Trong bài viết này, chúng ta sẽ chú ý đến khái niệm "kỹ thuật xã hội". Một định nghĩa chung về thuật ngữ này sẽ được xem xét ở đây. Chúng ta cũng sẽ tìm hiểu về người đã sáng lập ra khái niệm này. Hãy nói chuyện riêng về các phương pháp kỹ thuật xã hội chính mà những kẻ tấn công sử dụng.
Giới thiệu
Các phương pháp cho phép bạn điều chỉnh hành vi của một người và quản lý hoạt động của họ mà không cần sử dụng bộ công cụ kỹ thuật hình thành khái niệm chung về kỹ thuật xã hội. Tất cả các phương pháp đều dựa trên sự khẳng định rằng yếu tố con người là điểm yếu có tính hủy diệt lớn nhất của bất kỳ hệ thống nào. Thông thường khái niệm này được xem xét ở cấp độ hoạt động bất hợp pháp, thông qua đó tội phạm thực hiện một hành động nhằm lấy thông tin từ đối tượng - nạn nhân một cách không trung thực. Ví dụ, nó có thể là một số kiểu thao túng. Tuy nhiên, kỹ thuật xã hội cũng được con người sử dụng trong các hoạt động hợp pháp. Cho đến nay, nó thường được sử dụng để truy cập các tài nguyên có thông tin nhạy cảm hoặc nhạy cảm.
Người sáng lập
Người sáng lập kỹ thuật xã hội là Kevin Mitnick. Tuy nhiên, bản thân khái niệm này đến với chúng tôi từ xã hội học. Nó biểu thị một tập hợp các phương pháp tiếp cận chung được sử dụng bởi mạng xã hội được áp dụng. khoa học tập trung vào việc thay đổi cấu trúc tổ chức có thể xác định hành vi của con người và thực hiện quyền kiểm soát đối với nó. Kevin Mitnick có thể được coi là người sáng lập ra môn khoa học này, vì chính ông là người đã phổ biến xã hội. kỹ thuật trong thập kỷ đầu tiên của thế kỷ 21. Bản thân Kevin trước đây là một hacker đã xâm nhập trái phép vào nhiều loại cơ sở dữ liệu. Ông cho rằng yếu tố con người là điểm dễ bị tổn thương nhất của một hệ thống có bất kỳ mức độ phức tạp và tổ chức nào.
Nếu chúng ta nói về các phương pháp kỹ thuật xã hội như một cách để có được quyền (thường là bất hợp pháp) để sử dụng dữ liệu bí mật, chúng ta có thể nói rằng chúng đã được biết đến từ rất lâu. Tuy nhiên, chính K. Mitnick là người đã có thể truyền đạt tầm quan trọng của ý nghĩa và đặc điểm ứng dụng của chúng.
Liên kết lừa đảo và không tồn tại
Bất kỳ kỹ thuật nào của kỹ thuật xã hội đều dựa trên sự hiện diện của các biến dạng nhận thức. Lỗi hành vi trở thành một “công cụ” trong tay của một kỹ sư lành nghề, người mà trong tương lai có thể tạo ra một cuộc tấn công nhằm lấy dữ liệu quan trọng. Trong số các phương pháp kỹ thuật xã hội, liên kết lừa đảo và liên kết không tồn tại được phân biệt.
Phishing là một trò lừa đảo trực tuyến được thiết kế để lấy thông tin cá nhân như tên người dùng và mật khẩu.
Liên kết không tồn tại - sử dụng một liên kết sẽ thu hút người nhận bằng một sốlợi ích có thể nhận được bằng cách nhấp vào nó và truy cập một trang web cụ thể. Thông thường, tên của các công ty lớn được sử dụng, tạo ra những điều chỉnh tinh tế cho tên của họ. Nạn nhân, bằng cách nhấp vào liên kết, sẽ "tự nguyện" chuyển dữ liệu cá nhân của họ cho kẻ tấn công.
Phương pháp sử dụng nhãn hiệu, thuốc chống vi-rút bị lỗi và lô hàng giả
Kỹ thuật xã hội cũng sử dụng các trò gian lận hàng hiệu, antivirus bị lỗi và xổ số giả.
