Владимир Безмалый
Как бы вы ни изощрялись в технических решениях, помните, что главная угроза безопасности вашей сети всегда будет исходить от ваших же пользователей.
Для атаки вашей организации хакеры, использующие приемы социальной инженерии, эксплуатируют доверчивость, лень, хорошие манеры, энтузиазм вашего персонала и многое-многое другое. Трудно защититься от нападения этого типа, адресаты могут не понять, что они были обмануты, или не признавать этого.
Хакер в данном случае пытается убедить ваших сотрудников выдать информацию, которая даст возможность ему использовать ваши системные ресурсы. Традиционно этот подход известен как мошенничество. Многие маленькие и средние компании полагают, что хакерские нападения — проблема для больших корпораций или банков, ведь это сулит большую финансовую выгоду, чем нападение на маленькие компании. Такой подход, возможно, был справедлив в прошлом, однако теперь хакеры атакуют все общество. Преступники могут захватить компанию, атакуя фонды или ресурсы, но они также могут использовать вашу компанию как площадку для нападения на другие компании.
Чтобы защищать персонал от таких атак, вы должны знать, какое нападение ожидать, его возможные цели, потенциальные потери. Тогда вы сможете усилить политику безопасности, включив в нее защиту от подобных атак.
Социальная инженерия — совокупность подходов в прикладных социальных науках, ориентированных на:
* изменение поведения и установок людей;
* решение социальных проблем;
* адаптацию социальных институтов к изменяющимся условиям;
* сохранение социальной активности.
Глоссарий.ру
В отношении информационной безопасности социальная инженерш) позволяет организовывать и описывать прежде всего угрозы нетехнического
Угрозы социальной инженерии и защищенность
Как утверждается в опубликованном на сайте Microsoft руководстве по защите от угроз, связанных с воздействием социальной инженерии [1], на сегодня существует пять основных путей проникновения злоумышленников, использующих мошеннические методы: воздействие через Internet, телефон, анализ мусора, личные подходы, реверсивная социальная инженерия.
Воздействие через Internet
Персонал использует информацию и отвечает на внешние и внутренние запросы по электронным каналам. Это дает возможность хакерам подобраться к сотрудникам, используя относительную анонимность Internet. Вы часто слышите об атаках, использующих электронную почту, всплывающие приложения, и атаках, использующих системы мгновенной передачи сообщений, «троянские» вирусы, саморазмножающиеся вирусы или вредоносное ПО, которое повреждает или компрометирует компьютерные ресурсы. От большинства подобных нападений можно уберечься с помощью антивирусной защиты. Однако злоумышленник, использующий методы социальной инженерии, убеждает сотрудника выдать необходимую ему информацию с помощью правдоподобного психологического трюка вместо того, чтобы заразить компьютер вредоносным ПО путем прямого нападения. Такая атака сможет подготовить почву для вредоносного ПО. Поэтому вы должны советовать персоналу, как лучше всего идентифицировать интерактивные нападения, которые используют социальную инженерию, и избежать их.
Угрозы с использованием электронной почты
Использование электронной почты как инструмента социальной инженерии стало обычным за прошлое десятилетие. По данным отчета Anti-Phishing Work Group (APWG), в месяц обнаруживается более 20 тыс. фишинговых рассылок и около 30 тыс. новых фишерских Web-сайтов [2].
В первом полугодии 2006 года фишеры отправили 157 тыс. уникальных писем, что на 81% больше по сравнению со вторым полугодием 2005 года, сообщается в отчете по угрозам Internet-безопасности, подготовленном компанией Symantec [3]. Авторы отчета подчеркивают, что каждое такое письмо может быть отправлено сотням тысяч Internet-пользователей. По мнению экспертов APWG, такой рост стал возможен благодаря появлению наборов утилит, которые позволяют в короткие сроки создать фишинг-сайт.
Много сотрудников получают десятки и даже сотни электронных писем каждый день от деловых и частных корреспондентов. Большой объем электронной почты мешает уделять внимание каждому сообщению. Этим-то и пользуются злоумышленники .
Фишинг (phlshlng) — технология Internet-мошенничества, заключающаяся в краже личных конфиденциальных данных, таких как пароли доступа, данные банковских и идентификационных карт и т.д. (см. рис. 1).
Если посмотреть внимательно, то можно найти два различия между письмом и результатом:
текст в почте заявляет, что сайт безопасен, используя протокол HTTPS, однако на экране показано, что сайт фактически использует HTTP.
название компании в почте — Contoso, но ссылка указывает на компанию Comtoso.
Благодаря такому камуфляжу электронная почта кажется более правдоподобной. Каждое фишинг-письмо маскируется под запрос о пользовательской информации, который якобы должен облегчить пользователю установку обновления или обеспечить дополнительное обслуживание (см. рис. 2).
