Социальная инженерия как основной элемент уязвимости в безопасности

Приветствую, дорогие друзья, знакомые, посетители и прочие личности.

Я давно и плотно занимаюсь антивирусной безопасностью и вообще защитой от угроз в области взломов и защиты корпоративных/частных данных. В свое время сталкивался со всяким, даже проводил иногда проверки в ряде компаний, консультировал админов и.. В общем, разное бывало, да.

И вот сложилось у меня одна такая простая статистика и, так сказать, "картина мира", которой я хочу поделиться с Вами. Думаю, что сие будет полезно не только простому пользователю, но и профессионалам в области IT самых разных уровней знаний и навыков.

Начну не столько издалека, сколько с основ.
Поехали.

Основные уязвимости в области безопасности данных

Давайте посмотрим на основные дыры в области безопасности данных, а именно как и откуда можно получить доступ или временно подорвать рабочий процесс. Я квалифицирую оные типы по ряду критериев, а точнее, как уже сказано, по классам "что" и "откуда".

Сразу хочу сказать, что существенно и намеренно искажаю стандартные подходы классификации в области компьютерной безопасности, т.е здесь сугубо мои мыслительные выкладки, сознательно меняющие базовый и общепринятый подход к этой теме. Я могу выдернуть что-нибудь этакое из класса вирусов и запихать в свою отдельную категорию или назвать кейген, скажем, трояном и засунуть всё это в раздел вирусов. В общем, если что, холиварщиков и википедейщиков (как-то ругательно получилось даже), я предупредил, ибо, да, здесь оно не так как в книжках и как Вы привыкли думать.

Давайте начнем с категории "что":

• Вирусы
  В эту категорию я отношу всевозможные классы блокировщиков элементов управления, червей (скажем, рассылающих спам с Вашего компьютера, забивающих трафик и/или процессорные/прочие ресурсы), эксплойты для удаленного доступа на зараженный компьютер, а так же всякие остальные ужасы, вроде sms-вымогателей, "убивателей" диспетчера задач/реестра и тп. В общем, глобально, всё, так или иначе блокирует работу системы, программ или часть их функций любым доступным способом, делая работу пользователя существенно затрудненной или невозможной. Сюда же относится всё, что может навредить различным типам файлов.
• Malware
  Сюда я отношу всю шушеру, предназначенную для получения несанкционированного доступа к информации или воровства этой самой информации, тобишь всякие трояны, кейлоггеры и все такое прочее. Да, кое-что отсюда стоило бы отнести в вирусы и наоборот, но есть у меня ряд соображений, по которым я это делать не хочу.
• Spyware
  Вредоносное программное обеспечение (тобишь не только вирусы, а еще и сам софт), которое как-либо мешает работе, изменяет (не блокирует, а именно изменяет) интерфейс, вешает ненужные надстройки над браузером или чем-то еще, сканеры портов, блокировщики работы антивирусов и тд. Как правило сюда мною относятся всякие тулбары для браузеров, всплывающая реклама на каждой странице (даже если её там изначально нет) и прочая шушера. Глобально почти безобидно, но мешает порой до неприличия.
• Прочее
  Всё остальное, что не попало в вышеуказанные пункты. Программы-шутки, мелкие пакости, эксплойты и всё такое разное.

Теперь давайте пройдемся по классу "откуда":

• Внешние носители
  Диск, флешка, дискета или что-либо еще.
• Интернет
  Сайты, а точнее их посещение, а именно, всё, что просачивается через браузер, используя скрипты, уязвимости браузера, уязвимости системы, а так же скаченные вручную программы вирусы с этих самых сайтов
  
• Почта
  А именно всё, что приходит в неё, как уже в зараженном виде, так и в комплекте с зараженными файлами и замечательным софтом очередным букетом вирусов в виде .exe и прочих файлов
• Социальные сети
  Можно было бы отнести в пункт про сайты и интернет, но я выделяю это как отдельный подвид, ибо это прямо какой-то замечательный заповедник по распространению всякой заразы.
• Локальная сеть
  Собственно, как корпоративная, так и домашняя, локальные сети служат хорошим источником вирусов
• Прочее
  Всё, что не вошло в вышеуказанные пункты.

В двух словах как-то так. А теперь перейдем к сути.

Пользователь как основной элемент уязвимости в безопасности. Социальная инженерия

Как Вы думаете, что именно общего у всех элементов класса "откуда"? Всё очень просто, - так называемая, "точка входа", т.е та самая, с которой начинается любое заражение вирусом, spyware, malware или чем-то еще. И это, как многие могли бы подумать, глядя на список выше, вовсе не интернет, ни внешние носители или что-либо еще, ибо первоисточник всегда.. Пользователь.

Практические не бывает такого, чтобы вирус загрузился сам по себе или пароль от аккаунта кто-то незаметно украл, - это нонсенс. В 90% случаев пользователь сам скачивает сомнительный .exe, .zip, .jpg файл из почты или переходит по ссылке с текстовкой: "бесплатный накрутчик рейтинга вконтакте", "посмотри мои фоточки в архиве", "перейди и заработай 100$", "это администрация, перейдите по ссылке и укажите пароль повторно", "для подтверждения Вашей личности отправьте смс на номер" и всё такое прочее. Что уж говорить, если кнопка "Эту ссылку не нажимать"..

..насчитывает сотни кликов в неделю. В чём же причина? Всё просто.

