Социално инженерство: концепцията, основателят, методите и примерите

В тази статия ще обърнем внимание на понятието "социално инженерство". Тук ще се обмисли общото определение на термина. Също така научаваме кой е основателят на тази концепция. Отделно, нека да поговорим за основните методи на социалното инженерство, които се използват от нарушителите.

въведение

Методите, които ви позволяват да коригирате човешкото поведение и да управлявате неговите дейности, без да прилагате технически набор от инструменти, образуват обща концепция за социално инженерство. Всички методи се основават на твърдението, че човешкият фактор е най-разрушителната слабост на всяка система. Често това понятие се разглежда на нивото на незаконна дейност, чрез която престъплението е извършено от престъпник, насочен към получаване на информация от обект на жертва с нечестни средства. Например, това може да бъде определен вид манипулация. Социалното инженерство обаче се използва от човека в законна дейност. Днес най-често се използва за достъп до ресурси с частна или ценна информация.

Основателят

Основателят на социалното инженерство е Кевин Митник. Самото понятие обаче дойде при нас от социологията. Той обозначава общ набор от подходи, използвани от прилаганите общества. науката, насочена към промяна на организационната структура, способна да определя човешкото поведение и да упражнява контрол върху нея. Кевин Митник може да се счита за предшественик на тази наука, тъй като той е този, който популяризира социалните. инженерство през първото десетилетие на XXI век. Самият Кевин беше хакер, който се бе ангажирал незаконно проникване в голямо разнообразие от бази данни. Той твърди, че човешкият фактор е най-уязвимото място в системата на всякакво ниво на сложност и организация.

Ако говорим за методи на социалното инженерство като начин за получаване на права (по-често незаконни) за използването на поверителни данни, тогава можем да кажем, че те са били известни от дълго време. Въпреки това К. Митник беше способен да изрази значението на тяхното значение и приложение.

Фишинг и несъществуващи връзки

Всяка техника на социалното инженерство се основава на наличието на когнитивни изкривявания. Поведенческите грешки стават "инструмент" в ръцете на квалифициран инженер, който в бъдеще може да създаде атака, насочена към получаване на важни данни. Сред методите на социалното инженерство съществуват фишинг и несъществуващи връзки.

Фишинг - Интернет измами, предназначени за получаване на лична информация, например за вход и парола.

Несъществуваща връзка е използването на връзка, която ще привлече получателя с определени предимства, които можете да получите, като го разгледате и посетите определен сайт. Най-често се използват имената на големи фирми, като се въвеждат незначителни корекции в тяхно име. Жертвата, след като кликне върху връзката, "доброволно" ще прехвърли личните си данни на нападателя.

Методи, използващи марки, дефектни антивирусни и кодирани лотарии

В социалното инженерство също така се използват методи на измама с използването на добре познати марки, дефектни антивируси и фалшива лотария.

"Измамите и марките" е метод на измама, който се отнася и до част от фишинга. Това включва имейли и уебсайтове, които съдържат името на голяма и / или "популяризирана" компания. От техните страници се изпращат съобщения с уведомление за победа в определен конкурс. След това трябва да въведете важна информация за профила и да я откраднат. Също така тази форма на измама може да се извърши по телефона.

Подземната лотария е начин, по който на жертвата се изпраща съобщение с текста, който той (а) спечели (а) лотарията. Най-често известието се маскира, като се използват имената на големи корпорации.

Фалшивите антивируси са измами над софтуера. Програми, които приличат на антивирусни програми, се използват тук. На практика обаче те водят до генериране на фалшиви уведомления за определена заплаха. Те също така се опитват да привлекат потребителите в обхвата на сделките.

Viking, phreaking и pre-texting

Говорейки за социалното инженерство за начинаещи, си струва да се спомене и за "vishing", "phreaking" и "pre-texting".

Vashing е форма на измама, която използва телефонни мрежи. Тук се използват предварително записани гласови съобщения, чиято цел е да се създаде "официално обаждане" на банкова структура или друга IVR система. Най-често се изисква да въведете данни за вход и / или парола, за да потвърдите каквато и да е информация. С други думи, системата изисква удостоверяване от потребителя чрез използване на ПИН кодове или пароли.

Phreaking е друга форма на измама по телефона. Това е хакерска система, използваща звукови манипулации и тонално набиране.

Предварителното писане на текстови съобщения е атака, използваща предварителен план, чиято същност се крие в предаването на друго лице. Изключително сложен метод на измама, тъй като изисква внимателна подготовка.

