Тестирование методами социальной инженерии

Cloud Networks > Сервис и обслуживание > Тестирование методами социальной инженерии

Атаки и методы

Атаки социальной инженерии бывают разных форм, но наиболее распространенными являются фишинг, вишинг, шайбинг, выдача себя за другое лицо, ныряние в мусорную корзину, отбрасывание через USB-накопители и отслеживание событий.

  • Фишинг – это метод вредоносной рассылки по электронной почте. Злоумышленник пытается обманом заставить пользователя отказаться от конфиденциальной информации или открыть вредоносный файл, который заразит его компьютер.
  • Вишинг осуществляется посредством телефонных звонков. Злоумышленники обманом пытаются заставить пользователя поделиться конфиденциальной информации. Также атаки могут происходить с помощью SMS-сообщений.
  • Выдача себя за другое лицо – злоумышленник может выдавать себя за руководителя с целью убедить сотрудников предоставить финансовые выплаты фиктивным поставщикам или предоставить доступ к конфиденциальной информации. Атака посредством подражания может быть нацелена на пользователя с целью получения доступа к его учетной записи. Это можно сделать, запросив сброс пароля без подтверждения администратором их личности.
  • Ныряние в мусорную корзину – метод, при котором злоумышленник просматривает не только мусор, но и другие объекты на виду, например стикеры и календари, чтобы получить полезную информацию о человеке или организации.
  • Отбрасывание USB-устройств – подразумевает использование вредоносных USB-устройств, сброшенных в общих областях рабочего пространства. USB-накопители обычно содержат программное обеспечение, что при подключении устанавливает вредоносное программное обеспечение. ВПО обеспечивает бэкдор в системе или передает файлы с общими расширениями файлов.
  • Отслеживание событий используется для обхода мер физической безопасности. Обычно данный метод используется в местах, где требуется сканирование для входа. В этом типе атаки злоумышленник будет внимательно следить за сотрудником и войдет в комнату, когда он сканирует свой брелок и открывает дверь.

Тестирование на проникновение методами социальной инженерии фокусируется на людях и процессах, а также на связанных с ними уязвимостях. Участвуют этичные хакеры, проводящие перечисленные выше атаки, с которыми сотрудник может столкнуться в ходе работы. Цель – выявить слабые места системе и команде с четким путем к исправлению.

Зачем нужно тестировать сотрудников

Когда речь заходит о безопасности, пользователей обычно называют «самым слабым звеном». У пользователей есть необходимые разрешения для выполнения своей работы, через них злоумышленники могут получить опасные доступы. Тестирование методами социальной инженерии покажет, кто в компании подвержен атакам. Тесты обычно проводятся гибридным образом.

Тесты на месте используются для проверки физической безопасности здания и действующих политик компании.
Внешние тесты используются для проверки осведомленности пользователей о безопасности через общедоступные данные.

Методы для атак социальной инженерии

Существует три основных метода, используемых для выполнения атаки социальной инженерии, включая сбор информации, выбор жертвы и взаимодействие с жертвами. Далее проводится:

Активная разведка
Попытка получить информацию о цели при взаимодействии с ней. Например, получение информации обманом или более тонкий способ сканирования портов.
Пассивная разведка
Поиск вектора угроз через сайт, соцсети, чтобы получить доступ к сети компании. Злоумышленник не взаимодействует с целью, что снижает риск обнаружения.
Разведка с исходным кодом
Разведка с открытым исходным кодом собирает данные из общедоступных источников и считаются «открытыми». Это тип данных, которые были собраны.

Этапы тестирования

Пройти тестирование рекомендуется сотрудникам, которых легко обмануть. Обычно это менее осведомленные или недооцененные сотрудники, а также недавно уволенные. Для планирования требоваться целенаправленная активная и пассивная разведка. После сбора данных о сотрудниках, следуют основные этапы:

1
Планирование, определение объема тестирования и как оно будет проводиться.
2
Определение вектора атаки, методов и групп пользователей для тестирования.
3
Попытки проникновения и проведение самих тестов.
4
Отчетный этап теста на проникновение с помощью социальной инженерии.

Что вы получите?

Проведя полноценное тестирование на проникновение с методами социальной инженерии, специалисты Cloud Networks соберут результаты и составят понятный отчет. Вы получите информацию о проблемах на всех этапах тестирования, а также узнаете об уязвимостях, обнаруженных нами во время теста. Вы получите рекомендации по устранению потенциальных угроз. Отчет будет включать:

  • Резюме.
  • Обзор обнаруженных технических рисков.
  • Возможное влияние обнаруженных уязвимостей.
  • Варианты исправления, доступные для каждой обнаруженной уязвимости.
  • Заключение о тестировании на проникновение.
  • Предложения по устранению уязвимостей.

Последний этап – это устранение уязвимостей, обнаруженных в ходе проверки. После проверки и исправлений проводится повторное тестирование. В зависимости от результата, тестирование на проникновение либо закрывается, либо повторяется.

Обучение кибербезопасности с Kaspersky ASAP

Мы также рекомендуем специальные платформы для обучения сотрудников техникам кибербезопасности. С помощью онлайн-платформы от нашего партнера Kaspersky ASAP, ваши сотрудники и руководители освоят навыки информационной безопасности. Это важно, ведь 77,9% утечек происходит по вине неквалифицированных сотрудников, и 8,8% – по вине руководителей.
подробнее
Свяжитесь с нами
Позвоните нам +7 (495) 255-06-30 или отправьте ваш вопрос через форму ниже
Thank you! Your submission has been received!
Oops! Something went wrong while submitting the form.
to-top