हैक व्यवस्थापक

कई मामलों में, सफल सामाजिक इंजीनियरों में मजबूत मानवीय गुण होते हैं। वे आकर्षक, विनम्र और सरल हैं - एक त्वरित संबंध और विश्वास स्थापित करने के लिए आवश्यक सामाजिक गुण।
केविन मिटनिक

सूचना सुरक्षा खतरों के बारे में कर्मियों की जागरूकता की जाँच करना सबसे लोकप्रिय मामलों में से एक है। यह एक नियम के रूप में, सामाजिक इंजीनियरिंग के तरीकों द्वारा किया जाता है।

यह पोस्ट मेरे द्वारा व्यवहारिक कार्य समूह द्वारा किए गए वास्तविक मामलों पर आधारित संभावित निगरानी के सहयोगियों के सहयोग से लिखी गई थी।

उद्देश्य: कर्मचारियों द्वारा आईएस नीतियों के अनुपालन का सत्यापन।
तरीके: सामाजिक इंजीनियरिंग।
स्थानीय लक्ष्य: "विशेषाधिकार वृद्धि" हमले के कार्यान्वयन की अनुमति देगा कि जानकारी प्राप्त करना।

सामाजिक कार्यक्रमों के संचालन के चरण एक पंचक के चरणों से बहुत अलग नहीं हैं।

आयोजन

एक सामाजिक नेटवर्क में मुख्य बात एक स्पष्ट लक्ष्य निर्धारित करना है। लक्ष्य-निर्धारण के बिना, बेतरतीब ढंग से अभिनय करते हुए, आप कम हासिल करेंगे, बस सोशल नेटवर्क को एक बूथ में बदल दें, और अपने आप को जोकर में।

हम एक लक्ष्य निर्धारित करते हैं: सिस्टम व्यवस्थापक पर जाएं और खाता संरचना, पासवर्ड संरचना, आदर्श रूप में उससे जानकारी प्राप्त करें - पासवर्ड स्वयं प्राप्त करें।

जानकारी का संग्रह और विश्लेषण

यह सबसे लंबी और थकाऊ अवस्था है। एक अज्ञानी व्यक्ति की आंखों के माध्यम से, एक सामाजिक इंजीनियर के काम में टेलीफोन वार्तालाप होते हैं, जिसके दौरान वह जादू, प्रतिभा और आकर्षण की शक्ति से, असुरक्षित उपयोगकर्ताओं से गोपनीय जानकारी प्राप्त करता है। वास्तव में, एथलीट चैंपियनशिप में एक बहु-दिवसीय थकाऊ प्रशिक्षण / प्रदर्शन के रूप में सूचना एकत्र / बातचीत को सहसंबद्ध किया जाता है।

हमें क्या चाहिए: हमला करने वाली कंपनी के कर्मचारियों के बारे में पूरी जानकारी। अर्थात्: नाम, स्थिति, संपर्क, अधिकार। सबसे महत्वपूर्ण जानकारी कंपनी में उपयोग की जाने वाली प्रौद्योगिकियां हैं। कंपनी के बारे में स्वयं जानकारी भी आवश्यक है: बाजार की स्थिति, वित्तीय स्थिति, अफवाहें, गपशप (उत्तरार्द्ध विशेष रूप से दिलचस्प है, क्योंकि यह कंपनी में अनौपचारिक स्थिति का खुलासा करता है)।

हम क्या उपयोग करते हैं: संगठन की वेबसाइट, खुले स्रोतों पर जानकारी एकत्र करना, फ़िशिंग और कुछ जानकारी जो ग्राहक प्रदान कर सकते हैं।

फ़िशिंग एक आदर्श समाधान है, लेकिन एक सफेद हैकर के लिए यह हमेशा एक ग्राहक के साथ अनुबंध के दृष्टिकोण से संभव नहीं होता है। हम दुर्भावनापूर्ण अनुलग्नक या फ़िशिंग साइट के लिंक वाले एक पत्र को तैयार कर रहे हैं। लक्ष्य वास्तविक उपयोगकर्ता क्रेडेंशियल प्राप्त करना है।

मार्क को हिट करने के लिए फ़िशिंग ईमेल के लिए, आपको कंपनी और उसकी बारीकियों की जानकारी का सावधानीपूर्वक अध्ययन करने की आवश्यकता है। कंपनी में किन तकनीकों का उपयोग किया जाता है? कार्यालय कहाँ स्थित है? कर्मचारी क्या बोनस देते हैं? कंपनी को क्या समस्या है?

