Зламаний за 20 хвилин: соціальна інженерія зроблена правильно

Скільки часу знадобиться, щоб зловмисник вступив у бізнес? Потрапити в корпоративну мережу як аутентифікований користувач? Якщо ви думаєте, що це займе кілька днів, а то й декілька годин, ви далеко, далеко.

Спробуйте 20 хвилин.

Девід Якобі, старший науковий співробітник з групи глобальних досліджень та аналізу лабораторії Касперського, знадобився три хвилини, щоб пробратися до будівлі, чотири хвилини отримати доступ до мережі, п'ять хвилин отримати автентичний доступ до мережі та десять хвилин, щоб встановити бекдор в корпоративну мережу. Він міг завантажити та відійти від "гігабайт даних" від компанії, заявив він присутнім на минулому тижні саміту аналітиків з безпеки лабораторії Касперського.

Якобі запросив компанію, що приїжджає і перевіряє її захисні сили. Як виявилося, йому не потрібні були модні хакі або нульові дні, щоб пройти. Це була вся соціальна інженерія.

"Вони витратили стільки грошей, і я все-таки потрапив", - сказав Джейкобі.

Бути приємним до хвостів

Компанія вимагала від співробітників використовувати знак для входу та виходу з будівлі. Джейкобі чекав, коли інші співробітники пройдуть всередину, і просто поспішив за ними. Більшість людей хочуть бути ввічливими і будуть тримати двері відчиненими, якщо хтось заходить одночасно, чим користуються переваги більшості хвостовиків. Джейкобі пішов на крок далі, на випадок, якщо працівник подумав попросити побачити значок. Він трохи одягнувся, щоб виглядати трохи управлінським, і тримав мобільний телефон до вуха, ніби спілкувався з кимось. Коли він проходив через двері, він сказав: "Я правий у вестибюлі, я буду за хвилину".

Ніхто не перериватиме телефонний дзвінок, і якщо у вас складеться враження, що ви хтось із важливих крокує назустріч комусь важливому, більшість людей не зупиняться допитати вас, - сказав Джейкобі.

Завжди хаб

Безумовно, потрапити в мережу довелося б трохи складніше, правда? Виявилося, Джейкобі не переймався спробою потрапити на корпоративний бездротовий зв'язок. Натомість він пішов прямо до приміщення друкарні, де незмінно є мережевий концентратор для принтера. Він підключив свій ноутбук до хабу і так просто, він був у мережі.

Потрапити в мережу як дійсний користувач потребував більше розмов, ніж злому. Джейкобі знайшов співробітника, що сидів поруч з друкарською кімнатою, і пояснив, що у нього проблеми з мережею. Він запитав, чи може він позичити комп’ютер працівника. Коли він сів, працівник все ще був увійшов до системи, що означало, що він може робити все, що завгодно в мережі.

У цей момент він встановив задню панель в мережі, даючи йому повний контроль. Йому більше не потрібен комп’ютер чи облікові дані працівника.

Кожен крок має значення

Адже захищати від соціальної інженерії насправді важко, тому що людська природа бажає бути приємною та корисною. Ми хочемо принести людям користь сумнівів і не вважати, що кожен може заподіяти шкоду, але саме ця людська емоція змушує нас зазнати невдачі в безпеці. Хоча важливо неодноразово нагадувати користувачам, що вони повинні вийти, перш ніж дозволити комусь іншому користуватися комп’ютером і мати знаки, в яких просять співробітників не пускати людей в задні двері в офіс, люди за замовчуванням будуть приємними та корисними.

Також важливо пам’ятати, що малий бізнес не застрахований. Насправді вони можуть бути ще більш сприйнятливими до цих атак, якщо працівник вважає, що особа є ІТ-підрядником або електриком.

Ось чому так важливо використовувати технологію для захисту мережі. Замість того, щоб дозволяти будь-якому пристрою, підключеному до концентратора, потрапляти в мережу, адміністратори можуть вмикати обмеження MAC-адреси, щоб лише відомі пристрої отримували дійсну IP-адресу. Отримавши доступ до мережі, Джейкобі виявив, що мережа сегментована неправильно, тому чутливі системи були легко доступними. Він знайшов застаріле та вразливе програмне забезпечення. Він також знайшов 300 облікових записів користувачів із встановленими паролями, які ніколи не закінчуються. Усі ці речі значно полегшили його роботу, як нападника.

Думайте, як нападник. Ви будете здивовані тим, наскільки вразлива може бути ваша організація.