सोशल इंजीनियरिंग: एक हमले के तरीके के बारे में शैक्षिक कार्यक्रम जो कभी समाप्त नहीं होता है

जैसा कि सफल हैक्स के विश्व अभ्यास ने दिखाया है (सफलतापूर्वक हमलावरों के लिए), ज्यादातर समस्याएं लोगों के साथ समस्याओं से जुड़ी हैं। अधिक सटीक होने के लिए, बिंदु किसी भी जानकारी को देने और पूरी तरह से मूर्खतापूर्ण कार्यों को करने की उनकी क्षमता है।

मुझे लगता है कि आईटी उदाहरण पहले से ही आपको अच्छी तरह से ज्ञात हैं, इसलिए मैं आपको "मनोविज्ञान का मनोविज्ञान" पुस्तक से एक उदाहरण याद दिलाता हूं: मनोवैज्ञानिकों ने अस्पतालों में नर्सों को फोन किया, और फिर खुद को एक डॉक्टर के रूप में पेश किया और मरीज को प्रशासित करने के लिए पदार्थ की एक घातक खुराक का आदेश दिया। बहन को पता था कि वह क्या कर रही है, लेकिन 95% मामलों में उसने कमांड को अंजाम दिया (मनोवैज्ञानिक सहायकों द्वारा उसे वार्ड के प्रवेश द्वार पर रोक दिया गया)। उसी समय, डॉक्टर कम से कम किसी तरह अधिकृत भी नहीं था। मेरी बहन ने ऐसा क्यों किया? सिर्फ इसलिए कि वह अधिकार का पालन करने के लिए उपयोग किया जाता है।

चलो फिर से: उदाहरण के लिए, सक्षम सामाजिक इंजीनियरिंग के माध्यम से, 95% अस्पताल गंभीर रूप से कमजोर थे ।

विधि समाप्त नहीं होती है

सिस्टम लगातार बदल रहे हैं। सॉफ्टवेयर और हार्डवेयर जटिल हो रहे हैं। अधिक या कम आत्मविश्वास से रक्षा में और हमले में दोनों ही विषय के मालिक होने के लिए, आपको सभी अद्यतनों की निरंतर निगरानी करने की आवश्यकता है, नई चीजों को देखने वाले पहले व्यक्ति बनें, और इस मुद्दे की पूरी आईटी पृष्ठभूमि को अच्छी तरह से समझें। यह क्लासिक हैकर का मार्ग है, जो रोमांस के प्रभामंडल में शामिल है। आधुनिक दुनिया में, बल्कि, हैकर्स के पास लक्ष्य की विशिष्ट तकनीकों में प्रशिक्षित समूह में कई संकीर्ण विशेषज्ञ हैं, लेकिन मुख्य कार्य हमेशा रक्षा की परिधि में प्रवेश करने के लिए रहता है।

इसका मतलब है कि जितनी जल्दी या बाद में आपको सामाजिक इंजीनियरिंग की आवश्यकता होगी। और आमतौर पर यह जल्दी है, क्योंकि पहले से ही सूचना और तैयारी का एक संग्रह है, और पहले से ही शीर्ष पर प्रौद्योगिकी और आईटी प्रणालियों का गहरा ज्ञान है।

यदि आपकी कंपनी में एक सुरक्षा विभाग है, तो सबसे अधिक संभावना है कि पागल लोग हैं जो समझते हैं कि कितने मूल्यवान डेटा कर्मचारी हो सकते हैं, साथ ही साथ नागरिक जो बिल्कुल लोगों पर विश्वास नहीं करते हैं। यह टीम अधिकारों का परिसीमन करती है, निर्देश लिखती है और व्यवहार में महत्वपूर्ण स्थितियों को पूरा करती है। सामान्य तौर पर, यह आपको कुछ प्रतिरक्षा प्रदान करने की अनुमति देता है, लेकिन फिर भी सुरक्षा का एक सभ्य स्तर प्रदान नहीं करता है। सामाजिक इंजीनियरिंग में जो सबसे अप्रिय है, आप "पैच" नहीं कर सकते हैं और भूल जाते हैं - एक बार हमलावर द्वारा सीखा गया मैकेनिक्स हमेशा काम करेगा, क्योंकि एक पूरे के रूप में लोगों का व्यवहार बहुत अधिक नहीं बदलता है।

