Социално инженерство

Съществува широк спектър от техники за социално инженерство. Атаките могат да бъдат извършени чрез електронна поща (фишинг), телефон или физическо проникване. Те обикновено се основават на набор от различни техники, съчетаващи ИТ и съпътстващи умения: фишинг, представяне под чужда самоличност, манипулация и убеждаване, злонамерен софтуер, злонамерени устройства, клониране на интерфейси, подправяне на телефонни номера, търсене в боклук и т.н.

Фишинг и спиар фишинг тестове

Фишингът е най-често срещаният вид атака. Той е едновременно лесен за изпълнение и потенциално много ефективен.

Това е атака по имейл, която може да бъде изпратена до голям брой хора (фишинг) или до много по-малък брой цели (спиар фишинг). Фишинг имейлите обикновено съдържат връзки, които пренасочват получателя към фалшиви уеб страници (клонинги) или злонамерен софтуер, които могат да бъдат изпратени като прикачен файл или връзка за изтегляне.

Най-сложните фишинг имейли са персонализирани, за да бъдат достоверни: реалистична ситуация за целите на имейла, кражба на самоличност, за да се преструва атакуващият на надежден човек, телефонно обаждане, придружаващо имейла, за да се подсили легитимното представяне и т.н.

Одитът по социално инженерство може да включва различни фишинг сценарии с прогресивна трудност, за да обучи служителите да разобличават все по-сложни заплахи.

Тест за вишинг

Vishing (гласов фишинг) - това е телефонен еквивалент на фишинг. Този тип атаки обикновено не е насочена към голям брой хора, но той може да предостави поверителна информация, която жертвата обикновено не се съгласява да предава по електронна поща (например потребителски имена и пароли).

Основният принцип е да се установи връзка на доверие чрез разговор. Това изисква нападателят да има способности за слушане, аргументация и убеждаване. Най-сложните атаки се основават на кражба на самоличност, както и на подправяне на номера на лицето, което нападателят твърди, че е.

Одитът на социалното инженерство може да включва вишинг, за да допълни фишинг атаките. Това прави служителите наясно с други видове заплахи, които са по-коварни и по-трудни за откриване. Фишинг и вишинг атаките са коварна заплаха, защото могат да бъдат извършени от голям брой нападатели, тъй като не изискват физически достъп.

Тестове за физическо проникване

Физическото проникване е още по-сложна форма на атака от нападател, който е готов да отдели повече време и да поеме повече рискове, за да се насочи към компанията.

При този тип атаки принципът е да се проникне във фирмата, като хакерът се представя за легитимен посетител: техник, доставчик на услуги, служител и т.н. След това нападателят се стреми да получи поверителна информация по различни начини: кражба на машини, свързване към вътрешната мрежа, разпространение на зловреден софтуер от флашка, манипулиране на служители, достъп до сървърна стая и т.н.

При одит на сигурността, тестовете за физическо проникване могат да се използват за оценка на системите за физически достъп, процедурите за контрол, информационните бариери и реакцията на служителите, когато се сблъскат с непознато лице.

Байтинг (примамка)

Това е атака, при която потребителят е привлечен да направи нещо за нападателя въз основа на примамка. Например USB флаш може да бъде оставена на паркинг с очакването, че целевият служител ще я вземе и ще я включи в лаптопа си. Флашката може да бъде с висока стойност и да съдържа интересно изглеждащи файлове, които всъщност да са прикрит злонамерен софтуер. По-целенасочена версия на може да бъде изпращане по куруер с подходящ претекст и от преструващ се хакер за човек, който познава.

Неспазване на дистанция

Това е една от многото форми на физическо социално инженерство. Физическото социално инженерство често има за цел да въведе нещо злонамерено в сграда, като злонамерен софтуер, или да изнесе нещо ценно, като например чувствителни документи. Може да представлява изчакване на упълномощено лице за достъп до зона с ограничен достъп и влизане след него докато вратата не се е затворила.

Има много други форми на социално инженерство и те са предназначени да се даде представа за това, което правят обикновено злонамерените нападатели.
Тестът за социално инженерство използва една или повече техники от описаните, за да тества защитите, осигурени не само за машините, но също и за хората и процесите. Трябва да има ясни цели и правила за ангажиране и да се изпълнява от реномирана фирма, която разбира на риска и е запозната с местните закони.