Руководство по обеспечению безопасности пpи pаботе на компьютеpе
Социальную инженерию
. Большинство людей почему-то думает, что проникновения в компьютерные системы - это результат использования злоумышленниками технических ошибок в компьютерных системах. На самом же деле социальная инженерия играет большую роль в проникновениях и оказывает серьезную помощь атакующему в просачивании сквозь барьеры защиты.
Социальную инженерию в контексте данной публикации можно определить как действия, результатом которых является вхождение в доверие к легальным пользователям компьютерной системы до такой степени, что они раскрывают секреты компьютерной системы или неумышленно помогают кому-либо получить неавторизованный доступ к этой системе. Используя социальную инженерию, атакующий может узнать важную информацию или получить помощь, которая поможет ему легко обойти имеющиеся средства защиты в системе. Опытные социальные инженеры могут казаться вполне искренними, хотя на самом деле они - отпетые лжецы.
Большую часть времени атакующие, использующие социальную инженерию, проводят у телефона. Он не только позволяет атакующему скрыть свою личность, но также делает эту работу легче, так как атакующий может заявить, что он такой-то и у него будет больше шансов на успех.
Существует несколько типов социальной инженерии. Вот только несколько примеров часто используемых приемов:
Атакующий может заявлять, что он легальный конечный пользователь, который является новичком в этой компьютерной системе или не очень знаком с компьютерами. В этом случае атакующий часто просит системных администраторов и других конечных пользователей помочь ему. Этот "пользователь" может говорить, что он потерял пароль, или что он не может войти в систему, хотя ему срочно нужен доступ к ней. Атакующий также часто говорит, что он какое-либо важное лицо в организации, и начинает кричать на администраторов, чтобы получить то, что он хочет. В этих случаях администратор (или конечный пользователь) может испугаться важной персоны и сделать все, что от него хотят.
Атакующий, работающий с помощью телефона, может до этого никогда не видеть типичного экрана вашей компьютерной системы.
В этом случае он пытается говорить в общем, расплывчато указывая детали, и пытается выудить из пользователя как можно больше информации о системе. Атакующий может так реалистично делать вид, что он жутко расстроен, что у пользователя может создаться впечатление, что он спасает недотепу, которому обязательно нужно помочь. Пользователи легче раскрывают секреты, когда их чувство бдительности притуплено.
Атакующий также может использовать имеющиеся в компьютерной системе проблемы, о которых он узнал. Оказание пользователю помощи - это эффективный способ войти к нему в доверие. Пользователь, раздраженный проблемами, с которыми он столкнулся, будет более чем счастлив, когда кто-то поможет ему. Атакующий может представляться системным администратором или оператором сервис-центра. Часто таким образом атакующий получает важную информацию, так как пользователь думает, что нет ничего страшного в том, что он сообщает какие-либо секреты техническому персоналу. Посещение атакующим организации может быть опасным для него, так как он не сможет в случае раскрытия легко убежать, но этот риск может принести атакующему хорошие результаты, если с помощью наивных пользователей он получит прямой доступ к компьютерной системе.
Иногда атакующий может получить доступ к системе, не зная до этого ничего о ней, и не имея до этого к ней терминального доступа. Аналогично тому, что нельзя поддаваться на чьи-либо просьбы пронести сумку через таможню, пользователи не должны вводить никакие команды по просьбе кого-либо. Бойтесь атакующих, которые используют пользователей как свои пальцы на удаленной клавиатуре, заставляя пользователей выполнять команды, которые могут нанести вред системе. Эти атакующие могут использовать ошибки в системных программах, даже не имея прямого доступа к системе. Обычно команды, которые выполняют пользователи, наносят какой-либо ущерб системе, делают учетную запись пользователя доступной для атакующего или создают дыру в защите компьютерной системы, которая впоследствии позволит атакующему получить доступ в систему.Если вы не уверены в том, что понимаете смысл команд, которые вас просят выполнить, просто ничего не делайте. Вы никогда не знаете, к чему это может привести . . .
Чтобы не стать жертвой социальной инженерии, важно помнить, что пароли нужно хранить в тайне. Пароль для доступа к вашей личной учетной записи в системе должен быть известен ТОЛЬКО ВАМ. Системным администраторам, которым нужно что-то сделать с вашей учетной записью, не требуется знать ваш пароль. Будучи администраторами, они обладают такими привилегиями, которые позволяют им сделать все, что нужно, с вашей учетной записью, не спрашивая у вас пароль.