"Gian lận và thương hiệu" - một phương pháp lừa dối, cũng thuộc phần lừa đảo. Điều này bao gồm các email và trang web chứa tên của một công ty lớn và / hoặc "cường điệu". Tin nhắn được gửi từ các trang của họ với thông báo chiến thắng trong một cuộc thi nhất định. Tiếp theo, bạn cần nhập thông tin tài khoản quan trọng và đánh cắp nó. Ngoài ra, hình thức gian lận này có thể được thực hiện qua điện thoại.
Xổ số giả - một phương pháp gửi tin nhắn đến nạn nhân với nội dung rằng anh ta (a) đã trúng (a) xổ số. Thông thường, cảnh báo được che giấu bằng tên của các tập đoàn lớn.
Antivirus giả là trò gian lận phần mềm. Nó sử dụng các chương trình giống như antivirus. Tuy nhiên, trên thực tế, chúng dẫn đến việc tạo ra các thông báo sai về một mối đe dọa cụ thể. Họ cũng cố gắng thu hút người dùng tham gia vào lĩnh vực giao dịch.
Đánh dấu, pha chế và in sẵn
Trong khi nói về kỹ thuật xã hội cho người mới bắt đầu, chúng ta cũng nên đề cập đến hình ảnh, kỹ thuật viết và viết trước.
Vishing là một hình thức lừa đảo sử dụng mạng điện thoại. Nó sử dụng các tin nhắn thoại được ghi âm trước, mục đích là để tạo lại "cuộc gọi chính thức" của cấu trúc ngân hàng hoặc bất kỳ hệ thống IVR nào khác. Thông thường, họ được yêu cầu nhập tên người dùng và / hoặc mật khẩu để xác nhận bất kỳ thông tin nào. Nói cách khác, hệ thống yêu cầu người dùng xác thực bằng mã PIN hoặc mật khẩu.
Phreaking là một hình thức khác của lừa đảo qua điện thoại. Đây là một hệ thống hack sử dụng thao tác âm thanh và quay số bằng âm thanh.
Pretexting là một cuộc tấn công sử dụng một kế hoạch được tính toán trước, bản chất của nó là đại diện cho một chủ đề khác. Một cách cực kỳ khó để gian lận, vì nó đòi hỏi sự chuẩn bị kỹ lưỡng.
Quid Pro Quo và Road Apple Method
Lý thuyết về kỹ thuật xã hội là một cơ sở dữ liệu đa diện bao gồm cả các phương pháp lừa gạt và thao túng, cũng như các cách đối phó với chúng. Nhiệm vụ chính của những kẻ xâm nhập, theo quy luật, là tìm ra thông tin có giá trị.
Các loại lừa đảo khác bao gồm: quid pro quo, road apple, lướt qua vai, mã nguồn mở và phương tiện truyền thông xã hội đảo ngược. kỹ thuật.
Quid-pro-quo (từ tiếng Latinh - “cho điều này”) - một nỗ lực để lấy thông tin từ một công ty hoặc hãng. Điều này xảy ra bằng cách liên lạc với cô ấy qua điện thoại hoặc bằng cách gửi tin nhắn qua e-mail. Thông thường, những kẻ tấn cônggiả làm nhân viên. hỗ trợ, báo cáo sự hiện diện của một vấn đề cụ thể tại nơi làm việc của nhân viên. Sau đó, họ đề xuất cách khắc phục, chẳng hạn bằng cách cài đặt phần mềm. Phần mềm hóa ra bị lỗi và kích động tội ác.
The Road Apple là một phương pháp tấn công dựa trên ý tưởng về con ngựa thành Troy. Bản chất của nó nằm ở việc sử dụng một phương tiện vật lý và thay thế thông tin. Ví dụ, họ có thể cung cấp một thẻ nhớ với một số "tốt" nhất định sẽ thu hút sự chú ý của nạn nhân, gây ra ham muốn mở và sử dụng tệp hoặc theo các liên kết được chỉ ra trong các tài liệu của ổ đĩa flash. Đối tượng "quả táo đường" được thả ở các tụ điểm xã hội và chờ cho đến khi kế hoạch của kẻ đột nhập được thực hiện bởi một đối tượng nào đó.
Thu thập và tìm kiếm thông tin từ các nguồn mở là một trò lừa đảo, trong đó việc thu thập dữ liệu dựa trên các phương pháp tâm lý học, khả năng nhận thấy những điều nhỏ nhặt và phân tích dữ liệu có sẵn, chẳng hạn như các trang từ mạng xã hội. Đây là một cách thức kỹ thuật xã hội khá mới.
