Социáльная инженерия — в контексте информационной безопасности — психологическое манипулирование людьми с целью совершения определенных действий или разглашения конфиденциальной информации. Следует отличать от понятия социальной инженерии в социальных науках — которое не касается разглашения конфиденциальной информации. Совокупность уловок с целью сбора информации, подделки или несанкционированного доступа, от традиционного «мошенничества» отличается тем, что часто является одним из многих шагов в более сложной схеме мошенничества.
Способы защиты от социальной инженерии:
Для проведения своих атак злоумышленники, применяющие техники социальной инженерии, зачастую эксплуатируют доверчивость, лень, любезность и даже энтузиазм пользователей и сотрудников организаций. Защититься от таких атак непросто, поскольку их жертвы могут не подозревать, что их обманули. Злоумышленники, использующие методы социальной инженерии, преследуют, в общем, такие же цели, что и любые другие злоумышленники: им нужны деньги, информация или ИТ-ресурсы компании-жертвы. Для защиты от таких атак нужно изучить их разновидности, понять, что нужно злоумышленнику, и оценить ущерб, который может быть причинен организации. Обладая всей этой информацией, можно интегрировать в политику безопасности необходимые меры защиты.
Как определить атаку социального инженера:
Ниже перечислены методы действий социальных инженеров:
- представление себя другом-сотрудником либо новым сотрудником с просьбой о помощи;
- представление себя сотрудником поставщика, партнерской компании, представителем закона;
- представление себя кем-либо из руководства;
- представление себя поставщиком или производителем операционных систем, звонящим, чтобы предложить обновление или патч жертве для установки;
- предложение помощи в случае возникновения проблемы и последующее провоцирование возникновения проблемы, которое принуждает жертву попросить о помощи;
- использование внутреннего сленга и терминологии для возникновения доверия;
- отправка вируса или троянского коня в качестве приложения к письму;
- использование фальшивого pop-up окна, с просьбой аутентифицироваться еще раз, или ввести пароль;
- предложение приза за регистрацию на сайте с именем пользователя и паролем;
- записывание клавиш, которые жертва вводит на своём компьютере или в своей программе (кейлоггинг);
- подбрасывание различных носителей данных (флэш-карт, дисков и т. д.) с вредоносным ПО на стол жертвы;
- подброс документа или папки в почтовый отдел компании для внутренней доставки;
- видоизменение надписи на факсе, чтобы казалось, что он пришел из компании;
- просьба секретаря принять, а затем отослать факс;
- просьба отослать документ в место, которое кажется локальным (то есть находится на территории организации);
- подстройка голосовой почты, чтобы работники, решившие перезвонить, подумали, что атакующий — их сотрудник.
Классификация угроз:
Угрозы, связанные с телефоном
Телефон до сих пор является одним из самым популярных способов коммуникации внутри и между организациями, следовательно, он все так же является эффективным инструментом социальных инженеров. При разговоре по телефону невозможно увидеть лицо собеседника для подтверждения его личности, что даёт злоумышленникам шанс выдать себя за сотрудника, начальника либо любое другое лицо, которому можно доверить конфиденциальную либо не кажущуюся важной информацию. Злоумышленник часто организует разговор так, что у жертвы практически не остаётся выхода, кроме как помочь, особенно когда просьба выглядит пустяковой.
Также популярны различные способы мошенничества, направленные на кражу денег у пользователей мобильных телефонов. Это могут быть как звонки, так и смс-сообщения о выигрышах в лотереях, конкурсах, просьбы вернуть по ошибке положенные средства, либо сообщения о том, что близкие родственники жертвы попали в беду и необходимо срочно перевести определённую сумму средств.
Меры по обеспечению безопасности предполагают скептическое отношение к любым подобным сообщениям и некоторые принципы обеспечения безопасности:
- Проверка личности звонящего;
- Использование услуги определения номера;
- Игнорирование неизвестных ссылок в смс-сообщениях;
Угрозы, связанные с электронной почтой
Многие сотрудники ежедневно получают через корпоративные и частные почтовые системы десятки и даже сотни электронных писем. Разумеется, при таком потоке корреспонденции невозможно уделить должное внимание каждому письму. Это значительно облегчает проведение атак. Большинство пользователей систем электронной почты спокойно относятся к обработке таких сообщений, воспринимая эту работу как электронный аналог перекладывания бумаг из одной папки в другую. Когда злоумышленник присылает по почте простой запрос, его жертва часто выполняет то, о чём её просят, не задумываясь о своих действиях. Электронные письма могут содержать гиперссылки, склоняющие сотрудников к нарушению защиты корпоративной среды. Такие ссылки не всегда ведут на заявленные страницы.
