Социальная инженерия как угроза информационной безопасности

Известно выражение: «Кто владеет информацией, тот владеет миром». Оно точнее всего характеризует ситуацию в современном мире. Поэтому вопрос защиты информации является одним из самых актуальных. Но, усовершенствуя техническую сторону, мы совершенно забываем о главном — человеческом факторе, который зачастую является той самой уязвимостью, которую используют злоумышленники. Их действия основаны на принципах социальной инженерии — методе несанкционированного доступа к информационным ресурсам, основанном на особенностях психологии человека. [1].

Само понятие «социальная инженерия» появилось относительно недавно, но ее техники стары как мир. В Древней Греции и Риме в большом почете были люди, которые, умело используя ложь, лесть и обаяние, нередко решали такие проблемы, которые, казалось, невозможно решить миром. В среде шпионов социальная инженерия всегда была главным оружием. Выдавая себя за другого человека, агенты служб безопасности могли выведать государственные тайны. Знаменитыми социальными инженерами являются Кевин Д. Митник, сумевший проникнуть в компьютерную сеть Пентагона, Архангел, продемонстрировавший технику работы социальной инженерии, получив за короткое время большое количество паролей различных систем, и Фрэнк Абигнейл, который подделал и обналичил чеки на сумму 2.5 млн долларов.

Существует несколько распространенных техник, которыми пользуются социальные инженеры:

• — претекстинг;
• — фишинг;
• — сбор информации из открытых источников;
• — «дорожное яблоко»;
• — плечевой серфинг.

Претекстинг — ряд действий, проведенный по заранее подготовленному сценарию. Данная техника предполагает использование голосовых средств связи для получения необходимой информации. Как правило, представляясь третьим лицом или притворяясь, что кто-то нуждается в помощи, тем самым оказывая эмоциональное воздействие, злоумышленник просит жертву сообщить какую-либо конфиденциальную информацию. Эта техника требует каких-либо исходных данных об объекте атаки (например, персональных данных). [3, c. 18].

Фишинг — разновидность интернет-мошенничества, целью которой является получение доступа к логинам и паролям пользователей. Это самая популярная схема на сегодняшний день — ни одна крупная утечка персональных данных не обходится без волны предшествующих ей рассылок. Наиболее ярким примером такой атаки может служить сообщение, отправленное жертве по электронной почте и подделанное под официальное письмо — от банка или платёжной системы — требующее проверки определённой информации или совершения определённых действий. Такие письма обычно содержат ссылку на фальшивую веб-страницу, очень похожую на официальную, и содержащую форму, требующую ввести конфиденциальную информацию. [2].

Сбор информации из открытых источников — относительно новый метод получения данных, состоящий в сборе их из открытых источников, в основном из социальных сетей, которые содержат огромное количество данных, потому что пользователи не уделяют должного внимания вопросам безопасности, оставляя в свободном доступе данные и сведения, которые могут быть использованы злоумышленником. Отметки фотографий на карте, номера телефонов, данные о местах учебы/работы/отдыха — все это может оказаться полезным мошеннику. [2].

«Дорожное яблоко» — метод атаки, состоящий в использовании физических устройств с памятью. Злоумышленник подбрасывает «инфицированные» носители информации в местах общего доступа, где они могут быть легко найдены. Носители сопровождаются подписью, призванной вызвать любопытство. К примеру, злоумышленник может подбросить флеш-карту, снабжённую якобы именем владельца. Человек по незнанию может подобрать ее и вставить в компьютер, чтобы изучить файлы на ней. А тем временем вредоносное ПО установится на его машину. [4].

Плечевой серфинг — наблюдение личной информации жертвы через ее плечо. Этот тип атаки распространен в общественных местах, таких как кафе, торговые центры, аэропорты, вокзалы, а также в общественном транспорте. [3, c. 114] социальный информация инженерия серфинг Многообразие способов велико, но общей чертой всех этих методов является введение человека в заблуждение с целью заставить его совершить какое-либо действие, которое необходимо социальному инженеру.

Как же защититься от этой угрозы? Обычным пользователям для защиты аккаунтов рекомендуется двухэтапная аутентификация — после того, как при авторизации будут введены логин и пароль от личного кабинета, на телефон пользователя будет приходить авторизационный код, который нужно будет ввести для того, чтобы войти в личный кабинет. Защитой от телефонного мошенничества может стать только игнорирование звонков и сообщений от неизвестных абонентов.

Для защиты крупных компаний и их сотрудников от злоумышленников, использующих методы социальной инженерии, должны проводиться следующие организационные мероприятия:

• -организация режима работы и охраны (позволяет исключить возможность тайного проникновения на территорию и в помещения посторонних лиц);
• -организация работы сотрудников, которая предусматривает ознакомление с сотрудниками, их обучение правилам работы с конфиденциальной информацией, ознакомление с мерами ответственности за нарушение правил защиты информации и др.;
• -организация работы с документами и документированной информацией, включая организацию разработки и использования документов и носителей конфиденциальной информации, их учёт, исполнение, возврат, хранение и уничтожение;
• -разработка правил использования технических средств сбора, обработки, накопления и хранения конфиденциальной информации;
• -проведение анализа внутренних и внешних угроз конфиденциальной информации и выработке мер по обеспечению ее защиты;
• -проведение систематического контроля за работой персонала с конфиденциальной информацией, порядком учёта, хранения и уничтожения документов и технических носителей.

К сожалению, в современном мире часто недооценивают значение человеческого фактора в вопросах безопасности. Даже в том случае, когда в СМИ появляется информация о новом акте мошенничества, люди продолжают игнорировать ее, делая это на свой страх и риск, поскольку совершенно очевидно, что технологии сами по себе не могут гарантировать полную защиту информации. Поэтому крайне важно, чтобы во всех сферах общества знание и соблюдение мер информационной безопасности стало неотъемлемой частью стратегии защиты данных.