सोशल इंजीनियरिंग का मूल मॉडल

यह माना जाता है कि प्रत्येक कर्मचारी की सुरक्षा के मामलों में अपनी स्वयं की योग्यता और अपनी पहुंच का स्तर है। लाइन के कर्मचारियों (उदाहरण के लिए, रिसेप्शन की लड़कियों) के पास महत्वपूर्ण जानकारी तक पहुंच नहीं है, अर्थात्, यहां तक ​​कि उनके खातों को जब्त करने और उनके द्वारा ज्ञात सभी डेटा प्राप्त करने से कंपनी को गंभीर नुकसान नहीं होगा। लेकिन उनके डेटा का उपयोग संरक्षित क्षेत्र के अंदर पहले से ही अगले चरण पर जाने के लिए किया जा सकता है। उदाहरण के लिए, आप कर्मचारियों के नाम प्राप्त कर सकते हैं और अपने आप को उनमें से एक के रूप में पेश करते हुए एक स्तर ऊँचा कह सकते हैं। इस मामले में, आप प्राधिकरण (ऊपर के डॉक्टरों के साथ उदाहरण के रूप में) खेल सकते हैं, या आप बस कुछ निर्दोष सवाल पूछ सकते हैं और मोज़ेक का एक टुकड़ा प्राप्त कर सकते हैं। या अगले अधिक जानकार कर्मचारी के लिए आगे बढ़ें, इस तथ्य का उपयोग करते हुए कि टीम ने एक दूसरे की मदद करने का फैसला किया, और कई महत्वपूर्ण डेटा के बारे में सवालों पर व्यामोह को शामिल नहीं किया। सख्त निर्देशों के साथ भी, संभावना है कि भावनाएं हमेशा आगे बढ़ेंगी।

विश्वास नहीं होता? ऐसी स्थिति की कल्पना करें जहां एक हमलावर एक महीने के लिए सप्ताह में कई बार कॉल सेंटर से एक ही लड़की को बुलाता है। वह खुद को एक कर्मचारी के रूप में पेश करता है, सकारात्मकता का एक समुद्र लाता है, जीवंत बोलता है, कुछ खुली छोटी चीजों को स्पष्ट करता है, कभी-कभी क्षुद्र मदद मांगता है। स्पष्ट प्राधिकरण को इस तथ्य से बदल दिया जाता है कि कोई व्यक्ति अक्सर कॉल करता है। यदि आवश्यक हो तो दस, बीस, तीस बार। जब तक यह जीवन की एक घटना नहीं बन जाती। वह अपना है, क्योंकि वह कंपनी के विभिन्न विवरणों से अवगत है और लगातार कॉल करता है। 31 वीं बार, हमलावर फिर से एक छोटा अनुरोध करता है, लेकिन इस बार महत्वपूर्ण डेटा के बारे में। और यदि आवश्यक हो, तो वह एक तार्किक और प्रशंसनीय औचित्य देता है कि यह क्यों आवश्यक है और यह किस मुसीबत में है। बेशक, एक सामान्य व्यक्ति उसकी मदद करेगा।

यदि आपको लगता है कि केवल अक्षम उपयोगकर्ता ही इस तरह के हमलों के लिए अतिसंवेदनशील होते हैं, तो पुस्तक "द आर्ट ऑफ डिसेप्शन" खोलें, जहां परिचय में भी, मिचनिक इस बारे में बात करते हैं कि कैसे उन्होंने खुद को परियोजना के मुख्य विकासकर्ता के रूप में पेश किया और सिस्टम प्रशासक को एक सेकंड के लिए सिस्टम तक विशेषाधिकार प्राप्त किया। उस व्यक्ति को नोटिस करें जिसने पूरी तरह से समझा कि वह वास्तव में क्या कर रहा था।

