วิศวกรรมสังคมคืออะไร: คำจำกัดความ, การโจมตี
โอลิเวอร์โจนส์
วิศวกรรมสังคมคืออะไร? วิธี
วิศวกรรมสังคมเป็นศิลปะในการจัดการผู้ใช้ระบบคอมพิวเตอร์ให้เปิดเผยข้อมูลที่เป็นความลับซึ่งสามารถใช้เพื่อเข้าถึงระบบคอมพิวเตอร์โดยไม่ได้รับอนุญาต คำนี้ยังรวมถึงกิจกรรมต่างๆ เช่น การใช้ประโยชน์จากความเมตตาของมนุษย์ ความโลภ และความอยากรู้อยากเห็นเพื่อเข้าถึงอาคารที่ถูกจำกัดการเข้าถึง หรือให้ผู้ใช้ติดตั้งซอฟต์แวร์ลับๆ
การเรียนรู้กลอุบายที่แฮกเกอร์ใช้เพื่อหลอกล่อผู้ใช้ให้เปิดเผยข้อมูลการเข้าสู่ระบบที่สำคัญและอื่นๆ ถือเป็นพื้นฐานในการปกป้องระบบคอมพิวเตอร์
ในบทช่วยสอนนี้ เราจะแนะนำให้คุณรู้จักกับเทคนิควิศวกรรมสังคมทั่วไป และวิธีที่คุณสามารถสร้างมาตรการรักษาความปลอดภัยเพื่อตอบโต้ได้
วิศวกรรมสังคมทำงานอย่างไร?
ที่นี่
- รวบรวมข้อมูล: นี่คือขั้นตอนแรก ผู้เรียนรู้ให้มากที่สุดเท่าที่จะทำได้เกี่ยวกับเหยื่อที่ตั้งใจไว้ ข้อมูลถูกรวบรวมจากเว็บไซต์ของบริษัท สิ่งพิมพ์อื่นๆ และบางครั้งโดยการพูดคุยกับผู้ใช้ระบบเป้าหมาย
- แผนโจมตี: ผู้โจมตีสรุปว่าเขา/เธอตั้งใจที่จะดำเนินการโจมตีอย่างไร
- รับเครื่องมือ: รวมถึงโปรแกรมคอมพิวเตอร์ที่ผู้โจมตีจะใช้เมื่อทำการโจมตี
- โจมตี: ใช้ประโยชน์จากจุดอ่อนในระบบเป้าหมาย
- ใช้ความรู้ที่ได้รับ: ข้อมูลที่รวบรวมระหว่างกลยุทธ์วิศวกรรมสังคม เช่น ชื่อสัตว์เลี้ยง วันเกิดของผู้ก่อตั้งองค์กร ฯลฯ จะถูกใช้ในการโจมตี เช่น การเดารหัสผ่าน
ประเภทของการโจมตีทางวิศวกรรมสังคม
เทคนิควิศวกรรมสังคมอาจมีได้หลายรูปแบบต่อไปนี้เป็นรายการเทคนิคที่ใช้กันทั่วไป
การใช้ประโยชน์จากความคุ้นเคย:
ผู้ใช้มีความสงสัยน้อยลงกับคนที่พวกเขาคุ้นเคย ผู้โจมตีสามารถทำความคุ้นเคยกับผู้ใช้ระบบเป้าหมายก่อนที่จะมีการโจมตีทางวิศวกรรมสังคม ผู้โจมตีอาจโต้ตอบกับผู้ใช้ระหว่างมื้ออาหาร เมื่อผู้ใช้สูบบุหรี่ เขาอาจเข้าร่วมในกิจกรรมทางสังคม ฯลฯ สิ่งนี้ทำให้ผู้โจมตีคุ้นเคยกับผู้ใช้ สมมติว่าผู้ใช้ทำงานในอาคารที่ต้องใช้รหัสการเข้าถึงหรือการ์ดเพื่อเข้าใช้งาน ผู้โจมตีอาจติดตามผู้ใช้ขณะที่พวกเขาเข้าไปในสถานที่ดังกล่าว ผู้ใช้ส่วนใหญ่มักจะเปิดประตูค้างไว้เพื่อให้ผู้โจมตีเข้าไปในขณะที่พวกเขาคุ้นเคยกับพวกเขา