Lướt vai và đảo ngược xã hội. kỹ thuật
Khái niệm "lướt qua vai" tự định nghĩa là xem một đối tượng trực tiếp theo nghĩa đen. Với kiểu khai thác dữ liệu này, kẻ tấn công sẽ đến những nơi công cộng, chẳng hạn như quán cà phê, sân bay, nhà ga xe lửa và theo dõi mọi người.
Đừng đánh giá thấp phương pháp này, vì nhiều cuộc khảo sát và nghiên cứu cho thấy rằng một người chăm chú có thể nhận được rất nhiều bí mậtthông tin đơn giản bằng cách quan sát.
Kỹ thuật xã hội (như một cấp độ kiến thức xã hội học) là một phương tiện để "nắm bắt" dữ liệu. Có nhiều cách để lấy dữ liệu trong đó chính nạn nhân sẽ cung cấp cho kẻ tấn công những thông tin cần thiết. Tuy nhiên, nó cũng có thể phục vụ lợi ích của xã hội.
Đảo ngược xã hội kỹ thuật là một phương pháp khác của khoa học này. Việc sử dụng thuật ngữ này trở nên thích hợp trong trường hợp mà chúng tôi đã đề cập ở trên: chính nạn nhân sẽ cung cấp cho kẻ tấn công những thông tin cần thiết. Tuyên bố này không nên được coi là vô lý. Thực tế là các chủ thể được trao quyền hạn trong một số lĩnh vực hoạt động thường có quyền truy cập vào dữ liệu nhận dạng theo quyết định riêng của chủ thể. Cơ sở ở đây là sự tin tưởng.
Điều quan trọng cần nhớ! Ví dụ: nhân viên hỗ trợ sẽ không bao giờ hỏi người dùng nhập mật khẩu.
Thông tin và bảo vệ
Việc đào tạo kỹ thuật xã hội có thể được thực hiện bởi cá nhân trên cơ sở sáng kiến cá nhân hoặc trên cơ sở lợi ích được sử dụng trong các chương trình đào tạo đặc biệt.
Tội phạm có thể sử dụng nhiều hình thức lừa dối khác nhau, từ thao túng cho đến sự lười biếng, cả tin, lịch sự của người dùng, v.v. Rất khó để bảo vệ bản thân khỏi kiểu tấn công này, do nạn nhân không có nhận thức rằng anh ta) đã lừa dối. Các công ty và công ty khác nhau để bảo vệ dữ liệu của họ ở mức độ nguy hiểm này thường tham gia vào việc đánh giá thông tin chung. Bước tiếp theo là tích hợp cáccác biện pháp bảo vệ đối với chính sách bảo mật.
Ví dụ
Một ví dụ về kỹ thuật xã hội (hoạt động của nó) trong lĩnh vực gửi thư lừa đảo toàn cầu là một sự kiện xảy ra vào năm 2003. Email đã được gửi đến người dùng eBay trong vụ lừa đảo này. Họ tuyên bố rằng các tài khoản thuộc về họ đã bị khóa. Để hủy chặn, cần nhập lại dữ liệu tài khoản. Tuy nhiên, những bức thư đã được giả mạo. Họ đã dịch sang một trang giống hệt trang chính thức, nhưng giả mạo. Theo ước tính của các chuyên gia, thiệt hại không quá lớn (dưới một triệu đô la).
Định nghĩa về trách nhiệm
Việc sử dụng kỹ thuật xã hội có thể bị trừng phạt trong một số trường hợp. Ở một số quốc gia, chẳng hạn như Hoa Kỳ, pretexting (lừa dối bằng cách mạo danh người khác) được coi là hành vi xâm phạm quyền riêng tư. Tuy nhiên, điều này có thể bị trừng phạt theo luật nếu thông tin thu được trong quá trình ghi trước là bí mật theo quan điểm của chủ thể hoặc tổ chức. Ghi âm cuộc trò chuyện qua điện thoại (như một phương pháp kỹ thuật xã hội) cũng là yêu cầu của luật pháp và yêu cầu phạt tiền 250.000 đô la hoặc phạt tù lên đến mười năm đối với cá nhân. những người. Các pháp nhân được yêu cầu trả 500.000 đô la; thời hạn vẫn như cũ.
