Jak se chránit před útoky na sociální inženýrství

Minulý týden jsme se podívali na některé z hlavních hrozeb sociálního inženýrství Co je sociální inženýrství? [MakeUseOf vysvětluje] Co je sociální inženýrství? [MakeUseOf vysvětluje] Můžete nainstalovat nejsilnější a nejdražší firewall tohoto odvětví. Můžete zaměstnance poučit o základních bezpečnostních postupech a důležitosti výběru silných hesel. Můžete dokonce zamknout serverovnu - ale jak… byste měli vy, vaše společnost nebo vaši zaměstnanci dávat pozor. Stručně řečeno, sociální inženýrství je podobné triku důvěry, kdy útočník získá přístup, informace nebo peníze získáním důvěry oběti..

Tyto techniky se mohou pohybovat od podvodů typu phishing prostřednictvím e-mailu až po propracování telefonních triků a invazivních útoků na záminky. I když neexistuje definitivní způsob, jak zastavit sociální inženýry, je několik věcí, které byste si měli pamatovat, abyste zabránili tomu, aby se tyto útoky staly příliš vážnými. Jako vždy, vaše nejlepší obrana je znalost a neustálá ostražitost.

Ochrana před fyzickými útoky

Mnoho společností vzdělává svůj tým pro zabezpečení sítě o nebezpečích fyzického útoku. Metoda známá jako “tailgating” se používá při mnoha fyzických útocích k získání přístupu do oblastí bez oprávnění. Tento útok se živí základní lidskou zdvořilostí - drží dveře někomu - ale jakmile útočník získá fyzický přístup, porušení bezpečnosti se stává velmi vážným.

I když to ve skutečnosti neplatí v domácím scénáři (je nepravděpodobné, že vaše přední dveře zůstanou otevřené pro cizince, že?), Existuje několik věcí, které můžete udělat, abyste snížili šance padnout za oběť sociálnímu inženýrství. útok, který závisí na fyzických materiálech nebo umístění.

Pretexting je technika používaná útočníky, kteří nejprve najdou informace o své oběti (např. Z vyúčtování nebo výpisu z kreditní karty), které pak mohou proti své oběti použít a přesvědčit je, že mají smysl pro autoritu. Nejzákladnější ochrana před tímto druhem útoku (někdy označovaná jako “dumpster diving”) ničí všechny materiály, které obsahují důležité osobní informace.

To platí také pro digitální data, takže staré pevné disky by měly být adekvátně zničeny (fyzicky) a optická média mohou být také rozdrcena. Některé společnosti to dokonce berou v takové míře, že zamknou své odmítnutí a nechají ho sledovat bezpečnost. Zvažte nešrotované papíry, které vyhodíte - kalendáře, účtenky, faktury a dokonce i osobní poznámky - a poté zvažte, zda by tyto informace mohly být použity proti vám.

Myšlenka na vloupání není moc pěkná, ale pokud byl váš notebook odcizen, sledujte a obnovte svůj odcizený notebook s kořistí Sledujte a obnovte svůj odcizený notebook s kořistí zítra, bylo by to přiměřeně uzamčeno? Notebooky, chytré telefony a další zařízení, které přistupují k vašim osobním informacím, e-mailovým účtům a účtům sociálních sítí, by měly být vždy chráněny bezpečnými hesly. Jak vytvořit silné heslo, které nezapomenete Jak vytvořit silné heslo, které nezapomenete Víte, jak vytvořit a zapamatovat si dobré heslo? Zde je několik tipů a triků, jak udržovat silná a samostatná hesla pro všechny vaše online účty. a kódy. Pokud jste o krádeži opravdu paranoidní, možná budete chtít dokonce zašifrovat data na vašem pevném disku pomocí něco jako TrueCrypt Jak vytvořit šifrované složky Ostatní nelze zobrazit pomocí Truecrypt 7 Jak udělat šifrované složky Ostatní nelze zobrazit pomocí Truecrypt 7 nebo BitLocker.

Pamatujte - jakékoli informace, které zloděj může získat, mohou být použity proti vám při budoucích útokech, měsíce nebo roky po incidentu.

