Müxtəlif

Ən Yayılmış Sosial Mühəndislik Kiber Hücumlarından 6-sı

Ən Yayılmış Sosial Mühəndislik Kiber Hücumlarından 6-sı

Sosial mühəndislik hücumları qurbanları üçün çox inandırıcı və potensial olaraq çox bahalı ola bilər. Sosial mühəndislər öz kommersiya və ya digər mənfəətləri üçün qurbanlardan həssas məlumat yığmaq üçün müxtəlif texnikalardan istifadə edəcəklər.

Burada sosial mühəndislərin nə etdiklərini araşdırırıq və tətbiq etdikləri altı ümumi strategiyanı vurğulayırıq.

ƏLAQƏDAR: KİMERSTALKİNİN MƏHKƏMİ OLMAQDAN ÖZÜNÜZÜ NÜQARƏDƏN QORUMAQ

Kiber sosial mühəndislik nədir?

Sosial mühəndislik, xəbərsiz olmağınız vəziyyətində, bir şəxsdən və ya bir təşkilatdan həssas məlumatları aldatmaq və ya toplamaq üçün müxtəlif psixoloji üsullardan istifadə etməkdir.

Bu məqalənin kontekstində sosial mühəndislik termini, gələcəkdə inkişaf və cəmiyyətdəki davranışı tənzimləyən sosial dəyişiklikləri təşviq etmək üçün istifadə olunan mərkəzləşdirilmiş planlaşdırılmış strategiyalardan çox, informasiya təhlükəsizliyinə istinad olaraq istifadə olunur.

"Fırıldaqçı məqsədlər üçün istifadə edilə bilən məxfi və ya şəxsi məlumatları açıqlamaq üçün fərdləri idarə etmək üçün aldatma istifadəsi." - Lexico.com.

Bu çox geniş bir termindir və təcavüzkarın ticari və ya başqa bir faydası üçün məlumat əldə etmək üçün insan qarşılıqlı təsirlərindən istifadə edərək bir sıra zərərli fəaliyyətlər daxildir.

Sosial mühəndislik hücumlarına bəzi nümunələr nədir?

Budur ümumi sosial mühəndislik hücumlarının altı nümunəsi. Aşağıdakı nümunələr heç bir qaydada deyil və bitməkdən uzaqdır.

1. Fişinq çox yayılmış bir strategiyadır

Fişinq, ən çox yayılmış sosial mühəndislik kiber hücum növlərindən biridir. Lifewire.com kimi saytlara görə, həqiqətən insanların gündəlik aldığı bütün spam e-poçtların böyük bir hissəsini təşkil edir.

Bununla yanaşı, SMS, IM və digər sosial media qarşılıqlı əlaqələri ilə də cəhd edilə bilər.

Bu mesaj formaları sizi şifrələr, kart detalları və s. Kimi həssas məlumatları açıqlamaqda aldatmağa və ya oxşar məlumatları çıxarmaq üçün saxta URL-ləri ziyarət etməyə çalışır.

Sosial mühəndislik hücumunun bu növünün ən inkişaf etmiş növləri bankınız kimi nüfuzlu və etibarlı bir qurumu təqlid etməyə çalışırlar. Bunlar həm də istənməyən hərəkətlərdən qaçınmaq üçün hərəkətə keçmək üçün təcili bir duyğu aşılamağa çalışacaqlar (gözəl, və s.).

2. Suvarma çuxuru hücumları kiber casusluğun geniş yayılmış formasıdır

Suvarma boşluğu hücumları, adi istifadəçilərə hücum etmək üçün ictimai veb saytlarına zərərli kod enjekte edən çirkin şəxslərdən ibarətdir.

"Bu hücumda təcavüzkar [hədəf] qrupunun hansı veb saytlardan tez-tez istifadə etdiyini və bunlardan birinə və ya bir neçəsinə zərərli proqramla yoluxduğunu təxmin edir və ya müşahidə edir. Nəticədə hədəflənmiş qrupun bəzi üzvləri virusa yoluxur" Wikipedia-ya görə.

