Кви про кво что это социальная инженерия

Методы социальной инженерии, или атаки на человеческий фактор

QA-инженеры проводят тестирование защищенности программного продукта для выявления уязвимостей и дефектов безопасности. Тем не менее, даже систему, обладающую высокой степенью защиты, можно взломать просто потому, что ею управляет человек.

Социальная инженерия применяется для:

В сфере информационной безопасности термин «социальная инженерия» используется для описания науки и искусства психологической манипуляции. По статистике, 55% убытков, связанных с нарушениями информационной безопасности, возникают по вине сотрудников, подвергшихся влиянию социальных инженеров.

Закажите бесплатную консультацию специалистов a1qa и узнайте, какие угрозы актуальны для вашего программного продукта и что следует протестировать в вашем случае.

Особенности атак на человеческий фактор

Человек зачастую намного более уязвим, чем система. Именно поэтому социальная инженерия направлена на получение информации при помощи человека, особенно в тех случаях, когда невозможно получить доступ к системе (например, компьютер с важными данными отключен от сети).

Общий подход к атаке

Общий принцип всех атак – введение жертвы в заблуждение. Для этого могут использоваться различные тактики, направленные на эмоции, слабости или иные особенности личности:

Популярные техники социальной инженерии

Фишинг

Фишинг-атаки – это самый популярный вид мошенничества в социальной инженерии. Целью фишинга является незаконное получение конфиденциальных данных пользователей (логина и пароля). Для атаки пользователей злоумышленники используют электронную почту, предварительно собрав из открытых источников список работников компании и их имейл-адреса. После сбора адресов хакеры переходят к подготовке письма с полезной нагрузкой.

Полезная нагрузка, как правило, может быть двух типов:

Для создания поддельной страницы злоумышленники копируют HTML- и JavaScript-код оригинального корпоративного ресурса и добавляют изменения, которые позволяют получать пароль и логин, вводимые пользователями.

В офисные файлы, как правило, добавляют вредоносный код, который выполняется при открытии. Для добавления кода используют стандартную функцию Microsoft Office — создание макросов. Запущенный документ скачивает исполняемый файл, который заражает рабочую машину пользователя и предоставляет взломщикам удаленный доступ для кражи информации.

Троянский конь

Эта техника использует такие качества потенциальной жертвы, как любопытство и алчность. Социальный инженер отправляет e-mail с бесплатным видео или обновлением антивируса во вложении. Жертва сохраняет вложенные файлы, которые на самом деле являются троянскими программами. Такая техника останется эффективной до тех пор, пока пользователи продолжают бездумно сохранять или открывать любые вложения.

Помимо вложений злоумышленники могут использовать USB-устройства (накопители и другую периферию).

В такой атаке, как и в случае с вложениями, злоумышленники эксплуатируют любопытство пользователя, который обнаружил флешку на парковке или получил её в подарок на мероприятии.

При подключении такого устройства компьютер определит его как клавиатуру. После этого флешка пошлет компьютеру команды для установки вредоносного программного обеспечения или кражи конфиденциальных данных. Со стороны пользователю будет казаться, что кто-то набирает на компьютере команды с клавиатуры.

Примеры команд, которые можно использовать для атаки пользователей с помощью USB-устройств, можно посмотреть здесь — https://github.com/hak5darren/USB-Rubber-Ducky/wiki/Payloads.

Претекстинг

Претекстинг – это атака, проводимая по заранее подготовленному сценарию. Такие атаки направлены на развитие чувства доверия жертвы к злоумышленнику. Атаки обычно осуществляются по телефону. Этот метод зачастую не требует предварительной подготовки и поиска данных о жертве.

Кви про кво

При использовании этого вида атаки злоумышленники обещают жертве выгоду в обмен на факты. Например, злоумышленник звонит в компанию, представляется сотрудником технической поддержки и предлагает установить «необходимое» программное обеспечение. После того, как получено согласие на установку программ, нарушитель получает доступ к системе и ко всем данным, хранящимся в ней.

Tailgating

Tailgating или piggybacking подразумевает несанкционированный проход злоумышленника вместе с законным пользователем через пропускной пункт. Такой способ невозможно применять в компаниях, где сотрудникам необходимо использовать пропуски для входа на территорию предприятия.

Очевидно, что социальная инженерия может нанести огромный ущерб любой организации. Именно поэтому необходимо принимать все возможные меры, для предотвращения атак на человеческий фактор.

