Ostatnie wiadomości uświadomiły mi, jak ludzkie emocje i myśli mogą być (lub są) wykorzystywane dla dobra innych. Prawie każdy z was zna Edwarda Snowdena^{(Edward Snowden)} , demaskatora NSA śledzącego cały świat. Reuters poinformował, że zlecił około 20-25 osobom z NSA przekazanie mu swoich haseł w celu odzyskania niektórych danych, które wyciekł później [1]. Wyobraź sobie^(Imagine) , jak delikatna może być Twoja sieć firmowa, nawet przy użyciu najsilniejszego i najlepszego oprogramowania zabezpieczającego!

Co to jest inżynieria społeczna

Ludzka^(Human) słabość, ciekawość, emocje i inne cechy były często wykorzystywane do nielegalnego wydobywania danych – czy to w jakiejkolwiek branży. Branża IT^{(IT Industry)} nadała mu jednak nazwę socjotechniki. Inżynierię społeczną definiuję jako:

“The method whereby an external person gains control over one or more employees of any organization by any means with intention to obtain the organization’s data illegally”

Oto kolejna linijka z tej samej wiadomości [1], którą chcę zacytować – „ Agencjom ochrony trudno jest uwierzyć, że facet w sąsiednim boksie może nie być wiarygodny^{(Security agencies are having a hard time with the idea that the guy in the next cubicle may not be reliable)} ”. Zmodyfikowałem nieco oświadczenie, aby dopasować je do kontekstu. Możesz przeczytać całą wiadomość, korzystając z linku w sekcji Referencje^(References) .

Innymi słowy, nie masz pełnej kontroli nad bezpieczeństwem swoich organizacji, ponieważ socjotechnika ewoluuje znacznie szybciej niż techniki radzenia sobie z nią. Inżynieria społeczna^(Social) może przypominać dzwonienie do kogoś, kto mówi, że jesteś wsparciem technicznym i prosi o dane logowania. Musiałeś otrzymywać e-maile phishingowe o loteriach, bogatych ludziach na Bliskim Wschodzie^{(Mid East)} iw Afryce^(Africa) szukających partnerów biznesowych oraz oferty pracy z prośbą o podanie Twoich danych.

W przeciwieństwie do ataków phishingowych socjotechnika polega w dużej mierze na bezpośredniej interakcji między osobami. Ten pierwszy (phishing) wykorzystuje przynętę – to znaczy, że ludzie „łowiący” oferują ci coś z nadzieją, że się na to nabierzesz. Inżynieria społeczna^(Social) polega bardziej na zdobywaniu zaufania pracowników wewnętrznych, aby ujawnili potrzebne dane firmy.

Przeczytaj: ^(Read:) Popularne metody inżynierii społecznej .

Znane techniki inżynierii społecznej

Jest ich wiele i wszystkie wykorzystują podstawowe ludzkie tendencje do dostania się do bazy danych dowolnej organizacji. Najczęściej stosowaną (prawdopodobnie przestarzałą) techniką socjotechniki jest dzwonienie i spotykanie się z ludźmi i utwierdzanie ich w przekonaniu, że pochodzą z pomocy technicznej, która musi sprawdzić komputer. Mogą również tworzyć fałszywe dowody osobiste, aby wzbudzić zaufanie. W niektórych przypadkach sprawcy podszywają się pod urzędników państwowych.

Inną znaną techniką jest zatrudnienie osoby jako pracownika w organizacji docelowej. Teraz, ponieważ ten oszust jest twoim kolegą, możesz mu powierzyć dane firmy. Zewnętrzny pracownik może ci w czymś pomóc, więc czujesz się zobowiązany i wtedy może dojrzeć maksimum.

Czytałem też kilka relacji o osobach korzystających z upominków elektronicznych. Fantazyjny pendrive^(USB) dostarczony pod adres Twojej firmy lub pendrive leżący w Twoim samochodzie mogą okazać się katastrofą. W pewnym przypadku ktoś celowo zostawił na parkingu dyski USB jako przynęty [2].^(USB)

Jeśli sieć Twojej firmy ma dobre zabezpieczenia na każdym węźle, jesteś błogosławiony. W przeciwnym razie węzły te zapewniają łatwe przejście dla złośliwego oprogramowania – w postaci prezentu lub „zapomnianych” pendrive’ów – do systemów centralnych.