उदाहरण फ़िशिंग ईमेल:



आप कई पत्र बना सकते हैं, जिनमें से प्रत्येक अपने लक्ष्य समूह पर केंद्रित है।



क्या ग्राहक एंटी फ़िशिंग है? ठीक है, हम खुद को धैर्य के साथ खोलते हैं और खुले स्रोतों के माध्यम से झारते हैं: कार्य स्थल, समीक्षा साइट, सामाजिक नेटवर्क, ब्लॉग, फोरम, विषयगत समूह। उबाऊ और अक्सर धन्यवाद नौकरी के लिए कुछ दिनों के लिए मारने के लिए तैयार हो जाओ।

सार्वजनिक स्रोतों से मैन्युअल रूप से जानकारी एकत्र करना एक श्रमसाध्य कार्य है। चूंकि हमारी कंपनी द्वारा विकसित उत्पादों में से एक खुले स्रोतों पर डेटा का संग्रह है, इसलिए इस चरण में बहुत कम समय लगता है, क्योंकि सब कुछ जल्दी से पर्याप्त किया जाता है, ब्याज की वस्तुओं के बीच संचार स्वचालित रूप से बनाया जाता है।

एक वास्तविक खाते की मैत्री योजना। तस्वीरें बदली गईं।



मंच का अंतिम परिणाम निम्नलिखित हो सकता है:

• हमला कंपनी की अनुमानित संगठनात्मक संरचना;
• कर्मचारी ईमेल संरचना
• पदों के साथ संभावित कर्मचारियों की सूची;
• सामाजिक नेटवर्क में कर्मचारियों, टेलीफोन, ई-मेल, खातों के संपर्क।

कमजोरियों का शोषण

सभी उपयोगकर्ताओं में से, हमें कई पीड़ितों को चुनने की आवश्यकता है: जिन्हें हम कॉल करते हैं और जिन्हें हम कॉल करते हैं। सोशल नेटवर्क खातों के विश्लेषण के आधार पर उनके कनेक्शन पर विचार करने के लिए, कथित मनोवैज्ञानिक चित्र लिखें।

यदि हमारा लक्ष्य एक सिस्टम प्रशासक है, तो लक्ष्य समूह निम्नलिखित होंगे: रिसेप्शन, सचिव, घंटा, लेखा, तकनीकी सहायता स्टाफ और वास्तव में, प्रवेश।

सशर्त रूप से, हमलों के लिए संवेदनशीलता की डिग्री के अनुसार, हम उपयोगकर्ताओं को निम्नलिखित समूहों में विभाजित करते हैं।

पैरानॉयड। आपको इनमें से कुछ भी नहीं मिलेगा। इससे कोई फर्क नहीं पड़ता कि वे इस तरह क्यों हैं, एक बच्चे के रूप में, मेरी माँ ने अजनबियों से बात करने से मना किया है या हाल ही में एक बुरे रक्षक से पिटाई हुई है। वे कपड़े की भाषा, शीतलता और औपचारिकता से पहचानने योग्य हैं।

उदासीन। ऐसा कर्मचारी इस बात की गहराई से परवाह नहीं करता कि कौन उसे बुला रहा है और क्यों। इससे पहले कि वह फोन उठाता है, वह पहले से ही सोचता है कि कैसे जल्दी से जल्दी छुटकारा पाएं, कोई फर्क नहीं पड़ता कि आप कौन हैं और आपको क्या चाहिए। कुछ प्रतिशत मामलों में, ठीक से उनकी बकवास के कारण, ऐसा कर्मचारी आपको सभी आवश्यक जानकारी देगा। ज्यादातर अक्सर दोपहर के भोजन, कार्य दिवस की समाप्ति, रोजगार या अधिकार की कमी को संदर्भित करता है।

