Тестирование методами социальной инженерии

Атаки и методы

Атаки социальной инженерии бывают разных форм, но наиболее распространенными являются фишинг, вишинг, шайбинг, выдача себя за другое лицо, ныряние в мусорную корзину, отбрасывание через USB-накопители и отслеживание событий.

Фишинг – это метод вредоносной рассылки по электронной почте. Злоумышленник пытается обманом заставить пользователя отказаться от конфиденциальной информации или открыть вредоносный файл, который заразит его компьютер.
Вишинг осуществляется посредством телефонных звонков. Злоумышленники обманом пытаются заставить пользователя поделиться конфиденциальной информации. Также атаки могут происходить с помощью SMS-сообщений.
Выдача себя за другое лицо – злоумышленник может выдавать себя за руководителя с целью убедить сотрудников предоставить финансовые выплаты фиктивным поставщикам или предоставить доступ к конфиденциальной информации. Атака посредством подражания может быть нацелена на пользователя с целью получения доступа к его учетной записи. Это можно сделать, запросив сброс пароля без подтверждения администратором их личности.
Ныряние в мусорную корзину – метод, при котором злоумышленник просматривает не только мусор, но и другие объекты на виду, например стикеры и календари, чтобы получить полезную информацию о человеке или организации.
Отбрасывание USB-устройств – подразумевает использование вредоносных USB-устройств, сброшенных в общих областях рабочего пространства. USB-накопители обычно содержат программное обеспечение, что при подключении устанавливает вредоносное программное обеспечение. ВПО обеспечивает бэкдор в системе или передает файлы с общими расширениями файлов.
Отслеживание событий используется для обхода мер физической безопасности. Обычно данный метод используется в местах, где требуется сканирование для входа. В этом типе атаки злоумышленник будет внимательно следить за сотрудником и войдет в комнату, когда он сканирует свой брелок и открывает дверь.

Тестирование на проникновение методами социальной инженерии фокусируется на людях и процессах, а также на связанных с ними уязвимостях. Участвуют этичные хакеры, проводящие перечисленные выше атаки, с которыми сотрудник может столкнуться в ходе работы. Цель – выявить слабые места системе и команде с четким путем к исправлению.

Зачем нужно тестировать сотрудников

Когда речь заходит о безопасности, пользователей обычно называют «самым слабым звеном». У пользователей есть необходимые разрешения для выполнения своей работы, через них злоумышленники могут получить опасные доступы. Тестирование методами социальной инженерии покажет, кто в компании подвержен атакам. Тесты обычно проводятся гибридным образом.

Тесты на месте используются для проверки физической безопасности здания и действующих политик компании.

Внешние тесты используются для проверки осведомленности пользователей о безопасности через общедоступные данные.

Методы для атак социальной инженерии

Существует три основных метода, используемых для выполнения атаки социальной инженерии, включая сбор информации, выбор жертвы и взаимодействие с жертвами. Далее проводится:

Активная разведка

Попытка получить информацию о цели при взаимодействии с ней. Например, получение информации обманом или более тонкий способ сканирования портов.

Пассивная разведка

Поиск вектора угроз через сайт, соцсети, чтобы получить доступ к сети компании. Злоумышленник не взаимодействует с целью, что снижает риск обнаружения.

Разведка с исходным кодом

Разведка с открытым исходным кодом собирает данные из общедоступных источников и считаются «открытыми». Это тип данных, которые были собраны.

Этапы тестирования

Пройти тестирование рекомендуется сотрудникам, которых легко обмануть. Обычно это менее осведомленные или недооцененные сотрудники, а также недавно уволенные. Для планирования требоваться целенаправленная активная и пассивная разведка. После сбора данных о сотрудниках, следуют основные этапы:

Планирование, определение объема тестирования и как оно будет проводиться.

Определение вектора атаки, методов и групп пользователей для тестирования.

Попытки проникновения и проведение самих тестов.

Отчетный этап теста на проникновение с помощью социальной инженерии.

Что вы получите?

Проведя полноценное тестирование на проникновение с методами социальной инженерии, специалисты Cloud Networks соберут результаты и составят понятный отчет. Вы получите информацию о проблемах на всех этапах тестирования, а также узнаете об уязвимостях, обнаруженных нами во время теста. Вы получите рекомендации по устранению потенциальных угроз. Отчет будет включать:

Резюме.
Обзор обнаруженных технических рисков.
Возможное влияние обнаруженных уязвимостей.
Варианты исправления, доступные для каждой обнаруженной уязвимости.
Заключение о тестировании на проникновение.
Предложения по устранению уязвимостей.

Последний этап – это устранение уязвимостей, обнаруженных в ходе проверки. После проверки и исправлений проводится повторное тестирование. В зависимости от результата, тестирование на проникновение либо закрывается, либо повторяется.

Обучение кибербезопасности с Kaspersky ASAP

Мы также рекомендуем специальные платформы для обучения сотрудников техникам кибербезопасности. С помощью онлайн-платформы от нашего партнера Kaspersky ASAP, ваши сотрудники и руководители освоят навыки информационной безопасности. Это важно, ведь 77,9% утечек происходит по вине неквалифицированных сотрудников, и 8,8% – по вине руководителей.

подробнее