আপনি যদি পারেন আমাকে বোকা বোকা: একটি সামাজিক প্রযুক্তিগত পেন্টেস্ট পরিচালনার বৈশিষ্ট্য

এই পরিস্থিতি কল্পনা করুন। ঠান্ডা অক্টোবর সকালে, রাশিয়া অঞ্চলের এক আঞ্চলিক কেন্দ্রে নকশা ইনস্টিটিউট. এইচআর বিভাগের কেউ ইনস্টিটিউটের ওয়েবসাইটের একটি খালি পৃষ্ঠায় যায়, কয়েকদিন আগে পোস্ট করা হয়েছিল, এবং সেখানে একটি বিড়ালের ছবি দেখে। সকালটা দ্রুত বিরক্তিকর হয়ে যায়...

এই নিবন্ধে, গ্রুপ-আইবি-র অডিট এবং পরামর্শক বিভাগের প্রযুক্তিগত প্রধান পাভেল সুপ্রুনুক, ব্যবহারিক নিরাপত্তা মূল্যায়ন প্রকল্পগুলিতে সামাজিক প্রযুক্তিগত আক্রমণের স্থান, তারা কী অস্বাভাবিক রূপ নিতে পারে এবং কীভাবে এই ধরনের আক্রমণ থেকে রক্ষা করা যায় সে সম্পর্কে কথা বলেছেন। লেখক স্পষ্ট করেছেন যে নিবন্ধটি একটি পর্যালোচনা প্রকৃতির, তবে, যদি কোনো দিক পাঠকদের আগ্রহী করে, গ্রুপ-আইবি বিশেষজ্ঞরা মন্তব্যে প্রশ্নের উত্তর দেবেন।

পার্ট 1. কেন এত গুরুতর?

আমাদের বিড়াল ফিরে আসা যাক. কিছু সময়ের পরে, এইচআর বিভাগ ফটোটি মুছে দেয় (এখানে এবং নীচের স্ক্রিনশটগুলি আংশিকভাবে পুনরুদ্ধার করা হয়েছে যাতে আসল নাম প্রকাশ না হয়), তবে এটি হঠকারীভাবে ফিরে আসে, এটি আবার মুছে ফেলা হয় এবং এটি আরও কয়েকবার ঘটে। এইচআর বিভাগ বুঝতে পারে যে বিড়ালের সবচেয়ে গুরুতর উদ্দেশ্য রয়েছে, সে যেতে চায় না এবং তারা একজন ওয়েব প্রোগ্রামারের সাহায্যের জন্য ডাকে - একজন ব্যক্তি যিনি সাইটটি তৈরি করেছেন এবং এটি বোঝেন এবং এখন এটি পরিচালনা করেন। প্রোগ্রামার সাইটে যায়, আবার বিরক্তিকর বিড়ালটিকে মুছে ফেলে, জানতে পারে যে এটি এইচআর বিভাগের পক্ষ থেকে পোস্ট করা হয়েছিল, তারপর অনুমান করে যে HR বিভাগের পাসওয়ার্ডটি কিছু অনলাইন গুন্ডাদের কাছে ফাঁস হয়েছে এবং এটি পরিবর্তন করে। বিড়াল আর দেখা যায় না।

আসলে কি ঘটছিল? ইনস্টিটিউটের অন্তর্ভুক্ত কোম্পানিগুলির গ্রুপের সাথে সম্পর্কিত, গ্রুপ-আইবি বিশেষজ্ঞরা রেড টিমিংয়ের কাছাকাছি একটি ফর্ম্যাটে অনুপ্রবেশ পরীক্ষা পরিচালনা করেছেন (অন্য কথায়, এটি আপনার কোম্পানির সবচেয়ে উন্নত পদ্ধতি এবং সরঞ্জামগুলি ব্যবহার করে লক্ষ্যবস্তু আক্রমণের অনুকরণ। হ্যাকার গ্রুপের অস্ত্রাগার)। আমরা রেড টিমিং সম্পর্কে বিস্তারিত কথা বলেছি এখানে. এটা জানা গুরুত্বপূর্ণ যে এই ধরনের একটি পরীক্ষা পরিচালনা করার সময়, সামাজিক প্রকৌশল সহ একটি খুব বিস্তৃত প্রাক-সম্মত আক্রমণ ব্যবহার করা যেতে পারে। এটা স্পষ্ট যে বিড়ালের বসানোটাই কি ঘটছে তার চূড়ান্ত লক্ষ্য ছিল না। এবং নিম্নলিখিত ছিল:

• ইনস্টিটিউটের ওয়েবসাইটটি ইনস্টিটিউটের নেটওয়ার্কের মধ্যে একটি সার্ভারে হোস্ট করা হয়েছিল, এবং তৃতীয় পক্ষের সার্ভারে নয়;
• এইচআর বিভাগের অ্যাকাউন্টে একটি ফাঁস পাওয়া গেছে (ইমেল লগ ফাইলটি সাইটের মূলে রয়েছে)। এই অ্যাকাউন্ট দিয়ে সাইটটি পরিচালনা করা অসম্ভব ছিল, কিন্তু কাজের পৃষ্ঠাগুলি সম্পাদনা করা সম্ভব ছিল;
• পৃষ্ঠাগুলি পরিবর্তন করে, আপনি আপনার স্ক্রিপ্টগুলি জাভাস্ক্রিপ্টে রাখতে পারেন। সাধারণত তারা পৃষ্ঠাগুলিকে ইন্টারেক্টিভ করে তোলে, কিন্তু এই পরিস্থিতিতে, একই স্ক্রিপ্টগুলি দর্শকের ব্রাউজার থেকে চুরি করতে পারে যা এইচআর বিভাগকে প্রোগ্রামার থেকে এবং প্রোগ্রামারকে একটি সাধারণ ভিজিটর থেকে আলাদা করে - সাইটে সেশন শনাক্তকারী। বিড়ালটি একটি আক্রমণের ট্রিগার এবং মনোযোগ আকর্ষণ করার জন্য একটি ছবি ছিল। এইচটিএমএল ওয়েবসাইট মার্কআপ ল্যাঙ্গুয়েজে, এটি দেখতে এইরকম ছিল: যদি আপনার ছবি লোড হয়ে থাকে, জাভাস্ক্রিপ্ট ইতিমধ্যেই কার্যকর করা হয়েছে এবং আপনার সেশন আইডি, আপনার ব্রাউজার এবং আইপি ঠিকানা সম্পর্কে ডেটা ইতিমধ্যেই চুরি হয়ে গেছে।
• একটি চুরি করা অ্যাডমিনিস্ট্রেটর সেশন আইডির সাহায্যে, সাইটে সম্পূর্ণ অ্যাক্সেস লাভ করা, পিএইচপি-তে এক্সিকিউটেবল পেজ হোস্ট করা এবং সেইজন্য সার্ভার অপারেটিং সিস্টেমে এবং তারপর স্থানীয় নেটওয়ার্কে অ্যাক্সেস লাভ করা সম্ভব হবে, যা ছিল একটি গুরুত্বপূর্ণ মধ্যবর্তী লক্ষ্য। প্রকল্প

আক্রমণটি আংশিকভাবে সফল হয়েছিল: প্রশাসকের সেশন আইডি চুরি করা হয়েছিল, কিন্তু এটি একটি আইপি ঠিকানার সাথে আবদ্ধ ছিল৷ আমরা এটির কাছাকাছি যেতে পারিনি; আমরা প্রশাসকের বিশেষাধিকারগুলিতে আমাদের সাইটের বিশেষাধিকার বাড়াতে পারিনি, তবে আমরা আমাদের মেজাজ উন্নত করেছি। চূড়ান্ত ফলাফল অবশেষে নেটওয়ার্ক পরিধির অন্য বিভাগে প্রাপ্ত করা হয়েছিল।

পর্ব 2. আমি তোমাকে লিখছি - আর কি? আমিও ফোন করি এবং আপনার অফিসে ফ্ল্যাশ ড্রাইভ ড্রপ করি।

বিড়ালের সাথে পরিস্থিতিতে যা ঘটেছে তা সামাজিক প্রকৌশলের একটি উদাহরণ, যদিও পুরোপুরি ক্লাসিক্যাল নয়। প্রকৃতপক্ষে, এই গল্পে আরও ঘটনা ছিল: একটি বিড়াল, এবং একটি ইনস্টিটিউট, এবং একটি কর্মী বিভাগ এবং একজন প্রোগ্রামার ছিল, তবে স্পষ্ট প্রশ্ন সহ ইমেলগুলিও ছিল যা অনুমিত হয় যে "প্রার্থীরা" কর্মী বিভাগে নিজেই এবং ব্যক্তিগতভাবে লিখেছিলেন সাইটের পৃষ্ঠায় যেতে তাদের প্ররোচিত করার জন্য প্রোগ্রামারকে।