W związku z tym nie możemy podać wyczerpującej listy metod inżynierii społecznej. To nauka u podstaw, połączona ze sztuką na górze. I wiesz, że żaden z nich nie ma granic. Inżynierowie socjotechniczni^(Social) nieustannie rozwijają swoją kreatywność, opracowując oprogramowanie, które może również nadużywać urządzeń bezprzewodowych, uzyskując dostęp do firmowej sieci Wi-Fi^(Wi-Fi) .

Przeczytaj: ^(Read:) Co to jest złośliwe oprogramowanie wykorzystujące inżynierię społeczną .

Zapobiegaj inżynierii społecznej

Osobiście nie sądzę, że istnieje jakiekolwiek twierdzenie, które administratorzy mogą wykorzystać do zapobiegania włamaniom socjotechnicznym. Techniki socjotechniki ciągle się zmieniają, przez co administratorom IT trudno jest śledzić, co się dzieje.

Oczywiście istnieje potrzeba prowadzenia zakładki z wiadomościami z zakresu socjotechniki, aby być na tyle poinformowanym, by podjąć odpowiednie środki bezpieczeństwa. Na przykład w przypadku urządzeń USB administratorzy mogą blokować dyski USB na poszczególnych węzłach zezwalając na ich używanie tylko na serwerze, który ma lepszy system zabezpieczeń. Podobnie ^(Likewise)Wi-Fi wymagałoby lepszego szyfrowania niż większość lokalnych dostawców usług internetowych^(ISPs) .

Szkolenie pracowników i przeprowadzanie wyrywkowych testów na różnych grupach pracowników może pomóc w identyfikacji słabych punktów w organizacji. Łatwiej byłoby wyszkolić i ostrzec słabsze osobniki. Czujność^(Alertness) jest najlepszą obroną. Należy podkreślić, że dane logowania nie powinny być udostępniane nawet liderom zespołów – bez względu na presję. Jeśli lider zespołu musi uzyskać dostęp do loginu członka, może użyć hasła głównego. To tylko jedna sugestia, aby zachować bezpieczeństwo i unikać hacków socjotechnicznych.

Najważniejsze jest to, że oprócz złośliwego oprogramowania i hakerów internetowych, informatycy muszą również zajmować się socjotechniką. Podczas identyfikowania metod naruszenia danych (takich jak zapisywanie haseł itp.), administratorzy powinni również upewnić się, że ich personel jest wystarczająco inteligentny, aby zidentyfikować technikę socjotechniki, aby całkowicie jej uniknąć. Jak myślisz, jakie są najlepsze metody zapobiegania socjotechnikom? Jeśli natrafiłeś na jakiś ciekawy przypadek, podziel się z nami.

Pobierz ten ebook dotyczący ataków socjotechnicznych wydany przez firmę Microsoft i dowiedz się, jak wykrywać i zapobiegać takim atakom w swojej organizacji.^{(Download this ebook on Social Engineering Attacks released by Microsoft and learn how you can detect and prevent such attacks in your organization.)}

Bibliografia^(References)

[1] Reuters , Snowden przekonał pracowników NSA do uzyskania ^{(NSA Employees Into)}danych^(Info) logowania

[2] Boing Net , Pendrive^(Pen) wykorzystywane do rozpowszechniania złośliwego oprogramowania^{(Spread Malware)} .

Understand Social Engineering - Protection against Human Hacking

A piece of recent news made me realize how human emotions and thoughts can be (or, are) used for others’ benefit. Almost every one of yoυ knows Edward Snowden, the whistleblоwer of NSA snooping the world over. Reuters reported thаt he got around 20-25 NSA people to hand over their passwords to him for rеcovering some data he leaked later [1]. Imagine how fragile your corporate network can be, even with the strongest and best of securitу software!

What is Social Engineering

Human weakness, curiosity, emotions, and other characteristics have often been used in extracting data illegally – be it any industry. The IT Industry has, however, given it the name of social engineering. I define social engineering as:

“The method whereby an external person gains control over one or more employees of any organization by any means with intention to obtain the organization’s data illegally”

Here is another line from the same news story [1] that I want to quote – “Security agencies are having a hard time with the idea that the guy in the next cubicle may not be reliable“. I modified the statement a bit to fit it into the context here. You can read the full news piece using the link in the References section.

In other words, you do not have complete control over the security of your organizations with social engineering evolving much faster than techniques to cope with it. Social engineering can be anything like calling up someone saying you are tech support and ask them for their login credentials. You must have been receiving phishing emails about lotteries, rich people in Mid East and Africa wanting business partners, and job offers to ask you your details.

