Logo Море(!) аналитической информации!
IT-консалтинг Software Engineering Программирование СУБД Безопасность Internet Сети Операционные системы Hardware
Скидка до 20% на услуги дата-центра. Аренда серверной стойки. Colocation от 1U!

Миграция в облако #SotelCloud. Виртуальный сервер в облаке. Выбрать конфигурацию на сайте!

Виртуальная АТС для вашего бизнеса. Приветственные бонусы для новых клиентов!

Виртуальные VPS серверы в РФ и ЕС

Dedicated серверы в РФ и ЕС

По промокоду CITFORUM скидка 30% на заказ VPS\VDS

VPS/VDS серверы. 30 локаций на выбор

Серверы VPS/VDS с большим диском

Хорошие условия для реселлеров

4VPS.SU - VPS в 17-ти странах

2Gbit/s безлимит

Современное железо!

4. Паранойя - это хорошо!

Многие люди не знают того, что большое число злоумышленников использует специальное средство для проникновения в компьютерные системы - социальную инженерию. Большинство людей почему-то думает, что проникновения в компьютерные системы - это результат использования злоумышленниками технических ошибок в компьютерных системах. На самом же деле социальная инженерия играет большую роль в проникновениях и оказывает серьезную помощь атакующему в просачивании сквозь барьеры защиты.

Социальную инженерию в контексте данной публикации можно определить как действия, результатом которых является вхождение в доверие к легальным пользователям компьютерной системы до такой степени, что они раскрывают секреты компьютерной системы или неумышленно помогают кому-либо получить неавторизованный доступ к этой системе. Используя социальную инженерию, атакующий может узнать важную информацию или получить помощь, которая поможет ему легко обойти имеющиеся средства защиты в системе. Опытные социальные инженеры могут казаться вполне искренними, хотя на самом деле они - отпетые лжецы.

Большую часть времени атакующие, использующие социальную инженерию, проводят у телефона. Он не только позволяет атакующему скрыть свою личность, но также делает эту работу легче, так как атакующий может заявить, что он такой-то и у него будет больше шансов на успех.

Существует несколько типов социальной инженерии. Вот только несколько примеров часто используемых приемов:

  • Атакующий может заявлять, что он легальный конечный пользователь, который является новичком в этой компьютерной системе или не очень знаком с компьютерами. В этом случае атакующий часто просит системных администраторов и других конечных пользователей помочь ему. Этот "пользователь" может говорить, что он потерял пароль, или что он не может войти в систему, хотя ему срочно нужен доступ к ней. Атакующий также часто говорит, что он какое-либо важное лицо в организации, и начинает кричать на администраторов, чтобы получить то, что он хочет. В этих случаях администратор (или конечный пользователь) может испугаться важной персоны и сделать все, что от него хотят.
  • Атакующий, работающий с помощью телефона, может до этого никогда не видеть типичного экрана вашей компьютерной системы. В этом случае он пытается говорить в общем, расплывчато указывая детали, и пытается выудить из пользователя как можно больше информации о системе. Атакующий может так реалистично делать вид, что он жутко расстроен, что у пользователя может создаться впечатление, что он спасает недотепу, которому обязательно нужно помочь. Пользователи легче раскрывают секреты, когда их чувство бдительности притуплено.
  • Атакующий также может использовать имеющиеся в компьютерной системе проблемы, о которых он узнал. Оказание пользователю помощи - это эффективный способ войти к нему в доверие. Пользователь, раздраженный проблемами, с которыми он столкнулся, будет более чем счастлив, когда кто-то поможет ему. Атакующий может представляться системным администратором или оператором сервис-центра. Часто таким образом атакующий получает важную информацию, так как пользователь думает, что нет ничего страшного в том, что он сообщает какие-либо секреты техническому персоналу. Посещение атакующим организации может быть опасным для него, так как он не сможет в случае раскрытия легко убежать, но этот риск может принести атакующему хорошие результаты, если с помощью наивных пользователей он получит прямой доступ к компьютерной системе.
  • Иногда атакующий может получить доступ к системе, не зная до этого ничего о ней, и не имея до этого к ней терминального доступа. Аналогично тому, что нельзя поддаваться на чьи-либо просьбы пронести сумку через таможню, пользователи не должны вводить никакие команды по просьбе кого-либо. Бойтесь атакующих, которые используют пользователей как свои пальцы на удаленной клавиатуре, заставляя пользователей выполнять команды, которые могут нанести вред системе. Эти атакующие могут использовать ошибки в системных программах, даже не имея прямого доступа к системе. Обычно команды, которые выполняют пользователи, наносят какой-либо ущерб системе, делают учетную запись пользователя доступной для атакующего или создают дыру в защите компьютерной системы, которая впоследствии позволит атакующему получить доступ в систему. Если вы не уверены в том, что понимаете смысл команд, которые вас просят выполнить, просто ничего не делайте. Вы никогда не знаете, к чему это может привести . . .