চিঠির কথা বলছি। সাধারণ ইমেল, সম্ভবত সামাজিক প্রকৌশল পরিচালনার প্রধান বাহন, কয়েক দশক ধরে তার প্রাসঙ্গিকতা হারায়নি এবং কখনও কখনও সবচেয়ে অস্বাভাবিক পরিণতির দিকে নিয়ে যায়।

আমরা প্রায়ই আমাদের ইভেন্টে নিম্নলিখিত গল্প বলি, কারণ এটি খুব প্রকাশক।

সাধারণত, সামাজিক প্রকৌশল প্রকল্পগুলির ফলাফলের উপর ভিত্তি করে, আমরা পরিসংখ্যান সংকলন করি, যা আমরা জানি, একটি শুষ্ক এবং বিরক্তিকর জিনিস। তাই অনেক শতাংশ প্রাপক চিঠি থেকে সংযুক্তি খোলেন, অনেকে লিঙ্কটি অনুসরণ করেছেন, কিন্তু এই তিনজন আসলে তাদের ব্যবহারকারীর নাম এবং পাসওয়ার্ড প্রবেশ করেছেন। একটি প্রজেক্টে, আমরা 100% এর বেশি পাসওয়ার্ড পেয়েছি - অর্থাৎ, আমরা যতটা পাসওয়ার্ড পাঠিয়েছি তার চেয়ে বেশি এসেছে।

এটি এরকম হয়েছিল: একটি ফিশিং চিঠি পাঠানো হয়েছিল, অনুমিতভাবে একটি রাষ্ট্রীয় কর্পোরেশনের CISO থেকে, "জরুরিভাবে মেল পরিষেবাতে পরিবর্তনগুলি পরীক্ষা করার" দাবি সহ। চিঠিটি একটি বড় বিভাগের প্রধানের কাছে পৌঁছেছে যা প্রযুক্তিগত সহায়তা নিয়ে কাজ করেছিল। ম্যানেজার উচ্চ কর্তৃপক্ষের নির্দেশ পালনে অত্যন্ত পরিশ্রমী ছিলেন এবং সেগুলি সমস্ত অধস্তনদের কাছে পাঠিয়েছিলেন। কল সেন্টার নিজেই বেশ বড় হয়ে উঠল। সাধারণভাবে, এমন পরিস্থিতিতে যেখানে কেউ তাদের সহকর্মীদের কাছে "আকর্ষণীয়" ফিশিং ইমেলগুলি ফরোয়ার্ড করে এবং তারা ধরা পড়েও একটি মোটামুটি সাধারণ ঘটনা। আমাদের জন্য, এটি একটি চিঠি লেখার মানের উপর সেরা প্রতিক্রিয়া.

একটু পরে তারা আমাদের সম্পর্কে জানতে পেরেছে (চিঠিটি একটি আপস করা মেলবক্সে নেওয়া হয়েছিল):

আক্রমণের সাফল্য এই কারণে যে মেইলিংটি ক্লায়েন্টের মেল সিস্টেমে বেশ কয়েকটি প্রযুক্তিগত ঘাটতিকে কাজে লাগিয়েছিল। এটি এমনভাবে কনফিগার করা হয়েছিল যে সংস্থার যে কোনও প্রেরকের পক্ষে অনুমোদন ছাড়াই এমনকি ইন্টারনেট থেকেও কোনও চিঠি পাঠানো সম্ভব ছিল। অর্থাৎ, আপনি একজন CISO, বা প্রযুক্তিগত সহায়তার প্রধান, বা অন্য কেউ হওয়ার ভান করতে পারেন। তদুপরি, মেল ইন্টারফেস, "তার" ডোমেনের চিঠিগুলি পর্যবেক্ষণ করে, সাবধানতার সাথে ঠিকানা বই থেকে একটি ফটো সন্নিবেশিত করেছে, যা প্রেরকের স্বাভাবিকতা যুক্ত করেছে।

