УДК 004.056

Информационная безопасность в условиях атак с использованием социальной инженерии

Научный руководитель Артем Максимович Гельфанд – старший преподаватель кафедры защищенных систем связи Федерального государственного бюджетного образовательного учреждения высшего образования Санкт-Петербургского государственного университета телекоммуникаций им. проф. М. А. Бонч-Бруевича.

Нечипуровский Дмитрий Игоревич – студент факультета инфокоммуникационных систем связи Федерального государственного бюджетного образовательного учреждения высшего образования Санкт-Петербургского государственного университета телекоммуникаций им. проф. М. А. Бонч-Бруевича.

Аннотация: Атаки с использованием социальной инженерии стали обычным явлением на предприятиях на протяжении многих лет. Несмотря на то, что все более строгие меры безопасности разрабатываются, продвигаются и внедряются, количество нарушений безопасности продолжает расти. Это может быть связано с тем, что киберпреступники часто нацеливаются на слабую и простую точку доступа — пользователя. Ни одна проблема безопасности не может возникнуть, если нет слабости, которой могут воспользоваться киберпреступники. Нарушения безопасности наносят значительный ущерб организациям в различных отраслях из-за снижения доверия клиентов. В данной статье рассматриваются понятие социальной инженерии, какие существуют виды атак и какие рекомендации лучше предпринять для предотвращения атак с использованием социальной инженерии.

Ключевые слова: социальная инженерия, виды социальной инженерии, черты атак социальной инженерии, фишинговые атаки.

Социальная инженерия уже некоторое время большой угрозой безопасности. Она обсуждается специалистами по информационной безопасности. Но не все в полной мере понимают возможную угрозу, которую она представляет, и насколько опасной может быть. Типы информации, которую ищут преступники, могут различаться, но, когда целью становятся отдельные лица, преступники обычно пытаются обманом заставить вас передать им ваши пароли банковские данные, или получить доступ к вашему компьютеру для тайной установки вредоносного ПО, которое предоставит им доступ к вашим паролям и банковской информации, а также даст им контроль над вашим компьютером.

При атаке с использованием социальной инженерии злоумышленник использует человеческое взаимодействие (социальные навыки) для получения или компрометации информации об организации или ее компьютерных системах. Злоумышленник может казаться непритязательным и респектабельным, возможно, выдавая себя за нового сотрудника, ремонтника или исследователя и даже предлагая учетные данные для подтверждения своей личности. Однако, задавая вопросы, он или она может собрать достаточно информации, чтобы проникнуть в сеть организации. Если злоумышленник не может собрать достаточно информации из одного источника, он или она может связаться с другим источником в той же организации и полагаться на информацию из первого источника, чтобы повысить свой авторитет.

Преступники используют тактику социальной инженерии, потому что обычно легче воспользоваться вашей естественной склонностью к доверию, чем находить способы взлома вашего программного обеспечения. Например, гораздо проще обмануть кого-либо, заставив сообщить вам свой пароль, чем пытаться взломать его пароль (если только пароль действительно слабый).

Для хакеров социальная инженерия, вероятно, является самым простым и эффективным способом взлома протоколов безопасности. Развитие интернета дало людям очень мощные возможности, поскольку устройства соединяются между собой, не обращая внимания на расстояния. Это дало людям прогресс в общении и взаимодействии, однако создало лазейки, которые могут привести к нарушению личной информации и конфиденциальности.

Атаки социальной инженерии остаются специализированным видом кибератак, которые в значительной степени зависят от взаимодействия людей и часто включают психологические манипуляции, которые заставляют людей совершать ошибки в системе безопасности или передавать конфиденциальную информацию. Несмотря на широкое использование, термин "атаки социальной инженерии" во многих отношениях описывает очень узкие черты.