Чтобы не стать жертвой социальной инженерии, важно помнить, что пароли нужно хранить в тайне. Пароль для доступа к вашей личной учетной записи в системе должен быть известен ТОЛЬКО ВАМ. Системным администраторам, которым нужно что-то сделать с вашей учетной записью, не требуется знать ваш пароль. Будучи администраторами, они обладают такими привилегиями, которые позволяют им сделать все, что нужно, с вашей учетной записью, не спрашивая у вас пароль. Администратор не должен спрашивать у вас ваш пароль.

Большая часть работ по сервисному обслуживанию требует специальных привилегий, которыми обычные пользователи не обладают. Пользователи должны соблюдать осторожность при попытке кого-либо из сервис-центра воспользоваться их учетной записью, и всячески противиться этому. Учетные записи не должны использоваться несколькими людьми, даже если это системные администраторы или другой обслуживающий технический персонал. У системных администраторов есть свои учетные записи для выполнения всех этих работ и им не нужен доступ к системе с помощью учетной записи пользователя.

Технические специалисты, приходящие в организацию для выполнения сервисного обслуживания, должны сопровождаться кем-то из системных администраторов (тем, кого в ылично знаете). Если этот системный администратор незнаком вам, или если технический специлист пришел один, рекомендуется позвонить вашему системному администратору, чтобы проверить, правда ли то, к вам должен прийти технический специалист. Многие люди не делают этого, так как считают это слишком параноидальным и боятся того, что это покажет, что они не доверяют визитеру.

Если вы не уверены в том, что человек, с которым вы разговариваете, действительно тот, за кого он себя выдает, ни в коем случае нельзя раскрывать ему какой-либо секретной информации. Иногда атакующие умеют подделываться под голоса знакомых вам людей при разговоре по телефону. Лучше всего перепроверить личность человека, с которым вы разговариваете. Если же вы не можете это сделать, не раскрывайте ему никаких секретов. Если вы системный администратор, то у вас должен иметься определенный порядок выдачи и смены паролей для пользователей, и вы должны соблюдать его. Если вы - конечный пользователь, то нет никакой необходимости раскрывать какие-либо секреты кому-либо. Некоторые организации создают специальную учетную запись для общего пользования. Если вы оказались в группе пользователей, работающих с помощью такой учетной записи, удостоверьтесь, что знаете всех членов этой группы, чтобы вы смогли распознать правду ли говорит человек, когда заявляет, что он тоже член этой группы.

Назад | Содержание | Вперед

 

Бесплатный конструктор сайтов и Landing Page

Хостинг с DDoS защитой от 2.5$ + Бесплатный SSL и Домен

SSD VPS в Нидерландах под различные задачи от 2.6$

✅ Дешевый VPS-хостинг на AMD EPYC: 1vCore, 3GB DDR4, 15GB NVMe всего за €3,50!

🔥 Anti-DDoS защита 12 Тбит/с!

VPS в 21 локации

От 104 рублей в месяц

Безлимитный трафик. Защита от ДДоС.

🔥 VPS до 5.7 ГГц под любые задачи с AntiDDoS в 7 локациях

💸 Гифткод CITFORUM (250р на баланс) и попробуйте уже сейчас!

🛒 Скидка 15% на первый платеж (в течение 24ч)

Новости мира IT:

Архив новостей

IT-консалтинг Software Engineering Программирование СУБД Безопасность Internet Сети Операционные системы Hardware

Информация для рекламодателей PR-акции, размещение рекламы — adv@citforum.ru,
тел. +7 495 7861149
Пресс-релизы — pr@citforum.ru
Обратная связь
Информация для авторов
Rambler's Top100 TopList liveinternet.ru: показано число просмотров за 24 часа, посетителей за 24 часа и за сегодня This Web server launched on February 24, 1997
Copyright © 1997-2000 CIT, © 2001-2019 CIT Forum
Внимание! Любой из материалов, опубликованных на этом сервере, не может быть воспроизведен в какой бы то ни было форме и какими бы то ни было средствами без письменного разрешения владельцев авторских прав. Подробнее...