প্রকৃতপক্ষে, এই ধরনের আক্রমণ একটি বিশেষ জটিল প্রযুক্তি নয়; এটি মেল সেটিংসের একটি খুব মৌলিক ত্রুটির সফল শোষণ। এটি নিয়মিতভাবে বিশেষায়িত আইটি এবং তথ্য সুরক্ষা সংস্থানগুলির উপর পর্যালোচনা করা হয়, তবে তা সত্ত্বেও, এখনও এমন সংস্থাগুলি রয়েছে যাদের কাছে এই সমস্ত উপস্থিত রয়েছে। যেহেতু কেউই SMTP মেল প্রোটোকলের পরিষেবা শিরোনামগুলি পুঙ্খানুপুঙ্খভাবে পরীক্ষা করার জন্য ঝুঁকে পড়ে না, তাই একটি চিঠি সাধারণত মেইল ​​ইন্টারফেসে সতর্কতা আইকন ব্যবহার করে "বিপদ" এর জন্য চেক করা হয়, যা সর্বদা পুরো ছবি প্রদর্শন করে না।

মজার বিষয় হল, একটি অনুরূপ দুর্বলতা অন্য দিকেও কাজ করে: একজন আক্রমণকারী আপনার কোম্পানির পক্ষ থেকে তৃতীয় পক্ষের প্রাপককে একটি ইমেল পাঠাতে পারে। উদাহরণ স্বরূপ, তিনি আপনার পক্ষে নিয়মিত অর্থপ্রদানের জন্য একটি চালান জাল করতে পারেন, আপনার পরিবর্তে অন্যান্য বিবরণ নির্দেশ করে৷ জালিয়াতি বিরোধী এবং নগদ-আউট সমস্যাগুলি ছাড়াও, এটি সম্ভবত সোশ্যাল ইঞ্জিনিয়ারিংয়ের মাধ্যমে অর্থ চুরি করার অন্যতম সহজ উপায়।

ফিশিংয়ের মাধ্যমে পাসওয়ার্ড চুরি করার পাশাপাশি, একটি ক্লাসিক আর্থ-প্রযুক্তিগত আক্রমণ এক্সিকিউটেবল অ্যাটাচমেন্ট পাঠাচ্ছে। যদি এই বিনিয়োগগুলি সমস্ত সুরক্ষা ব্যবস্থাকে অতিক্রম করে, যার মধ্যে আধুনিক সংস্থাগুলির সাধারণত অনেকগুলি থাকে, তবে শিকারের কম্পিউটারে একটি দূরবর্তী অ্যাক্সেস চ্যানেল তৈরি করা হবে। আক্রমণের পরিণতি প্রদর্শনের জন্য, বিশেষ করে গুরুত্বপূর্ণ গোপনীয় তথ্য অ্যাক্সেস করার জন্য ফলাফল রিমোট কন্ট্রোল তৈরি করা যেতে পারে। এটা লক্ষণীয় যে মিডিয়া যে আক্রমণগুলিকে সকলকে ভয় দেখানোর জন্য ব্যবহার করে তার বেশিরভাগই ঠিক এভাবেই শুরু হয়।

আমাদের অডিট বিভাগে, মজা করার জন্য, আমরা আনুমানিক পরিসংখ্যান গণনা করি: যে কোম্পানিগুলিতে আমরা ডোমেন অ্যাডমিনিস্ট্রেটর অ্যাক্সেস পেয়েছি, প্রধানত ফিশিং এবং এক্সিকিউটেবল অ্যাটাচমেন্ট পাঠানোর মাধ্যমে তাদের সম্পদের মোট মূল্য কত? এই বছর এটি প্রায় 150 বিলিয়ন ইউরো পৌঁছেছে।

এটা স্পষ্ট যে উস্কানিমূলক ইমেল পাঠানো এবং ওয়েবসাইটে বিড়ালের ছবি পোস্ট করা সামাজিক প্রকৌশলের একমাত্র পদ্ধতি নয়। এই উদাহরণগুলিতে আমরা বিভিন্ন ধরণের আক্রমণের ধরন এবং তাদের পরিণতি দেখানোর চেষ্টা করেছি। চিঠিগুলি ছাড়াও, একজন সম্ভাব্য আক্রমণকারী প্রয়োজনীয় তথ্য পেতে কল করতে পারে, টার্গেট কোম্পানির অফিসে এক্সিকিউটেবল ফাইল সহ স্ক্যাটার মিডিয়া (উদাহরণস্বরূপ, ফ্ল্যাশ ড্রাইভ), ইন্টার্ন হিসাবে চাকরি পেতে, স্থানীয় নেটওয়ার্কে শারীরিক অ্যাক্সেস লাভ করতে পারে। একটি সিসিটিভি ক্যামেরা ইনস্টলারের ছদ্মবেশে। এই সব, উপায় দ্বারা, আমাদের সফলভাবে সম্পন্ন প্রকল্প থেকে উদাহরণ.