Вот некоторые ключевые черты атак социальной инженерии:

Социальные инженеры используют в своих интересах слабые стороны людей, такие черты характера, как страх, любопытство или даже жадность, чтобы играть со своей добычей. Используют также доверие и готовность быть полезными.
Социальным инженерам потребуется время, чтобы многократно исследовать свои цели, чтобы сделать атаки лично привлекательными и их было труднее обнаружить или избежать.
Социальные инженеры часто могут пытаться создать ощущение срочности, чтобы подтолкнуть свои цели к быстрым, но обреченным на неудачу действиям. Лучше всего этого можно достичь, представив ситуацию как надвигающийся кризис, требующий быстрых действий.
Использование знакомых каналов коммуникации. В большинстве случаев социальные инженеры часто могут охотиться на своих жертв, используя знакомые каналы коммуникации, например, через почту, телефонные звонки или даже социальные сети. Это дает им шанс и пространство для того, чтобы быть каким-то образом предсказуемыми, и, таким образом, их атака менее подозрительна и вполне правдоподобна.
Они запрашивают личную конфиденциальную информацию, такую как пароли, номера кредитных карт или номера социального страхования. Это возможно, выдавая себя за источники, которые активно взаимодействуют с пользователем, такие как банки или правительства.

Существуют различные типы социальной инженерии:

Фишинг — это наиболее распространенный тип социальной инженерии. Злоумышленники могут создать поддельный веб-сайт или портал поддержки известной компании и отправить ссылку на него адресатам по электронной почте или в социальных сетях. Человек, который не знает о реальном злоумышленнике, в конечном итоге может раскрыть свою личную информацию и даже данные своей кредитной карты.

Чтобы избежать фишинговых писем, следует использовать фильтры нежелательной почты в своих учетных записях электронной почты. В настоящее время большинство почтовых провайдеров делают это по умолчанию. Также лучше не открывать электронные письма, которые приходят из ненадежных источников.

Вишинг — это метод социальной инженерии, при котором злоумышленники могут быть где угодно в Интернете, но часто предпочитают использовать старомодный способ — телефонные звонки. Они могут имитировать систему интерактивного голосового ответа компании и привязать ее к бесплатному номеру. Затем они обманом заставляют людей звонить по этому номеру и вводить свои данные.

Претекстинг — это тип атаки, при котором злоумышленник пытается убедить жертву раскрыть конфи денциальную информацию или отправить ему деньги, придумывая убедительную историю. Злоумышленник обычно выдает себя за друга, члена семьи, коллегу или начальника, поэтому жертва более склонна предоставить ему конфиденциальную информацию. Такие атаки могут происходить посредством телефонных звонков, текстовых сообщений, электронных писем или личных встреч.

Черви — это еще один тип атаки, при котором киберпреступник пытается привлечь внимание пользователя к ссылке или зараженному файлу, а затем заставить пользователя нажать на него. Примеры таких атак включают:

Червь LoveLetter, который в 2000 году перегрузил почтовые серверы многих компаний. Жертвы получали электронное письмо, в котором им предлагалось открыть прикрепленное любовное письмо. Открыв прикрепленный файл, червь скопировал себя во все контакты в адресной книге жертвы. Этот червь до сих пор считается одним из самых разрушительх с точки зрения финансового ущерба, который он нанес.

Почтовый червь Mydoom, появившийся в Интернете в январе 2004 года, использовал тексты, имитирующие технические сообщения, выдаваемые почтовым сервером. Червь Swen выдавал себя за сообщение, отправленное отMicrosoft. В нем утверждалось, что вложение является патчем, который устранит уязвимости Windows. Неудивительно, что многие люди восприняли это заявление всерьез и попытались установить фальшивый патч безопасности, хотя на самом деле это был червь.

Фарминг. При этом типе онлайн-мошенничества киберпреступник устанавливает на компьютер или сервер вредоносный код, который автоматически направляет пользователя на поддельный веб-сайт, где пользователь может быть обманут, чтобы предоставить личную информацию.