Социальная инженерия: рекомендации по защите

Если вы не хотите стать очередной жертвой социальных инженеров, рекомендуем соблюдать следующие правила защиты:

Если вы все еще считаете, что социальная инженерия не заслуживает должного внимания, почитайте о таких известных социальных инженерах, как Виктор Люстиг (человек, который дважды продал Эйфелеву башню) или Робин Сейдж (фальшивый аккаунт в Facebook, благодаря которому Томас Райан получил доступ к секретной информации американских спецслужб).

Источник

Методы социальной инженерии, или атаки на человеческий фактор

QA-инженеры проводят тестирование защищенности программного продукта для выявления уязвимостей и дефектов безопасности. Тем не менее, даже систему, обладающую высокой степенью защиты, можно взломать просто потому, что ею управляет человек.

Социальная инженерия применяется для:

В сфере информационной безопасности термин «социальная инженерия» используется для описания науки и искусства психологической манипуляции. По статистике, 55% убытков, связанных с нарушениями информационной безопасности, возникают по вине сотрудников, подвергшихся влиянию социальных инженеров.

Закажите бесплатную консультацию специалистов A1QA и узнайте, какие угрозы актуальны для вашего программного продукта и что следует протестировать в вашем случае.

ОСОБЕННОСТИ АТАК НА ЧЕЛОВЕЧЕСКИЙ ФАКТОР

Человек зачастую намного более уязвим, чем система. Именно поэтому социальная инженерия направлена на получение информации при помощи человека, особенно в тех случаях, когда невозможно получить доступ к системе (например, компьютер с важными данными отключен от сети).

Общий подход к атаке

Общий принцип всех атак – введение жертвы в заблуждение. Для этого могут использоваться различные тактики, направленные на эмоции, слабости или иные особенности личности:

ПОПУЛЯРНЫЕ ТЕХНИКИ СОЦИАЛЬНОЙ ИНЖЕНЕРИИ

Фишинг

Фишинг-атаки – это самый популярный вид мошенничества в социальной инженерии. Целью фишинга является незаконное получение конфиденциальных данных пользователей (логина и пароля). Для атаки пользователей злоумышленники используют электронную почту, предварительно собрав из открытых источников список работников компании и их имейл-адреса. После сбора адресов хакеры переходят к подготовке письма с полезной нагрузкой.

Полезная нагрузка, как правило, может быть двух типов:

Для создания поддельной страницы злоумышленники копируют HTML- и JavaScript-код оригинального корпоративного ресурса и добавляют изменения, которые позволяют получать пароль и логин, вводимые пользователями.

В офисные файлы, как правило, добавляют вредоносный код, который выполняется при открытии. Для добавления кода используют стандартную функцию Microsoft Office — создание макросов. Запущенный документ скачивает исполняемый файл, который заражает рабочую машину пользователя и предоставляет взломщикам удаленный доступ для кражи информации.

Троянский конь

Эта техника использует такие качества потенциальной жертвы, как любопытство и алчность. Социальный инженер отправляет e-mail с бесплатным видео или обновлением антивируса во вложении. Жертва сохраняет вложенные файлы, которые на самом деле являются троянскими программами. Такая техника останется эффективной до тех пор, пока пользователи продолжают бездумно сохранять или открывать любые вложения.

Помимо вложений злоумышленники могут использовать USB-устройства (накопители и другую периферию).

В такой атаке, как и в случае с вложениями, злоумышленники эксплуатируют любопытство пользователя, который обнаружил флешку на парковке или получил её в подарок на мероприятии.

При подключении такого устройства компьютер определит его как клавиатуру. После этого флешка пошлет компьютеру команды для установки вредоносного программного обеспечения или кражи конфиденциальных данных. Со стороны пользователю будет казаться, что кто-то набирает на компьютере команды с клавиатуры.

Примеры команд, которые можно использовать для атаки пользователей с помощью USB-устройств, можно посмотреть здесь — https://github.com/hak5darren/USB-Rubber-Ducky/wiki/Payloads.

Претекстинг

Претекстинг – это атака, проводимая по заранее подготовленному сценарию. Такие атаки направлены на развитие чувства доверия жертвы к злоумышленнику. Атаки обычно осуществляются по телефону. Этот метод зачастую не требует предварительной подготовки и поиска данных о жертве.

Кви про кво

При использовании этого вида атаки злоумышленники обещают жертве выгоду в обмен на факты. Например, злоумышленник звонит в компанию, представляется сотрудником технической поддержки и предлагает установить «необходимое» программное обеспечение. После того, как получено согласие на установку программ, нарушитель получает доступ к системе и ко всем данным, хранящимся в ней.