Quid-pro-quo и методът на "road apple"

Теорията на социалното инженерство е многостранна база данни, която включва както методи на измама и манипулация, така и начини за справяне с тях. Основната задача на нарушителите като правило е да изкопаят ценна информация.

Сред другите видове измами са: Quid-pro-Quo, методът на "road apple", рамото сърфиране, използването на отворени източници и обратен социален. инженерство.

Quid-pro-quo (от латински - "за това") е опит за извличане на информация от фирма или фирма. Това се случва, като се обръщате към него по телефона или чрез изпращане на съобщения по електронна поща. Най-често атакуващите изглеждат служители на тези. подкрепа, която отчита наличието на конкретен проблем на работното място на служителя. Освен това те предлагат начини за елиминиране, например чрез инсталиране на софтуер. Софтуерът се оказва дефектен и популяризира престъплението.

"Пътна ябълка" е метод на атака, който се основава на идеята за троянски кон. Нейната същност се крие в използването на физическа среда и заместването на информацията. Например, може да предостави карта с памет е определено "добра", който ще привлече вниманието на жертвата, ако желаят, да се отвори и използва файла или да отидете на връзките, посочени в документите на пръчката. Обектът на "пътната ябълка" е изхвърлен на социални места и чака, докато някой осъзнае плана на нападателя.

Събиране и търсене на информация от източници от отворен тип е измама, където данните приемните на базата на методите на психологията, възможността за откриване на глоби и анализирайки разположение, например от страница в социална мрежа. Това е съвсем нов начин на социално инженерство.

Сърфиране на рамото и обратни сицове. инженерство

Понятието "сърфиране на рамото" се дефинира като спазване на темата в буквален смисъл. При този вид извличане на данни нападателят отива на обществени места, например кафене, летище, жп гара и наблюдава хората.

Не подценявайте този метод, тъй като много проучвания и проучвания показват, че един внимателен човек може да получи много поверителна информация, просто като покаже наблюдение.

Социалното инженерство (като ниво на социологическо знание) е средство за "улавяне" на данни. Има начини да се получат данни, при които самата жертва ще предложи на атакуващия необходимата информация. Тя обаче може да служи и на общественото благо.

Обратното обществено положение. Инженерът е друг метод на тази наука. Използването на този термин става подходящо в случая, споменат по-горе: самата жертва ще предложи на атакуващия необходимата информация. Не приемайте това изказване като абсурдно. Факт е, че субектите, които имат авторитет в определени сфери на дейност, често имат достъп до идентификационните данни по собствено решение. Доверието е в основата тук.

Важно е да запомните! Помощният персонал никога няма да изисква потребител, например парола.

Осъзнаване и защита

Обучението по социално инженерство може да бъде проведено от индивида както въз основа на лична инициатива, така и въз основа на ползите, които се използват в специалните образователни програми.

Престъпниците могат да се използват различни видове измами, от манипулация и довършителни мързел, наивност и Потребителят дружелюбност т. D. От този тип атака е много трудно да се защитават, поради липса на информираност жертва, която му (й) излъган. Различни фирми и компании често оценяват общата информация, за да защитят своите данни при това ниво на опасност. След това необходимите мерки за сигурност са включени в политиката за сигурност.

примери

Пример за социално инженерство (неговият акт) в областта на метода на глобалните фишинг писма е събитие, което се случи през 2003 година. В хода на тази измама потребители на електронна поща бяха изпратени писма до имейл адреси. Те твърдяха, че сметките, които им принадлежат, са блокирани. За да отмените заключването, трябва да въведете отново информацията за профила. Но писмата бяха фалшиви. Преведени на страница, идентична на официалната, но фалшива. Според експертни оценки загубата не е била много значима (по-малко от един милион долара).

Определение на отговорността

За прилагането на социалното инженерство могат да бъдат наказани в някои случаи. В редица страни, например САЩ, прекласирането (измама чрез представяне на друго лице) се равнява на нахлуването в личния живот. Това обаче може да бъде наказано от закона, ако информацията, получена по време на предварителния текст, е поверителна от гледна точка на организацията или организацията. Записването на телефонен разговор (като метод на социално инженерство) също е предвидено в закона и изисква заплащане на глоба от 250 000 долара или лишаване от свобода до десет години за лице. лица. Юридическите лица трябва да платят 500 000 долара - периодът остава същият.