История социальной инженерии

В начале 70-х годов, когда существовали самые примитивные сети, и те были доступны только крупным корпорациям, зародилось понятие соц. инженерии в сфере компьютерных технологий, которая нас, собственно, и интересует.

Компьютерных сетей не было, но вот телефонные были. А где есть сети, там есть хакеры, а точнее "фрикеры".

Одной из их излюбленных забав являлось общение с операторами на тему их компетентности. Операторы, особенно новые и неопытные, начинали оправдываться при отсутствии информации по задаваемым им вопросам. Прошло немного времени и кто-то догадался, что можно не просто "позорить" техперсонал, но построить диалог по другому, надавить на другие эмоции, и заставить самих операторов рассказывать интересующую фрикера информацию. К концу 70-х эта система уже была отлажена настолько, что опытный фрикер мог узнать у оператора всё, что ему необходимо.

А потом появились и компьютерные сети… Если раньше фрикеры "ездили операторам по ушам" в стремлении узнать какую-либо часть базы данных или её клочок, то теперь появилась возможность узнать один единственный пароль, а после этого получить базу данных целиком.

ИНТЕРЕСНОЕ СЛОВЕЧКО

Фрикинг (от англ. сленгового слова "phreaking") – это несанкционированное подключение к телефонным сетям. Зачастую цель фрикера (от англ. "phreaker") проста и заключается в получении бесплатного телефонного звонка.

Термин "фрикер" также применяется и к людям, оказывающим психологическое воздействие (методы соц. инженерии) на других людей по телефону.

МЫ ВСЕ АКТЕРЫ ЭТОГО ТЕАТРА...

Кто-то из древних, или не очень, что-то говорил про маски, которые все мы носим в разных ситуациях. Это одно из основных умений соц. инеженера.

Прежде чем перейти к описанию вышеупомянутых масок поговорим о двух общих вещах.

  • Перед тем как начинать атаку на жертву, любой соц. инженер соберёт самую подробную информацию о ней. В давние времена, это достигалось ночными ковыряниями в мусорных ящиках атакуемого предприятия... Теперь есть специализированные справочники, где всё это написано. Кроме того, возможно предварительное установление виртуального контакта с жертвой, например, с помощью IM-сетей (сетей мгновенного обмена сообщениями, таких как ICQ, Jabber и многие другие). Особое внимание уделяется именам любых лиц, которые могут быть причастны к разговору, черты характера, поведение. Еще один способ – это звонок в контору будущей жертвы, и методами СИ же сбор информации, так сказать, разведка боем.
  • В любой корпорации, компании, фирме самой лакомой жертвой для соц. инженера является новичок. Однако шутки шутками, а новичок – это действительно просто зияющая дыра в защите компании, ведь он, как правило, ещё не изучил внутреннего устава конторы, связанной с защитой информации, не знает коллег в лицо (ими можно и прикинуться) и просто излучает доверчивость, отзывчивость и готовность помочь, дабы зарекомендовать себя с лучшей стороны. Поэтому высока вероятность, что соц. инженеру не зададут "лишних" вопросов и не поинтересуются его правами доступа к определенной информации.

Ну, а теперь, собственно, о "масках" – моделях поведения.

  • Пользователь. Простой трудяга, делающий свою монотонную работу, которая его вполне устраивает. Возникшая проблема вышибла его из его же монотонности, от чего он чувствует себя неуютно. Единственным желанием является скорейшее возвращение к работе, то есть решение проблемы, причинами и сутью которой он совсем не интересуется.
  • Технический работник (системный администратор, оператор и т.п.). Вы когда-нибудь слышали, как сисадмин общается с остальными работниками? Правильно, они делают это снисходительно, но вежливо (особенно с начальником, бухгалтером). В речи изобилуют специальные термины (ведь для него это не термин, а просто словарный запас) и настойчивое желание вернуться к своей банальной работе, то есть прекратить всякую деятельность. Отказ сотрудничать встречается легко, в мягкой (или не очень) форме давая понять, что проблема без него станет только серьёзнее, а также какие всё это может иметь последствия (во всех красках). И вообще, следит за всем он, но, отказавшись, оппонент берёт на себя ответственность за проблему, а значит, все шишки от высоко начальства падают уже именно на него.
  • Секретарь. Мужчина с хриплым басом подойдет на эту роль меньше всего. Секретарь, а обычно секретарша, это девушка с приятным голосом (зачастую это один из критериев отбора). Секретарь, как правило, в курсе дел, которыми занимается его шеф и контора в целом, поэтому может невзначай ронять факты (лучше достоверные, но можно и те, которые невозможно проверить). Своей задачей имеет во что бы то ни стало выполнить поручение начальства, а при отказе сотрудничать упоминает наказание со стороны всё того же начальства.
  • Начальник. Своим поведением показывает, что возникшая проблема незначительна, а значит, никаких задержек в её решении быть просто не может. Или же проблема серьёзна, тогда на всякую ерунду просто нет времени, так как контора может понести значительные убытки из-за каких-то пустяков. Начальник – человек привыкший приказывать и не привыкший слышать возражения, у него просто нет на них времени, поэтому тон жёсткий, темп разговора быстрый и чёткий.

А теперь несколько слов о том, как соц. инженер заставляет себе поверить. Мало кто заканчивал театральные училища и обладает навыками актёрского мастерства. Самый простой способ – это практика, практика и еще раз практика. Однако если практиковаться времени нет, вспомним многие истории о том, что даже актёры не просто играют, а стараются вжиться в образ персонажа. Это может сделать и соц. инженер...

Вы бы не смеялись, если бы были сисадмином и у Вас полетела база данных? Точно нет. Вот и настоящий соц. инженер, переживает те же эмоции и создаёт такое же настроение, что и реальный человек в реальной экстремальной ситуации. При таком подходе шансы на успех значительно возрастают.