Источник

Социальная инженерия – как не стать жертвой

Социальная инженерия – метод получения необходимого доступа к информации, основанный на особенностях психологии людей. Основной целью социальной инженерии является получение доступа к конфиденциальной информации, паролям, банковским данным и другим защищенным системам. Хотя термин социальной инженерии появился не так давно, сам метод получения информации таким способом используется довольно долго. Сотрудники ЦРУ и КГБ, которые хотят заполучить некоторую государственную тайну, политики и кандидаты в депутаты, да и мы сами, при желании получить что-либо, часто даже не понимая этого, используем методы социальной инженерии.

Для того, чтобы обезопасить себя от воздействия социальной инженерии, необходимо понять, как она работает. Рассмотрим основные типы социальной инженерии и методы защиты от них.

Для использования этой техники злоумышленнику необходимо изначально иметь некоторые данные о жертве (имя сотрудника; должность; название проектов, с которыми он работает; дату рождения). Злоумышленник изначально использует реальные запросы с именем сотрудников компании и, после того как войдет в доверие, получает необходимую ему информацию.

Троянский конь – это техника основывается на любопытстве, страхе или других эмоциях пользователей. Злоумышленник отправляет письмо жертве посредством электронной почты, во вложении которого находится «обновление» антивируса, ключ к денежному выигрышу или компромат на сотрудника. На самом же деле во вложении находится вредоносная программа, которая после того, как пользователь запустит ее на своем компьютере, будет использоваться для сбора или изменение информации злоумышленником.

Кви про кво (услуга за услугу) – данная техника предполагает обращение злоумышленника к пользователю по электронной почте или корпоративному телефону. Злоумышленник может представиться, например, сотрудником технической поддержки и информировать о возникновении технических проблем на рабочем месте. Далее он сообщает о необходимости их устранения. В процессе «решения» такой проблемы, злоумышленник подталкивает жертву на совершение действий, позволяющих атакующему выполнить определенные команды или установить необходимое программное обеспечение на компьютере жертвы.

Дорожное яблоко – этот метод представляет собой адаптацию троянского коня и состоит в использовании физических носителей (CD, флэш-накопителей). Злоумышленник обычно подбрасывает такой носитель в общедоступных местах на территории компании (парковки, столовые, рабочие места сотрудников, туалеты). Для того, чтобы у сотрудника возник интерес к данному носителю, злоумышленник может нанести на носитель логотип компании и какую-нибудь подпись. Например, «данные о продажах», «зарплата сотрудников», «отчет в налоговую» и другое.

Меры противодействия

Основным способом защиты от методов социальной инженерии является обучение сотрудников. Все работники компании должны быть предупреждены об опасности раскрытия персональной информации и конфиденциальной информации компании, а также о способах предотвращения утечки данных. Кроме того, у каждого сотрудника компании, в зависимости от подразделения и должности, должны быть инструкции о том, как и на какие темы можно общаться с собеседником, какую информацию можно предоставлять для службы технической поддержки, как и что должен сообщить сотрудник компании для получения той или иной информации от другого сотрудника.

Кроме этого, можно выделить следующие правила:

Исходя из всего перечисленного, можно сделать вывод: основной способ защиты от социальной инженерии – это обучение сотрудников. Необходимо знать и помнить, что незнание не освобождает от ответственности. Каждый пользователь системы должен знать об опасности раскрытия конфиденциальной информации и знать способы, которые помогут предотвратить утечку. Предупрежден – значит вооружен!

Ещё одним методом защиты от утечки информации является решение «Сервер в Израиле», позволяющее обеспечить высокий уровень конфиденциальности информации.

Источник

Социальная инженерия (безопасность)

Социальная инженерия — это метод управления действиями человека без использования технических средств. Метод основан на использовании слабостей человеческого фактора и считается очень разрушительным. Зачастую социальную инженерию рассматривают как незаконный метод получения информации, однако это не совсем так. Социальную инженерию можно также использовать и в законных целях — не только для получения информации, но и для совершения действий конкретным человеком. Сегодня социальную инженерию зачастую используют в интернете, для получения закрытой информации, или информации, которая представляет большую ценность.

Содержание

История

Социальная инженерия — относительно молодая наука, которая является составной частью социологии, и претендует на совокупность тех специфических знаний, которые направляют, приводят в порядок и оптимизируют процесс создания, модернизации и воспроизведения новых («искусственных») социальных реальностей. Определенным образом она «достраивает» социологическую науку, завершает ее на фазе преобразования научных знаний в модели, проекты и конструкции социальных институтов, ценностей, норм, алгоритмов деятельности, отношений, поведения и т. п. Занятия сориентированы на вооружение слушателей прежде всего методологией аналитико-синтетического мышления и знаниями формализованных процедур (технологий) конструкторско-изобретательской деятельности. В характеристике формализованных операций, из которых складывается это последнее, особое внимание обращается на операции сложной комбинаторики. Игнорирование принципа системности в операциях комбинаторики нанесли и продолжают наносить большой ущерб на всех уровнях трансформационных процессов, которые происходят в нашем обществе. Последовательные знания принципиальных требований к указанным операциям дают основания к предотвращению ошибочных извращений в реформационной практике на ее макро-, мезо- и микроуровнях.

