Что такое социальная инженерия

24 февраля, 2024

В сфере компьютерной безопасности многие проблемы могут возникнуть, несмотря на все усилия пользователей. Например, вы можете случайно получить вредоносное ПО из вредоносной рекламы, и это зависит от везения. Есть меры, которые можно предпринять, чтобы минимизировать риск, например, использование блокировщика рекламы. Однако, если вы попали в такую ситуацию, это не вина пользователя.

Другие атаки направлены на то, чтобы обмануть пользователя и заставить его что-то сделать. Эти типы атак объединяются под общим названием «атаки социальной инженерии».

Социальная инженерия подразумевает использование анализа и понимания того, как люди ведут себя в определенных ситуациях, чтобы манипулировать результатом. Она может применяться против больших групп людей. Однако, с точки зрения компьютерной безопасности, она обычно используется против отдельных людей, хотя потенциально может быть частью большой кампании.

Примером социальной инженерии против группы людей могут быть попытки вызвать панику в качестве отвлекающего маневра. Например, военные проводят ложную операцию, или кто-то кричит «пожар» в оживленном месте, а затем в хаосе совершает кражу. На определенном уровне простая пропаганда, азартные игры и реклама также являются методами социальной инженерии.

Однако в сфере компьютерной безопасности действия носят более индивидуальный характер. Фишинг пытается убедить пользователя нажать на ссылку и ввести данные. Многие мошенники пытаются манипулировать, основываясь на страхе или жадности. Социально-инженерные атаки в сфере компьютерной безопасности могут даже переходить в реальный мир, например, пытаться получить несанкционированный доступ к серверной комнате. Интересно, что в мире кибербезопасности именно этот и подобные ему сценарии обычно подразумеваются, когда говорят об атаках социальной инженерии.

Социальная инженерия

Социальная инженерия

Фишинг — это тип атак, в которых злоумышленник использует социальную инженерию, чтобы заставить жертву предоставить свои личные данные. Эти атаки обычно осуществляются через внешние системы, такие как электронная почта, и имеют два аспекта социальной инженерии.

Во-первых, злоумышленник должен убедить жертву в том, что сообщение является подлинным. Это может быть сделано путем использования убедительных заголовков и текстов в письме, чтобы вызвать доверие у жертвы. Затем злоумышленник может направить жертву на фишинговую страницу, где ей будет предложено ввести свои данные, такие как имя пользователя и пароль.

Часто мошенники пытаются заставить своих жертв передать им деньги. Например, классическая схема с «нигерийским принцем» предлагает крупную сумму денег, но требует небольшой предоплаты. После того как жертва заплатит «взнос», никакой выплаты не происходит.

Другие типы мошеннических атак работают по схожим принципам. Жертва может быть убеждена сделать что-то, например, передать деньги или установить вредоносное ПО. Например, Ransomware требует от жертвы заплатить деньги, чтобы получить доступ к зашифрованным данным.

Важно помнить, что фишинг и другие виды мошенничества могут быть очень убедительными и могут использовать социальные и психологические методы, чтобы обмануть жертву. Поэтому важно быть бдительным и не доверять всем сообщениям, которые приходят из неизвестных источников.

Социальная инженерия при личном контакте

Когда в мире кибербезопасности говорят о социальной инженерии, обычно подразумевают действия в реальной жизни. Существует множество примеров таких атак. Один из самых простых называется «хвост». Это когда вы находитесь за спиной человека настолько близко, что он держит открытой дверь с контролем доступа, чтобы пропустить вас.

Вы можете усовершенствовать этот метод, создав сценарий, в котором жертва может вам помочь. Один из способов — посидеть с курильщиками на улице во время перекура, а затем вернуться внутрь вместе с группой. Другой способ — сделать так, чтобы было видно, что вы несете что-то неудобное. Вероятность успеха этого приема еще выше, если то, что вы несете, может быть полезно другим. Например, если вы несете поднос с кружками кофе для «вашей команды», кто-то будет вынужден придержать для вас дверь.

Большая часть социальной инженерии при личном общении основывается на создании сценария и последующем уверенном следовании ему. Например, социальный инженер может выдать себя за какого-нибудь рабочего или уборщика, которого обычно не замечают. Выдав себя за доброго самаритянина и передав «потерянный» USB-накопитель, сотрудник может подключить его. Цель — узнать, кому она принадлежит, но затем она может заразить систему вредоносным ПО.

Такие атаки с использованием социальной инженерии могут быть очень успешными, поскольку никто не ожидает, что его обманут подобным образом. Однако они сопряжены с большим риском для злоумышленника, у которого есть реальный шанс быть пойманным с поличным.

Заключение

Социальная инженерия — это концепция манипулирования людьми для достижения определенной цели. Один из способов заключается в создании реальной ситуации, чтобы ввести жертву в заблуждение и заставить ее поверить в это. Вы также можете создать сценарий, в котором жертва под социальным давлением или ожиданием будет действовать вопреки стандартным рекомендациям по безопасности. Однако все атаки с использованием социальной инженерии основаны на том, чтобы обманом заставить одну или несколько жертв выполнить действие, которое желает злоумышленник.

Написать комментарий

Ваш адрес email не будет опубликован. Обязательные поля помечены *