होमो सेपियन्स सेपियन्स से होमो के माध्यम से होमो साइंस के प्रति संवेदनशील या एक वयस्क के रूप में सुरक्षा जागरूकता

आधुनिक सूचना सुरक्षा बाजार अगली पीढ़ी के यूनिफाइड, यूनिफाइड, एंटीएपीटी या कम से कम 2.0 के साथ सभी प्रकार के उन्नत समाधानों से भरा है। निर्माता स्वचालन के नए स्तर, ऑटो-प्रतिक्रिया, शून्य और अन्य चमत्कार की मान्यता का वादा करते हैं। कोई भी सुरक्षा गार्ड जानता है: आपको परिधि की गहन सुरक्षा करने, समय पर पैच स्थापित करने, मेजबान को लागू करने और एंटीवायरस, डीएलपी, यूईबीए और अन्य उपकरणों को लागू करने की आवश्यकता है। यहां तक ​​कि आप स्थिति केंद्र (एसओसी) को व्यवस्थित करने और घटनाओं की पहचान करने और प्रतिक्रिया देने, जटिल थ्रेट इंटेलिजेंस का संचालन करने और फीड साझा करने के लिए प्रक्रियाओं का निर्माण कर सकते हैं। सामान्य तौर पर, यह एक साधारण इबेशनिक का जीवन है, 100% से थोड़ा अधिक ...

लेकिन यह सब बेकार है! क्योंकि किसी भी कंपनी के अंदर होमो असुरक्षित (आम लोगों में - एक कर्मचारी), कभी-कभी बहुत कुछ होता है। उनके दूर के पूर्वजों होमो सेपियन्स सैपिएन्स, डार्विनियन विकास के चरणों से गुजर रहे हैं, उन्हें ब्राउज़र, ईमेल क्लाइंट और ऑफिस सूट के साथ काम करने में पूरी तरह से महारत हासिल है, और अब हम होमो को असुरक्षित देख रहे हैं। यह होमो सेपियन्स सेपियन्स से एक स्मार्टफोन की उपस्थिति, सोशल नेटवर्क पर खातों का एक गुच्छा और लाठी और पत्थरों से उपकरण का आविष्कार करने की एक atrophied क्षमता से भिन्न होता है। उसने हैकर्स के बारे में भी कुछ सुना, लेकिन यह कहीं न कहीं है, क्योंकि अगर वह उनका सामना करता है, तो भी वह आहत नहीं होता है और न ही डरता है: वह जो अधिकतम जोखिम रखता है वह मौद्रिक इकाइयों की एक निश्चित राशि है।



IS कर्मचारियों के पास होमो कमजोर से निपटने के लिए कोई समय नहीं है: वे प्रशिक्षण पर जाने के लिए अनिच्छुक हैं, जल्दी से जानकारी भूल जाते हैं और अक्सर बदलते हैं। लेकिन, कंपनी के बुनियादी ढांचे के अंदर होने के नाते, वे न केवल खुद के लिए, बल्कि संगठन के लिए एक जोखिम बन जाते हैं। इसलिए, बाद में इस समस्या को अनदेखा करना या पीछे हटाना बुनियादी रूप से गलत दृष्टिकोण है।

पिछले 30 वर्षों के शो के अवलोकन के अनुसार, हैकर्स तेजी से सोशल इंजीनियरिंग का उपयोग करके कंपनी की परिधि को हैक करने के तरीके को पसंद करते हैं, एक साधारण कारण के लिए - यह आसान, तेज और अधिक कुशल है। न्यूज़लेटर्स अधिक परिष्कृत होते जा रहे हैं और सुरक्षात्मक उपकरणों द्वारा पता नहीं लगाए जाते हैं।

