Всё то, о чем писал Митник работает и будет работать всегда!
Беседы о СИ можно вести бесконечно, но это не защитит от людей которые умеют её применять.
COPI
Типовых противодействий социоинженерам не существует. Каждая ситуация требует индивидуального подхода. Расхлябанность, халатность сотрудников и любительство потрещать в соцсетях с рабочей машины - главные дыры в системе безопасности фирмы/компании.
Многие компании, которые думают, что проблема безопасности решается просто, аппаратными и программыми средствами, заблуждаются. Технологии защиты, которым привыкли доверять - фаерволлы, средства идентификации и шифрования, системы обнаружения атак итд, малоэффективны против хакеров, использующих СИ и ОСИ (социальная и обратная социальная инженерия). Современные тех. средства защиты достигли уровня, когда на взлом затрачивается очень много времени, либо цена защищаемой инфы, меньше расходов на её добывание.
Берём реальный пример.
Есть парочка знакомых ребят, которые отошли от хакерских дел, зарабатывают тем, что проводят разного рода атаки на серваки фирм, в том числе с применением СИ по заказу директоров и после дают рекомендации по защите. В одном увлекательном дельце пригласили поучавствовать - посмотреть как это происходит.
Дано: небольшая фирма, по оптовой продаже нижнего белья. Сотрудников - 22 человека, включая директора. Он же и нанял этих ребят, ввиду своей параноидальной боязни конкурентов, которые так и стремятся, любыми способами, добыть супер - пупер секретную информацию фирмы.
Два очень толковых сис.админа, которые не были поставлены в известность своим начальством, успешно справились и отразили все атаки. Тогда пошли другим путём, стали искать слабое звено среди сотрудников и нашли. Путём наблюдения в соцсетях и общения в дальнейшем, было выявлено несколько подходящих человек. Для установления контакта, немалую роль сыграло то, что узнали взгляды, привычки людей и многое другое, что относится к характеру. С каждым проводилась отдельная работа с индивидуальным подходом. В ход шло всё, и подлые приёмы в том числе.
Люду отловили в контактике. Разыгрался целый спектакль. Сначала к ней прицепился гадкий "тролль" который ходил следом и цеплялся ко всему. Затем, на сцену выступает "защитник", который виртуозно размазывает тролля и тот посрамлённый, исчезает с её поля зрения. Люда рассыпается спасителю в благодарностях и между ними завязывается непринуждённая переписка. Как и нужно по сценарию, у спасителя находятся общие интересы. Хотя, в высоком искусстве, он не в зуб ногой, но Гугель в помощь! Женщина даёт свою почту, которая очень понадобилась в дальнейшем. Выбирается момент, когда Люда заходит с рабочего компа, "друг" просит её достать через свою фирму комплект именно такого белья для жены, как на картинке. К ней прикручен приватный троян.
Трусливая и осторожная Юля. Нашлось с чем подкопться и к ней - шантаж. Эта овечка разблеивала в привате, своей надёжной виртуальной подружке о своих гулянках от мужа. Опасаясь за распад семьи, она была согласна пойти на мелкое должностное преступление, которое могло вылиться в ощутимые убытки для фирмы. Метод, рассказать всё об изменах ревнивым мужу/жене, один из распространённых. И не важно, было это на самом деле или нет. Для этого не обязательно устанавливать скрытые камеры или заниматься фотомонтажом, достаточно быть хорошим расказчиком и суметь убедить собеседника. А ревность супруга (супруги) сослужит хрошую службу. У ревнивых людей, зачастую мозги отключаются напрочь, стоит только наменуть об измене.
Наглая и хамовитая Надя... которой всё до п*ды и до дверцы. Троллингом не прошибить, мужа она на ... видала. Зацепка и у неё нашлась - 14 летняя дочь, с которой у неё серьёзные конфликты. Шантажировали тем, что расскажут девочке, что она не родная - удочерённая. Вероятность того, что ребёнок поверит постороннему, далеко не нулевая, что нанесёт глубокую душевную травму. Додавили этим и женщина дала согласие сливать полезную инфу.
Как бы не был хорош начальник, всегда найдётся кто то им недовольный. Назовём Светой. Не получилось у неё стать старшим менеджером, директор выдвинул другого сотрудника. Раз не получилось подняться на ступеньку выше, значит и зарплата осталась прежняя. Жадная Света, поколебавшись и поторговавшись, согласилась помогать "конкурентам".
