Τι είναι η Κοινωνική Μηχανική;
Η κοινωνική μηχανική είναι η τέχνη του χειρισμού των χρηστών ενός υπολογιστικού συστήματος για την αποκάλυψη εμπιστευτικών πληροφοριών που μπορούν να χρησιμοποιηθούν για την απόκτηση μη εξουσιοδοτημένης πρόσβασης σε ένα σύστημα υπολογιστή. Ο όρος μπορεί επίσης να περιλαμβάνει δραστηριότητες όπως εκμετάλλευση της ανθρώπινης καλοσύνης, απληστία και περιέργεια να αποκτήσουν πρόσβαση σε κτίρια περιορισμένης πρόσβασης ή να κάνουν τους χρήστες να εγκαταστήσουν λογισμικό backdoor.
Γνωρίζοντας τα κόλπα που χρησιμοποιούν οι χάκερ για να εξαπατήσουν τους χρήστες να απελευθερώσουν σημαντικές πληροφορίες σύνδεσης, μεταξύ άλλων, είναι θεμελιώδους σημασίας για την προστασία των συστημάτων υπολογιστών
Σε αυτό το σεμινάριο, θα σας παρουσιάσουμε τις κοινές τεχνικές κοινωνικής μηχανικής και πώς μπορείτε να βρείτε μέτρα ασφαλείας για την αντιμετώπισή τους.
Θέματα που καλύπτονται σε αυτό το σεμινάριο
- Πώς λειτουργεί η κοινωνική μηχανική;
- Κοινές τεχνικές κοινωνικής μηχανικής
- Αντίθετα μέτρα κοινωνικής μηχανικής
Πώς λειτουργεί η κοινωνική μηχανική;
ΕΔΩ,
- Συγκεντρώστε πληροφορίες : Αυτό είναι το πρώτο στάδιο, μαθαίνει όσο μπορεί για το επιδιωκόμενο θύμα. Οι πληροφορίες συλλέγονται από ιστότοπους εταιρειών, άλλες δημοσιεύσεις και μερικές φορές μιλώντας με τους χρήστες του συστήματος στόχου.
- Plan Attack : Οι επιτιθέμενοι περιγράφουν πώς σκοπεύει να εκτελέσει την επίθεση
- Εργαλεία απόκτησης : Αυτά περιλαμβάνουν προγράμματα υπολογιστών που θα χρησιμοποιήσει ένας εισβολέας κατά την έναρξη της επίθεσης.
- Attack : Εκμεταλλευτείτε τις αδυναμίες στο σύστημα στόχου.
- Χρήση αποκτηθείσας γνώσης : Οι πληροφορίες που συλλέγονται κατά τη διάρκεια της τακτικής κοινωνικής μηχανικής, όπως ονόματα κατοικίδιων, ημερομηνία γέννησης των ιδρυτών του οργανισμού κ.λπ., χρησιμοποιούνται σε επιθέσεις όπως η εκτίμηση κωδικού πρόσβασης
Κοινές τεχνικές κοινωνικής μηχανικής:
Οι τεχνικές κοινωνικής μηχανικής μπορούν να λάβουν πολλές μορφές . Ακολουθεί η λίστα των τεχνικών που χρησιμοποιούνται συνήθως.
