Краткое описание безопасности в организации
Следующие списки и таблицы предоставят сжатую памятку методов, используемых социальными инженерами, подробно описанных в главах с 2 по 14, и процедур подтверждения личности, описанных в главе 16. Модифицируйте эту информацию для вашей организации, сделайте ее доступной, чтобы для ваши сотрудники пользовались ей в случае возникновения вопросов по безопасности.
Определение атаки
Эти таблицы помогут вам обнаружить атаку социального инженера.
Действие ОПИСАНИЕ Исследование Может включать в себя ежегодные отчеты, брошюры, открытые заявления, промышленные журналы, информацию с вэб-сайта. А также выброшенное в помойки.
Создание взаимопонимания и доверия Использование внутренней информации, выдача себя за другую личность, называние имен людей, знакомых жертве, просьба о помощи, или начальство.
Эксплуатация доверия Просьба жертве об информации или совершении действия. В обратной социальной инженерии, жертва просит атакующего помочь.
Применение информации Если полученная информация — лишь шаг к финальной цепи, атакующий возвращается к более ранним этапам, пока цель не будет достигнута.
Типичные методы действий социальных инженеров Представляться другом-сотрудником Представляться сотрудником поставщика, партнерской компании, представителем закона Представляться кем-либо из руководства Представляться новым сотрудником, просящим о помощи Представляться поставщиком или производителем операционных систем, звонящим, чтобы предложить обновление или патч. Предлагать помощь в случае возникновения проблемы, потом заставить эту проблему возникнуть, принуждая жертву попросить о помощи Отправлять бесплатное ПО или патч жертве для установки Отправлять вирус или троянского коня в качестве приложения к письму Использование фальшивого pop-up окна, с просьбой аутентифицироваться еще раз, или ввести пароль Записывание вводимых жертвой клавиш компьютером или программой Оставлять диск или дискету на столе у жертвы с вредоносным ПО Использование внутреннего сленга и терминологии для возникновения доверия Предлагать приз за регистрацию на сайте с именем пользователя и паролем Подбрасывать документ или папку в почтовый отдел компании для внутренней доставки Модифицирование надписи на факсе, чтобы казалось, что он пришел из компании Просить секретаршу принять, а потом отослать факс Просить отослать документ в место, которое кажущееся локальным Получение голосовой почты, чтобы работники, решившие перезвонить, подумали, что атакующий — их сотрудник Притворяться, что он из удаленного офиса и просит локального доступа к почте.
Предупреждающие знаки атаки Отказ назвать номер Необычная просьба Утверждение, что звонящий — руководитель Срочность Угроза негативными последствиями в случае невыполнения Испытывает дискомфорт при опросе Называет знакомые имена Делает комплименты Флиртует
Типичные цели атакующих
ТИП ЖЕРТВЫ ПРИМЕРЫ
Незнающая о ценности информации Секретари, телефонистки, помощники администрации, охрана.
Имеющая особенные привилегии Отдел технической поддержки, системные администраторы, операторы, администраторы телефонных систем.
Поставщик/ Изготовитель Производители компьютерных комплектующих, ПО, поставщики систем голосовой почты.
Особый отдел Бухгалтерия, отдел кадров.
Факторы, делающие компанию более уязвимой к атакам Большое количество работников Множество филиалов Информация о местонахождении сотрудников на автоответчике Информация о внутренних телефонах общедоступна Поверхностное обучение правилам безопасности Отсутствие системы классификации информации Отсутствие системы сообщения об инцидентах
Проверка и классификация информации
Эти таблицы и списки помогут вам ответить на просьбы или действия, которые могут быть атакой социального инженера.
|
