U ovom članku ćemo obratiti pažnju na koncept "društvenog inženjeringa". Ovdje će se razmotriti opšta definicija pojma. Saznaćemo i o tome ko je bio osnivač ovog koncepta. Razgovarajmo odvojeno o glavnim metodama društvenog inženjeringa koje koriste napadači.
Uvod
Metode koje vam omogućavaju da ispravite ponašanje osobe i upravljate njenim aktivnostima bez upotrebe tehničkog skupa alata čine opći koncept socijalnog inženjeringa. Sve metode se zasnivaju na tvrdnji da je ljudski faktor najrazornija slabost svakog sistema. Često se ovaj koncept razmatra na nivou nezakonite aktivnosti, kroz koju kriminalac vrši radnju u cilju dobijanja informacija od subjekta-žrtve na nepošten način. Na primjer, to bi mogla biti neka vrsta manipulacije. Međutim, društveni inženjering ljudi također koriste u legitimnim aktivnostima. Do danas se najčešće koristi za pristup resursima s osjetljivim ili osjetljivim informacijama.
Osnivač
Osnivač društvenog inženjeringa je Kevin Mitnick. Međutim, sam koncept došao je do nas iz sociologije. Označava opći skup pristupa koje koriste primijenjene društvene. nauke fokusirane na promjenu organizacijske strukture koja može odrediti ljudsko ponašanje i vršiti kontrolu nad njim. Kevin Mitnick se može smatrati osnivačem ove nauke, jer je upravo on popularizirao društveno. inženjerstva u prvoj deceniji 21. veka. Sam Kevin je ranije bio haker koji je ilegalno ulazio u razne baze podataka. On je tvrdio da je ljudski faktor najranjivija tačka sistema bilo kog nivoa složenosti i organizacije.
Ako govorimo o metodama socijalnog inženjeringa kao načinu za dobijanje prava (često nezakonitih) na korištenje povjerljivih podataka, možemo reći da su one poznate već jako dugo. Međutim, K. Mitnick je bio taj koji je mogao prenijeti važnost njihovog značenja i osobenosti primjene.
phishing i nepostojeći linkovi
Svaka tehnika socijalnog inženjeringa zasniva se na prisutnosti kognitivnih distorzija. Greške u ponašanju postaju "alat" u rukama stručnog inženjera, koji u budućnosti može kreirati napad u cilju dobijanja važnih podataka. Među metodama društvenog inženjeringa razlikuju se phishing i nepostojeći linkovi.
Phishing je online prevara dizajnirana za dobijanje ličnih podataka kao što su korisničko ime i lozinka.
Nepostojeći link - korištenje linka koji će primaoca namamiti određenimpogodnosti koje se mogu ostvariti klikom na nju i posjetom određenom web mjestu. Najčešće se koriste imena velikih kompanija, suptilno prilagođavajući njihovo ime. Žrtva će klikom na link "dobrovoljno" prenijeti svoje lične podatke napadaču.
Metode koje koriste brendove, neispravne antiviruse i lažnu lutriju
Društveni inženjering također koristi prevare s markama, neispravne antiviruse i lažne lutrije.
"Prevara i brendovi" - metoda obmane, koja takođe spada u phishing sekciju. Ovo uključuje e-poruke i web stranice koje sadrže naziv velike i/ili "naglašene" kompanije. Sa njihovih stranica se šalju poruke sa obavještenjem o pobjedi na određenom takmičenju. Zatim morate unijeti važne informacije o računu i ukrasti ih. Takođe, ovaj oblik prevare se može izvršiti telefonom.
Lažna lutrija - metoda u kojoj se žrtvi šalje poruka sa tekstom da je (a) dobio (a) na lutriji. Najčešće se upozorenje maskira pomoću imena velikih korporacija.
Lažni antivirusi su softverske prevare. Koristi programe koji izgledaju kao antivirusi. Međutim, u stvarnosti dovode do generiranja lažnih obavijesti o određenoj prijetnji. Oni također pokušavaju namamiti korisnike u sferu transakcija.
Vishing, frikanje i izgovor
Dok govorimo o socijalnom inženjeringu za početnike, treba spomenuti i vishing, phreaking i izgovore.
Vishing je oblik obmane koja koristi telefonske mreže. Koristi unaprijed snimljene glasovne poruke, čija je svrha da rekreira "službeni poziv" bankarske strukture ili bilo kojeg drugog IVR sistema. Najčešće se od njih traži da unesu korisničko ime i/ili lozinku kako bi potvrdili bilo koju informaciju. Drugim riječima, sistem zahtijeva autentifikaciju od strane korisnika pomoću PIN kodova ili lozinki.
Freaking je još jedan oblik telefonske prevare. To je hakerski sistem koji koristi manipulaciju zvukom i tonsko biranje.
Pretekst je napad koji koristi unaprijed smišljeni plan, čija je suština predstavljanje drugog subjekta. Izuzetno težak način varanja, jer zahtijeva pažljivu pripremu.
