fbpx
0.8 C
София

Що е то „социално инженерство“

Най-четени

Манипулацията винаги е била изключително силно оръжие през цялата човешка история. Много битки, тронове и богатства са спечелени благодарение на умелото боравене с нея. Но кой да предположи, че в технологичния 21-и век тя все още дебне от злокобния си тъмен ъгъл?

Манипулацията е в основата на една от най-големите възможности за пробиви в сигурността и незаконно придобиване на данни. Става дума за потайното „социално инженерство“. То представлява изкуството да манипулираш потребителите на една компютърна система с цел те да разкрият поверителна информация, която може да бъде използвана за пробив в системата. Към определението за  „социално инженерство“ може да се добави и експлоатация на човешки качества като съчувствие, алчност и любопитство с цел да се проникне до засекретени данни или да се инсталира зловреден софтуер на корпоративни и лични компютри.

За да се предпазим от атака от типа  „социално инженерство“, първо трябва да сме запознати с етапите от нейното осъществяване. Всичко започва със събирането на информация от страна на хакера. На този начален етап се набавя обширна информация за жертвата. Това става от корпоративни сайтове, различни публикации, а понякога дори и чрез разговори със самата жертва. След приключването на този етап идва планирането на атаката. Хакерът изгражда стъпките на своята стратегия въз основа на събраната информация. Следва снабдяване с нужните инструменти. Извършващият атаката си набавя всичко, което му е нужно, за да реализира стратегията си, като в това число влиза софтуерът, който ще се използва за стартирането на самата атака.Така достигаме до самото осъществяване на пробива, който става чрез възползване от набелязаните слабости в системата, която се атакува. Последният етап се състои в използване на събраната информация. Това може да са имена на домашни любимци, рождени дни и подобни, за да се разгадаят определени пароли за достъп.

След като разгледахме основната структура на една атака от типа  „социално инженерство“ е ред да обърнем поглед към най-често използваните техники от страна на хакерите.

Един от най-разпространените подходи е сближаването. Чисто и просто човек е по-склонен да споделя информация с хора, които познава и са му малко или много близки. Хакерът може да се опитва да поддържа контактите си с жертвата, като я придружава в обедните почивки или по различни социални събития. Да осъществява комуникация с нея както чрез различни социални мрежи, така и лице в лице. В непринудените разговори „нападателят“ ще пита за неща като име на домашен любимец, дата на сватбата, къде е била първата среща с брачния партньор, кой е родният град на жертвата и т.н. Това е информация, която може да се използва за пробиване на имейли, при които често се използват подобни въпроси, за да се потвърди самоличността на потребителя.

Друг популярен подход е предизвикването на чувството за заплаха. Много често хакерът внушава страхопочитание сред околните като извършва публично разговор по телефон със свой съучастник. По време на такива разговори той се държи много агресивно и нападателно. Следва контакт с жертвата, от която се изисква някаква информация. За да си спести неприятни емоции и/или конфронтация тя е склонна бързо да сподели това, което се иска от нея. Тази техника често се използва за избягване на пропускателни пунктове на сгради и учреждения.

„Социалното инженерство“ може да придобие и много сложен облик когато се комбинира с друга опасна атаката, наречена „фишинг“. Чрез тази техника на жертвата се предоставят фалшиви копия на сайтове като Yahoo, Google, Facebook и др. (между тях и оригиналните интернет страница няма абсолютно никаква визуална разлика) и се изисква от нея да извърши процедура по потвърждаване на потребителско име и парола. Когато жертвата извърши това, то данните отиват директно при хакера, който е създал фалшивия сайт. Възможно е освен сайтове да се направят и фалшиви копия на приложения, чрез които в още по-сериозната степен да се манипулира жертвата. Един много често срещан нетехнологичен вариант на „фишинг“ са телефонните измами. Престъпникът подлъгва жертвата като я поставя във фалшиви спешни ситуации, представяйки се за някакъв вид длъжностно лице. В основата си схемата е същата.