रिवर्स इंजीनियरिंग

सामान्य हमला मॉडल बिल्कुल समान है: आपको डेटा मिलता है जिसे उपयोगकर्ता साझा करने के लिए तैयार हैं। लेकिन शास्त्रीय "सीढ़ी" विधियों के विपरीत, यहां उपयोगकर्ता खुद कहता है कि क्या आवश्यक है। यह एक प्रभावी तीन-तरफ़ा दृष्टिकोण है: आप उपयोगकर्ता की परेशानियों को समायोजित करते हैं, अपने आप से संपर्क प्रदान करते हैं, फिर एक हमले का संचालन करते हैं। उदाहरण - एक सफाई के रूप में पहरेदार परिधि पर आते हैं, अपने स्वयं के साथ दीवार पर प्रिंटआउट में तकनीकी सहायता संख्या को बदलें, और फिर एक छोटी सी समस्या को व्यवस्थित करें। एक दिन के भीतर, एक परेशान उपयोगकर्ता आपको कॉल करता है और एक सक्षम विशेषज्ञ के साथ अपने सभी ज्ञान को साझा करने के लिए तैयार है। आपका प्राधिकरण समस्याओं का कारण नहीं बनता है - क्योंकि व्यक्ति स्वयं जानता है कि वह किसे और क्यों बुला रहा है।

एक सुंदर बदलाव बैंकिंग आईवीआर फ़िशिंग है, जब हमले के शिकार को "क्लाइंट सेंटर" की फ़िशिंग संख्या के साथ एक पत्र मिलता है, जहां कुछ कदम पर उत्तर देने वाली मशीन प्राधिकरण के लिए महत्वपूर्ण कार्ड विवरण दर्ज करने के लिए कहती है।

अधिक विशेष मामले

आप लक्ष्य द्वारा उपयोग किए गए संसाधनों पर फ़िशिंग का उपयोग कर सकते हैं। या, उदाहरण के लिए, इन बाहरी संसाधनों पर कंपनी की मशीनों (हाल के वर्षों के मुख्य आक्रमणकारी वैक्टरों में से एक) को संक्रमित करने वाले मैलवेयर का इस्तेमाल करें। आप एक दिलचस्प कर्मचारी को कुछ के साथ एक डिस्क स्थानांतरित कर सकते हैं (इस उम्मीद में कि वह सॉफ़्टवेयर चलाएगा या वहां से जानकारी का उपयोग करेगा), आप डेटा एकत्र करने के लिए सामाजिक नेटवर्क का उपयोग कर सकते हैं (कंपनी की संरचना की पहचान करें) और इसमें विशिष्ट लोगों के साथ संवाद करें। समुद्र के लिए विकल्प।

सारांश

तो, लक्ष्य के बारे में डेटा एकत्र करने के लिए सोशल इंजीनियरिंग दोनों का उपयोग किया जा सकता है ("हैलो! मेरे पास एक 4 विभाग टेलीफोन था, लेकिन मैं भूल गया"), और निजी जानकारी प्राप्त करने के लिए ("हाँ, धन्यवाद। यहां एक और बात है, मुझे लगता है कि यह) संदिग्ध ग्राहक। मुझे उसके कार्ड की संख्या बताएं, जो उसने पिछली बार भुगतान किया था? ”), सिस्टम तक सीधी पहुंच:“ तो अब आप वास्तव में क्या दर्ज कर रहे हैं? कृपया इसे बताएं। डॉलर-प्रतिशत-डी-ते बड़ा ... ") की तरह सात एस। और यहां तक ​​कि उन चीजों को प्राप्त करने के लिए जिन्हें अन्यथा प्राप्त करना असंभव है। उदाहरण के लिए - यदि कंप्यूटर नेटवर्क से भौतिक रूप से डिस्कनेक्ट हो गया है, तो "संसाधित" व्यक्ति इसे कनेक्ट करने में सक्षम होगा।