- Εκμετάλλευση εξοικείωσης: Οι χρήστες είναι λιγότερο ύποπτοι για τα άτομα με τα οποία είναι εξοικειωμένοι. Ένας εισβολέας μπορεί να εξοικειωθεί με τους χρήστες του συστήματος στόχου πριν από την επίθεση κοινωνικής μηχανικής. Ο εισβολέας μπορεί να αλληλεπιδράσει με τους χρήστες κατά τη διάρκεια των γευμάτων, όταν οι χρήστες καπνίζουν μπορεί να συμμετάσχει, σε κοινωνικές εκδηλώσεις κ.λπ. Αυτό κάνει τον εισβολέα οικείο στους χρήστες. Ας υποθέσουμε ότι ο χρήστης εργάζεται σε ένα κτίριο που απαιτεί κωδικό πρόσβασης ή κάρτα για να αποκτήσει πρόσβαση. ο εισβολέας μπορεί να ακολουθήσει τους χρήστες καθώς εισέρχονται σε τέτοια μέρη. Οι χρήστες προτιμούν να κρατούν την πόρτα ανοιχτή για να εισέλθει ο εισβολέας καθώς είναι εξοικειωμένοι με αυτούς. Ο εισβολέας μπορεί επίσης να ζητήσει απαντήσεις σε ερωτήσεις όπως το πού συναντήσατε τον σύζυγό σας, το όνομα του καθηγητή μαθηματικών γυμνασίου κ.λπ. Οι χρήστες είναι πιθανότερο να αποκαλύψουν απαντήσεις καθώς εμπιστεύονται το οικείο πρόσωπο.Αυτές οι πληροφορίες θα μπορούσαν να χρησιμοποιηθούν για να χαράξουν λογαριασμούς email και άλλους λογαριασμούς που θέτουν παρόμοιες ερωτήσεις αν ξεχάσει τον κωδικό πρόσβασής του.
- Εκφοβιστικές περιστάσεις : Οι άνθρωποι τείνουν να αποφεύγουν τους ανθρώπους που εκφοβίζουν άλλους γύρω τους. Χρησιμοποιώντας αυτήν την τεχνική, ο εισβολέας μπορεί να προσποιείται ότι έχει ένα θερμό επιχείρημα στο τηλέφωνο ή με έναν συνεργό του στο σχέδιο. Ο εισβολέας μπορεί στη συνέχεια να ζητήσει από τους χρήστες πληροφορίες που θα μπορούσαν να χρησιμοποιηθούν για να θέσουν σε κίνδυνο την ασφάλεια του συστήματος των χρηστών. Οι χρήστες πιθανότατα δίνουν τις σωστές απαντήσεις μόνο για να αποφύγουν την αντιπαράθεση με τον εισβολέα. Αυτή η τεχνική μπορεί επίσης να χρησιμοποιηθεί για να αποφευχθεί ο έλεγχος σε σημείο ελέγχου ασφαλείας.
- Ηλεκτρονικό ψάρεμα : Αυτή η τεχνική χρησιμοποιεί απατηλή και εξαπάτηση για τη λήψη ιδιωτικών δεδομένων από χρήστες. Ο κοινωνικός μηχανικός μπορεί να προσπαθήσει να πλαστοπροσωπήσει έναν γνήσιο ιστότοπο όπως το Yahoo και στη συνέχεια να ζητήσει από τον ανυποψίαστο χρήστη να επιβεβαιώσει το όνομα και τον κωδικό πρόσβασης του λογαριασμού του. Αυτή η τεχνική θα μπορούσε επίσης να χρησιμοποιηθεί για τη λήψη πληροφοριών πιστωτικής κάρτας ή άλλων πολύτιμων προσωπικών δεδομένων.
- Tailgating : Αυτή η τεχνική περιλαμβάνει την παρακολούθηση των χρηστών πίσω όταν μπαίνουν σε περιορισμένες περιοχές. Ως ανθρώπινη ευγένεια, ο χρήστης είναι πιο πιθανό να αφήσει τον κοινωνικό μηχανικό εντός της απαγορευμένης περιοχής.
- Εκμετάλλευση της περιέργειας του ανθρώπου : Χρησιμοποιώντας αυτήν την τεχνική, ο κοινωνικός μηχανικός μπορεί σκόπιμα να ρίξει έναν flash disk που έχει μολυνθεί από ιό σε μια περιοχή όπου οι χρήστες μπορούν εύκολα να τον πάρουν. Ο χρήστης πιθανότατα θα συνδέσει το δίσκο flash στον υπολογιστή. Ο δίσκος flash μπορεί να εκτελέσει αυτόματα τον ιό ή ο χρήστης μπορεί να μπεί στον πειρασμό να ανοίξει ένα αρχείο με ένα όνομα όπως το Employees Revaluation Report 2013.docx το οποίο μπορεί να είναι ένα μολυσμένο αρχείο.
