В тази статия ще обърнем внимание на концепцията за"Социално инженерство." Тук ще бъде разгледано общо определение на термина. Научаваме и кой е бил основателят на тази концепция. Отделно ще говорим за основните методи на социалния инженеринг, които се използват от нападателите.
Методи за коригиране на поведениеточовек и управлява дейността си без използване на технически набор от инструменти, формират общата концепция на социалното инженерство. Всички методи се основават на твърдението, че човешкият фактор е най-разрушителната слабост на всяка система. Често това понятие се разглежда на нивото на незаконната дейност, чрез която нарушителят извършва деяние, насочено към получаване на информация от недобросъвестния субект-жертва. Например, може да е определен тип манипулация. Въпреки това, социалното инженерство се използва и от хората в законни дейности. Днес той най-често се използва за достъп до ресурси със затворена или ценна информация.
Основателят на социалното инженерство еКевин Митник. Самата концепция обаче дойде при нас от социологията. Той обозначава общ набор от подходи, използвани от приложните социални услуги. науки, фокусирани върху промяна на организационната структура, способна да определя човешкото поведение и да упражнява контрол върху него. Кевин Митник може да се счита за основател на тази наука, тъй като именно той популяризира социалното. инженерство през първото десетилетие на 21 век. Самият Кевин преди това е бил хакер, който незаконно е влизал в голямо разнообразие от бази данни. Той твърди, че човешкият фактор е най-уязвимата част от система от всякакво ниво на сложност и организация.
Ако говорим за методите на социалното инженерство катоотносно метода за получаване на права (често незаконни) за използване на поверителни данни, можем да кажем, че те бяха известни от много дълго време. К. Митник обаче успя да предаде пълното значение на тяхната значимост и особености на приложение.
Всяка техника за социално инженерство се основава наналичието на когнитивно изкривяване. Поведенческите грешки се превръщат в "инструмент" в ръцете на квалифициран инженер, който в бъдеще може да създаде атака, насочена към получаване на важни данни. Сред методите на социалното инженерство се отличават фишинг и несъществуващи връзки.
Фишингът е интернет измама, предназначена да получи лична информация, например относно вход и парола.
Несъществуваща връзка - използване на връзката,което ще примами получателя с определени предимства, които могат да бъдат получени, като преминете през него и посетите определен сайт. Най-често те използват имената на големи компании, като правят фини корекции на името си. Жертвата, следвайки връзката, „доброволно“ ще прехвърли личните си данни на нападателя.
Социалният инженеринг също използва методи за измама, използвайки добре известни марки, дефектни антивируси и фалшиви лотарии.
„Измама и марки“ е метод за измама, койтоважи и за фишинг секцията. Това включва имейли и уебсайтове, които съдържат името на голяма и / или „хипирана“ компания. От техните страници се изпращат съобщения с известие за победа в определен конкурс. След това трябва да въведете важна информация за акаунта и да я откраднете. Също така тази форма на измама може да се извърши по телефона.
Фалшива лотария - начин, по който се изпраща съобщение до жертвата с текст, в който се посочва, че той / тя е спечелил от лотарията. Най-често сигналът се маскира, като се използват имената на големи корпорации.
Фалшивите антивируси са измамисофтуер. Той използва програми, които изглеждат като антивирусни. В действителност обаче те водят до генериране на фалшиви сигнали за конкретна заплаха. Те също се опитват да примамят потребителите в сферата на транзакциите.
Говорейки за социално инженерство за начинаещи, също така си струва да споменем вишинг, фрапинг и претекст.
Желанието е форма на изневерителефонни мрежи. Той използва предварително записани гласови съобщения, целта на които е да пресъздаде „официалния разговор“ на банковата структура или друга система за IVR. Най-често от тях се изисква да въведат потребителско име и / или парола, за да потвърдят всяка информация. С други думи, системата изисква удостоверяване от потребителя, използвайки ПИН кодове или пароли.
Измамите са друга форма на изневери по телефона. Това е хакерска система, използваща звукови манипулации и тонално набиране.
Предтекст - атака, използваща предварително изготвен план, същността на който трябва да бъде представена от друго образувание. Изключително сложен начин за изневяра, тъй като изисква внимателна подготовка.