हम यहाँ "लेकिन पुराने दिनों में ..." और "किसी भी मूर्ख कर सकते हैं" की भावना में तर्क छोड़ देते हैं! और मुख्य बात पर ध्यान केंद्रित करें: सूचना सुरक्षा से अनजान कर्मचारियों के माध्यम से कंपनियां खुद को हैकिंग से कैसे बचा सकती हैं? क्या है - और धूप में धब्बे हैं। आईटी विभाग और सबसे ऊपर के कर्मचारी, हालांकि कॉल सेंटर और सचिवों की तुलना में कम बार, फ़िशिंग भी आते हैं, बहुत बार यह फ़िशिंग को लक्षित किया जाता है - परिणामों की व्याख्या करने की कोई आवश्यकता नहीं है। कुख्यात मानव कारक के साथ सुरक्षा गार्ड को क्या करना है? कई विकल्प हैं, हमेशा की तरह, (कट्टरपंथी लोगों के अलावा) , लेकिन उनमें से सभी समान रूप से उपयोगी नहीं हैं:

• और भी अधिक जादुई उपचार खरीदें;
• सभी कर्मचारियों को बाहरी आईबी पाठ्यक्रमों में भेजें;
• जहां भी संभव हो लोगों को छोड़ दें, उत्पादन के पूर्ण स्वचालन के लिए रास्ता शुरू करना;
• कार्यस्थल पर सीधे कर्मचारियों के लिए चल रहे प्रशिक्षण की स्थापना करना।

यदि आप पहले 3 अंक पसंद करते हैं, तो आप आगे नहीं पढ़ सकते हैं।

होमो कमजोर

हमारे आंकड़ों के अनुसार 2018 के लिए, पिछले दो वर्षों में समग्र साइबर खतरे के दायरे में फ़िशिंग हमलों की हिस्सेदारी 54% से बढ़कर 70% हो गई है। औसतन, हर 7 वां उपयोगकर्ता जो नियमित जागरूकता से नहीं गुजरता है, वह खुद को सोशल इंजीनियरिंग के लिए उधार देता है।

कास्परस्की लैब के अनुसार, 2018 में 18.32% अद्वितीय उपयोगकर्ताओं को फ़िशिंग का सामना करना पड़ा। वैश्विक इंटरनेट पोर्टल "हैड" हैकर फ़िशिंग टॉप (पीड़ितों की कुल संख्या में उनकी हिस्सेदारी 24.72% है), बैंकिंग क्षेत्र दूसरे स्थान (21.70%) पर है, इसके बाद भुगतान प्रणाली (14.02%), ऑनलाइन स्टोर हैं (8.95%), सरकार और कर प्राधिकरण (8.88%), सामाजिक नेटवर्क (8.05%), दूरसंचार (3.89%), तत्काल संदेशवाहक (1.12%) और आईटी कंपनियां (0.95%) )।

2018 में, ग्रुप-आईबी वेब फ़िशिंग, बैंकों की फर्जी वेबसाइटों, भुगतान प्रणाली, दूरसंचार ऑपरेटरों, ऑनलाइन स्टोर और प्रसिद्ध ब्रांडों के साथ अपराधों की संख्या में उल्लेखनीय वृद्धि करता है। उसी समय, हमलावर पिछली अवधि की तुलना में अपनी फ़िशिंग आय को 6% तक बढ़ाने में कामयाब रहे।

जैसा कि आप देख सकते हैं, केविन मिटनिक का "शानदार" व्यवसाय, जो कि 80 के दशक में पैदा हुआ था, न केवल रहता है, बल्कि पूरी तरह से घूमता है। यह समझ में आता है: एक गंभीर कार्यालय, एक हैकर को गंभीर धन के साथ, एक नियम के रूप में, अपने आईटी परिदृश्य के गैर-तुच्छ बहु-स्तरीय संरक्षण का निर्माण करता है। एक हमलावर को उल्लेखनीय क्षमताओं की आवश्यकता होती है और एक भेद्यता खोजने के लिए काफी समय बिताना पड़ता है और यह पता लगाना है कि इसका फायदा कैसे उठाया जाए: भरने के लिए, बुनियादी ढांचे में एक पैर जमाने के लिए, एक उपयोगकर्ता को प्रवेश द्वारा किसी का ध्यान न दें - और आप आसानी से किसी भी स्तर पर "कट ऑफ" कर सकते हैं ... यह बहुत आसान और तेज़ है। फ़िशिंग लेटर भेजें और कंपनी के भीतर कम से कम एक व्यक्ति खोजें, जो रिस्पांड करेगा, या यूएसबी फ्लैश ड्राइव पर कुछ लिखने के लिए कहेगा।