कायर। वे कर्मचारी जो अपने वरिष्ठों को खुश करने के लिए, किसी भी नियम या आदेश को तोड़ने के लिए नहीं डरते हैं, सामान्य रूप से, इस विशेष दूसरे पर उनकी कुर्सी के लिए डर है जो महत्वपूर्ण सोच पर हावी है। आपकी आवाज में अधिक बॉस धातु, और आप इसे दरार।

दयालु, अच्छे लोग, ईमानदारी से मदद करने के लिए तैयार। लेकिन एक ही समय में, वे यह पता लगाने की कोशिश नहीं कर रहे हैं कि वे वास्तव में किसकी मदद कर रहे हैं। लेकिन यह हमारा टारगेट ऑडियंस है।

दूसरों से कुछ अलग कैसे करें? प्रशिक्षण, मनोविज्ञान का ज्ञान, वृत्ति, अभिनय, अनुभव।

इसलिए, सामाजिक नेटवर्क के कर्मचारियों के प्रोफाइल के विश्लेषण के आधार पर, हम 2 पीड़ितों का चयन करते हैं: एक सम्मानित और एक व्यवस्थापक के साथ एक सचिव। बेशक, अधिमानतः 2 नहीं, बल्कि 5-6। सबसे अच्छी पसंद स्पष्ट विशेषताओं के साथ उज्ज्वल व्यक्तित्व हैं जो कल्पना करना और चित्रित करना आसान है। हमले के परिदृश्य को मनोविज्ञान की विशिष्टताओं और "पीड़ितों" के कनेक्शनों को ध्यान में रखते हुए लिखा जाना चाहिए। एक यादृच्छिक कर्मचारी को पासवर्ड के लिए पूछना विफलता है।

पीड़ित, जिसकी ओर से कॉल किया जाएगा: सचिव का सम्मान किया जाता है, 21 साल की एकातेरिना पेट्रोवा, छह महीने से कंपनी के साथ है, एक अर्थशास्त्री के रूप में अनुपस्थित में अध्ययन कर रही है। तेज मेकअप, गुलाबी बाल, सामाजिक नेटवर्क में बहुत सारे फोटो, टिंडर में एक खाता।



हम तकनीकी सहायता विभाग के एक कर्मचारी दिमित्री को कहते हैं, 35 साल का, कंपनी में 5 साल का कार्य अनुभव, एकल है, अपनी नौकरी बदलना चाहता है। यह महत्वपूर्ण है क्योंकि यह संभव है कि कर्मचारी मनोवैज्ञानिक रूप से कंपनी के साथ कम सहयोग करता है और सुरक्षा की अधिक उपेक्षा करता है।

हमले का परिदृश्य विकसित करना

किंवदंती: बीमार छुट्टी पर एक लड़की ओवा के माध्यम से काम के मेल में प्रवेश नहीं कर सकती है। उसे बंद सम्मेलन के समय के बारे में शीर्ष प्रबंधकों के लिए एक समाचार पत्र करने की आवश्यकता है। उसने 3 बार गलत तरीके से पासवर्ड डाला और पहले लॉगिन पर पासवर्ड बदलने का वादा करते हुए उसे एक अस्थायी भेजने के लिए कहा। इस स्थिति से बचने के लिए किंवदंती को अग्रिम रूप से आविष्कार किया जाना चाहिए और याद किया जाना चाहिए "स्टर्लिंगिट कभी भी विफलता के इतने करीब नहीं रहा है।" अभी भी सुधार हुआ है और अराजकता की डिग्री कम करने के लिए बेहतर है।



