Противодействие социальной инженерии Социальная инженерии Социальная инженерия — это система способов психологического манипулирования (воздействия) людьми в целях совершения ими определенных действий или разглашения конфиденциальной информации. Используемые злоумышленниками каналы социальной инженерии 2 Методы социальной инженерии Среди методов используемых злоумышленниками для получения конфиденциальной информации можно выделить следующие: 1. Phishing(Фишинг) 2. Scareware (Пугалка) 3. Baiting (Приманка) 4. Water-Holing(«Водопой») 5. Pretexting attack(Претекстинг) 6. Quid pro quo(Услуга за услугу) 7. Honey Pot(Медовый горшочек) 8. Tailgating (Катание на спине) 9. Rogue Attack (Мошенническая атака) 3 Фишинг Эти атаки активно эксплуатируют человеческий фактор для сбора учётных данных или для распространения вредоносных программ. Можно сказать, что фишинг — это мошенническое использование электронных коммуникаций для обмана и получения выгоды от пользователей. Чаще всего с помощью фишинговых атак злоумышленники пытаются получить такую конфиденциальную информацию, как логины и пароли, данные кредитных карт, сетевые учётные данные. Бывает: ◦ Целевой фишинг (Spear Phishing) ◦ Голосовой фишинг (Vishing, Voice Phishing) ◦ Смишинг (Smishing, SMS-фишинг) ◦ «Китобойный» фишинг (Whale Phishing) ◦ Клон-фишинг (Clone Phishing) 4 Пугалка Данный метод основан на такой эмоции человека как страх. Обычно суть атак состоит в том, что сначала жертву запугивают появлением какой-то серьёзной угрозы, после чего предлагается вариант ее устранения данной угрозы путем установки определенного вредоносного ПО. Самым частым вариантом являются появление всплывающих окон при посещении взломанных мошенниками сайтов. Эти окна заставляют жертву думать, что она случайно скачала нелегальный контент или что её компьютер заражён вредоносным ПО. После того как жертва созрела ей предлагается установить антивирусное ПО для устранения этой фиктивной проблемы, однако именно эта программа является вредоносным ПО с помощью, которого злоумышленник сможет получить личные данные жертвы. 5 Приманка Довольно оригинальный метод социальной инженерии, основное давление направленный на один из самых распространённых человеческих пороков — любопытство. Суть метода довольно проста злоумышленник оставляет приманку в таком месте, в котором жертва обязательно найдет её. В качестве приманки выступает зараженное вредоносным ПО запоминающее устройство, например USB-флешка. Жертва находит эту нехитрую наживку и вставляет флешку компьютер, в результате чего с этой флешки происходит установка вредоносного ПО с помощью, которого злоумышленник получает доступ к личным данным жертвы или доступ в сеть организации. 6 Водопой Суть атаки отражается в названии, только вода заражена, а в качестве воды здесь выступает какой-то общий ресурс, например веб-сайт. Злоумышленники, используя сетевые уязвимости, пытаются скомпрометировать определённую группу людей, заражая сайты, на которые они часто заходят и которым доверяют. Объектами атак подобного типа часто становятся популярные сайты, которые называют «целевой группой», а своих жертв злоумышленники, практикующие подобные атаки называют «целевой добычей», и чаще всего в роли такой добычи выступают сотрудники государственных учреждений или крупных организаций. 7 Претекстинг Суть проста и заключается в том, что злоумышленник просто лжёт своей жертве с целью получения конфиденциальных данным. Однако реализация не является чем-то простым. Злоумышленнику необходимо подготовиться, собрать информацию о своей жертве после чего постепенно завоёвывает её доверие. Чаще всего атака инициируется недобросовестным сотрудником, который делает вид, что ему нужна конфиденциальная информация от жертвы для выполнения важной задачи. Никакого взлома — чистое психологическое воздействие, которое выглядит очень естественно. 8 Услуга за услугу Quid pro quo от лат. «услуга за услугу». Подобный метод атаки обычно выполняется мошенниками, которые не имеют в своём арсенале продвинутых инструментов взлома, однако они могут и проводят предварительное исследование целей. Например, злоумышленник, проведя подготовку выяснил что жертва имеет высокий уровень доступа в сети организации после чего злоумышленник звонит жертве и представляется сотрудником службы поддержки. После успешных переговоров и получения согласия на оказание помощь в решении обнаруженной проблемы злоумышленник может получить доступ к компьютеру жертвы или начинает управлять ей заставляя совершать определённые действия, которые в конечном итоге приводят к запуску вредоносного ПО в систему или же к краже конфиденциальных данных. 9 Медовый горшочек Honey Pot или горшочек мёда. Принцип атаки состоит в том, что мошенник знакомится с жертвой притворяясь, что испытывает к ней определённый интерес, например, романтическое влечение. После знакомства завязываются виртуальные отношения, которые жертва начинает воспринимать всерьёз, а злоумышленник, не теряя времени постепенно собирает конфиденциальную информацию. Эта информация может быть использована, например, для взлома аккаунтов в соцсетях или электронной почты. Также злоумышленник может получить удаленный доступ к компьютеру жертвы. 10 Катание на спине Tailgating или катание на спине. Довольно оригинальный и простой, по сути, но не по реализации метод. Суть заключается в том, что злоумышленник просто заходить на территорию охраняемого объекта просто следуя за кем-то с картой доступа. Само собой злоумышленник уже получил доверия пользователя, например используя метод, Honey Pot, что как описывалось ранее требует определенных усилий и времени. 11 Мошенническая атака Этот способ представляет собой разновидность Scareware атак. На компьютер жертвы под предлогом безопасности устанавливается вредоносное ПО, а злоумышленник убеждает жертву, что это программное обеспечение полностью законно и безопасно. Установленная программа затем создаёт всплывающие окна и оповещения, которые советуют пользователю загрузить новое «безопасное программное обеспечение». Всплывающие окна нередко показывают пользователю несколько вариантов соглашения (с разными сценариями). Однако разницы нет: нажав «да» на любой из этих вариантов, пользователь загружает на свой компьютер опасную программу. Теперь компьютер в распоряжении злоумышленника. 12 Методы противодействия Самый важный шаг в защите отдельных сотрудников и целой организации от атак с помощью социальной инженерии — систематическое и постоянное информирование всех пользователей (на всех уровнях и во всех отделах) о типах этих атак и о том, какие психологические приёмы используют злоумышленники, чтобы получить нужные данные. − Двухфакторная аутентификация (2FA). − Правильный подбор и периодическая смена пароля − Тщательно проверять имя отправителя и адрес электронной почты − С подозрением относитесь к любым неожиданным сообщениям − Избегайте загрузки подозрительных вложений электронной почты − Не переходите по ссылкам из подозрительных писем 13
