Správa od Alenky a jej sociálny prístup
PETER DEKÝŠ, CISA, CISM, ČLÁNOK UVEREJNENÝ V ČASOPISE FORBES, APRÍL 2013
Pojem sociálny inžinier alebo sociálne inžinierstvo nemusí byť jasný každému. Veď socializmus tu bol pred 20 rokmi. Kto sú sociálni inžinieri a aké sú metódy sociálneho inžinierstva?
Predstavte si pokus. Niekto vás telefonicky požiada zmeniť si heslo do počítača. Prečo by ste to mali urobiť? Lebo vie o vás „všetko“, predsa ste mu už spustili aj program na vzdialený prístup k počítaču a rozpráva presvedčivo. Jeho meno je povedomé, veď vaša firma je veľká a má viacerých ITečkárov. V tomto scenári traja z piatich náhodne vybraných zamestnancov reálnej firmy vyhovejú požiadavke sociálneho inžiniera. Vám sa to nemôže stať? Možno vám nie, ale toto je príklad zo Slovenska. A možno to u vás funguje ináč. Teraz ste doma a čítate správy od známych na sociálnej sieti. Aj Alenka poslala video s prichytenými celebritami a to by ste si radi pozreli. Škoda len, že nejde spustiť. Treba najskôr nainštalovať nejaký program a tak ho začnete inštalovať. Program chce pred inštaláciou vypnúť antivírus alebo aspoň ignorovať jeho hlásenia. Tí, ktorým to nevadí, môžu začať rozosielať rovnaké správy ako Alenka alebo môžu počítač nakaziť inými schopnosťami.
V obidvoch príkladoch boli použité metódy sociálneho inžinierstva, ktoré sú používané pri infiltrácii počítačov malvérom alebo k získaniu citlivých údajov. Sociálni inžinieri sa snažia ovplyvniť správanie oslovených jednotlivcov alebo skupín. Požadujú plnenie požiadaviek na základe sympatií, na základe podriadenia sa autoritám, alebo pod vplyvom stresujúcich faktorov, či plnenie požiadaviek podporené logickým zdôvodnením a ďalšie. Majú na svedomí aj phishing, snahu nachytať dôverčivých e-mailových adresátov. Ak chcete preveriť odolnosť firmy proti sociálnemu inžinierstvu, môžete ju otestovať. Ak viete, že by testovanie dopadlo zle, začnite aspoň budovať bezpečnostné povedomie.
Peter Dekýš, CISA, CISM
autor pracuje ako konzultant bezpečnosti IS a riaditeľ ESET Services, spoločnosti ESET, spol. s r.o.
Súvisiace články:
Súvisiace služby: