Словарь, как средство атаки
Когда кто-то узнает пароль для доступа в ваш компьютер, он получает возможность проникнуть в вашу систему. В большинстве случаев вы даже не узнаете, что это произошло.
Один юный хакер, назовем его Иван Петерс, хотел получить исходные коды новой электронной игры. Он без проблем попал в сеть компании, поскольку его приятель взломал один из ее Web-серверов. Обнаружив незакрытую брешь в ПО Web-сервера, этот приятель едва не упал со стула, осознав, что система дает ему доступ и во внутреннюю сеть.
Однако, после того, как Иван вошел в сеть, он столкнулся с проблемой туриста, вошедшего в Лувр в надежде самостоятельно отыскать Мону Лизу. Без путеводителя этим можно заниматься не одну неделю. Компания, в сеть которой он попал, состояла из сотен офисов и тысяч серверов, и, естественно, никаких путеводителей по этим хитросплетениям не было.
Вместо того чтобы искать нужный сервер какими-нибудь техническими или программными средствами, Иван использовал средства социальной инженерии. Он сделал несколько звонков, пользуясь методами, описанными в этой книге. Прежде всего, он позвонил в службу технической поддержки, представился сотрудником компании, который продвигает один из продуктов и попросил телефонный номер руководителя группы разработки игр.
Позвонив по указанному номеру, он представился уже сотрудником ИТ-департамента. «Сегодня поздно вечером, – сказал он, – мы должны будем отключить маршрутизатор и должны убедиться, что ваша группа не потеряет связи с вашими серверами. Поэтому нам надо знать, какими серверами пользуется ваша группа». Сеть в этой компании модернизировалась практически постоянно. Дать имя сервера – разве это может кому-нибудь или чему-нибудь повредить? Поскольку сеть защищена паролями, знание имени сервера никому не может помочь проникнуть в него. Так атакующий узнал название сервера. А тот, кто сказал его, даже и не подумал перезвонить и проверить правильность рассказанной истории или просто записать имя и телефон звонящего. Он просто назвал имя серверов – АТМ5 и АТМ6.