Много често от учтивост или поради бързане хората лесно се поддават на техниката с непосредственото следене. Когато някой служител преминава в зона с ограничен достъп, той може да допусне в нея друг човек, който просто върви точно зад него.

Сред най-успешните похвати е този, който залага на човешкото любопитство. Възможно е хакерът да подхвърли USB флаш памет, на която да е записан някакъв вирус. Все някой ще я намери и от любопитство ще я отвори на компютъра си. Там може да има файлове с имена от рода на „Увеличение на заплатите на служителите“, „План за съкращение на персонала“, в които реално да е поставен вирусът.

На човешкото любопитство обаче не отстъпва алчността! При тази техника хакерът привлича вниманието на жертвата с възможността за лесна печала на много пари. Пример за такъв подход е подканването на жертвата да попълни някакъв електронен формуляр с цел лесна печалба. В последствие предоставената информация се използва при изпълнението на атаката.

Колкото и страшно да изглежда „социалното инженерство“, все пак съществуват начини, чрез които да се предпазим от него или поне да го ограничим.

Всеки един от нас трябва да прави ясно разграничение между близките отношение и мерките за сигурност. Колкото и да ни е близък някакъв човек това не му дава достъп до определени секретни пространства или данни. Не трябва да се поддаваме на психологически натиск и учтиво да откажем, когато от нас се изисква информация, която е чувствителна по своето естество. Когато работим със сайтове задължително трябва да проверяваме дали адресът е точен и да не отговаряме моментално на имейли, които изискват от нас предоставянето на каквато и да е информация. Зоните с ограничен достъп не случайно се казват така. В тях всеки трябва да влиза чрез личното си позволение за достъп. Никога не използвайте непозната или намерена USB флаш памет на компютър, който е свързан в мрежа с други машини. Ако сте чак толкова любопитни да видите какво има на нея, използвайте машина, която не е в мрежа. И най-накрая, не се поддавайте на предложенията за лесни пари, никой досега не е станал богат с попълването на формуляр в интернет.

„Социалното инженерство“ става все по-голяма заплаха и доказателство за това е нарастващата ангажираност на държавни и международни структури за справяне с този проблем. Примери за това е експертната среща през февруари 2018 г. между страни членки на ЕС  и представители на израелската полиция, които дискутираха именно проблема със „социалното инженерство“.  Един от основните изводи, до които се стига е, че има огромна нужда от обучаване на персонала, във фирми и учреждения, с цел прихващане и предотвратяване на атаки от типа „социално инженерство“.

Тази опасна атака е „прославила“ не един и двама хакери. Едно от най-впечатляващите имена е това на Кевин Митник. Той си печели прозвището на най-издирвания компютърен престъпник в американската история. Сред най-големите му „постижения“  е декодирането на телефонни мрежи, като подслушва мобилни мрежи и използва информацията за много от своите „удари“. Митник се добира до изключително ценни корпоративни данни, като дори пробива системата на Агенцията за националност сигурност на САЩ.

Друг известен хакер е Кевин Поулсън. Той успява да пробие телефонните линии на американската радиостанция KIIS-FM, като става 102-ят обадил се зрител в радио игра и печели „Порше“. След това той извършва серия от подобни престъпления.

Можем да изброим още няколко „легенди“ от тъмната страна на интернет, но важното е да се осъзнае сериозният обхват и пораженията на „социалното инженерство“. Колкото повече знаем, толкова по-малък е рискът да станем жертва на атака от такъв тип.


Коментирайте статията в нашите Форуми. За да научите първи най-важното, харесайте страницата ни във Facebook, и ни последвайте в Telegram и Viber или изтеглете приложението на Kaldata.com за Android, iOS и Huawei!

Абонирай се
Извести ме за
guest

0 Коментара
Отзиви
Всички коментари

Нови ревюта

Подобни новини