisk trygghet. Barriärer som begränsar tillgången till företagsbyggnader och företagsresurser. Glöm inte att företagets resurser, såsom sopcontainrar utanför företagets lokaler, inte är fysiskt skyddade.
• Data. Företagsinformation: konton, post etc. Vid analys av hot och planering av åtgärder för dataskydd är det nödvändigt att fastställa principerna för hantering av pappers- och elektroniska databärare.
• Ansökningar. Program som drivs av användare. För att skydda din miljö måste du överväga hur angripare kan utnyttja e-postprogram, snabbmeddelandetjänster och andra applikationer.
• Datorer. Servrar och klientsystem som används i organisationen. Skydda användare från direkta attacker på deras datorer genom att definiera strikta riktlinjer för vilka program som kan användas på företagsdatorer.
• Internt nätverk. Ett nätverk genom vilket företagssystem interagerar. Det kan vara lokalt, globalt eller trådlöst. På senare år, på grund av den växande populariteten för fjärrarbetsmetoder, har gränserna för interna nätverk blivit till stor del godtyckliga. Anställda på företaget behöver förklaras vad de måste göra för att organisera säkert arbete i vilken nätverksmiljö som helst.
• nätverksomkrets. Gränsen mellan ett företags interna nätverk och externa nätverk som Internet eller nätverk av partnerorganisationer.

Ansvar

Pretext och spela in telefonsamtal

I USA:s lagar likställs förevändning, det vill säga utger sig för att vara en annan person för att få information som kan lämnas till den personen, med intrång i privatlivet [18] . I december 2006 godkände den amerikanska kongressen ett lagförslag som skulle bestraffa förevändning och inspelning av telefonsamtal med böter på upp till 250 000 USD eller fängelse i upp till 10 år för enskilda (eller böter på 500 000 USD för juridiska personer). Motsvarande dekret undertecknades av president George W. Bush den 12 januari 2007 [19] .

Hewlett-Packard

Patricia Dunn, VD för Hewlett Packard Corporation, sa att HP anlitade ett privat företag för att identifiera de anställda i företaget som var ansvariga för att läcka konfidentiell information. Senare erkände företagets chef att praxis med förevändning och andra sociala ingenjörstekniker användes i forskningsprocessen [20] .

Anteckningar

1. ↑ Ross J. Anderson. Säkerhetsteknik: En guide till att bygga pålitliga distribuerade system . — John Wiley & Sons, 2008-04-14. — 1080 s. - ISBN 978-0-470-06852-6 .
2. ↑ Social ingenjörskonst  definierad . Säkerhet genom utbildning . Hämtad 21 augusti 2020. Arkiverad från originalet 3 oktober 2018.
3. ↑ Veselov A.V. Ämnet social ingenjörskonst: koncept, typer, bildning  // Filosofi och kultur: Tidskrift. - 2011. - 8 augusti ( nr 8 ). - S. 17 . (ryska)
4. ↑ Nätfiske . Arkiverad från originalet den 10 november 2012. Hämtad 6 november 2012.
5. ↑ 1 2 3 4 Kevin D. Mitnick; William L. Simon. Konsten att bedrägeri. - IT, 2004. - ISBN 5-98453-011-2 .
6. ↑ 1 2 3 Så här skyddar du ditt interna nätverk från attacker , Microsoft TechNet. Arkiverad från originalet den 27 september 2018. Hämtad 1 oktober 2017.
7. ↑ Ross, Dave . Hur Interactive Voice Response (IVR) fungerar . Arkiverad från originalet den 14 augusti 2020. Hämtad 22 augusti 2020.
8. ↑ Qui pro quo
9. ↑ Leyden, John Kontorsarbetare ger bort lösenord . Theregister.co.uk (18 april 2003). Hämtad 1 oktober 2017. Arkiverad från originalet 20 november 2012. (obestämd)
10. ↑ Goodchild, L!FENEWS . Kasperskys son kidnappades i Moskva  (21 april 2011). Arkiverad från originalet den 4 november 2012. Hämtad 6 november 2012.
11. ↑ Nelson Novaes Neto . Arkiverad från originalet den 20 februari 2010. Hämtad 6 november 2012.
12. ↑ Europeisk visuell datasäkerhet. "Vitbok om visuell datasäkerhet" (inte tillgänglig länk) (2014). Hämtad 19 december 2014. Arkiverad från originalet 13 maj 2014. (obestämd) 
13. ↑ Så här skyddar du ditt interna nätverk och företagets anställda från attacker , Microsoft TechNet. Arkiverad från originalet den 27 september 2018. Hämtad 1 oktober 2017.
14. ↑ Social ingenjörskonst  (ryska) . Arkiverad från originalet den 21 april 2014. Hämtad 6 november 2012.
15. ↑ Mitnick, K. Introduktion // CSEPS-kursarbetsbok. - Mitnick Security Publishing, 2004. - P. 4.
16. ↑ Använda e-post , CITForum. Arkiverad från originalet den 2 november 2012. Hämtad 6 november 2012.
17. ↑ Riktlinjer för säkrare Internetoperationer , KasperskyLab. Arkiverad från originalet den 29 mars 2013. Hämtad 6 november 2012.
18. ↑ Omformulering 2d av skadeståndsrättslig § 652C
19. ↑ Eric Bangeman. Kongressen förbjuder förevändning  . Ars Technica (12 november 2006). Hämtad 1 oktober 2017. Arkiverad från originalet 17 januari 2017.
20. ↑ Stephen Shankland. HP:s ordförande: Användning av förevändning "pinsamt  " . CNET News.com (8 september 2006).

Länkar

• Social Engineering: Grunderna. Del I: Hackertaktik
• Nätfiskeskydd
• "Protecting Consumers' Phone Records" , Electronic Privacy Information Center US Committee on Commerce, Science, and  Transportation
• Plotkin, Hal . Memo till pressen: Pretexting är redan  olagligt
• social-engineer.org  - social-engineer.org  _
• Översikt över hot om sociala ingenjörer - Presenteras för föräldrar och lärare 
• Tailor Jerry - ryskspråkig resurs om social ingenjörskonst

Ordböcker och uppslagsverk	stor kines