Социјален инженеринг — практика на манипулирање со луѓе во вршење активности или откривање на доверливи информации. Иако е сличен со изневерување на довербата или едноставна измама, терминот обично се однесува на изигрување или измама за целите на собирање на информации, измама, или пристап до компјутерски систем; во повеќето случаи напаѓачот никогаш не доаѓа лице-в-лице со жртвите. "Социјалното инженерство", како чин на психолошка манипулација, беше популаризиран од страна на хакерскиот консултант Кевин Митник . Терминот претходно бил поврзуван со општествените науки, но неговата употреба се раширила меѓу компјутерските професионалци.Security engineering:a guide to building dependable distributed systems, second edition, Ross Anderson, Wiley, 2008 – 1040 pages ISBN 978-0-470.06852-6, Chapter 2, page 17

Техники на социјално инженерство и термини

Сите техники на социјално инженерство, се засноваат на специфични атрибути на човековото донесување одлуки, познати како когнитивни предрасуди .Jaco, K: "CSEPS Course Workbook" (2004), unit 3, Jaco Security Publishing. Овие предрасуди, понекогаш нарекувани и "Бубачки во човечкиот хардвер", се експлоатираат во различни комбинации, за да се создадат техники за напад, од кои некои се наведени тука:

Техника на изговор

Техника на изговор е чин на создавање и користење на измисленo сценарио (на изговор ) за да се нападне обележана жртва, на начин на кој се зголемува шансата дека жртвата ќе открие информации или ќе спроведе активности, кои во обични околности најверојатно не би ги направила.The story of HP pretexting scandal with discussion is available at Елаборираната лага , најчесто вклучува некои претходни истражувања или подготвување и користење на овие информации за имитирање (на пример, датум на раѓање, бројот на социјално осигурување , износот на последната сметка) за да воспостави легитимност во умот на жртвата."Pretexting: Your Personal Information Revealed,"Federal Trade Commission

Оваа техника може да се користи за да се натераат компаниите да откријат информации за корисниците, а ја користат и приватните детективи за да добијат телефонски записи, корисни записи, банкарски записи и други информации директно од службата на претставници на компанијата. Информациите потоа може да се користат за да се воспостави уште поголема легитимност под построги сослушувања со менаџер, на пример, да се направат промени на сметка, специфични состојби на сметка, итн.

Техниката на изговор, исто така, може да се користи, кога некоја личност сака лажно да се претставува како: свој колега, полиција, банка, даночна власт, свештенство, осигурителни истражители - или било која друга личност која би можела да изгледа авторитетно во умот на целните жртви или со право да легитимира . Напаѓачот едноставно мора да подготви одговори на прашањата кои може да бидат поставени од страна на жртвата. Во некои случаи сè што е потребно е глас што звучи авторитетно, сериозен тон, и способност брзо да се реагира.

Кражба преку правење диверзија

Кражбата преку правење диверзија, исто така позната како "игра во катче" или " игра зад аголот " потекнува од источниот крај на Лондон.

Накратко, кражба преку правење диверзија е "измама" применета од страна на професионални крадци, вообичаено против транспортна или курирска компанија. Целта е да се убедат лицата одговорни за легитимна испорака дека пратката се бара на друго место - односно "зад аголот". Со товарот / пратката пренасочени, крадците го убедуваат возачот да ја остави пратката во близина на, или далеку од адресата на примачот, во изговор дека таа "директно ќе пристигне" или "итно се бара некаде на друго место".

" Измамата " има многу различни аспекти, кои вклучуваат техники за социјално инженерство со кои се убедуваат легитимните административци или персоналот за сообраќај на транспортни или курирски компании, да издадат инструкции на возачот да ги пренасочи пратките или товарот.

