Способы защиты от социальной инженерии

Для проведения своих атак злоумышленники, применяющие техники социальной инженерии, зачастую эксплуатируют доверчивость, лень, любезность и даже энтузиазм пользователей и сотрудников организаций. Защититься от таких атак непросто, поскольку их жертвы могут не подозревать, что их обманули. Злоумышленники, использующие методы социальной инженерии, преследуют, в общем, такие же цели, что и любые другие злоумышленники: им нужны деньги, информация или ИТ-ресурсы компании-жертвы. Для защиты от таких атак нужно изучить их разновидности, понять, что нужно злоумышленнику, и оценить ущерб, который может быть причинен организации. Обладая всей этой информацией, можно интегрировать в политику безопасности необходимые меры защиты.

Как определить атаку социального инженера

Ниже перечислены методы действий социальных инженеров:

• представление другом-сотрудником либо новым сотрудником с просьбой о помощи;

• представление сотрудником поставщика, партнерской компании, представителем закона;

• представление кем-либо из руководства;

• представление поставщиком или производителем операционных систем, звонящим, чтобы предложить обновление или патч жертве для установки;

• предложение помощи в случае возникновения проблемы и последующее провоцирование возникновение проблемы, которое принуждает жертву попросить о помощи;

• использование внутреннего сленга и терминологии для возникновения доверия;

• отправка вирус или троянского коня в качестве приложения к письму;

• использование фальшивого pop-up окна, с просьбой аутентифицироваться еще раз, или ввести пароль;

• предложение приза за регистрацию на сайте с именем пользователя и паролем;

• записывание вводимых жертвой клавиш компьютером или программой;

• подбрасывание диска или дискеты с вредоносным ПО на стол жертвы;

• подброс документа или папки в почтовый отдел компании для внутренней доставки;

• модифицирование надписи на факсе, чтобы казалось, что он пришел из компании;

• просьба секретаршу принять, а затем отослать факс;

• просьба отослать документ в место, которое кажется локальным (т.е. находится на территории организации);

• получение голосовой почты, чтобы работники, решившие перезвонить, подумали, что атакующий — их сотрудник;

Классификация угроз Угрозы, связанные с телефоном

Телефон до сих пор является одним из самым популярных способов коммуникации внутри и между организациями, следовательно, он все так же является эффективным инструментом социальных инженеров. При разговоре по телефону невозможно увидеть лицо собеседника для подтверждения его личности, что дает злоумышленникам шанс выдать себя за сотрудника, начальника либо любое другое лицо, которому можно доверить конфиденциальную либо не кажущуюся важной информацию. Злоумышленник часто организует разговор так, что у жертвы практически не остается выхода, кроме как помочь, особенно когда просьба выглядит пустяковой.

Также популярны различные способы мошенничества, направленные на кражу денег у пользователей мобильных телефонов. Это могут быть как звонки, так и смс-сообщения о выигрышах в лотереях, конкурсах, просьбы вернуть по ошибке положенные средства, либо сообщения о том, что близкие родственники жертвы попали в беду и необходимо срочно перевести определенную сумму средств.

Меры по обеспечению безопасности предполагают скептическое отношение к любым подобным сообщениям и некоторые принципы обеспечения безопасности:

• Проверка личности звонящего;

• Использование услуги определения номера;

• Игнорирование неизвестных ссылок в смс-сообщениях;