Unlike phishing attacks, social engineering is much of direct person-to-person interaction. The former (phishing) employs a bait – that is, the people “fishing” is offering you something hoping that you will fall for it. Social engineering is more about winning the confidence of internal employees so that they divulge the company details you need.

Read: Popular methods of Social Engineering.

Known Social Engineering Techniques

There are many, and all of them use basic human tendencies for getting into the database of any organization. The most used (probably outdated) social engineering technique is to call and meet people and making them believe they are from technical support who need to check your computer. They can also create fake ID cards to establish confidence. In some cases, the culprits pose as state officials.

Another famous technique is to employ your person as an employee in the target organization. Now, since this con is your colleague, you might trust him with company details. The external employee might help you with something, so you feel obliged, and that is when they can make out the maximum.

I also read some reports about people using electronic gifts. A fancy USB stick delivered to you at your company address or a pen drive lying in your car can prove disasters. In a case, someone left some USB drives deliberately in the parking lot as baits [2].

If your company network has good security measures at each node, you are blessed. Otherwise, these nodes provide an easy passage for malware – in that gift or “forgotten” pen drives – to the central systems.

As such we cannot provide a comprehensive list of social engineering methods. It is a science at the core, combined with art on the top. And you know that neither of them has any boundaries. Social engineering guys keep on getting creative while developing software that can also misuse wireless devices gaining access to company Wi-Fi.

Read: What is Socially Engineered Malware.

Prevent Social Engineering

Personally, I do not think there is any theorem that admins can use to prevent social engineering hacks. The social engineering techniques keep on changing, and hence it becomes difficult for IT admins to keep track on what is happens.

Of course, there is a need to keep a tab on social engineering news so that one is informed enough to take appropriate security measures. For example, in the case of USB devices, admins can block USB drives on individual nodes allowing them only on the server that has a better security system. Likewise, Wi-Fi would need better encryption than most of the local ISPs provide.

Training employees and conducting random tests on different employee groups can help identify weak points in the organization. It would be easy to train and caution the weaker individuals. Alertness is the best defense. The stress should be that login information should not be shared even with the team leaders – irrespective of the pressure. If a team leader needs to access a member’s login, s/he can use a master password. That is just one suggestion to stay safe and avoid social engineering hacks.

The bottom line is, apart from the malware and online hackers, the IT people need to take care of social engineering too. While identifying methods of a data breach (like writing down passwords etc.), the admins should also ensure their staff is smart enough to identify a social engineering technique to avoid it altogether. What do you think are the best methods to prevent social engineering? If you have come across any interesting case, please share with us.

Download this ebook on Social Engineering Attacks released by Microsoft and learn how you can detect and prevent such attacks in your organization.

References

[1] Reuters, Snowden Persuaded NSA Employees Into Obtaining Their Login Info

[2] Boing Net, Pen Drives Used to Spread Malware.

Related posts

• Uzależnienie od Internetu i serwisów społecznościowych

• Strony z fałszywymi wiadomościami: rosnący problem i co to oznacza w dzisiejszym świecie

• Jak skonfigurować, nagrywać, edytować, publikować rolki na Instagramie

• Jak włączyć uwierzytelnianie dwuskładnikowe dla konta Reddit

• Połącz się z Klubem Windows

• Jak wyszukujesz wiadomości na Instagramie?

• Odwołaj dostęp stron trzecich z Facebooka, Google, Microsoft, Twittera

• Jak zrobić karuzelę na Instagramie w Photoshopie: samouczek przyjazny dla początkujących

• Jak używać rolek na Instagramie do tworzenia lub oglądania filmów

• Funkcje Yammera i miejsce, w którym można z niego korzystać

• Jak zostać Influencerem na Instagramie

• Lista rzeczy, których nie należy udostępniać ani publikować na Facebooku lub w mediach społecznościowych

• Znajdź najlepsze posty i rekomendacje na Reddit za pomocą tych narzędzi

• Jak uzyskać Instagram lub Snapchat na komputerze z systemem Windows?

• Jak zostać influencerem na Pintereście

• Jak korzystać z Facebooka, aby zostać influencerem w mediach społecznościowych?

• Jak utworzyć grupę w Telegramie i korzystać z funkcji czatu głosowego

• Jak wyciszać, wyłączać wyciszenie i ograniczać użytkowników Instagrama na komputerze z systemem Windows

• Najlepsze bezpłatne szablony Canva do prezentacji

• 5 najlepszych aplikacji społecznościowych dla systemu Windows 10 dostępnych w Microsoft Store