Návnady - zanechání škodlivého zařízení, jako je ohrožená jednotka USB, na které lze snadno najít, se snadno vyvaruje tím, že nedovolí, aby vaše zvědavosti získaly to nejlepší z vás. Pokud na verandě najdete USB flash disk, zacházejte s ním s maximálním podezřením. USB flash disky lze použít k instalaci keyloggerů, trojských koní a jiného nežádoucího softwaru k extrahování informací a představování velmi reálné hrozby.

Prevence psychických útoků

Téměř všechny útoky v oblasti sociálního inženýrství jsou psychologické podle své definice, ale na rozdíl od předstírání, které vyžaduje předchozí znalosti, jsou některé útoky čistě psychologické. Ochrana proti těmto druhům útoků je v současné době pro mnoho společností velkou prioritou, a to zahrnuje vzdělávání, ostražitost a často myšlení jako útočník.

Společnosti nyní začínají vzdělávat personál na všech úrovních, protože většina útoků začíná u strážce na bráně nebo recepční na recepci. Obecně to znamená poučit zaměstnance, aby si dávali pozor na podezřelé žádosti, ctižádostivé osoby nebo cokoli, co se prostě nesčítá. Tato ostražitost je snadno přenositelná do vašeho každodenního života, ale záleží na vaší schopnosti identifikovat žádosti o důvěrné informace.

Zatímco online útoky prostřednictvím e-mailu a rychlých zpráv jsou stále častější, útoky v oblasti sociálního inženýrství prostřednictvím telefonu (a VoIP, což ztěžuje dohledání zdroje), jsou stále skutečnou hrozbou. Nejjednodušší způsob, jak se vyhnout útoku, je ukončit hovor tím, že máte podezření na cokoli.

Je možné, že vám vaše banka zavolá, ale vzácné je, že by požádali o heslo nebo jiné informace přímo. Pokud k takovému hovoru dojde, vyžádejte si telefonní číslo banky, znovu jej zkontrolujte a zavolejte zpět. Může to trvat dalších pět minut, ale vaše finanční prostředky a osobní údaje jsou v bezpečí a banka vůle rozumět. Stejně tak je nepravděpodobné, že by bezpečnostní společnost zavolala, aby vás upozornila na problémy s počítačem. Zacházejte se všemi hovory jako s podvodem, buďte podezřelí a neohrozujte své PC Počítačové techniky pro volání za studena: Nepadejte za podvod jako je tento [Scam Alert!] Počítačové techniky za studena: Nezakládejte za takový podvod [ Scam Alert!] Pravděpodobně jste už slyšeli termín „neplazte scammera“, ale vždycky jsem měl rád „neplaťte tech spisovatele“ sám. Neříkám, že jsme neomylní, ale pokud váš podvod zahrnuje internet, Windows ... nebo kupujete to, co prodávají!

Vzdělání je nejlepší obranou, takže udržení krok s bezpečnostními technikami a zprávami vám pomůže najít potenciální útok. Zdroje jako Social-Engineer.org se pokoušejí vzdělávat lidi o technikách používaných sociálními inženýry a je k dispozici mnoho informací.

Málo věcí, které si musíte pamatovat

Důvěra je hlavní taktika sociálního inženýra a bude použita k získání přístupu k fyzickým místům, důvěrným informacím a v širším měřítku k citlivým firemním datům. Systém je jen tak silný jako jeho nejslabší obrana a v případě sociálního inženýrství to znamená jednotlivce, kteří nevědí o používaných hrozbách a technikách.

Závěr

Citovat Kevina Mitnicka, kterému se podařilo bloudit po největší bezpečnostní konferenci na světě, bez omezení a bez kontroly (RSA 2001): “Na konferenci RSA byste mohli strávit bohatství na nákup technologií a služeb od každého vystavovatele, přednášejícího a sponzora a vaše síťová infrastruktura by mohla být i nadále zranitelná staromódní manipulací”. To platí pro zámky na vašich dveřích a poplach ve vašem domě, takže dávejte pozor na taktiku sociálního inženýrství v práci i doma.

Zažili jste nějaké takové útoky? Pracujete pro společnost, která nedávno začala vzdělávat zaměstnance o nebezpečích? Dejte nám vědět, co si myslíte, v komentářích níže.

Obrázek Kredity: Vlk v ovčím oblečení (Shutterstock), skartovač papíru (Chris Scheufele), pevný disk (jon_a_ross), telefon na stole (Radio.Guy), recepce Mozilla (Niall Kennedy),