А такой, как вороватый и недалёкий бухгалтер Миша, просто находка для хакеров! Этот сотрудник пригодится, когда нужно украсть деньги фирмы, не только информацию. Которого попросят о мелкой услуге, пообещав приличную сумму, угонят все деньги, часть из них, положат ему на счёт и после сообщат директору фирмы/компании, у кого искать пропавшее. И ему будет чрезвычайно трудно доказать, что он не брал и не сможет объяснить, откуда у него взялась та крупная сумма, которая была переведена за услугу. В этом случае не побежит в милицию. Так что, кругом останется виноват. Путь денег, кто перевёл, отследить трудно, но можно. Но, такие дела проворачиваются через подставные лица. Даже будучи пойманным, хакер заявит, что он не главарь, а всего лишь исполнитель, если он оставит себе меньшую часть сворованного, эта легенда будет звучать весьма убедительно. И загремит Мишаня по полной!
Вот так теперь стало модно (это не модно, а правильно) проверять сотрудников на вшивость.
Теперь переходим к самому интересному...
ОБРАТНАЯ СИ. Это вид атаки, в которой атакующий создаёт ситуацию, где жертва сталкивается с проблемой и бежит к атакующему за помощью. Производится диверсия. К примеру, зависает жертва в рабочее время в своей любимой соцсети и вдруг не может туда зайти или в почту. Атакующий уже знаком с ней заранее, общается и позиционирует себя, как компьютерный гуру. Хоть одмином представится. Не побежит же человек с этими траблами к своему одмину, от которого может легко огрестись люлей, а попросит помочь виртуального знакомого. Он и поможет "добрыми советам", влезь туда то, выполни команды такие то и запустит с помощью жертвы троян или вирус в системе компании... Организация этого вида атаки, особенно привлекательна для атакующего.
Ещё один метод атаки представляет собой адаптацию троянского коня, и состоит в использовании физических носителей. Атакующий может подбросить инфицированный CD, или флэш, в месте, где носитель может быть легко найден (туалет, лифт, парковка). Носитель подделывается под официальный, и сопровождается подписью, призванной вызвать любопытство.
Можно подбросить CD, снабжённый корпоративным логотипом, и ссылкой на официальный сайт компании цели, и снабдить его надписью "Заработная плата руководящего состава Q1 2013". Диск может быть оставлен на полу лифта, или в вестибюле. Сотрудник по незнанию может подобрать диск, и вставить его в компьютер, чтобы удовлетворить своё любопытство, или просто добрый самаритянин отнесёт диск в компанию - вот, ваше валялось.
Если компания крупная, где все не знают друг друга или разные офисы в одном здании, атакующий может запросто зайти в нужный кабинет с диском/флешкой и сказать - Вам передала МарьВанна или Пётр Иваныч, документы, софт, да что угодно. И высока вероятность, что не спросят, почему не перекинули по внутренней сети и вставит заражённый носитель. Хотя и здесь можно отбрехаться, у МарьВанны с сетью проблемы, и начальник попросил, чтоб Вам файлы доставили.
С носителями не всё так просто. У норм админов, как правило, стоит запрет на использованние сторонних USB, а дисковод отключён.
Срабатывает в крупных и не очень фирмах. Злоумышленник может позвонить по случайному номеру в компанию, и представиться сотрудником техподдержки, опрашивающим, есть ли какие-либо технические проблемы. В случае, если они есть, в процессе их "решения" цель вводит команды, которые позволяют хакеру запустить вредоносное программное обеспечение.
А еще было так, устроился разносчиком обедов. Обслуживали как раз ту компанию, которая интересовала и как бы мимоходом общался с женщинами. В разговорах проскакивало, жена похудела по супер методе - упражнения на видеоуроке записаны. Полные женщины очень заинтересовались, просили скопировать диск и пожелали купить. Вирус был внедрён, причем куплен за деньги.) Толстожопым барышням не терпелось узреть волшебный видеоурок и поспешили зарядить диски в рабочие машины.) Больше меня не видели...
В результате: "слабые звенья", были уволены.
Вопрос: Какой % уволенных во всём винили не себя, а других?