किसने और कितनी बार पाला

हमारे आंकड़ों के अनुसार, कई दर्जन बड़ी रूसी कंपनियों के उदाहरण पर एकत्रित, साथी नागरिक जो निम्नलिखित डिवीजनों में सम्मोहन फ़िशिंग कार्य के लिए सबसे अधिक उत्तरदायी हैं:

• कानूनी सेवा - प्रत्येक 4 कर्मचारी
• लेखांकन और वित्तीय और आर्थिक सेवाएं - प्रत्येक 5 कर्मचारी
• रसद विभाग - प्रत्येक 5 कर्मचारी
• सचिवालय और तकनीकी सहायता - हर 6 कर्मचारी

और निश्चित रूप से, हम "नाइजीरियाई पत्रों" के बारे में बात नहीं कर रहे हैं - अपराधी लंबे समय तक भोला-भाले उपयोगकर्ताओं के दिलों (और दिमागों) के लिए बहुत अधिक परिष्कृत "चाबियाँ" उठा रहे हैं। व्यापारिक पत्राचार का अनुकरण करते हुए, धोखेबाज वास्तविक विवरण, लोगो और कंपनियों के हस्ताक्षर या प्रेषकों के विभाजन का उपयोग करते हैं। और फिर, पुरानी जिप्सी परंपरा के अनुसार, मनोविज्ञान का उपयोग किया जाता है।

यहाँ हैकर्स मानव "कमजोरियों" का फायदा उठाते हैं। उदाहरण के लिए, लालच : एक मेगा-डिस्काउंट, एक मुफ्त टिकट या एक मुफ्त पुरस्कार भी सीईओ (अफसोस, अभ्यास से एक मामला) के प्रति उदासीन नहीं छोड़ेगा।

एक अन्य कारक प्रत्याशा है । उदाहरण के लिए, लगभग सभी संगठनों में VMI वर्ष की शुरुआत में जारी किया जाता है - इस समय, प्रतिष्ठित नीति के साथ एक नकली पत्र, सबसे अधिक संभावना है, कर्मचारियों के बीच संदेह पैदा नहीं करेगा।

दुनिया के रूप में पुरानी एक और चाल स्रोत की तात्कालिकता और अधिकार है । यदि कोई ऑपरेटर या अकाउंटेंट सदा समय के दबाव में काम करता है, तो एक समकक्ष मित्र से उसे "तत्काल भुगतान" के लिए एक पत्र प्राप्त होता है, वह संभवतः पत्र और अनुलग्नक दोनों को खोल देगा (उदाहरण के लिए, अफसोस, बहुत सारे उदाहरण हैं और एक सहयोगी को ऐसा करने के लिए कहें) फ़ाइल उसके / उसके कंप्यूटर पर नहीं खुलेगी, और तभी वह समझ पाएगा कि क्या हुआ ... शायद।

बेशक, वे डर पर खेलते हैं: “आपका Google / Apple खाता अवरुद्ध है। पुष्टि करें कि आप लिंक पर क्लिक करके आप हैं "- एक बहुत ही काम का विकल्प है, और इससे कोई फर्क नहीं पड़ता कि खाता व्यक्तिगत मेल से बंधा हुआ है, और पत्र कॉर्पोरेट एक के पास आया था।

मानव जिज्ञासा भी स्कैमर्स के हाथों में खेलती है - जो कार्यालय पार्टी से एक तस्वीर नहीं देखना चाहता है? और ऐसे बहुत से लाभ हैं।

