Социальная инженерия: использование человеческого фактора для обхода систем безопасности

Чужак

Введение

Социальная инженерия - это техника, используемая хакерами, чтобы манипулировать людьми и получать доступ к конфиденциальной информации. В данном эссе рассматривается случай, в котором хакер использовал социальную инженерию, чтобы получить доступ к глобальной сети крупной компании.

История

Хакер позвонил в отдел сбыта компании и попросил соединить его с мистером Джонсом. Секретарь попросила предоставить дополнительную информацию, и хакер назвал имя «Джо». После соединения с Джономсом, хакер представился сотрудником отдела по начислению заработной платы и сказал, что Джонс сделал запрос на перевод средств. Джонс отрицал это, и хакер запросил его табельный номер для внесения исправлений.

Затем хакер позвонил системному администратору другого подразделения и представился тем же Джозефом Джонсом. Он запросил временную учетную запись для получения электронной почты без междугородних звонков. Системный администратор проверил данные Джонса, включая его табельный номер, и предоставил ему доступ.

Анализ обмана

Хакер использовал информацию из первого звонка, чтобы манипулировать системным администратором и получить доступ к учетной записи. Это пример «слабой безопасности», когда внешние системы защищены сильным брандмауэром, а внутренние системы слабо защищены.

Speakeasy Security

«Прозрачная» безопасность - это тип безопасности, при котором доступ к информации предоставляется тем, кто знает правильную информацию или пароль. Так, как люди проникали в ночные клубы в период сухого закона, зная пароль, хакер использовал известную информацию для получения доступа к учетной записи.

Обман телефонной компании

В примере из фильма «Три дня Кондора» главный герой использует опыт работы в телефонной компании, чтобы получить имя и адрес человека по его телефонному номеру, используя «Службу имен и адресов абонентов». Эта практика, основанная на незнании, не защищает от атак социальной инженерии.

Вывод

Социальная инженерия остается серьезной угрозой для информационной безопасности. Она использует слабости человеческого фактора, в частности, доверие и желание помочь, чтобы получить доступ к конфиденциальной информации. Организации должны обучать своих сотрудников распознавать и реагировать на попытки социальной инженерии.

Шаги по обеспечению защиты от социальной инженерии

• Обучайте сотрудников распознавать признаки социальной инженерии.
• Создавайте политики и процедуры для проверки запрашиваемой информации.
• Реализуйте многофакторную аутентификацию для доступа к критически важным системам.
• Устраняйте внутренние недостатки в безопасности, которые могут быть использованы для получения доступа.
• Постоянно напоминайте сотрудникам о важности защиты конфиденциальной информации.

Ключевые особенности социальной инженерии

Манипуляция людьми

Социальная инженерия - это техника манипулирования людьми для получения доступа к конфиденциальной информации или системам. Хакеры используют психологические приемы, такие как чувство срочности, авторитет и доверие, чтобы побудить людей раскрыть информацию или выполнить определенные действия.

Слабая безопасность

Социальная инженерия часто используется для эксплуатации слабостей в безопасности. Когда внешние системы защищены сильными мерами безопасности, такими как брандмауэры, хакеры могут использовать внутренние недостатки, чтобы получить доступ к сети или системам. Например, они могут использовать учетные записи с слабыми паролями или сотрудников, которые не следуют надлежащим процедурам безопасности.

Speakeasy Security

«Прозрачная» безопасность основана на доступе к информации тем, кто знает правильную информацию или пароль. Хакеры могут использовать эту особенность, чтобы получить доступ к системам или учетным записям, просто зная соответствующую терминологию или имея доступ к внутреннему источнику информации.

Обман телефонной компании

Обман телефонной компании - это техника, используемая хакерами для получения доступа к конфиденциальной информации, такой как имена и адреса людей, по их телефонным номерам. Хакеры могут использовать службу имен и адресов абонентов телефонной компании, которая часто не защищена должным образом, чтобы получить эту информацию.

Обучение и повышение осведомленности

Ключом к защите от социальной инженерии является обучение сотрудников распознавать и реагировать на попытки социальной инженерии. Организации должны проводить регулярные тренинги, чтобы повысить осведомленность о различных методах социальной инженерии и о том, как защитить себя от них.