Друга варијација на ваквата кражба е стационирање на безбедносно комбе пред банка во петок навечер. Елегантно облечен полицаец ја користи фразата "Ноќе е побезбедно, господине". Со овој метод дуќанџиите и сл. лековерно го депонираат нивниот профит во комбето. Тие добиваат потврда за примениот профит, но подоцна оваа потврда излегува дека е безвредна. Слична техника беше користена пред многу години да се украде концертно пијано од производителот Steinway , од радио студио во Лондон. Изговорот бил: "Дојдовме да го сервисираме пијаното".

Мрежно рибарење

Мрежно рибарење (или фишинг)е техника на добивање приватни информации преку измама. Типично, напаѓачот праќа e-пошта кој се чини дека доаѓа од легитимна компанија-банка или кредитна компанија, со барање за "верификација" на информации и предупредување за некои сериозни последици доколку информациите не се верифицираат. Е-поштата обично содржи линк до лажни мрежни места, кои се чинат легитимни-со логоа на компанијата и содржина, како и форма, која бара сè, од домашна адреса, до ПИН на кредитна картичка.

На пример, во 2003 е забележано зголемувањето на бројот на вакви измами, во кои корисниците добиваат е-пошта наводно од eBay тврдејќи дека сметката на корисникот ќе биде откажана, ако не се кликне на линкот што е даден за да се ажурира кредитната картичка ( информации кои вистинскиот eBay веќе ги има ). Поради тоа што е релативно едноставно да се направи мрежно место кое личи на страница на легитимна организација, со имитација на HTML кодот, измамата ги наведува луѓето да мислат дека се контактирани од страна на eBay, а потоа, да мислат дека одат до мрежно место на eBay да ги обноват своите информации за сметката. Со спамирање големи групи на луѓе, "рибарот" смета дека меилот ќе го прочитаат процент на луѓе кои веќе давале броеви на кредитни картички на eBay легитимно, па би можеле да одговорат.

ИГО или рибарење преку телефон

Оваа техника користи систем за Интерактивен гласовен одговор - ИГО (говорен автомат) (анг.Interactive voice response - IVR), за да ресоздава легитимна звучна копија на IVR системот од банка или друга институција. Од жртвата е побарано (обично преку фишинг е-пошта) да се јави во "банката" преку ( идеално бесплатен ) број со цел да се "проверат" информации. Еден типичен систем ќе ја отфрлува најавата постојано, обезбедувајќи на тој начин жртвата да го внесе ПИН-от или лозинките повеќепати, често откривајќи неколку различни лозинки. Повеќе напредни системи ја носат жртвата кај напаѓачот, кој се претставува како корисничка служба, за понатамошно испитување.

Една од тие системи дури може да снима типични команди ("Притиснете еден да ја смените лозинката, притиснете два за да зборувате со корисничката служба" ...) и да ги пушта рачно во реално време, давајќи изглед на говорен автомат без трошоци. Рибарење (фишинг) преку телефон се вика вишинг.

Наведување

Наведувањето е како Тројанскиот коњ во реалниот свет, кој користи физички медиуми и се потпира на љубопитноста или алчноста на жртвата. Во овој напад , напаѓачот остава инфицирани флопи дискети , CD-ROM или USB флеш дискови со малициозен софтвер, на локација каде може лесно да се најдат (бања, лифт, тротоар, паркинг), давајќи им љубопитен изглед, и едноставно чека жртвата да го користи уредот.

На пример, напаѓачот може да создава диск со корпоративно лого, лесно достапен од мрежната страница на жртвата, и да напише "Резиме за плата на извршителите Q2 2012" на предната страна. Напаѓачот потоа ќе го остави дискот во лифт или некаде во фоајето на целната компанија. Некој вработен може да го најде и потоа да го вметне дискот во компјутерот за да ја задоволи својата љубопитност, или некој добронамерен да го најде дискот и да го предаде во компанијата.

Во било кој случај, како последица, само со вметнување на дискот во компјутерот за да ја видите содржината, корисникот ќе инсталира штетен софтвер, најверојатно давајќи му на напаѓачот непречен пристап до компјутерот на жртвата и можеби, пристап до внатрешната компјутерска мрежа на целната компанијата.