Бывший компьютерный преступник, ныне консультант по безопасности, Кевин Митник популяризовал термин «социальная инженерия», указав, что для злоумышленника гораздо проще хитростью выудить информацию из системы, чем пытаться взломать её.

Техники и термины социальной инженерии

Все техники социальной инженерии основаны на особенностях принятия решений людьми, называемых когнитивным базисом. Они также могут быть названы особенностью принятия решения человеческой и социальной психологий, основанной на том, что человек должен кому-либо доверять в социальной среде воспитания.

Претекстинг

Претекстинг — это действие, отработанное по заранее составленному сценарию (претексту). В результате цель должна выдать определённую информацию или совершить определённое действие. Этот вид атак применяется обычно по телефону. Чаще эта техника включает в себя больше, чем просто ложь, и требует каких-либо предварительных исследований (например, персонализации: дата рождения, сумма последнего счёта и др.), с тем, чтобы обеспечить доверие цели. К этому же виду относятся атаки и по онлайн-мессенджерам, например, по ICQ.

Фишинг

Фишинг — техника, направленная на неправомерное получение конфиденциальной информации. Обычно злоумышленник посылает цели e-mail, подделанный под официальное письмо — от банка или платёжной системы — требующее «проверки» определённой информации или совершения определённых действий. Это письмо обычно содержит ссылку на фальшивую веб-страницу, имитирующую официальную, с корпоративным логотипом и наполнением, и содержащую форму, требующую ввести конфиденциальную информацию — от домашнего адреса до пин-кода банковской карты.

Троянский конь

Эта техника эксплуатирует интерес, любопытство или алчность цели. Злоумышленник отправляет e-mail, содержащий во вложении «клёвый» или «сексуальный» скрин-сейвер, важный апгрейд антивируса или даже свежий компромат на сотрудника. Такая техника остаётся эффективной, пока пользователи будут слепо кликать по любым вложениям.

Дорожное яблоко

Этот метод атаки представляет собой адаптацию троянского коня и состоит в использовании физических носителей. Злоумышленник может подбросить инфицированный CD или флэш в месте, где носитель может быть легко найден (туалет, лифт, парковка). Носитель подделывается под официальный и сопровождается подписью, призванной вызвать любопытство.

Кви про кво

Злоумышленник может позвонить по случайному номеру в компанию и представиться сотрудником техподдержки, опрашивающим, есть ли какие-либо технические проблемы. В случае, если они есть, в процессе их «решения» цель вводит команды, которые позволяют хакеру запустить вредоносное программное обеспечение.

Прочее

Злоумышленник получает информацию, например, путем сбора информации о служащих объекта атаки, с помощью обычного телефонного звонка или путем проникновения в организацию под видом ее служащего.

Злоумышленник может позвонить работнику компании (под видом технической службы) и выведать пароль, сославшись на необходимость решения небольшой проблемы в компьютерной системе.

Имена служащих удается узнать после череды звонков и изучения имён руководителей на сайте компании и других источников открытой информации (отчётов, рекламы и т. п.).

Используя реальные имена в разговоре со службой технической поддержки, злоумышленник рассказывает придуманную историю, что не может попасть на важное совещание на сайте со своей учетной записью удаленного доступа.

Другим подспорьем в данном методе являются исследование мусора организаций, виртуальных мусорных корзин, кража портативного компьютера или носителей информации.

Обратная социальная инженерия

Целью обратной социальной инженерии (reverse social engineering) является заставить цель самой рассказать о своих паролях, информацию о компании.

Защита пользователей от социальной инженерии

Для защиты пользователей от социальной инженерии можно применять как технические, так и антропогенные средства.

Антропогенная защита

Простейшими методами антропогенной защиты можно назвать:

Данные средства имеют один общий недостаток: они пассивны.

Техническая защита

К технической защите можно отнести средства, мешающие заполучить информацию и средства, мешающие воспользоваться полученной информацией.

