Что такое социальная инженерия?
Социальная инженерия — это искусство манипулирования пользователями компьютерной системы с целью раскрытия конфиденциальной информации, которая может быть использована для получения несанкционированного доступа к компьютерной системе. Термин также может включать такие действия, как использование человеческой доброты, жадности и любопытства для получения доступа к зданиям с ограниченным доступом или получение пользователями возможности установки программного обеспечения для бэкдора.
Знание уловок, используемых хакерами для обмана пользователей при предоставлении важной информации для входа в систему, является фундаментальным для защиты компьютерных систем.
В этом руководстве мы познакомим вас с общими методами социальной инженерии и с тем, как вы можете придумать меры безопасности для их противодействия.
Темы, рассматриваемые в этом уроке
- Как работает социальная инженерия?
- Общие методы социальной инженерии
- Меры противодействия социальной инженерии
Как работает социальная инженерия?
ВОТ,
- Сбор информации : это первый этап, узнающий как можно больше о предполагаемой жертве. Информация собирается с веб-сайтов компании, из других публикаций и иногда посредством общения с пользователями целевой системы.
- План атаки : атакующие обрисовывают в общих чертах, как он / она намеревается выполнить атаку
- Инструменты получения . К ним относятся компьютерные программы, которые злоумышленник будет использовать при запуске атаки.
- Атака : использовать слабые места в целевой системе.
- Используйте полученные знания : информация, собранная во время тактики социальной инженерии, такой как имена питомцев, даты рождения основателей организации и т. Д., Используется в атаках, таких как угадывание пароля.
Общие методы социальной инженерии:
Методы социальной инженерии могут принимать разные формы . Ниже приведен список наиболее часто используемых методов.
- Знакомство Эксплоит: Пользователи менее подозрительны к людям, с которыми они знакомы. Злоумышленник может ознакомиться с пользователями целевой системы до атаки социальной инженерии. Злоумышленник может взаимодействовать с пользователями во время еды, когда пользователи курят, он может присоединиться, на общественных мероприятиях и т. Д. Это делает злоумышленника знакомым для пользователей. Давайте предположим, что пользователь работает в здании, которому для доступа требуется код доступа или карта; злоумышленник может следовать за пользователями, когда они входят в такие места. Пользователи больше всего любят держать дверь открытой, чтобы злоумышленник вошел, поскольку они знакомы с ними. Злоумышленник также может запросить ответы на такие вопросы, как, например, место, где вы встретились с супругом, имя учителя математики в старшей школе и т. Д. Пользователи, скорее всего, покажут ответы, доверяя знакомому лицу.Эта информация может быть использована для взлома учетных записей электронной почты и других учетных записей, которые задают аналогичные вопросы, если кто-то забудет свой пароль.
- Запугивающие обстоятельства : люди склонны избегать людей, которые запугивают окружающих. Используя эту технику, злоумышленник может притвориться, что имеет горячий аргумент по телефону или соучастником в схеме. Затем злоумышленник может запросить у пользователей информацию, которая будет использована для нарушения безопасности системы пользователей. Скорее всего, пользователи дают правильные ответы, чтобы избежать конфронтации с атакующим. Эту технику также можно использовать, чтобы избежать проверки на контрольно-пропускном пункте.
- Фишинг : этот метод использует обман и обман для получения личных данных от пользователей. Социальный инженер может попытаться выдать себя за подлинный веб-сайт, такой как Yahoo, а затем попросить ничего не подозревающего пользователя подтвердить имя и пароль своей учетной записи. Этот метод также может быть использован для получения информации о кредитной карте или любых других ценных личных данных.
- Задняя дверь : эта техника включает в себя следование за пользователями, когда они входят в ограниченные зоны. В качестве вежливости пользователь, скорее всего, пропустит социального инженера в запретную зону.
- Использование человеческого любопытства . Используя эту технику, социальный инженер может умышленно бросить зараженный вирусом флеш-диск в область, где пользователи могут легко его взять. Скорее всего, пользователь подключит флэш-диск к компьютеру. Флэш-диск может автоматически запустить вирус или у пользователя может возникнуть желание открыть файл с таким именем, как «Отчет о переоценке сотрудников 2013.docx», который на самом деле может быть зараженным файлом.
- Использование человеческой жадности : используя эту технику, социальный инженер может заманить пользователя обещаниями заработать много денег в Интернете, заполнив форму и подтвердив свои данные, используя данные кредитной карты и т. Д.
Меры противодействия социальной инженерии
Большинство методов, используемых социальными инженерами, включают манипулирование человеческими предубеждениями . Чтобы противостоять таким методам, организация может;
- Чтобы противостоять уязвимости знакомства , пользователи должны быть обучены не заменять знакомство с мерами безопасности. Даже люди, с которыми они знакомы, должны доказать, что у них есть разрешение на доступ к определенным областям и информации.
- Чтобы противостоять атакам пугающих обстоятельств, пользователи должны быть обучены определению методов социальной инженерии, которые ищут конфиденциальную информацию и вежливо говорят «нет».
- Чтобы противостоять фишинговым методам , большинство сайтов, таких как Yahoo, используют защищенные соединения для шифрования данных и доказывают, что они являются теми, кем себя называют. Проверка URL может помочь вам обнаружить поддельные сайты . Не отвечайте на электронные письма, в которых вас просят предоставить личную информацию .
- Чтобы противодействовать атакам на хвосте, пользователи должны быть обучены не позволять другим использовать свое разрешение безопасности для получения доступа в ограниченные зоны. Каждый пользователь должен использовать свое собственное разрешение доступа.
- Чтобы противостоять человеческому любопытству , лучше отправлять забранные флэш-диски системным администраторам, которые должны сканировать их на наличие вирусов или других инфекций, предпочтительно на изолированной машине.
- Чтобы противостоять методам, которые используют человеческую жадность , сотрудники должны быть обучены опасности попадания в такие мошенничества.
Резюме
- Социальная инженерия — это искусство использования человеческих элементов для получения доступа к несанкционированным ресурсам.
- Социальные инженеры используют ряд методов, чтобы обмануть пользователей в раскрытии конфиденциальной информации.
- Организации должны иметь политики безопасности, которые имеют контрмеры социальной инженерии.