मुख्य बात आत्मविश्वास है, तार के दूसरे छोर पर व्यक्ति को ठीक न होने दें। खोया हुआ, भ्रमित, अपना नाम भूलने लगा, जल्दी से खोज नहीं पाया कि क्या जवाब दिया जाए - खो गया।

कॉल स्क्रिप्ट:

- मंद, हाय! यह कात्या है। एक पल है?
- हाय! कात्या क्या है?
- हाँ, मैं हूँ! रिसेप्शन के साथ कट्या पेट्रोवा। मंद, बचाओ।

इसके अलावा, कई परिदृश्य संभव हैं:

• दीमा को याद नहीं है कि कटिया कौन है, लेकिन उसे स्वीकार करने में शर्म आती है।
• दीमा "मान्यता" कटिया।
• कट्या दीमा के बगल में खड़ी है, और जो कुछ हो रहा है, उससे वह हैरान है।

इस मामले में, वह सबसे अधिक "क्या?" क्या है कट्या ?? ”और जो कुछ भी बचा हुआ है उसे लटकाना है और फिर कभी इस नंबर से डिमा को नहीं बुलाना है। इसलिए, अग्रिम में हमला करने के लिए कई संभावित लक्ष्य हैं।

मान लीजिए कि हमारे साथ सब कुछ ठीक है और दिमा संवाद के लिए तैयार है।

- क्या हुआ?
- डिम, मैं घर पर हूं, बीमार छुट्टी पर हूं। मैं हमारे सामान्य मेलबॉक्स reeption@xxx.ru पर नहीं जा सकता, लेकिन अभी मुझे वास्तव में आज हमारे शीर्ष के लिए एक मेलिंग सूची बनाने की आवश्यकता है। संतरी, इवानोवा मुझे मार डालेगा। (इवानोवा, जैसा कि हमने जानकारी के संग्रह के दौरान पाया, वह कैटिना की प्रत्यक्ष प्रबंधक है) ।

कॉल के दौरान बिजली की गति के साथ डायमा की भावनात्मक स्थिति को स्कैन करना आवश्यक है। क्या वह संपर्क में है? क्या वह संयमित है? क्या वह जल्दी में है? क्या वह कटिया के साथ फ्लर्ट कर रहा है? क्या वह उदासीन है? यदि Dima के पास कोई शौक है जिसे आप सोशल नेटवर्क पर पढ़ते हैं, तो आप उन्हें स्क्रू भी कर सकते हैं, लेकिन बहुत सावधानी से ताकि रीप्ले न हो। यहां आपको अपने सभी समानुभूति की आवश्यकता होगी। एक व्यक्ति "गणना" करें, सही टोन चुनें - पासवर्ड आपकी जेब में है।

आप अपनी आंखों के सामने कटिया की फोटो रख सकते हैं। कुछ समय के लिए आपको अस्थि मज्जा में खुद को काटिया बनने की आवश्यकता है।

अगला, 2 विकल्पों पर विचार करें।

1) डिमा एक हंसमुख गाउंग है, उसे चैटिंग में दिलचस्पी है, और वह मदद करने के लिए तैयार है।
- तुम फेल क्या हुए? क्या आपने लेआउट और कैप की जांच की है?
"मैं क्यों नहीं रोक सकता?" हां, मैंने 3 बार गलत तरीके से पासवर्ड डाला। और इसलिए वह वंचित थी, हम इस बॉक्स का इतनी बार उपयोग नहीं करते हैं। मैं भूल गया कि हमारे पास "si" या "es" है। हां, मैंने इसे वैसे भी आजमाया है, और यहां यह सब 3 बार नहीं हुआ है, मुझे याद है, लेकिन अधिक प्रयास नहीं थे, यह बंद था। क्या करें !!! इवानोव मुझे मार देगा, जैसे कि वह मुझे मार देगा। Dimaan की मदद करें ... क्या आप मुझे गाड़ी में एक अस्थायी पासवर्ड फेंक सकते हैं? और पहले प्रवेश द्वार पर मैं इसे वापस बदल दूंगा।