Одними из ключевых факторов подобных бед являются неуёмное любопытство, жажда халявы и полное нежелание думать, а значит, тем самым, банально защищать себя от возможных проблем с потерей данных и аккаунтов, не говоря уже о вирусах и прочих ужасах жизни. В следствии сего, люди часто попадаются на простейшие уловки взломщиков лохотронщиков, представляющихся друзьями/тех.поддержкой/администрацией и кем угодно вообще.

Из вышесказанного вытекает, что самый эффективный способ, скажем, взлома аккаунтов - это социальная инженерия. Под оной понимается метод несанкционированного доступа к информации или системам хранения информации без использования технических средств, т.е без необходимости использовать какие-то эксплойты, sql-инъекции, воровство cookies или даже использование вирусов - всё куда проще. Метод основан на использовании слабостей человеческого фактора и считается очень разрушительным, ибо достаточно, скажем, попросту в меру хитро составить письмо и, используя банальный человеческий фактор, получить необходимые сведения, будь то пароль или что-то еще. Ведь, несмотря на то, что информационная безопасность бесконечно совершенствуется, данные и объекты, представляющие интерес для взлома, защищают, прежде всего, люди. Обычные люди со своими страхами, предрассудками, комплексами и слабыми местами, на которых можно легко сыграть и выиграть. Многие специалисты не без основания считают, что в ближайшем будущем социальная инженерия станет представлять наибольшую угрозу, так как технические средства все больше и больше совершенствуются, а люди так и остаются людьми.

Классический пример, когда пользователю приходит письмо, скажем, от администрации yandex.ru, в котором написано, что, мол, мы переходим на новое оборудование и Ваш ящик переносится на другой сервер, а поэтому вы должны подтвердить данные о себе, в том числе указать логин-пароль. Далее пользователь заполняет форму, нажимает кнопку отправить и данные уходят на другой сервер, где и сохраняются, пользователя же перенаправляют обратно в его ящик, что как бы указывает ему, что всё хорошо. Единственная проблема здесь, чтобы пользователь поверил в правдивость письма, для чего обычно подделывается ящик отправителя [email protected], плюс используются стандартные формулировки в тексте, вроде "Спасибо за понимание", "Благодарим за сотрудничество" и тд и тп. Впрочем, частенько люди ведутся и на совершенно безграмотные и неправдоподобные текстовки.

Здравствуйте!

Вас беспокоит администрация Я.ру! На вас пришла жалоба 30.01.12 в 00.12 по МСК о запрещённой рассылке сообщений в виде спама. Пройдите по приведённой ссылке и действуйте как там указанно, во избежание блокировки!

Ссылка: ******.ru/yandex.html

С уважением, администрация
www.yandex.ru
[email protected]

Естественно, что по ссылке открывается совершенно левый сайт, но полностью имитирующий Яндекс до самых мелочей. И это только один из самых безобидных примеров.

К слову, в фирмах, сие чудо довольно известно, а посему частый случай, когда злоумышленник получает информацию, например, путем сбора информации о служащих объекта атаки, а именно с помощью обычного телефонного звонка или путем проникновения в организацию под видом ее служащего. Оный может позвонить работнику компании (под видом службы поддержки) и выведать пароль, сославшись на необходимость решения небольшой проблемы в компьютерной системе. Естественно, что почти любой наивный человек всё сразу выдает как есть. Так сказать, та же самая инженерия, только вид сбоку.

Послесловие

Я думал расписать эту статью подробно и с примерами писем и всего такого прочего, а потом решил, что всё это довольно бесполезно - никакие миллионы примеров не помогут, пока пользователь не будет осторожен, не начнет думать головой и стараться обезопасить себя. Посему кратенько, в качестве выводов, скопирую текстовку, которая некогда была мною написана, а ныне живет под вышеупомянутой кнопкой "Не нажимать".

Дорогие и любимые пользователи, пожалуйста, умерьте своё любопытство и не переходите по не знакомым ссылкам, не давите в интернете\программах на неизвестные Вам кнопки и не устанавливайте странные приложения, скаченные неизвестно откуда и сделанные неизвестно кем. Поверьте, что вселенски редки случаи, что тех.поддержке\администрации какого-либо сайта нужен Ваш пароль или они просят перейти по ссылке\отправить смс\высылают какую-то программу, чтобы подтвердить Вашу подлинность или сделать активацию. Поверьте, что чудовищно, безгранично и вселенски маловероятно, что Ваша подруга\друг\кто-то чужой, вдруг, с бухты-барахты, решил прислать Вам свои обнаженные фотографии или, что Ваш и только Ваш адрес e-mail\ip выиграл в лотерее пару миллионов долларов (в которой Вы даже не участвовали) или, что кто-то случайно ошибся и выслал Вам какую-нибудь чудесную и волшебную ссылку на что-либо бесплатное и классное. И уж не менее, я бы даже сказал более, маловероятно, что найденная Вами в поисковой системе программа для взлома рейтинга в социалках (или чего-нибудь еще) действительно программа для взлома, а Вы первый и единственный кто догадался её скачать и запустить, а кругом одни дураки (в том числе и разработчики), которые платят деньги в то время как вы догадались ввести пару слов в поисковик, – как правило, никакая это не программа, а простой вирус, который Вы, собственноручно и запускаете.

Пользователи, милые моему сердцу юзеры, – поймите, что Нету, ну Нету в этом мире вселенской халявы и безграничной удачи, – а если и есть, то её уже всю разобрали, а если и не разобрали, то явно не в сфере интернета и компьютерной индустрии.

Пожалуйста, думайте головой и будьте осторожны. Только так Вы сможете защитить себя, свои данные и свой компьютер от любых напастей.