प्रारंभिक प्रसंस्करण के बाद, एक व्यक्ति को एक पृष्ठ पर लालच दिया जाता है जहां वह अपने उपयोगकर्ता नाम और पासवर्ड में ड्राइव करता है (और फिर यह डेटा अवांछित है)। एक व्यक्ति को या तो मैलवेयर का एक टुकड़ा पेश किया जाता है - एक ड्रॉपर, जिसे किसी भी SZI द्वारा पता नहीं लगाया जाता है, लेकिन पीड़ित के कंप्यूटर पर, एंटीवायरस के लिए होस्ट की जांच करता है। और सैंडबॉक्स परीक्षणों का संचालन करता है, रिमोट एक्सेस या डिस्क एन्क्रिप्शन के लिए आगे उपयोगिताओं को लोड करता है - या तो मैलवेयर के मुख्य निकाय की पेशकश की जाती है, जिसके बाद यह कार्यालय फाइलों, अभिलेखागार और पत्राचार को पंप करता है कि यह (तक पहुंच सके) एक हमलावर द्वारा नियंत्रित बाहरी रिपॉजिटरी को नेटवर्क ड्राइव और बॉल्स सहित)।

साइबर साक्षरता? नहीं सुना

हमारी कंपनी के पास पेंटरों की एक टीम है जो नियमित रूप से ग्राहकों के लिए तथाकथित समाज-तकनीकी परीक्षण आयोजित करते हैं - पैठ परीक्षण जिसमें लोग मुख्य हमले वेक्टर हैं।

केस 1

ग्राहकों में से एक ने इस साल मार्च की शुरुआत में इस तरह के परीक्षण का आदेश दिया। लक्ष्य 30 लोगों का मानव संसाधन विभाग था। फ़िशिंग मेलिंग टेम्प्लेट के रूप में, अल्कोहल पेय पदार्थों के एक प्रसिद्ध नेटवर्क रिटेलर से एक क्रिया को चुना गया, जो शराब और शैंपेन पर 20% की छूट प्रदान करता है। बेशक, हम समझ गए कि अंतर्राष्ट्रीय महिला दिवस की पूर्व संध्या पर यह एक बहुत ही प्रासंगिक समाचार पत्र है, लेकिन हमें इतनी उम्मीद नहीं थी ... दिन के अंत तक, इस संगठन से न केवल क्लिक-थ्रू की संख्या 500 से अधिक अद्वितीय विज़िट से अधिक हो गई, बल्कि पूरी तरह से बाहरी पते पर भी। और अगले दिन, हमें पता चला कि कंपनी की आईटी सेवा ने कर्मचारियों से 10 से अधिक नाराज पत्र प्राप्त किए हैं, जिसमें कहा गया है कि उन्होंने "कुटिल इंटरनेट एक्सेस नीतियों" के कारण लिंक नहीं खोला है।

जैसा कि आप देख सकते हैं, यदि आप मेलिंग सूची में आते हैं और समय के साथ अनुमान लगाते हैं, तो प्रभाव सभी अपेक्षाओं को पार कर सकता है।

केस 2

एक और महत्वपूर्ण मामला एक कंपनी में था जहां कर्मचारियों ने एक नए वीएचआई के लिए लंबे समय तक इंतजार किया। हमने इसी "फ़िशिंग" पत्र को तैयार किया और कर्मचारियों को भेजा, सभी को एक बार में। सामूहिक मन के प्रभाव को बाहर करने के लिए आमतौर पर हम ऐसा करने की सलाह नहीं देते हैं। इस कहानी में, यहां तक ​​कि जो लोग वास्तव में वीएचआई के लिए एक नया अनुबंध तैयार करने में लगे हुए थे और जो हमारे साथ कंधे से कंधा मिलाकर काम करते हैं और उन्हें पता चलता है कि सब कुछ पकड़ा गया है, और हम हर दिन इसके बारे में चर्चा करते हैं - लेकिन नहीं, उन्होंने पेक किया। कई लोगों को जल्दी से एहसास हुआ कि उन्होंने गलती की है और ईमानदारी से आईएस की सेवा में आत्मसमर्पण कर दिया है, लेकिन कुछ ऐसे भी थे जिन्होंने कई दिनों के बाद भी वीएचआई की मांग जारी रखी, हमारे समाचार पत्र से अपील की और कंपनी को "फ़िशिंग" पत्र भेजा।