बातचीत के कई विकल्प हो सकते हैं। मैं कैप्सूल भूल गया, लेआउट मिलाया, गलत ब्राउज़र चुना। सामान्य विचार यह है कि जब तक वह थूकता और तानाशाही नहीं करता है या नया पासवर्ड भेजता है, तब तक कटिया दीमा को उसकी मूर्खता, ट्विटरिंग और नैतिक सवालों से परेशान करेगी।

पासवर्ड बदलने के बाद, आपके पास निश्चित समय होगा, ठीक उस क्षण तक जब कोई सामान्य पासवर्ड से लॉग इन करने की कोशिश करता है और तकनीकी सहायता को कॉल करता है। सचिवालय के सामान्य बॉक्स में क्या लिया जा सकता है? उदाहरण के लिए, कर्मचारियों के संपर्कों के साथ एक निर्देशिका डाउनलोड करें।

डिमा के बचाव में, मैं कह सकता हूं कि तकनीकी सहायता के काम में स्थितियां समान नहीं हैं, और उपयोगकर्ता कभी-कभी अधिक सीखने की विकलांगता और विस्मृति भी प्रदर्शित करते हैं।

2) डिमा एक उदास, गैर-संपर्क प्रकार है।

- दिमित्री, मुझे ईमेल तक दूरस्थ पहुंच की आवश्यकता है। उत्पादन की जरूरत के संबंध में। मुझे तत्काल जरूरत है। जिसका अर्थ है कि कोई अनुरोध नहीं है, मैं घर पर हूं, बीमार छुट्टी पर हूं। हां, मैं आपसे खुद एक अनुरोध करने के लिए एक अपवाद के रूप में पूछता हूं! मेरा नाम पेट्रोवा एकातेरिना इवानोव्ना, विभाग सचिवालय है। मुझे तत्काल वरिष्ठ प्रबंधन के लिए एक मेलिंग सूची करने की आवश्यकता है। क्या मुझे प्रबंधन को लिखना चाहिए कि मैं तकनीकी सहायता कर्मचारी की गलती के माध्यम से इस समाचार पत्र को नहीं कर सकता हूं?

और अब दिमा का सही जवाब: "प्रिय कैथरीन, मैं आपसे कॉर्पोरेट सूचना प्रणाली में निर्दिष्ट फोन नंबर से वापस कॉल करने के लिए कहता हूं। मुझे आपको पासवर्ड बताने का कोई अधिकार नहीं है। ”
जागरूकता परीक्षण का उद्देश्य दुर्भाग्यपूर्ण दीमा को दंडित करना नहीं है, जिसने गुलाबी बाल वाली लड़की को पासवर्ड लीक किया है। मुख्य बात कमजोरियों की पहचान करना और उन्हें खत्म करना है।

एक कंपनी को क्या करना चाहिए जिसमें एक सोशल इंजीनियरिंग ऑडिट मानव कारक से संबंधित कई कमजोरियों का खुलासा करता है? हमारी सिफारिशें:

• सूचना सुरक्षा की मूल बातें, विशिष्ट कंपनियों को शामिल करने वाले प्रशिक्षणों के आवधिक कार्मिक;
• सूचना सुरक्षा मुद्दों के कर्मचारी जागरूकता की जाँच करना;
• कर्मचारी को ठीक से पता होना चाहिए कि क्या जानकारी गोपनीय है;
• सामाजिक इंजीनियरिंग का मुकाबला करने में आईटी कर्मचारियों को प्रशिक्षित करना।

प्रणाली का सबसे कमजोर बिंदु व्यक्ति है। यदि आप मानव कारक पर ध्यान नहीं देते हैं, तो कोई फर्क नहीं पड़ता कि आपके सिस्टम में सभी मानकों और सर्वोत्तम प्रथाओं के साथ कितना सुरक्षित और सुसंगत है, आप एक साधारण उपयोगकर्ता के माध्यम से डेटा खो देंगे।