İstifadəçilər saytı ziyarət etdikdə, veb sayt istifadəçinin kompüterinə arxa qapı trojan açır. Suvarma çuxuru hücum üsulu, kiber casusluq əməliyyatları və ya dövlət tərəfindən dəstəklənən hücumlar üçün çox yaygındır.

3. Tailgating həqiqi bir problem ola bilər

Tailgating, adından da göründüyü kimi, zərərli bir fərdin müvafiq icazəsi olmadan bir əraziyə fiziki giriş imkanı vermək üçün istifadə edilən bir sosial mühəndis hücumunun bir növüdür. Təcavüzkar ən əsas formalarında səlahiyyətli bir şəxsin giriş kartı və ya biometrik etimadnamələrini elektron giriş qapısını açması üçün istifadə etməsini gözləyəcəkdir.

Daha sonra qapını bağlamadan əvvəl sadəcə keçəcəklər.

Daha inkişaf etmiş versiyalar kiminsə səxavəti ilə oynamağın istifadəsini əhatə edir. Məsələn, özlərini ağır əşyalarla yükləyə və giriş qapısında gözləyə bilərlər.

Səlahiyyətli bir işçi yaxınlaşdıqda, öz giriş kartlarına çata bilməyəcəklərini iddia edəcək və qapılarını onlar üçün açmalarını xahiş edəcəklər.

4. Bəhanə etmək çox inandırıcı ola bilər

Bəhanə etmək, fişinqə qarşı çıxaraq, zaman keçdikcə etibar yarataraq həssas məlumatları çıxarmağa çalışır. Təcavüzkar zamanla bir zəmin yaratmaq və qurbanın müdafiəsini dağıtmaq üçün inandırıcı, lakin tamamilə uydurma bir bəhanə yaradacaqdır.

Məsələn, bir hədəfi axtarırlar və yeni bir sistem hesabını aktivləşdirmək və ya şəxsiyyətlərini təsdiqləmək üçün müəyyən bir məlumat tələb etdiklərini iddia edirlər. Daha mürəkkəb versiyalar günlər və ya həftələr ərzində bir əlaqə quracaq və qurbanlarının İT şöbəsində həqiqi bir işçinin şəxsiyyətini ala bilər.

Bu cür taktika qurbanın etimadını qazanmaq və tələb olunan məlumatları tərəddüd etmədən yayma ehtimalını artırmaq üçün istifadə olunur.

5. Balina ovu hücumları yuxarı rəhbər heyəti hədəf alır

Balina ovu həssas məlumat yığmaq üçün daha inkişaf etmiş sosial mühəndislik texnikalarından istifadə edən daha inkişaf etmiş bir fişinq formasıdır. Təcavüzkar üçün daha yüksək iqtisadi və ticarət dəyəri olan məlumatları üzərinə götürməyə meyllidir.

"Bu fişinq kateqoriyasını başqalarından fərqləndirən, hədəf seçməsidir: özəl biznes və dövlət qurumlarının müvafiq rəhbərləri. Hədəfin tutulmaq üçün böyük bir balıq olduğunu göstərən balina ovu sözü istifadə olunur." - infosecinstitute.com.

Balina ovu hücumlarından gələn e-poçtlar qanuni orqanlar və ya digər vacib təşkilatlar tərəfindən göndərilən kritik iş e-poçtları bəhanəsini almağa meyllidir. Mesaj məzmunu daha yüksək rəhbərliyə yönəlməyə meyllidir və ümumiyyətlə şirkət miqyasında və ya digər məxfi məsələlərdə saxta məlumatlar daxil olacaqdır.

6. Baiting və Quid Pro Quo hücumları

Baiting, qurbanın marağı üzərində oynamağa çalışan başqa bir çirkin sosial mühəndislik hücumudur. Klassik bir nümunə, bir proqram yeniləməsi və ya digər ümumi proqram kimi başqa bir şey kimi gizlənmiş zərərli sənədlərdən istifadə edəcəkdir.

