Що таке соціальна інженерія?
Соціальна інженерія - це мистецтво маніпулювання користувачами обчислювальної системи з метою розкриття конфіденційної інформації, яка може бути використана для отримання несанкціонованого доступу до комп’ютерної системи. Цей термін може також включати такі види діяльності, як використання доброти людини, жадібності та цікавості для отримання доступу до будівель з обмеженим доступом або залучення користувачів до встановлення програмного забезпечення.
Знання прийомів, які використовуються хакерами, щоб змусити користувачів опублікувати життєво важливу інформацію для входу, є фундаментальним фактором у захисті комп'ютерних систем
У цьому підручнику ми познайомимо вас із загальноприйнятими методами соціальної інженерії та з тим, як ви можете запропонувати заходи безпеки для протидії їм.
Теми, висвітлені в цьому посібнику
- Як працює соціальна інженерія?
- Загальні техніки соціальної інженерії
- Контрзаходи соціальної інженерії
Як працює соціальна інженерія?
ТУТ,
- Збір інформації : Це перший етап, він дізнається якомога більше про передбачувану жертву. Інформація збирається з веб-сайтів компаній, інших публікацій, а іноді і через спілкування з користувачами цільової системи.
- План атаки : Зловмисники визначають, як він / вона має намір здійснити атаку
- Інструменти придбання : Сюди входять комп’ютерні програми, які зловмисник використовуватиме під час запуску атаки.
- Атака : Використовуйте слабкі місця цільової системи.
- Використовуйте набуті знання : інформація, зібрана під час тактики соціальної інженерії, така як імена домашніх тварин, дати народження засновників організації тощо, використовується в таких атаках, як здогадування пароля.
Загальні техніки соціальної інженерії:
Методи соціальної інженерії можуть приймати різні форми . Далі наведено перелік загальновживаних методик.
- Подвиг знайомства: Користувачі менш підозрілі до знайомих людей. Зловмисник може ознайомитись із користувачами цільової системи до атаки соціальної інженерії. Зловмисник може взаємодіяти з користувачами під час їжі, коли користувачі курять, він може приєднуватися, на соціальних заходах тощо. Це робить зловмисника знайомим з користувачами. Припустимо, що користувач працює у будівлі, для отримання якої потрібен код доступу або картка; зловмисник може слідувати за користувачами, коли вони заходять у такі місця. Користувачі найбільше люблять тримати двері відкритими для входу зловмисника, оскільки вони їм знайомі. Зловмисник може також попросити відповіді на запитання, наприклад, де ви познайомилися зі своїм чоловіком / дружиною, ім'я вашого вчителя математики у середній школі тощо. Користувачі, швидше за все, розкриють відповіді, оскільки довіряють знайомому обличчю.Ця інформація може бути використана для зламу облікових записів електронної пошти та інших облікових записів, які задають подібні запитання, якщо хтось забуде свій пароль.
- Залякуючі обставини : Люди, як правило, уникають людей, які залякують оточуючих. Застосовуючи цю техніку, зловмисник може робити вигляд, що у нього гостра суперечка по телефону або з співучасником у схемі. Потім зловмисник може запитати у користувачів інформацію, яка буде використана для зниження безпеки системи користувачів. Користувачі, швидше за все, дають правильні відповіді лише для того, щоб уникнути конфронтації зі зловмисником. Цей прийом можна також використовувати, щоб уникнути перевірки в пункті пропуску.
- Фішинг : Ця техніка використовує обман і обман для отримання приватних даних від користувачів. Соціальний інженер може спробувати видати себе за справжній веб-сайт, такий як Yahoo, а потім попросити нічого не підозрюючого користувача підтвердити ім'я свого облікового запису та пароль. Цей прийом можна також використовувати для отримання інформації про кредитну картку або будь-яких інших цінних особистих даних.
- Хвост : Ця техніка передбачає стеження за користувачами позаду, коли вони заходять у зони обмеженого доступу. З людської ввічливості користувач, швидше за все, впустить соціального інженера всередину забороненої зони.
- Використання людської допитливості : Використовуючи цю техніку, соціальний інженер може навмисно скинути заражений вірусом флеш-диск у зоні, де користувачі можуть легко його підібрати. Користувач, швидше за все, підключить флеш-диск до комп'ютера. Флеш-диск може автоматично запустити вірус, або у користувача може виникнути спокуса відкрити файл із таким іменем, як Звіт про переоцінку працівників 2013.docx, який насправді може бути зараженим файлом.
- Використання людської жадібності : використовуючи цю техніку, соціальний інженер може заманити користувача обіцянками заробити багато грошей в Інтернеті, заповнивши форму та підтвердивши їх дані, використовуючи дані кредитної картки тощо.
Контрзаходи соціальної інженерії
Більшість методів, що застосовуються соціальними інженерами, включають маніпулювання упередженнями людини . Для протидії таким методам організація може;
- Для протидії використанню фамільярності користувачі повинні бути навчені не замінювати фамільярність заходами безпеки. Навіть знайомі люди повинні довести, що вони мають дозвіл на доступ до певних областей та інформації.
- Щоб протистояти атакам залякуючих обставин, користувачі повинні бути навчені визначати методи соціальної інженерії, які шукають конфіденційну інформацію та чемно відмовляти.
- Для протидії фішинг-методам більшість сайтів, таких як Yahoo, використовують захищені з’єднання для шифрування даних та доведення того, що вони є тими, за кого вони претендують. Перевірка URL-адреси може допомогти вам знайти фальшиві сайти . Уникайте відповіді на електронні листи, які вимагають від вас надання особистої інформації .
- Щоб протистояти атакам, що ведуть хвіст, користувачі повинні бути навчені не дозволяти іншим користуватися дозволом безпеки для доступу до обмежених районів. Кожен користувач повинен користуватися власним дозволом доступу.
- Щоб протистояти людській допитливості , краще передавати підібрані флеш-диски системним адміністраторам, які повинні сканувати їх на наявність вірусів чи іншої інфекції, бажано на ізольованій машині.
- Щоб протидіяти прийомам, що експлуатують людську жадібність , працівники повинні бути навчені небезпеці попадання на такі шахраї.
Резюме
- Соціальна інженерія - це мистецтво використання людських елементів для отримання доступу до несанкціонованих ресурсів.
- Соціальні інженери використовують низку методів, щоб обдурити користувачів розкриттям конфіденційної інформації.
- Організації повинні мати політику безпеки, яка передбачає заходи соціальної інженерії.