Освен ако компјутерот не ја блокира инфекцијата, компјутерите на кои е поставено "автоматско отворање " на додадените медиуми, може да бидат компромитирани веднаш штом непријателскиот диск е вметнат.

Quid pro quo

Quid pro quo значи услуга за услуга : Напаѓачот се јавува на случајни броеви во компанија тврдејќи дека се јавува како техничка поддршка. На крајот ќе најде некој со легитимен проблем, благодарен што некој одговорил и да му помогне. Напаѓачот ќе "помогне" да се реши проблемот и во процесот, ќе побара од корисникот да типка команди кои му овозможуваат на напаѓачот пристап или стартување на малициозен софтвер. Во анкета за безбедноста на информациите, од 2003 година , 90% од канцелариските работници им ја дале на истражувачите, она што тврдат дека била нивната лозинка, како одговор на анкетно прашање, во замена за евтино пенкало.Office workers give away passwords Слични истражувања во подоцнежните години добиле слични резултати, користејќи чоколади и други евтини мамки , иако тие не направиле никаков обид да ги валидираат лозинките.Passwords revealed by sweet deal

Техника на искористувње

Напаѓачот, кој бара влез на забрането подрачје каде што пристапот е без човечки надзор, со електронска контрола на пристап, на пример, со РФИД (Радио-честотна идентификација) картички, едноставно оди зад лице кое има легитимен пристап. Поради учтивост, легитимното лице обично ќе ја одржи вратата отворена за напаѓачот. Легитимните лице може да не успеат да прашаат за идентификација поради повеќе причини, или може да го прифатат тврдењето дека напаѓачот го заборавил или изгубил соодветен белег за докажување идентитет. Напаѓачот исто така може да ја лажира акцијата на презентирање соодветен белег за докажување идентитет.

Други видови

Обичните изневерувачи на доверба или измамници, исто така, може да се сметаат за "социјални инженери" во поширока смисла, во тоа што тие намерно мамат и манипулираат со луѓето, искористувајќи ги човечките слабости за да се здобијат со лична корист. Тие можат, на пример, да ги користат техниките на социјално инженерство, како дел од ИТ измама.

Многу нов тип на техника на социјално инженерство се измама ( spoofing ) или пробивање на ИД на луѓе кои имаат популарни е-пошта идентификации, како што се Yahoo! , GMail , Hotmail итн. Меѓу многуте мотивации за измама се:

Мрежно рибарење на броеви на сметки на кредитни картички и нивни лозинки. Пробивање на приватен е-пошта и истории на разговорите и манипулирање со нив, користејќи вообичаени техники за уредување пред да бидат искористени за изнуда на пари и создавање на недоверба меѓу поединците. Пробивање на мрежни места на компании или организации и уништување на нивниот углед. Компјутерски вирус измами.

Контрамерки

Организациите мора, на ниво на вработен / персонал, да воспостават рамки на доверба. (Односно, кога / каде / зошто / како чувствителните информации треба да се третираат?) Организациите мора да утврдат кои информации се чувствителни и да се запрашаат за нивниот интегритет во сите форми. (односно Социјално инженерство, Градењето на безбедноста, Компјутерска безбедност, итн) Организациите мора да воспостават безбедносни протоколи за лица кои работат со чувствителни информации. Вработените мора да бидат обучени за безбедносни протоколи релевантни за нивната позиција. (На пример, вработените мора да ги идентификуваат луѓето кои тежнеат кон чувствителни информации.) (Исто така: во ситуации како што tailgating, ако идентитетот на едно лице не може да биде потврден, вработените мора да бидат обучени учтиво да одбиваат.) Работната рамка на организацијата мора да се испробува периодично, и овие тестови треба да се ненајавени. Внесете го вашето критичко око во кој било од горенаведените чекори:. Не постои совршено решение за интегритет на информациите.Mitnick, K., & Simon, W. (2005). "The Art Of Intrusion". Indianapolis, IN: Wiley Publishing.

Значајни социјални инженери

Калифорниските полициски оддели истражуваат прекршувања на црвено светло