Большинство мер по обеспечению безопасности направлены на предотвращение доступа неавторизованных пользователей к корпоративным ресурсам. Если, щелкнув присланную злоумышленником гиперссылку, пользователь загрузит в корпоративную сеть троянскую программу или вирус, то это позволит легко обойти многие виды защиты. Гиперссылка может также указывать на узел с всплывающими приложениями, запрашивающими данные или предлагающими помощь. Как и в случае с другими разновидностями мошенничества, самым эффективным способом защиты от атак злоумышленников является скептическое отношение к любым неожиданным входящим письмам. Для распространения этого подхода в организации в политику безопасности следует включить конкретные принципы использования электронной почты, охватывающие перечисленные ниже элементы.
- Вложения в документы.
- Гиперссылки в документах.
- Запросы личной или корпоративной информации, исходящие изнутри компании.
- Запросы личной или корпоративной информации, исходящие из-за пределов компании.
Угрозы, связанные с использованием службы мгновенного обмена сообщениями
Мгновенный обмен сообщениями — сравнительно новый способ передачи данных, однако он уже приобрёл широкую популярность среди корпоративных пользователей. Из-за быстроты и лёгкости использования этот способ коммуникации открывает широкие возможности для проведения различных атак: пользователи относятся к нему как к телефонной связи и не связывают с потенциальными программными угрозами. Двумя основными видами атак, основанными на использовании службы мгновенного обмена сообщениями, являются указание в теле сообщения ссылки на вредоносную программу и доставка самой программы. Конечно, мгновенный обмен сообщениями — это ещё и один из способов запроса информации. Одна из особенностей служб мгновенного обмена сообщениями — это неформальный характер общения. В сочетании с возможностью присваивать себе любые имена, этот фактор позволяет злоумышленнику гораздо легче выдавать себя за другого человека и значительно повышает его шансы на успешное проведение атаки. Если компания намерена использовать возможности сокращения расходов и другие преимущества, обеспечиваемые мгновенным обменом сообщениями, необходимо предусмотреть в корпоративных политиках безопасности механизмы защиты от соответствующих угроз. Для получения надёжного контроля над мгновенным обменом сообщениями в корпоративной среде следует выполнить несколько требований.
- Выбрать одну платформу для мгновенного обмена сообщениями.
- Определить параметры защиты, задаваемые при развёртывании службы мгновенного обмена сообщениями.
- Определить принципы установления новых контактов
- Задать стандарты выбора паролей
- Составить рекомендации по использованию службы мгновенного обмена сообщениями.
- разработка продуманной политики классификации данных, учитывающей те кажущиеся безвредными типы данных, которые могут привести к получению важной информации;
- обеспечение защиты информации о клиентах с помощью шифрования данных или использования управления доступом;
- обучение сотрудников навыкам для распознавания социального инженера, проявлениям подозрения при общении с людьми, которых они не знают лично;
- запрет персоналу на обмен паролями либо использование общего;
- запрет на предоставление информации из отдела с секретами кому-либо, не так знакомому лично или не подтверждённому каким-либо способом;
- использование особых процедур подтверждения для всех, кто запрашивает доступ к конфиденциальной информации;
- Физическая безопасность. Барьеры, ограничивающие доступ в здания компании и к корпоративным ресурсам. Не стоит забывать, что ресурсы компании, например, мусорные контейнеры, расположенные вне территории компании, физически не защищены.
- Данные. Деловая информация: учётные записи, почтовая корреспонденция и т. д. При анализе угроз и планировании мер по защите данных нужно определить принципы обращения с бумажными и электронными носителями данных.
- Приложения. Программы, запускаемые пользователями. Для защиты среды необходимо учесть, как злоумышленники могут использовать в своих целях почтовые программы, службы мгновенной передачи сообщений и другие приложения.
- Компьютеры. Серверы и клиентские системы, используемые в организации. Защита пользователей от прямых атак на их компьютеры, путём определения строгих принципов, указывающих, какие программы можно использовать на корпоративных компьютерах.
- Внутренняя сеть. Сеть, посредством которой взаимодействуют корпоративные системы. Она может быть локальной, глобальной или беспроводной. В последние годы из-за роста популярности методов удалённой работы, границы внутренних сетей стали во многом условными. Сотрудникам компании нужно разъяснить, что они должны делать для организации безопасной работы в любой сетевой среде.
- Периметр сети. Граница между внутренними сетями компании и внешними, такими как Интернет или сети партнерских организаций.
Основные защитные методы:
Специалисты по социальной инженерии выделяют следующие основные защитные методы для организаций:
Многоуровневая модель обеспечения безопасности:
Для защиты крупных компаний и их сотрудников от мошенников, использующих техники социальной инженерии, часто применяются комплексные многоуровневые системы безопасности. Ниже перечислены некоторые особенности и обязанности таких систем.
Начальник КМ ОВД Речицкого райисполкома Тимощенко В.Н.
