Многие люди не знают того, что большое число злоумышленников использует специальное средство для проникновения в компьютерные системы - социальную инженерию. Большинство людей почему-то думает, что проникновения в компьютерные системы - это результат использования злоумышленниками технических ошибок в компьютерных системах. На самом же деле социальная инженерия играет большую роль в проникновениях и оказывает серьезную помощь атакующему в просачивании сквозь барьеры защиты.
Социальную инженерию в контексте данной публикации можно определить как действия, результатом которых является вхождение в доверие к легальным пользователям компьютерной системы до такой степени, что они раскрывают секреты компьютерной системы или неумышленно помогают кому-либо получить неавторизованный доступ к этой системе. Используя социальную инженерию, атакующий может узнать важную информацию или получить помощь, которая поможет ему легко обойти имеющиеся средства защиты в системе. Опытные социальные инженеры могут казаться вполне искренними, хотя на самом деле они - отпетые лжецы.
Большую часть времени атакующие, использующие социальную инженерию, проводят у телефона. Он не только позволяет атакующему скрыть свою личность, но также делает эту работу легче, так как атакующий может заявить, что он такой-то и у него будет больше шансов на успех.
Существует несколько типов социальной инженерии. Вот только несколько примеров часто используемых приемов:
Чтобы не стать жертвой социальной инженерии, важно помнить, что пароли нужно хранить в тайне. Пароль для доступа к вашей личной учетной записи в системе должен быть известен ТОЛЬКО ВАМ. Системным администраторам, которым нужно что-то сделать с вашей учетной записью, не требуется знать ваш пароль. Будучи администраторами, они обладают такими привилегиями, которые позволяют им сделать все, что нужно, с вашей учетной записью, не спрашивая у вас пароль. Администратор не должен спрашивать у вас ваш пароль.
Большая часть работ по сервисному обслуживанию требует специальных привилегий, которыми обычные пользователи не обладают. Пользователи должны соблюдать осторожность при попытке кого-либо из сервис-центра воспользоваться их учетной записью, и всячески противиться этому. Учетные записи не должны использоваться несколькими людьми, даже если это системные администраторы или другой обслуживающий технический персонал. У системных администраторов есть свои учетные записи для выполнения всех этих работ и им не нужен доступ к системе с помощью учетной записи пользователя.
Технические специалисты, приходящие в организацию для выполнения сервисного обслуживания, должны сопровождаться кем-то из системных администраторов (тем, кого в ылично знаете). Если этот системный администратор незнаком вам, или если технический специлист пришел один, рекомендуется позвонить вашему системному администратору, чтобы проверить, правда ли то, к вам должен прийти технический специалист. Многие люди не делают этого, так как считают это слишком параноидальным и боятся того, что это покажет, что они не доверяют визитеру.
Если вы не уверены в том, что человек, с которым вы разговариваете, действительно тот, за кого он себя выдает, ни в коем случае нельзя раскрывать ему какой-либо секретной информации. Иногда атакующие умеют подделываться под голоса знакомых вам людей при разговоре по телефону. Лучше всего перепроверить личность человека, с которым вы разговариваете. Если же вы не можете это сделать, не раскрывайте ему никаких секретов. Если вы системный администратор, то у вас должен иметься определенный порядок выдачи и смены паролей для пользователей, и вы должны соблюдать его. Если вы - конечный пользователь, то нет никакой необходимости раскрывать какие-либо секреты кому-либо. Некоторые организации создают специальную учетную запись для общего пользования. Если вы оказались в группе пользователей, работающих с помощью такой учетной записи, удостоверьтесь, что знаете всех членов этой группы, чтобы вы смогли распознать правду ли говорит человек, когда заявляет, что он тоже член этой группы.
Назад | Содержание | Вперед