कोई भी एंटी-स्पैम सिस्टम "व्यक्तिगत सिलाई" के इस सामाजिक इंजीनियरिंग को पकड़ नहीं सकता है, और कर्मचारी ऐसा करने के लिए तैयार नहीं हैं, आसानी से आपकी सभी सुरक्षा को पलट सकते हैं।



और अगर आप इस बात को ध्यान में रखते हैं कि कॉर्पोरेट मेल कर्मचारियों और उनके स्मार्टफोन की निजी गोलियों पर भी है, जो किसी भी तरह से आईएस सेवा द्वारा नियंत्रित नहीं हैं, तो सुरक्षा गार्ड केवल आराम कर सकते हैं और मज़ेदार श्रग कर सकते हैं ... या नहीं? क्या करें?

फ़िशिंग बनाम फ़िशिंग: कर्मचारियों को भेद करना कैसे सिखाया जाए

इस समस्या को हल करने के कई तरीके हैं। कई कंपनियां आज क्लासिक्स के अनुसार काम करती हैं (कई साल पहले, जब हैकर्स अभी भी टेबल के नीचे चलते थे): एक विशेष रूप से प्रशिक्षित व्यक्ति बाहर खड़ा होता है जो सूचना सुरक्षा नियमों को लिखता है, और जब प्रत्येक कर्मचारी को काम पर रखने के लिए अध्ययन, हस्ताक्षर और ध्यान दें। हालांकि, इस दृष्टिकोण के साथ अंतिम बिंदु एक शुद्ध वैकल्पिक चीज है। सर्वोत्तम रूप से, एक व्यक्ति परिवीक्षाधीन अवधि के अंत से पहले इन सभी दुर्जेय निर्देशों को याद करता है (विशेष रूप से प्रतिशोधी की गिनती नहीं होती है)। आपको क्या लगता है कि क्या होगा अगर, एक या दो साल बाद, या पहले भी, वह अपने मेलबॉक्स में एक "क़ीमती पत्र" देखता है? सवाल बयानबाजी का है। एक सुरक्षा गार्ड के लिए, कर्मियों के साथ काम करने का यह तरीका अच्छी किस्मत के लिए पार की गई उंगलियों की तुलना में थोड़ा अधिक प्रभावी है।

क्या अन्य विकल्प? आप लोगों को बाहरी साइबर साक्षरता पाठ्यक्रमों में भेज सकते हैं - कम से कम प्रमुख विशेषज्ञ। इस मामले में, एक व्यक्ति एक या दो दिन के लिए व्याख्यान सुनने जाता है। विधि, निश्चित रूप से, अधिक प्रभावी है, लेकिन: 1) हम लोगों को कार्य प्रक्रिया से बाहर निकालते हैं, जो अपने आप में कठिन और महंगा है; 2) हमारे पास प्रशिक्षण की गुणवत्ता को नियंत्रित करने की क्षमता नहीं है - एक व्यक्ति व्याख्यान को छोड़ सकता है या उन पर सो सकता है। ऐसे पाठ्यक्रमों को पूरा करने के लिए नियंत्रण परीक्षण, एक नियम के रूप में, प्रदान नहीं किए जाते हैं। लेकिन भले ही वे हों, कुछ समय बाद हम पुरानी स्थिति में लौट आएंगे: कर्मचारी सब कुछ भूल गया, अपनी सतर्कता खो दी, उलझन में था (आवश्यक रूप से रेखांकित किया गया) और पकड़ा गया, और उसके पीछे कंपनी थी।