Həqiqi dünyaya qoyulmuş yoluxmuş USB cihazlarının istifadəsi ilə də yaymaq olar - məsələn, bir park yerindəki "itirilmiş" USB çubuq. İstifadə olunan zərərli proqram təminatı bir PC-nin təhlükəsizliyini pozacaq və təcavüzkarların həssas məlumatları əldə etmələri üçün arxa qapı təmin edəcəkdir.

Bənzər, lakin olduqca fərqli bir hücuma a deyilir Quid Pro Quo hücum. Bu hücum forması zərər çəkmiş şəxs üçün "yaxşı" bir şey etmək prosesi ilə zərərli bir proqram qurmağa çalışır.

Bu cür hücum ssenarisində, hacker məlumat və ya giriş qarşılığında bir xidmət və ya fayda təklif edir. Hackerlər bir təşkilatda İT işçilərini təqlid etməyə və sistem proqramını quraşdırmaq və ya yeniləməyə giriş əldə etmək üçün işçilərlə əlaqə qurmağa meyllidirlər.

Sosial mühəndislik hücumlarında istifadə olunan üç texnika nümunəsi hansılardır?

Yuxarıda ən çox yayılmış sosial mühəndislik kiber hücumlarının 6 növünü əhatə etmişik, digərləri də var.

  • Vishing - Əks təqdirdə səsli phishing kimi tanınan bu, əsasən telefon vasitəsilə məlumat toplamağa yönəlmiş bir sosial mühəndis hücumunun bir növüdür. Həm də təcavüzkarlar tərəfindən bir təşkilatda daha kritik şəxslərə giriş əldə etmək üçün kəşfiyyat məqsədi ilə istifadə edilə bilər.
  • Smiling - "Qurbanları müəyyən bir hərəkətə cəlb etmək üçün SMS mətn mesajlarından istifadə etmək. Fişinq kimi, zərərli bir linki vurmaq və ya məlumat yaymaq da ola bilər" Wikipedia qeyd edir.
  • Nizə fişinqi - Bu, məhdud sayda potensial qurbanlara göndərilən yüksək dərəcədə fərdi e-poçtlardan istifadə etməyə meylli bir fişinq formasıdır.

Sosial mühəndis nə edir?

Sosial mühəndislər, insan qurbanlarını fərdi və ya digər həssas məlumatları açıqlamaq və ya bu məlumatları əldə etmək üçün aldatmaq üçün bir sıra zərərli fəaliyyət göstərən insanlardır. Bu ya rəqəmsal vasitələrlə (e-poçt kimi), ya da fiziki olaraq real dünyada ola bilər.

İkincisinə istinad edərək, onlar ənənəvi olaraq "adamlar" və ya "etimad oyunçuları" adlandırılacaqlar.

Nə olursa olsun, sosial mühəndislər zərər çəkmiş şəxsləri təhlükəsizlik səhvlərinə yol vermək və ya sərbəst məlumat vermək üçün bir sıra psixoloji manipulyasiya üsullarından istifadə etməyə çalışacaqlar.

Sosial mühəndislər bir neçə əsas addımdan sonra qurbanları müəyyənləşdirməyə və onlara hücum etməyə meyllidirlər:

1. İstintaq - Potensial qurbanları tapın və bəzi məlumatları toplayın / hücum vasitələri seçin

2. Onları bağlamaq cəhdi - Daha əvvəl qeyd olunan texnikalardan istifadə etmək

3. Oyna - Zamanla daha çox məlumat toplamağa cəhd edin.

4. Çıx - Qurbanla münasibətlərini bağlayın. Həm də istifadə olunan zərərli proqram təminatlarının bütün izlərini aradan qaldırmağa çalışacaqlar və ümumiyyətlə öz nəticələrini bir nəticəyə gətirəcəklər.


Videoya baxın: The GATTWTO at 60: Achievements and Challenges (Yanvar 2022).