Предотвращение обмана
Казалось бы, часто повторяемый элемент в этих историях следующий: атакующий входит извне в компьютерную сеть компании, с помощью лиц, которые помогают ему получить основания того, что звонящий является настоящим сотрудником и имеет право на доступ. Почему я возвращаюсь к этой теме так часто? Потому что, это, несомненно, является фактором, который используют множество атакующих. Для социоинженера это простейший способ достигнуть цели. Почему атакующий должен тратить часы, пытаясь проникнуть в сеть, когда он может просто взять и позвонить?
Если вы не хотите, чтобы работники отказывали в помощи коллегам или клиентам, вам нужно вооружить их специфическими процедурами проверки в случае чьих-либо просьб о получении доступа к конфиденциальной информации. Этот путь может быть затруднительным для тех, кто нуждается в помощи, но в то же время защитит информационные ценности организации и компьютерные системы.
Процедуры безопасности компании должны быть в деталях проработаны на предмет того, какой тип механизма проверки необходимо использовать в различных обстоятельствах. Часть 17 снабдит вас полноценной методикой, здесь приведу лишь некоторые правила:
· Хороший способ проверить идентичность персоны – позвонить в компанию, от имени которой этот человек представляется. Если запрос делает злоумышленник, проверка либо позволит вам поговорить с реальным лицом, в то время, как злоумышленник ожидает на линии, либо вы попадете на голосовой ящик работника, таким образом, услышите его настоящий голос и сравните с голосом звонящего.
· Если в вашей компании используются персональные номера сотрудников для идентификации, то эти номера должны быть хорошо защищены и недоступны посторонним. То же самое относится ко всем остальным видам внутренней идентификации, такой как внутренние телефонные номера, номера ведомственных счетов, и даже адреса электронной почты.
· На корпоративных тренингах необходимо обращать внимание на определенный порядок приема незнакомых людей.
Социальный инженер всегда предпочитает реализовывать свои цели при помощи сотрудников, которые не только не опознают его, но и не заподозрят ничего подозрительного в его запросах. Это не только упрощает его работу, но и делает ее менее рискованной, что и подтверждают истории, рассказанные в этой главе.
Промышленный шпионаж долгое время был реальным вызовом бизнесу, а теперь, поскольку холодная война закончилась, стал способом заработка обычных шпионов, которые сконцентрировали свои усилия на получении секретов компаний за немалую цену. Правительства всего мира и крупные корпорации сегодня просто нанимают промышленных шпионов для получения необходимой информации. Небольшие местные компании нанимают информационных брокеров, которые готовы перейти любые границы для получения информации от конкурентов. Чаще всего информационными брокерами становятся бывшие военные шпионы или разведчики, обладающие массой необходимых знаний и опытом для проникновения в компании, особенно в те, которые не предприняли специальных шагов по обучению сотрудников для защиты своей информации.