Средства, мешающие воспользоваться полученной информацией, можно разделить на те, которые полностью блокируют использование данных, где бы то ни было, кроме рабочего места пользователя (привязка аутентификационных данных к серийным номерам и электронным подписям комплектующих компьютера, ip и физическому адресам), так и те, которые делают невозможным(или труднореализуемым) автоматическое использование полученных ресурсов (например, авторизация по системе Captcha, когда в качестве пароля нужно выбрать указанное ранее изображение или часть изображения, но в сильно искаженном виде). Как в первом, так и во втором случае известный баланс между ценностью требуемой информации и работой, требуемой для ее получения, смещается, вообще говоря, в сторону работы, так как частично или полностью блокируется возможность автоматизации. Таким образом, даже имея все данные, выданные ничего не подозревающим пользователем, например, с целью массово разослать рекламное сообщение (спам), злоумышленнику придется на этапе каждой итерации самостоятельно вводить полученные реквизиты.

Источник

Кви про кво что это социальная инженерия

Принято считать, что за громкими хакерскими атаками и взломами серверов ИТ-гигантов стоят крупные преступные группировки, обладающие внушительным арсеналом различных гаджетов, вирусов и программ. Это не так. Зачастую мошенники используют слабости людей: доверчивость и непрофессионализм.

Летом 2021 года жертвой мошенников стал крупнейший издатель игр Electronic Arts, известный нам по играм FIFA, NHL, The Sims, Battlefield, Crysis, Mass Effect и др. Хакеры украли данных на 780 Гб, включая исходные коды игр, и начали искать покупателей в даркнете. Уникальность атаки на издателя — в простоте взлома. Хакеры использовали обычную социальную инженерию.

Как произошел «взлом» EA?

Второй этап атаки — та самая социальная инженерия. В эксклюзивном интервью изданию Motherboard один из хакеров рассказал, как им удалось получить доступы к системе. «Как только мы проникли в чат сотрудников, сразу же написали в техподдержку EA, что якобы потеряли рабочий телефон на вчерашней вечеринке. Поэтому нам нужен многофакторный токен аутентификации, чтобы получить доступ к корпоративной сети EA и продолжить работу. Мы проделали такое дважды. И это дважды сработало!», — рассказал представитель хакеров.

Оказавшись в сети EA, хакеры нашли сервис для разработчиков по компиляции игр. Они успешно вошли в систему и создали виртуальную машину, с помощью которой получили доступ к еще одному сервису. В результате третьего этапа (уже вполне технического, а не социального) злоумышленники и загрузили исходные коды игр и другие важные файлы.

Виды социальной инженерии

Как говорится, был бы человек, а метод найдется. В центре таких атак всегда находится человек со своими слабостями и эмоциями. Социальная инженерия отлично работает как против простых частных лиц, так и против сотрудников крупных компаний. И самое интересно (и печальное), что довольно часто от социальных атак страдают представители ИТ-компаний, в которых, казалось бы, применяются самые современные меры защиты от хакеров.

Фишинг (атака через невнимательность) — самый популярный вид социальной инженерии. Способ заключается в распространении ссылок на поддельные страницы банков, социальных сетей, антивирусных программ и т.д. Бывает, что такие ссылки очень похожи на реальные (тут важно быть внимательным: intersvyaz.media или intersvyas.media). Чаще всего такие ссылки отправляются в письмах, смс и мессенджерах под видом важной и ценной информации. Например, на корпоративную почту компании может прийти письмо от якобы отдела кадров с выгодными акциями и скидками для сотрудников на какой-либо товар или услугу партнера компании (фитнес-центр, медицинские услуги). Ссылка в письме будет, конечно же, фишинговой. Мошенники обязательно попросят ввести на сайте платежные или персональные данные, чтобы их украсть.

Троянский конь или дорожное яблоко (атака через любопытство) — в первом случае мошенники отправляют письмо со ссылкой на важный файл, обновление антивирусника или пикантный компромат на коллегу, а во втором подкидывают вам флешку. Вы открываете и получаете вирус.

Кви про кво (атака через доверчивость) — любимый прием социальной инженерии, с которым многие из нас встречались. Мошенники звонят под видом банка или техподдержки, задают множество вопросов и пытаются выманить конфиденциальные данные.

В арсенале злоумышленников есть множество других инструментов: и взлом страниц в соцсетях с последующей рассылкой по друзьям сообщений с просьбой одолжить денег, и взлом корпоративной почты для массовых рассылок, и многое другое. Существует и обратная социальная инженерия. Злоумышленники делают все, чтобы вы сами к ним пришли. Например, они выводят из строя ваше рабочее оборудование (принтеры или компьютеры), перед этим заботливо «подсовывая» письма или визитки с рекламой услуг компьютерного мастера.

Источник