পর্ব 3। শিক্ষা হল আলো, কিন্তু অশিক্ষিত হল অন্ধকার

একটি যুক্তিসঙ্গত প্রশ্ন উঠেছে: ভাল, ঠিক আছে, সামাজিক প্রকৌশল আছে, এটি বিপজ্জনক দেখায়, কিন্তু এই সব সম্পর্কে কোম্পানির কি করা উচিত? ক্যাপ্টেন স্পষ্ট উদ্ধার আসে: আপনি নিজেকে রক্ষা করতে হবে, এবং একটি ব্যাপক পদ্ধতিতে. সুরক্ষার কিছু অংশ ইতিমধ্যে ক্লাসিক সুরক্ষা ব্যবস্থার লক্ষ্যে থাকবে, যেমন তথ্য সুরক্ষার প্রযুক্তিগত উপায়, পর্যবেক্ষণ, প্রক্রিয়াগুলির সাংগঠনিক এবং আইনি সহায়তা, তবে মূল অংশটি, আমাদের মতে, কর্মীদের সাথে সরাসরি কাজ করার নির্দেশ দেওয়া উচিত। দুর্বলতম লিঙ্ক. সর্বোপরি, আপনি যতই প্রযুক্তিকে শক্তিশালী করুন বা কঠোর প্রবিধান লিখুন না কেন, সর্বদা এমন একজন ব্যবহারকারী থাকবেন যিনি সবকিছু ভাঙার একটি নতুন উপায় আবিষ্কার করবেন। অধিকন্তু, প্রবিধান বা প্রযুক্তি উভয়ই ব্যবহারকারীর সৃজনশীলতার ফ্লাইটের সাথে তাল মিলিয়ে চলবে না, বিশেষ করে যদি তাকে একজন যোগ্য আক্রমণকারী দ্বারা প্ররোচিত করা হয়।

প্রথমত, ব্যবহারকারীকে প্রশিক্ষণ দেওয়া গুরুত্বপূর্ণ: ব্যাখ্যা করুন যে এমনকি তার রুটিন কাজের মধ্যেও, সামাজিক প্রকৌশল সম্পর্কিত পরিস্থিতি দেখা দিতে পারে। আমাদের ক্লায়েন্টদের জন্য আমরা প্রায়ই পরিচালনা করি পাঠ্যধারাগুলি ডিজিটাল হাইজিনের উপর - এমন একটি ইভেন্ট যা সাধারণভাবে আক্রমণ মোকাবেলার মৌলিক দক্ষতা শেখায়।

আমি যোগ করতে পারি যে সর্বোত্তম সুরক্ষা ব্যবস্থাগুলির মধ্যে একটি হল তথ্য সুরক্ষা নিয়মগুলি মুখস্ত করা নয়, তবে পরিস্থিতিটিকে কিছুটা বিচ্ছিন্নভাবে মূল্যায়ন করা:

1. আমার কথোপকথন কে?
2. তার প্রস্তাব বা অনুরোধ কোথা থেকে এসেছে (এটি আগে কখনও ঘটেনি, এবং এখন এটি উপস্থিত হয়েছে)?
3. এই অনুরোধ সম্পর্কে অস্বাভাবিক কি?