Теория на социалното инженерство - многостранна основаданни, които включват както методи за измама и манипулация, така и методи за справяне с тях. Основната задача на нападателите, като правило, е да извличат ценна информация.
Други видове измами включват: Quid-Pro-Quo, методът "пътна ябълка", сърфиране през рамо, използване на отворени източници и обратни социални. инженерство.
Quid-pro-quo (от лат.- "тогава за това") - опит за извличане на информация от компания или фирма. Това се случва чрез свързване с нея по телефона или чрез изпращане на съобщения по имейл. По-често нападателите се представят като технически персонал. подкрепа, която съобщава за наличието на специфичен проблем на работното място на работника. След това те предлагат начини за отстраняването му, например чрез инсталиране на софтуер. Софтуерът се оказва дефектен и допринася за напредъка на престъплението.
Пътната ябълка е метод за атака, койтосе основава на идеята за троянски кон. Същността му се състои в използването на физически носител и заместването на информацията. Например, те могат да предоставят карта с памет с определена „благодат“, която ще привлече вниманието на жертвата, ще го накара да иска да отвори и използва файла или да последва връзките, посочени в документите на флашката. Обектът на "пътната ябълка" се изпуска на социални места и се чака, докато планът на нападателя бъде изпълнен от някой субект.
Събиране и търсене на информация от отворени източницитип е измама, при която събирането на данни се основава на методите на психологията, способността да се забелязват дребни неща и анализът на наличните данни, например страница от социална мрежа. Това е доста нов начин за социално инженерство.
Сърфирането през рамо се определя катонаблюдавайки обекта на живо в буквалния смисъл. С този тип извличане на данни нападателят отива на обществени места, например кафене, летище, жп гара и шпионира хора.
Не подценявайте този метод катоМного проучвания и проучвания показват, че внимателният човек може да получи много поверителна информация, просто като бъде наблюдателен.
Социално инженерство (като нивосоциологическо знание) е средство за „улавяне“ на данни. Има начини за получаване на данни, при които жертвата сама ще предложи на нападателя необходимата информация. Той обаче може да служи и в полза на обществото.
Обратна социалнаинженерството е друг метод на тази наука. Използването на този термин става подходящо в случая, който споменахме по-горе: жертвата сама ще предложи на нападателя необходимата информация. Не приемайте това твърдение за абсурдно. Факт е, че субектите, надарени с власт в определени области на дейност, често получават достъп до идентификационни данни по собствено решение на субекта. Доверието е основата.
Важно е да запомните! Персоналът за поддръжка никога няма да поиска от потребителя например парола.
Обучението по социално инженерство може да се извършва от физическо лице както на базата на лична инициатива, така и на базата на помощни средства, които се използват в специални образователни програми.
Престъпниците могат да използват най-многоразлични видове измами, вариращи от манипулация до мързел, лековерност, учтивост на потребителя и др. Изключително трудно е да се защитите от този тип атака, поради липсата на информираност на жертвата, че той (тя) е бил измамен. Различни фирми и компании често оценяват общата информация, за да защитят данните си при това ниво на риск. След това необходимите мерки за защита са интегрирани в политиката за сигурност.
Пример за социално инженерство (неговият акт) в тази областПътят на глобалните фишинг имейли е събитие, случило се през 2003 г. В хода на тази измама на потребителите на eBay бяха изпратени имейли на техните имейл адреси. Те твърдяха, че сметките, които им принадлежат, са блокирани. За да отмените блокирането, беше необходимо да въведете отново данните на акаунта. Писмата обаче бяха фалшиви. Превеждали са на страница, идентична на официалната, но фалшива. Според експертни оценки загубата не е много значителна (по-малко от един милион долара).
За приложението на социалното инженерство можепредвиждат наказание в някои случаи. В редица страни, например в САЩ, претекстът (измама чрез представяне за друг човек) се приравнява на нашествие в личния живот. Това обаче може да бъде наказуемо по закон, ако информацията, получена в хода на предварително изпращане на текстови съобщения, е била поверителна от гледна точка на субекта или организацията. Записването на телефонен разговор (като метод за социално инженерство) също е предвидено от закона и изисква глоба от 250 000 долара или лишаване от свобода до десет години за физически лица. лица. Юридическите лица трябва да платят 500 000 $; срокът остава същият.