Есть следующие рекомендации, которые могут помочь повысить вашу бдительность в отношении взломов социальной инженерией:

Не открывать электронные письма и вложения из подозрительных источников. Если вы не знаете отправителя, о котором идет речь, вам не нужно отвечать на электронное письмо. Даже если вы их знаете и у вас возникли подозрения по поводу их сообщений, перепроверьте и подтвердите новости из других источников, например, по телефону или непосредственно с сайта поставщика услуг. Помните, что адреса электронной почты постоянно подделываются; даже электронное письмо, предположительно пришедшее из надежного источника, на самом деле может быть инициировано злоумышленником.
Использовать многофакторную аутентификацию. Одной из наиболее ценных частей информации, которую ищут злоумышленники, являются учетные данные пользователя. Использование многофакторной аутентификации помогает обеспечить защиту вашей учетной записи в случае взлома системы.
Быть осторожными с заманчивыми предложениями. Если предложение звучит слишком заманчиво, стоит быть бдительными, прежде чем принимать его как факт.
Обновлять свое антивирусное программное обеспечение. Необходимо убедиться, что включены автоматические обновления. Периодически проверять, были ли применены обновления, сканировать свою систему на предмет возможных заражений.

Киберпреступники постоянно ищут новые методы обмана пользователей, стремясь украсть их средства и конфиденциальную информацию, поэтому очень важно просвещать себя и окружающих. Интернет предоставляет убежище для этих видов мошенничества. Стоит быть осторожными и бдительными, чтобы не попасться в ловушки социальной инженерии.

Список литературы

Митник К. и Саймон В. Л. (2002). "Искусство обмана: контроль над человеческим элементом безопасности". Уайли.
Хаднаги С. (2010). "Социальная инженерия: искусство взлома человеком". Уайли.
Вакка, Дж. Р. (2012). "Руководство по компьютерной и информационной безопасности". Морган Кауфманн.
Финкл Дж. и Вильянуэва М. (2015). "Социальная инженерия: наука о взломе человека". Джон Уайли и сыновья.
Босворт С. и Кабаи М. Э. (2002). "Руководство по компьютерной безопасности". Уайли.
Стиннон Р. (2008). "Кибервойна будет: как переход к сетецентрической войне проложил путь к кибервойне". IT-Harvest Press.
Каппелли, Д. М., Мур, А. П., Тржециак, Р. Ф. и Шимолл, Т. Дж. (2012). "Руководство по инсайдерской угрозе CERT: как предотвращать, обнаруживать преступления в области информационных технологий (кражи, саботаж, мошенничество) и реагировать на них". Эддисон - профессионал Wesley.
Коул Э., Круз Р. Л. и Конли Дж. (2015). "Социальная инженерия в ИТ-безопасности: инструменты, тактика и методы". Специалист McGraw Hill.
Шнайер, Б. (2000). "Секреты и ложь: цифровая безопасность в сетевом мире". Уайли.
Хаднаги, К., & Финчер, М. (2011). "Разоблачение социального инженера: фактор безопасности человека". Уайли.
Шемякин С. Н. и др. Теоретическая оценка использования математических методов прогнозирования загрузки виртуальной инфраструктуры //Наукоемкие технологии в космических исследованиях Земли. – 2021. – Т. 13. – №. 4. – С. 66-75.
Шемякин С. Н. и др. Использование теории графов для моделирования безопасности облачных систем //Вестник Санкт-Петербургского государственного университета технологии и дизайна. Серия 1: Естественные и технические науки. – 2021. – №. 2. – С. 31-35.
Пестов И. Е. Методика разработки управляющего воздействия на инстансы облачной инфраструктуры //Вестник Санкт-Петербургского государственного университета технологии и дизайна. Серия 1: Естественные и технические науки. – 2020. – №. 4. – С. 72-76.
Суворов А. М., Цветков А. Ю. Исследование атак типа переполнение буфера в 64-х разрядных unix подобных операционных системах //Актуальные проблемы инфотелекоммуникаций в науке и образовании (АПИНО 2018). – 2018. – С. 570-573.
Кирилова К. С. и др. Проблема обезвреживания руткитов уровня ядрав системах специального назначения //I-methods. – 2020. – Т. 12. – №. – С. 2.