- Εκμετάλλευση της ανθρώπινης απληστίας : Χρησιμοποιώντας αυτήν την τεχνική, ο κοινωνικός μηχανικός μπορεί να δελεάσει τον χρήστη με υποσχέσεις να κερδίσει πολλά χρήματα στο διαδίκτυο συμπληρώνοντας μια φόρμα και να επιβεβαιώσει τα στοιχεία του χρησιμοποιώντας στοιχεία πιστωτικής κάρτας κ.λπ.
Αντίθετα μέτρα κοινωνικής μηχανικής
Οι περισσότερες τεχνικές που χρησιμοποιούν οι κοινωνικοί μηχανικοί περιλαμβάνουν χειρισμό ανθρώπινων προκαταλήψεων . Για την αντιμετώπιση τέτοιων τεχνικών, ένας οργανισμός μπορεί:
- Για να αντιμετωπίσουν την εκμετάλλευση της οικειότητας , οι χρήστες πρέπει να εκπαιδευτούν ώστε να μην αντικαθιστούν την εξοικείωση με τα μέτρα ασφαλείας. Ακόμη και οι άνθρωποι με τους οποίους είναι εξοικειωμένοι πρέπει να αποδείξουν ότι έχουν την άδεια πρόσβασης σε ορισμένες περιοχές και πληροφορίες.
- Για να αντιμετωπίσουν τις εκφοβιστικές περιστάσεις, οι χρήστες πρέπει να εκπαιδευτούν για να εντοπίσουν τεχνικές κοινωνικής μηχανικής που ψάχνουν ευαίσθητες πληροφορίες και ευγενικά λένε όχι.
- Για την αντιμετώπιση τεχνικών ηλεκτρονικού ψαρέματος , οι περισσότεροι ιστότοποι όπως το Yahoo χρησιμοποιούν ασφαλείς συνδέσεις για την κρυπτογράφηση δεδομένων και αποδεικνύουν ότι αυτοί ισχυρίζονται ότι είναι. Ο έλεγχος της διεύθυνσης URL μπορεί να σας βοηθήσει να εντοπίσετε ψεύτικους ιστότοπους . Αποφύγετε την απάντηση σε μηνύματα ηλεκτρονικού ταχυδρομείου που σας ζητούν να δώσετε προσωπικά στοιχεία .
- Για να αντιμετωπίσουν επιθέσεις tailgating, οι χρήστες πρέπει να εκπαιδευτούν ώστε να μην επιτρέπουν σε άλλους να χρησιμοποιούν την άδεια ασφαλείας τους για να αποκτήσουν πρόσβαση σε περιορισμένες περιοχές. Κάθε χρήστης πρέπει να χρησιμοποιεί τη δική του άδεια πρόσβασης.
- Για να αντιμετωπιστεί η περιέργεια του ανθρώπου , είναι καλύτερο να υποβάλετε επιλεγμένους δίσκους flash σε διαχειριστές συστήματος που θα πρέπει να τους σαρώσουν για ιούς ή άλλη λοίμωξη, κατά προτίμηση σε μια απομονωμένη μηχανή.
- Για την αντιμετώπιση τεχνικών που εκμεταλλεύονται την ανθρώπινη απληστία , οι εργαζόμενοι πρέπει να εκπαιδεύονται σχετικά με τους κινδύνους να πέσουν τέτοιες απάτες.
Περίληψη
- Η κοινωνική μηχανική είναι η τέχνη της εκμετάλλευσης των ανθρώπινων στοιχείων για την πρόσβαση σε μη εξουσιοδοτημένους πόρους.
- Οι κοινωνικοί μηχανικοί χρησιμοποιούν πολλές τεχνικές για να ξεγελάσουν τους χρήστες ώστε να αποκαλύψουν ευαίσθητες πληροφορίες.
- Οι οργανισμοί πρέπει να έχουν πολιτικές ασφαλείας που έχουν αντίμετρα κοινωνικής μηχανικής.