Що таке соціальна інженерія: визначення, атаки

Що таке соціальна інженерія? Засоби

Соціальна інженерія — це мистецтво маніпулювання користувачами обчислювальної системи з метою розкриття конфіденційної інформації, яка може бути використана для отримання несанкціонованого доступу до комп’ютерної системи. Термін також може включати такі дії, як використання людської доброти, жадібності та цікавості для отримання доступу до будівель з обмеженим доступом або спонукання користувачів до встановлення програмного забезпечення для бекдорів.

Знання трюків, які використовують хакери, щоб оманою змусити користувачів оприлюднити життєво важливу інформацію для входу, є фундаментальним для захисту комп’ютерних систем

У цьому підручнику ми познайомимо вас із поширеними методами соціальної інженерії та з тим, як ви можете придумати заходи безпеки для протидії їм.

Як працює соціальна інженерія?

ТУТ,

Збирати інформацію: Це перший етап, на якому людина дізнається якомога більше про заплановану жертву. Інформація збирається з веб-сайтів компаній, інших публікацій, а іноді й шляхом розмови з користувачами цільової системи.
План нападу: Зловмисники описують, як він/вона збирається здійснити атаку
Придбайте інструменти: Сюди входять комп’ютерні програми, які зловмисник використовуватиме під час атаки.
атака: Використовуйте слабкі сторони цільової системи.
Використовуйте набуті знання: інформація, зібрана під час тактики соціальної інженерії, як-от імена домашніх тварин, дати народження засновників організації тощо, використовується в атаках, наприклад підбір пароля.

Типи атак соціальної інженерії

Методи соціальної інженерії можуть приймати різні форми. Нижче наведено список поширених технік.

Експлойт знайомства:

Користувачі менш підозріло ставляться до людей, з якими знайомі. Зловмисник може ознайомитися з користувачами цільової системи до атаки соціальної інженерії. Зловмисник може взаємодіяти з користувачами під час їжі, коли користувачі курять, він може приєднатися, на соціальних заходах тощо. Це робить зловмисника знайомим користувачам. Припустімо, що користувач працює в будівлі, яка вимагає код доступу або картку для отримання доступу; зловмисник може стежити за користувачами, коли вони заходять у такі місця. Користувачі найбільше люблять тримати двері відкритими, щоб зловмисник зайшов, оскільки вони знайомі з ними. Зловмисник також може запитати відповіді на запитання, наприклад, де ви познайомилися зі своєю дружиною, ім’я вашого вчителя математики в середній школі тощо. Користувачі, швидше за все, розкриють відповіді, оскільки довіряють знайомому обличчю. Ця інформація може бути використана для зламати облікові записи електронної пошти та інші облікові записи, які задають подібні запитання, якщо хтось забув свій пароль.

Обставини, що лякають:

Люди схильні уникати людей, які залякують оточуючих. Використовуючи цю техніку, зловмисник може прикинутися гарячою сваркою по телефону або зі спільником у схемі. Потім зловмисник може запитати у користувачів інформацію, яка буде використана для порушення безпеки системи користувачів. Користувачі, швидше за все, дають правильні відповіді, щоб уникнути конфронтації з зловмисником. Цей прийом також можна використовувати, щоб уникнути перевірки на контрольно-пропускному пункті.

Фішинг:

Ця техніка використовує хитрість і обман для отримання особистих даних від користувачів. Соціальний інженер може спробувати видати себе за справжній веб-сайт, наприклад Yahoo, а потім попросити нічого не підозрюючого користувача підтвердити ім’я облікового запису та пароль. Цю техніку також можна використовувати для отримання інформації про кредитну картку або будь-яких інших цінних особистих даних.

Задня частина:

Ця техніка передбачає стеження за користувачами, коли вони входять у заборонені зони. З людської ввічливості користувач, швидше за все, впустить соціального інженера в зону обмеженого доступу.

Використання людської цікавості:

Використовуючи цю техніку, соціальний інженер може навмисно кинути заражений вірусом флеш-диск у місце, де користувачі можуть легко його підхопити. Користувач, швидше за все, підключить флешку до комп'ютера. Флеш-диск може автоматично запускати вірус, або у користувача може виникнути спокуса відкрити файл із такою назвою, як Employees Revaluation Report 2013.docx, який насправді може бути зараженим файлом.

Використання людської жадібності:

Використовуючи цю техніку, соціальний інженер може заманити користувача обіцянками заробити багато грошей в Інтернеті, заповнивши форму та підтвердивши свої дані за допомогою даних кредитної картки тощо.

Як запобігти атакам соціальної інженерії?

Ось кілька важливих способів захисту від усіх типів атак соціальної інженерії:

Уникайте підключення невідомого USB до комп’ютера.
Ніколи не натискайте на посилання в електронних листах чи повідомленнях.
Використовуйте надійні паролі (і менеджер паролів).
Використовуйте багатофакторну аутентифікацію.
Будьте дуже обережні, будуючи дружбу лише в Інтернеті.
Тримайте все програмне забезпечення оновленим.
Захистіть свої комп’ютерні пристрої.
Придбайте антивірусне програмне забезпечення.
Регулярно створюйте резервні копії даних.
Регулярно знищуйте конфіденційні документи.
Використовувати VPN.
Заблокуйте ноутбук

Протидія соціальної інженерії

Більшість методів, які використовують соціальні інженери, включають маніпулювання людськими упередженнями. Щоб протистояти таким методам, організація може:

Щоб протистояти експлойту знайомства, користувачів необхідно навчити не замінювати ознайомлення із заходами безпеки. Навіть люди, з якими вони знайомі, повинні довести, що вони мають дозвіл на доступ до певних областей та інформації.
Для протидії нападам залякування обставин, Користувачі повинні бути навчені визначати методи соціальної інженерії, які виловлюють конфіденційну інформацію, і ввічливо відмовляти.
Для протидії технікам фішингу, більшість сайтів, таких як Yahoo, використовують безпечні з’єднання з зашифрувати дані і довести, що вони ті, за кого себе видають. Перевірка URL може допомогти вам виявити підроблені сайти. Уникайте відповідей на електронні листи з проханням надати особисту інформацію.
Щоб протистояти нападам зловживань, Користувачі повинні бути навчені не дозволяти іншим використовувати їхній дозвіл безпеки для отримання доступу до зон обмеженого доступу. Кожен користувач повинен використовувати власний дозвіл доступу.
Щоб протистояти людській цікавості, підібрані флешки краще здавати на системних адміністраторів, які повинні сканувати їх на наявність вірусів чи іншої інфекції бажано на ізольованій машині.
Для протидії технікам, які використовують людську жадібність, працівники повинні бути навчений про небезпеку попастися на такі шахрайства.

Підсумки

Соціальна інженерія — це мистецтво використання людських елементів для отримання доступу до несанкціонованих ресурсів.
Соціальні інженери використовують низку прийомів, щоб обдурити користувачів, щоб вони розкрили конфіденційну інформацію.
Організації повинні мати політику безпеки, яка має протидію соціальної інженерії.