हैकिंग टूर्नामेंट की तैयारी के विषय में, राहत के लिए एक लड़की के बारे में एक कार्य था जो गलती से 30 सेकंड के लिए छोड़ दिया गया था। इस दौरान आप क्या करने का प्रबंधन करेंगे? उसकी कार पर कुछ रखो? नहीं, पर्याप्त समय या उपयोगकर्ता अधिकार नहीं। तालिका से दस्तावेज़ चोरी करें या अपने आप को सभी पत्र भेजें? एक अच्छा विचार नहीं है, आप पर ध्यान दिया जाएगा। यहां तक ​​कि सिर्फ उसके कंप्यूटर पर बैठना कार्यालय में एक संभव छिपे हुए घुड़सवार कैमरे के कारण पहले से ही खतरनाक है। सामाजिक संपर्क के विमान में सबसे अच्छे उत्तर दिए गए हैं: तकनीकी सहायता संख्या के साथ एक स्टिकर चिपकाएं, उसे एक तिथि पर आमंत्रित करें, और इसी तरह। वे एक तारीख का न्याय नहीं करते हैं, लेकिन यह आपको कंपनी में पदानुक्रम और कर्मचारियों की व्यक्तिगत फ़ाइलों के बारे में बहुत अधिक डेटा देगा।

इसलिए, शैक्षिक कार्यक्रम पर लौट रहे हैं। "आर्ट ऑफ डिसेप्शन" पढ़ें (आप निश्चित रूप से वहां के विशिष्ट संवादों को पसंद करेंगे), डेनिस फेरिया की पुस्तक से सोशल इंजीनियरिंग का अध्याय "सुपर हैकर का राज", गंभीर "इन्फ्लूएंजा के मनोविज्ञान" शीर्षक वाले पथ के साथ, और एक शुरुआत के लिए - मुख्य तकनीकों के विवरण के साथ विकी पर एक लेख । यदि आपके पास एक शक्तिशाली सुरक्षा विभाग नहीं है, तो पढ़ने के बाद, नेता को चेतावनी दें और एक साधारण सा आचरण करें। सबसे अधिक संभावना है कि आप मानव भोलापन के बारे में बहुत कुछ सीखेंगे।

साइबर रेडीनेस चैलेंज टूर्नामेंट और सोशल इंजीनियरिंग

सामाजिक खतरों को रोकने के लिए तकनीकी तरीकों के अलावा (जैसे कि कंपनी के भीतर संदेशों का आदान-प्रदान करने के लिए एक सामान्य मंच पेश करना, नए संपर्कों का अनिवार्य प्रमाणीकरण, और इसी तरह), उपयोगकर्ताओं को इस तरह के हमलों के दौरान वास्तव में क्या करना है, यह समझाना आवश्यक है। सच है, यह बेकार है यदि आप अभ्यास के साथ सिद्धांत को संयोजित नहीं करते हैं, अर्थात्, समय-समय पर खुद को एक हमलावर के रूप में कार्य करते हैं और अपने स्वयं के सिस्टम में घुसने की कोशिश करते हैं। "प्रशिक्षण अलार्म" और डीब्रीपिंग के एक जोड़े के बाद, कर्मचारी कम से कम यह सोचेंगे कि क्या उन्हें कॉल के लिए चेक किया गया है।

बेशक, खतरे का मुकाबला करने के लिए, आपको हमलावर पर हमला करने वाले "सिर में" पड़ने की जरूरत है और उसके जैसा सोचना सीखें। मूल रूप से सुरक्षा पेशेवरों को प्रशिक्षित करने के लिए एक सिम्युलेटर के रूप में बनाए गए ऑफ़लाइन साइबर रेडीनेस चैलेंज के हिस्से के रूप में, हम खतरों के इस वर्ग को पार नहीं कर सकते।

यदि आप सर्वर और सिस्टम प्रशासन, नेटवर्क इन्फ्रास्ट्रक्चर और अन्य तकनीकी चीजों को समझते हैं, लेकिन इस तरह के एक अद्भुत मानव कारक को ध्यान में नहीं रखते हैं, तो टूर्नामेंट आपको कुछ दिलचस्प विचार देगा।