Hacked v 20 minutah: socialni inženiring narejen prav

Koliko časa bi trajalo, da napadalec vdre v posel? Se v omrežju podjetja prijavite kot overjen uporabnik? Če mislite, da bi trajalo nekaj dni ali celo nekaj ur, ste že daleč.

Poskusite 20 minut.

David Jacoby, starejši raziskovalec varnosti pri Globalni raziskovalni in analitični skupini v laboratoriju Kaspersky, je potreboval tri minute, da se prikrade v stavbo, štiri minute za dostop do omrežja, pet minut za avtentični dostop do omrežja in deset minut za namestitev zaledje v korporativnem omrežju. Lahko je prenesel in odšel z "gigabajti podatkov" iz podjetja, je povedal udeležence na prejšnjem tednu na vrhu o analitičnem analitiku laboratorija Kaspersky.

Jacobyja je povabilo podjetje, ki pride in preizkuša svojo obrambo. Kot se je izkazalo, ni potreboval nobenih domišljijskih hekerjev ali nič dni, da bi se prebil. Vse to je bil socialni inženiring.

"Zapravili so toliko denarja in še vedno sem se vsedel, " je rekel Jacoby.

Biti lep Tailgaterjem

Podjetje je zahtevalo, da za vstop in izstop iz stavbe uporabljajo značko. Jacoby je čakal, da drugi uslužbenci stopijo noter, in samo pohitel po njih. Večina ljudi želi biti vljudna in bodo odprla vrata, če nekdo hkrati vstopi - kar izkoristi večina zapornikov. Jacoby je šel še korak dlje, v kolikor bi zaposleni pomislil, da bi videl značko. Nekoliko se je oblekel, da bi bil videti malce menedžersko in držal mobitel do ušesa, kot da bi se pogovarjal z nekom. Ko je šel skozi vrata, je rekel: "Sem v preddverju. V hipu bom že gor."

Nihče ne bo motil telefonskega klica, in če izraziš vtis, da si nekdo pomemben, ki se sreča z nekom pomembnim, se večina ljudi ne bo ustavila, da bi te vprašala, je dejal Jacoby.

Vedno je vozlišče

Zagotovo bi moralo biti omrežje nekoliko težje, kajne? Izkazalo se je, da se Jacoby ne trudi, da bi se zaposlil na korporativnem brezžičnem omrežju. Namesto tega je šel naravnost v tiskalniško sobo, kjer je za tiskalnik vedno omrežno vozlišče. V prenosnik je priklopil prenosnik in tako enostavno kot to je bil v omrežju.

Vzpostavitev omrežja kot veljavnega uporabnika je potrebovala več govora kot kramp. Jacoby je našel zaposlenega, ki je sedel v sosednji sobi tiskarne, in razložil, da ima težave z omrežjem. Vprašal je, ali si lahko izposodi računalnik zaposlenega. Ko je sedel, je bil uslužbenec še vedno prijavljen, kar je pomenilo, da lahko v omrežju počne vse, kar hoče.

V tem trenutku je v omrežje namestil zakulisje, ki mu je omogočilo popoln nadzor. Ni več potreboval računalnikovega računalnika ali poverilnic.

Vsak korak je pomemben

Resnično se je težko ubraniti pred socialnim inženiringom, ker je človeška narava želeti biti lepo in koristno. Ljudem želimo dvomiti v korist in ne predvidevamo, da bodo vsi škodovali, toda ravno to človeško čustvo nas spravlja v varnost. Medtem ko je pomembno, da uporabnike večkrat opomnite, naj se odjavijo, preden komu dovolijo uporabo računalnika in imajo znake, v katerih prosijo zaposlene, naj ne pustijo ljudi, da zaprejo vrata v pisarno, bodo ljudje privzeto prijazni in koristni.

Pomembno je tudi vedeti, da mala podjetja niso imuna. V resnici so lahko še bolj dovzetni za te napade, če zaposleni meni, da je oseba izvajalec informatike ali električar.

Zato je za varovanje omrežja tako pomembno uporabljati tehnologijo. Namesto da bi dovolili, da se katera koli naprava, vstavljena v središče, dobi v omrežje, lahko skrbniki omogočijo omejitve naslova MAC, tako da samo znane naprave dobijo veljaven naslov IP. Po pridobitvi dostopa do omrežja je Jacoby ugotovil, da je bilo omrežje napačno segmentirano, zato so bili občutljivi sistemi lahko dostopni. Našel je zastarelo in ranljivo programsko opremo. Našel je tudi 300 uporabniških računov z nastavljenimi gesli, ki nikoli ne potečejo. Vse te stvari so mu kot napadalcu bistveno olajšale delo.

Mislite kot napadalec. Presenečeni boste nad tem, kako ranljiva je lahko vaša organizacija.