सुरक्षा जागरूकता के लिए हमारा दृष्टिकोण

हम मानते हैं कि कार्यस्थल में साइबर साक्षरता को प्रशिक्षित करना संभव और आवश्यक है - जब किसी कर्मचारी के पास कुछ खाली समय हो। हालांकि, यदि आप केवल ऑनलाइन पाठ्यक्रमों के मार्ग का अनुसरण करते हैं - एक सैद्धांतिक आधार देने के लिए, और फिर ज्ञान का परीक्षण करें - यह सब जोखिम एक नंगे सिद्धांत में बदल जाता है, जो अभ्यास से बहुत तलाकशुदा है (USE की मदद से हम सभी की मदद करें) ।

एक व्यक्ति कमजोर रूप से याद करता है कि वह क्या पढ़ता है - यह बेहतर है यदि वह व्यक्तिगत रूप से इसका अनुभव करता है, और जिस जानकारी के साथ छात्र की कुछ भावनाएं हैं, वह आदर्श रूप से अवशोषित होती है। यदि आप मेट्रो में एक दरवाजे से नीचे पिन किए जाते हैं ताकि आपका सिर बाहर की तरफ रहे, और आपका शरीर अंदर की तरफ हो, और ट्रेन बंद हो जाए - सबसे अधिक संभावना है, आपको सुरंग के पूरे "सजावट" को पूरी तरह याद होगा। एक मजाक, ज़ाहिर है, हालांकि सच्चाई के एक दाने के साथ। कर्मचारियों पर नकली फ़िशिंग हमलों की व्यवस्था करके "आग का बपतिस्मा" करने के लिए - यह दिखाने के लिए आवश्यक है कि वे कहाँ गलत थे, जहाँ वे भरते हैं और अपने सैद्धांतिक ज्ञान को एक जीवंत उदाहरण का उपयोग करके व्यावहारिक विमान में कैसे स्थानांतरित करते हैं।

अंत में, यह अभ्यास निजी जीवन में बेहद उपयोगी है, इसलिए कर्मचारी (हालांकि सभी नहीं;) शायद आपको धन्यवाद कहेंगे। जिस तरह एक बच्चे को अजनबियों से बात नहीं करना और पेशकश की गई कैंडी के लिए अपनी कार में नहीं जाना सिखाया जाता है, उसी तरह एक वयस्क को अज्ञात स्रोतों पर भरोसा नहीं करना चाहिए और न ही क्षुद्र लाभों और लाभों का नेतृत्व करना चाहिए।

एक और महत्वपूर्ण बिंदु: इस तरह के अभ्यास की आवृत्ति, एक प्रक्रिया दृष्टिकोण। अनावश्यक रूप से, कौशल समय के साथ शोष करेंगे, और घंटे X अचानक आ सकता है। इसके अलावा, हमले लगातार विकसित हो रहे हैं, नए प्रकार के सोशल इंजीनियरिंग दिखाई देते हैं - इसके अनुसार, पाठ्यक्रम को अद्यतन किया जाना चाहिए।

निरीक्षणों की आवृत्ति व्यक्तिगत है। यदि कर्मचारी आईटी से थोड़ा जुड़े हुए हैं, तो यह तिमाही में कम से कम एक बार उनकी साइबर सतर्कता की निगरानी करने के लायक है। यदि, इसके विपरीत, हम महत्वपूर्ण प्रणालियों तक पहुंच वाले विशेषज्ञों के बारे में बात कर रहे हैं, तो अधिक बार।

अगले लेख में, हम वर्णन करेंगे कि हमारे सुरक्षा जागरूकता प्लेटफ़ॉर्म ने फ़िशिंग के प्रति कर्मचारियों के प्रतिरोध का परीक्षण कैसे किया। स्विच मत करो! ;)