Quid Pro Quo i metoda putne jabuke
Teorija socijalnog inženjeringa je višestruka baza podataka koja uključuje i metode obmane i manipulacije, kao i načine da se s njima nosi. Glavni zadatak uljeza je, po pravilu, da izvuku vrijedne informacije.
Druge vrste prevara uključuju: quid pro quo, road apple, surfovanje na ramenima, open source i obrnute društvene mreže. inženjering.
Quid-pro-quo (od latinskog - "za ovo") - pokušaj izvlačenja informacija iz kompanije ili firme. To se dešava ako je kontaktirate telefonom ili slanjem poruka putem e-maila. Najčešće napadačipretvarati se da su zaposleni. podrške, koji prijavljuju prisustvo određenog problema na radnom mestu zaposlenog. Zatim predlažu načine da se to popravi, na primjer instaliranjem softvera. Ispostavilo se da je softver neispravan i promovira zločin.
Cestovna jabuka je metoda napada koja se zasniva na ideji trojanskog konja. Njegova suština je u korištenju fizičkog medija i zamjeni informacija. Na primjer, mogu pružiti memorijsku karticu s određenim "dobrom" koja će privući pažnju žrtve, izazvati želju za otvaranjem i korištenjem datoteke ili slijediti veze navedene u dokumentima fleš diska. Objekt "jabuka ceste" se ispušta na društvenim mjestima i čeka dok neki subjekt ne provede plan uljeza.
Prikupljanje i traženje informacija iz otvorenih izvora je prevara u kojoj se prikupljanje podataka zasniva na metodama psihologije, sposobnosti uočavanja sitnica i analizi dostupnih podataka, na primjer, stranica sa društvene mreže. Ovo je prilično nov način društvenog inženjeringa.
Surfovanje preko ramena i obrnuto. inženjering
Koncept "surfovanja po ramenu" sebe definiše kao gledanje subjekta uživo u doslovnom smislu. Sa ovom vrstom ribolova podataka, napadač odlazi na javna mjesta, kao što su kafić, aerodrom, željeznička stanica i prati ljude.
Ne podcjenjujte ovu metodu, jer mnoge ankete i studije pokazuju da pažljiva osoba može dobiti mnogo povjerljivih podatakainformacije jednostavno tako što ćete biti pažljivi.
Društveni inženjering (kao nivo sociološkog znanja) je sredstvo za "hvatanje" podataka. Postoje načini za dobijanje podataka u kojima će žrtva sama ponuditi napadaču potrebne informacije. Međutim, može poslužiti i za dobro društva.
Obrnuti društveni inženjerstvo je još jedna metoda ove nauke. Upotreba ovog termina postaje prikladna u slučaju koji smo spomenuli gore: žrtva će sama ponuditi napadaču potrebne informacije. Ovu izjavu ne treba shvatiti kao apsurdnu. Činjenica je da subjekti koji imaju ovlaštenja u određenim oblastima djelovanja često dobijaju pristup identifikacionim podacima po vlastitoj odluci. Osnova ovdje je povjerenje.
Važno zapamtiti! Osoblje podrške nikada neće tražiti od korisnika lozinku, na primjer.
Informacije i zaštita
Obuku iz društvenog inženjeringa pojedinac može obaviti ili na osnovu lične inicijative ili na osnovu beneficija koje se koriste u posebnim programima obuke.
Kriminalci mogu koristiti razne vrste obmane, u rasponu od manipulacije do lijenosti, lakovjernosti, ljubaznosti korisnika, itd. Izuzetno je teško zaštititi se od ove vrste napada, jer žrtva nema svijest da je) varao. Razne firme i kompanije kako bi zaštitile svoje podatke na ovom nivou opasnosti često se angažuju u evaluaciji opštih informacija. Sljedeći korak je integracija potrebnogzaštite sigurnosne politike.
Primjeri
Primjer društvenog inženjeringa (njegov čin) u polju globalnih phishing poruka je događaj koji se dogodio 2003. godine. E-mailovi su slani eBay korisnicima tokom ove prevare. Tvrdili su da su im računi blokirani. Za otkazivanje blokade bilo je potrebno ponovo unijeti podatke računa. Međutim, pisma su bila lažna. Preveli su na stranicu identičnu zvaničnoj, ali lažnu. Prema procjenama stručnjaka, gubitak nije bio previše značajan (manji od milion dolara).
Definicija odgovornosti
U nekim slučajevima upotreba socijalnog inženjeringa može biti kažnjiva. U brojnim zemljama, kao što su Sjedinjene Američke Države, lažno predstavljanje (prevara lažnim predstavljanjem druge osobe) izjednačava se s invazijom na privatnost. Međutim, ovo može biti kažnjivo po zakonu ako su informacije dobijene tokom izgovora bile povjerljive sa stanovišta subjekta ili organizacije. Snimanje telefonskog razgovora (kao metoda socijalnog inženjeringa) također je propisano zakonom i zahtijeva kaznu od 250.000 dolara ili zatvorsku kaznu do deset godina za pojedince. osobe. Pravna lica su dužna da plate 500.000 dolara; rok ostaje isti.