В июле 2006 года появилась новая разновидность фишинга, тут же получившая название вишинг (vishing). В сообщениях этого типа содержится просьба позвонить на определенный городской номер. При этом потенциальная жертва слышит сообщение, в котором ее просят сообщить свои конфиденциальные данные. Владельцев такого номера найти непросто, так как с развитием IP-телефонии звонок на городской номер может быть автоматически перенаправлен в любую точку земного шара на виртуальный номер.
Согласно информации Secure Computing [4], мошенники конфигурируют режим автонабора, который набирает номера в определенном регионе, и при ответе на звонок происходит следующее:
• автоответчик предупреждает потребителя, что с его картой производятся мошеннические действия, и дает инструкции — перезвонить по определенному номеру немедленно;
• когда по этому номеру перезванивают, на другом конце провода отвечает типично компьютерный голос, сообщающий, что человек должен пройти сверку данных и ввести 16-значный номер карты с клавиатуры телефона;
• как только номер введен, вишер становится обладателем всей необходимой информации (номер телефона, полное имя, адрес);
• затем, используя этот звонок, можно собрать и дополнительную информацию: PIN-код, срок действия карты, дата рождения, номер банковского счета и т.п.
Пока серьезных инцидентов такого рода еще не отмечено. Но только пока...
В сети, однако, существует еще более серьезная угроза — фарминг (pharming) — перенаправление жертвы по ложному адресу [5]. Этот механизм имеет много общего со стандартным вирусным заражением. Жертва открывает почтовое послание или посещает некий Web-сервер, на котором выполняется исполнимый скрипт-вирус, при этом искажается файл hosts. В результате пользователь попадает на один из ложных сайтов. Механизмов защиты от фарминга на сегодня просто не существует.
Большинство мер защиты основаны на том, чтобы не пропустить неправомочных пользователей. Однако злоумышленник может обойти много защитных средств, если отправит в компанию через ссылку «троянца», саморазмножающийся червь или вирус. Гиперссылка может также привести на сайт, использующий всплывающие окна (приложения), чтобы предложить помощь или информацию.
Чтобы более эффективно сопротивляться хакерским нападениям, использующим социальную инженерию, надо осторожно относиться к поступающей электронной почте. Необходимо включить в политику безопасности руководство, которое охватывает вопросы ее использования: вложений и гиперссылок в сообщениях; запросов о персонале или информации компании изнутри компании; запросов о персонале или информации компании извне. Эти рекомендации нужно дополнить примерами фишинговых нападений.
Всплывающие приложения и диалоговые окна
Многие сотрудники просматривают Internet с личными целями. Это чревато опасностью контакта со злоумышленниками, использующими социальную инженерию. Хотя злоумышленники могут не иметь цель напасть именно на вашу компанию, но они могут использовать ее персонал для получения доступа к ресурсам. Чаще всего преследуется цель внедрить почтовый сервер в пределах вашей компьютерной сети, через которую затем начать фишинг или иные почтовые нападения на другие компании или физических лиц.
На рис. 3 показана страница, на которой гиперссылка, как кажется пользователю, связывается с безопасным сайтом управления учетными записями, однако строка состояния показывает, что пользователь перенаправлен на хакерский сайт. В зависимости от браузера, который используется, хакер может подавить или переформатировать информацию строки состояния.
Два простейших метода соблазнить пользователя перейти по ссылке в диалоговом окне — прислать предупреждение о проблеме, которое выглядит как отображение реалистической операционной системы или прикладного сообщения об ошибках или как предложение дополнительных услуг, например, бесплатной загрузки, которая якобы заставит компьютер пользователя работать быстрее.
Защита пользователей от всплывающих приложений, использующих социальную инженерию, состоит прежде всего в понимании ситуации. Блокировку всплывающих окон и автоматические загрузки можно обойти.
Гораздо правильнее убедить пользователей в том, что они не должны нажимать ссылки на всплывающих окнах, не посоветовавшись с персоналом поддержки. Однако при этом сотрудники должны быть уверены в том, что специалисты поддержки не будут легкомысленно относиться к просьбам о помощи, если пользователь просматривает Internet. Эти доверительные отношения можно предусмотреть в вашей политике безопасности по работе в Internet.
Мгновенная передача сообщений
Мгновенная передача сообщений (Instant Messaging, IM) — относительно новое средство коммуникации. Непосредственность и дружелюбный интерфейс IM-систем делают его идеальным средством для нападений, использующих социальную инженерию, ведь пользователи расценивают данную службу как телефон и не связывают ее с потенциальными угрозами ПО. Основные атаки, использующие IM, это гиперссылки на вредоносное ПО и его рассылка.