[ Pobierz całość w formacie PDF ]
.DodatkiBezpieczeństwo w pigułcey
ródła SkorowidzBezpieczeństwo w pigułcePoniższe listy i tabele stanowią przegląd metod socjotechnicznych oma-wianych w rozdziałach od 2.do 14.i procedur weryfikacyjnych wyszczegól-nionych w rozdziale 16.Informacje te należy zmodyfikować pod kątem wła-snej organizacji i udostępnić pracownikom, aby mogli z nich korzystać w od-powiedniej sytuacji.Identyfikacja atakuPrzedstawione tutaj tabele i listy pomogą ustalić, czy ma miejsce atak so-cjotechniczny.359Cykl socjotechnicznyDziałanie OpisMoże zacząć się od ogólnej analizy powszech-Rozpoznanienie dostępnych informacji, jak wyniki finanso-we, katalogi, zgłoszenia do urzędu patentowe-go, wzmianki prasowe, artykuły w prasie fa-chowej, zawartość strony internetowej, a takżezawartości śmietnikówUżycie wewnętrznych informacji, podawa-Budowanie więzi i zaufanianie się za kogoś innego, wspominanie nazwiskosób znanych ofierze, zgłoszenie potrzeby po-mocy lub zasugerowanie posiadania władzy.Prośba o informację lub działanie skierowa-Wykorzystanie zaufaniana do ofiary.Zmanipulowanie ofiary tak, abysama poprosiła o pomoc.Jeżeli uzyskana informacja jest tylko kolejnymWykorzystanie informacjikrokiem zbliżającym napastnika do celu, wra-ca on do poprzednich kroków cyklu, aż do osią-gnięcia sukcesu.Typowe metody socjotechniczne" Udawanie pracownika tej samej firmy." Udawanie przedstawiciela dostawcy, firmy partnerskiej lub agencjirządowej." Udawanie kogoś, kto ma władzę." Udawanie nowego pracownika proszącego o pomoc." Udawanie przedstawiciela producenta systemu operacyjnego zale-cającego pilną aktualizację." Oferowanie pomocy w razie wystąpienia jakiegoś problemu, spra-wienie, by problem wystąpił, i manipulacja ofiarą w taki sposób,aby sama zadzwoniła z prośbą o pomoc." Wysłanie darmowego programu do aktualizacji lub zainstalowa-nia." Wysłanie wirusa lub konia trojańskiego w załączniku do poczty." Użycie fałszywego okna dialogowego wyświetlającego prośbę o po-wtórne załogowanie się lub wprowadzenie hasła." Przechwytywanie naciśniętych klawiszy za pomocą specjalnegoprogramu.360" Podrzucenie w okolicach stanowiska pracy ofiary dyskietki lubpłyty CD-ROM zawierającej niebezpieczny kod." Używanie wewnętrznej terminologii i żargonu w celu zbudowaniazaufania." Oferowanie nagrody za rejestrację, poprzez wprowadzenie nazwyużytkownika i hasła na stronie internetowej." Podrzucenie dokumentu lub pliku w pomieszczeniu poczty we-wnętrznej firmy, aby dotarł do miejsca przeznaczenia jako kore-spondencja wewnętrzna." Zmiana ustawień nagłówka w faksie tak, aby wydawał się pocho-dzić z wewnątrz." Prośba do recepcjonistki o odebranie i przesłanie faksu dalej." Prośba o transfer pliku do lokalizacji, która wydaje się wewnętrz-na." Ustawienie skrzynki poczty głosowej w taki sposób, że w trak-cie oddzwaniania napastnik jest identyfikowany jako osoba z we-wnątrz." Podawanie się za pracownika z innego oddziału i prośba o tymcza-sowe otwarcie konta e-mail.Atak  znaki ostrzegawcze" Odmowa podania numeru zwrotnego." Nietypowa prośba." Okazywanie posiadania władzy." Podkreślanie pilności sprawy." Grożenie konsekwencjami niepodporządkowania się prośbie." Okazywanie niechęci w przypadku zadawania pytań." Wymienianie wielu nazwisk." Komplementy lub pochlebstwa." Flirtowanie.Typowe cele atakuTyp celu PrzykładyRecepcjonistka, telefonistka, pracownicy admini-Nieświadomystracji, pracownicy ochrony.wartości informacjiPomoc techniczna, administratorzy systemówPosiadającykomputerowych, operatorzy komputerów, admini-Specjalne przywilejestratorzy systemów telefonicznych.Producenci sprzętu, oprogramowania, systemówProducentpoczty głosowej.Księgowość, kadr.Określone wydziały361Czynniki ułatwiające atak" Duża liczba pracowników." Wiele lokalizacji." Informacje o poczynaniach pracowników zostawiane w poczciegłosowej." Udostępnianie numerów wewnętrznych." Brak szkolenia w zakresie bezpieczeństwa." Brak systemu klasyfikacji danych." Brak punktu zgłaszania incydentów i planów reakcji.Weryfikacja i klasyfikacja danychPrzedstawione tutaj tabele mają za zadanie pomóc w reagowaniu na proś-by o informacje lub czynności, które mogą okazać się atakiem socjotechnicz-nym.Procedura weryfikacji tożsamościZ
rodek identyfikacji OpisSprawdz
, czy rozmowa pochodzi z wewnątrzIdentyfikacja rozmówcyi czy wyświetlony numer odpowiada osobie,która dzwoni.Znajdz
dzwoniącego w firmowym spisie tele-Oddzwanianiefonów i zadzwoń pod podany tam numer we-wnętrzny.Poproś zaufanego pracownika o poręczeniePoręczenietożsamości dzwoniącego.Poproś o podanie wspólnej tajemnicy firmo-Wspólna tajemnicawej, takiej jak hasło lub kod dnia.Skontaktuj się z bezpośrednim zwierzchni-Zwierzchnik lub szefkiem pracownika i poroś o weryfikację jegotożsamości i statusu.Poproś o wiadomość podpisaną elektroicznie.Bezpieczny e-mailJeżeli znasz rozmówcę, rozpoznaj go po gło-Rozpoznawaniesie po głosie.362Dokonaj weryfikacji poprzez odpowiednieHasła dynamiczneurządzenie generujące dynamiczne hasła lubzastosuj podobne rozwiązanie uwierzytelnia-jące.Poproś rozmówcę o osobiste pojawienie się zeOsobiścieswoim identyfikatorem pracownika.Procedura weryfikacji statusu pracownikaZ
rodek weryfikacji OpisSprawdz
, czy dzwoniący znajduje się na liścieLista pracownikówpracowników.Zadzwoń do szefa firmy, używając numeru zSzeflisty pracowników.Zadzwoń do wydziału, w którym pracuje roz-Wydziałmówca, i zapytaj, czy osoba ta jest pracowni-kiem firmy [ Pobierz całość w formacie PDF ]