ผู้โจมตียังสามารถขอคำตอบสำหรับคำถามต่างๆ เช่น สถานที่ที่คุณพบคู่สมรส ชื่อครูคณิตศาสตร์ในโรงเรียนมัธยมปลายของคุณ เป็นต้น ผู้ใช้มักจะเปิดเผยคำตอบเนื่องจากพวกเขาเชื่อใจใบหน้าที่คุ้นเคย ข้อมูลนี้สามารถนำไปใช้ได้ แฮ็คบัญชีอีเมล์ และบัญชีอื่นๆ ที่ถามคำถามที่คล้ายกันหากลืมรหัสผ่าน
สถานการณ์ที่น่ากลัว:
ผู้คนมักจะหลีกเลี่ยงคนที่ข่มขู่คนรอบข้าง การใช้เทคนิคนี้ ผู้โจมตีอาจแสร้งทำเป็นว่ามีการโต้แย้งกันอย่างเผ็ดร้อนทางโทรศัพท์หรือกับผู้สมรู้ร่วมคิดในโครงการ ผู้โจมตีอาจขอข้อมูลจากผู้ใช้ซึ่งจะนำไปใช้เพื่อลดความปลอดภัยของระบบของผู้ใช้ ผู้ใช้มักจะให้คำตอบที่ถูกต้องเพียงเพื่อหลีกเลี่ยงการเผชิญหน้ากับผู้โจมตี เทคนิคนี้ยังสามารถใช้เพื่อหลีกเลี่ยงการถูกตรวจสอบที่จุดตรวจสอบความปลอดภัยได้
ฟิชชิ่ง:
เทคนิคนี้ใช้กลอุบายและการหลอกลวงเพื่อให้ได้ข้อมูลส่วนตัวจากผู้ใช้ วิศวกรสังคมอาจพยายามปลอมแปลงเป็นเว็บไซต์ของแท้ เช่น Yahoo จากนั้นขอให้ผู้ใช้ที่ไม่สงสัยยืนยันชื่อบัญชีและรหัสผ่านของตน เทคนิคนี้ยังสามารถใช้เพื่อรับข้อมูลบัตรเครดิตหรือข้อมูลส่วนบุคคลอันมีค่าอื่น ๆ ได้อีกด้วย
การปรับแต่ง:
เทคนิคนี้เกี่ยวข้องกับการติดตามผู้ใช้ขณะเข้าไปในพื้นที่จำกัด โดยถือเป็นมารยาทของมนุษย์ ผู้ใช้มีแนวโน้มที่จะปล่อยให้วิศวกรสังคมเข้าไปในพื้นที่จำกัดมากที่สุด
การใช้ประโยชน์จากความอยากรู้อยากเห็นของมนุษย์:
การใช้เทคนิคนี้ วิศวกรสังคมอาจจงใจทิ้งแฟลชดิสก์ที่ติดไวรัสลงในบริเวณที่ผู้ใช้สามารถหยิบมันขึ้นมาได้อย่างง่ายดาย ผู้ใช้มักจะเสียบแฟลชดิสก์เข้ากับคอมพิวเตอร์ แฟลชดิสก์อาจเรียกใช้ไวรัสโดยอัตโนมัติ หรือผู้ใช้อาจถูกล่อลวงให้เปิดไฟล์ที่มีชื่อ เช่น พนักงาน Revaluation Report 2013.docx ซึ่งจริงๆ แล้วอาจเป็นไฟล์ที่ติดไวรัส
การใช้ประโยชน์จากความโลภของมนุษย์:
การใช้เทคนิคนี้ วิศวกรสังคมอาจล่อลวงผู้ใช้ด้วยคำสัญญาว่าจะหาเงินออนไลน์จำนวนมากโดยการกรอกแบบฟอร์มและยืนยันรายละเอียดโดยใช้รายละเอียดบัตรเครดิตเป็นต้น
จะป้องกันการโจมตีทางวิศวกรรมสังคมได้อย่างไร
ต่อไปนี้เป็นวิธีสำคัญในการป้องกันการโจมตีทางวิศวกรรมสังคมทุกประเภท:
- หลีกเลี่ยงการเสียบ USB ที่ไม่รู้จักเข้ากับคอมพิวเตอร์ของคุณ
- อย่าคลิกลิงก์ในอีเมลหรือข้อความใดๆ
- ใช้รหัสผ่านที่แข็งแกร่ง (และตัวจัดการรหัสผ่าน)
- ใช้การตรวจสอบสิทธิ์แบบหลายปัจจัย
- ระมัดระวังในการสร้างมิตรภาพทางออนไลน์เท่านั้น
- อัปเดตซอฟต์แวร์ทั้งหมดของคุณอยู่เสมอ
- รักษาความปลอดภัยอุปกรณ์คอมพิวเตอร์ของคุณ
- ซื้อซอฟต์แวร์ป้องกันไวรัส
- สำรองข้อมูลของคุณเป็นประจำ
- ทำลายเอกสารสำคัญเป็นประจำ
- ใช้ VPN
- ล็อคแล็ปท็อปของคุณ
มาตรการตอบโต้วิศวกรรมสังคม
เทคนิคส่วนใหญ่ที่วิศวกรสังคมใช้เกี่ยวข้องกับการจัดการอคติของมนุษย์- เพื่อตอบโต้เทคนิคดังกล่าว องค์กรสามารถ;
- เพื่อตอบโต้การใช้ประโยชน์จากความคุ้นเคยผู้ใช้จะต้องได้รับการฝึกอบรมที่จะไม่ทดแทนความคุ้นเคยด้วยมาตรการรักษาความปลอดภัย แม้แต่คนที่พวกเขาคุ้นเคยก็ต้องพิสูจน์ว่าพวกเขาได้รับอนุญาตให้เข้าถึงพื้นที่และข้อมูลบางอย่าง
- เพื่อตอบโต้การโจมตีในสถานการณ์ที่น่ากลัว ผู้ใช้จะต้องได้รับการฝึกอบรมให้ระบุเทคนิควิศวกรรมสังคมที่แสวงหาข้อมูลที่ละเอียดอ่อนและปฏิเสธอย่างสุภาพ
- เพื่อตอบโต้เทคนิคฟิชชิ่งไซต์ส่วนใหญ่ เช่น Yahoo ใช้การเชื่อมต่อที่ปลอดภัย เข้ารหัสข้อมูล และพิสูจน์ว่าพวกเขาคือสิ่งที่พวกเขาอ้างว่าเป็น การตรวจสอบ URL อาจช่วยให้คุณมองเห็นไซต์ปลอมได้. หลีกเลี่ยงการตอบกลับอีเมลที่ขอให้คุณให้ข้อมูลส่วนบุคคล.
- เพื่อตอบโต้การโจมตีแบบ tailgating ผู้ใช้จะต้องได้รับการฝึกอบรมไม่ให้ผู้อื่นใช้การรักษาความปลอดภัยเพื่อเข้าถึงพื้นที่หวงห้าม ผู้ใช้แต่ละคนต้องใช้ช่องว่างในการเข้าถึงของตนเอง
- เพื่อตอบโต้ความอยากรู้อยากเห็นของมนุษย์จะดีกว่าถ้าส่งแฟลชดิสก์ที่รับมาไปที่ ผู้ดูแลระบบที่ควรสแกนหาไวรัสหรือการติดเชื้ออื่นๆ โดยเฉพาะอย่างยิ่งในเครื่องแยก
- เพื่อตอบโต้เทคนิคที่ใช้ประโยชน์จากความโลภของมนุษย์,พนักงานต้องเป็น ผ่านการฝึกอบรม ถึงอันตรายจากการถูกหลอกลวงดังกล่าว
สรุป
- วิศวกรรมสังคมเป็นศิลปะของการใช้ประโยชน์จากองค์ประกอบของมนุษย์เพื่อเข้าถึงทรัพยากรที่ไม่ได้รับอนุญาต
- วิศวกรสังคมใช้เทคนิคหลายอย่างเพื่อหลอกผู้ใช้ให้เปิดเผยข้อมูลที่ละเอียดอ่อน
- องค์กรต้องมีนโยบายความปลอดภัยที่มีมาตรการรับมือทางวิศวกรรมสังคม