এমনকি একটি অস্বাভাবিক ধরনের অক্ষর হরফ বা বক্তৃতার একটি শৈলী যা প্রেরকের পক্ষে অস্বাভাবিক তা সন্দেহের একটি শৃঙ্খল তৈরি করতে পারে যা আক্রমণ বন্ধ করবে। নির্ধারিত নির্দেশাবলীও প্রয়োজন, কিন্তু তারা ভিন্নভাবে কাজ করে এবং সমস্ত সম্ভাব্য পরিস্থিতি নির্দিষ্ট করতে পারে না। উদাহরণস্বরূপ, তথ্য সুরক্ষা প্রশাসকরা তাদের মধ্যে লিখেন যে আপনি তৃতীয় পক্ষের সংস্থানগুলিতে আপনার পাসওয়ার্ড লিখতে পারবেন না। যদি "আপনার", "কর্পোরেট" নেটওয়ার্ক রিসোর্স একটি পাসওয়ার্ড চায়? ব্যবহারকারী মনে করেন: "আমাদের কোম্পানির ইতিমধ্যে একটি একক অ্যাকাউন্টের সাথে দুই ডজন পরিষেবা রয়েছে, কেন অন্য একটি নেই?" এটি অন্য নিয়মের দিকে নিয়ে যায়: একটি সুগঠিত কাজের প্রক্রিয়া সরাসরি নিরাপত্তাকে প্রভাবিত করে: যদি একটি প্রতিবেশী বিভাগ শুধুমাত্র লিখিতভাবে এবং শুধুমাত্র আপনার ম্যানেজারের মাধ্যমে আপনার কাছ থেকে তথ্যের জন্য অনুরোধ করতে পারে, তাহলে একজন ব্যক্তি "কোম্পানীর বিশ্বস্ত অংশীদার থেকে" অবশ্যই হবে না। এটি ফোনে অনুরোধ করতে সক্ষম - এটি আপনার জন্য এটি বাজে কথা হবে। আপনার বিশেষভাবে সতর্ক হওয়া উচিত যদি আপনার কথোপকথক এখনই সবকিছু করার দাবি করে, বা "শীঘ্রই" লেখার ফ্যাশনেবল। এমনকি স্বাভাবিক কাজের ক্ষেত্রেও, এই পরিস্থিতি প্রায়শই স্বাস্থ্যকর নয় এবং সম্ভাব্য আক্রমণের মুখে এটি একটি শক্তিশালী ট্রিগার। ব্যাখ্যা করার সময় নেই, আমার ফাইল চালান!

আমরা লক্ষ্য করি যে ব্যবহারকারীরা সর্বদা কিংবদন্তি হিসাবে অর্থের সাথে সম্পর্কিত বিষয়গুলির দ্বারা একটি বা অন্য আকারে আর্থ-প্রযুক্তিগত আক্রমণের জন্য কিংবদন্তি হিসাবে লক্ষ্যবস্তু হয়: প্রচার, পছন্দ, উপহার, সেইসাথে স্থানীয় গসিপ এবং ষড়যন্ত্রের সাথে তথ্যের প্রতিশ্রুতি। অন্য কথায়, সাধারণ "মারাত্মক পাপ" কাজ করছে: লাভের তৃষ্ণা, লোভ এবং অত্যধিক কৌতূহল।

ভাল প্রশিক্ষণ সবসময় অনুশীলন অন্তর্ভুক্ত করা উচিত. এখানেই পেনিট্রেশন টেস্টিং বিশেষজ্ঞরা উদ্ধারে আসতে পারেন। পরবর্তী প্রশ্ন হল: আমরা কি এবং কিভাবে পরীক্ষা করব? গ্রুপ-আইবি-তে আমরা নিম্নলিখিত পদ্ধতির প্রস্তাব করছি: অবিলম্বে পরীক্ষার ফোকাস নির্বাচন করুন: হয় শুধুমাত্র ব্যবহারকারীদের আক্রমণের জন্য প্রস্তুতির মূল্যায়ন করুন, অথবা সামগ্রিকভাবে কোম্পানির নিরাপত্তা পরীক্ষা করুন। এবং সামাজিক প্রকৌশল পদ্ধতি ব্যবহার করে পরীক্ষা করুন, বাস্তব আক্রমণের অনুকরণ - অর্থাৎ, একই ফিশিং, এক্সিকিউটেবল ডকুমেন্ট পাঠানো, কল এবং অন্যান্য কৌশল।

প্রথম ক্ষেত্রে, আক্রমণটি গ্রাহকের প্রতিনিধিদের সাথে, প্রধানত এর আইটি এবং তথ্য সুরক্ষা বিশেষজ্ঞদের সাথে একসাথে প্রস্তুত করা হয়। কিংবদন্তি, সরঞ্জাম এবং আক্রমণ কৌশল সামঞ্জস্যপূর্ণ। গ্রাহক নিজেই আক্রমণের জন্য ফোকাস গ্রুপ এবং ব্যবহারকারীদের তালিকা সরবরাহ করে, যার মধ্যে সমস্ত প্রয়োজনীয় পরিচিতি রয়েছে। নিরাপত্তা ব্যবস্থায় ব্যতিক্রমগুলি তৈরি করা হয়, যেহেতু বার্তা এবং এক্সিকিউটেবল লোডগুলি অবশ্যই প্রাপকের কাছে পৌঁছাতে হবে, কারণ এই জাতীয় প্রকল্পে শুধুমাত্র মানুষের প্রতিক্রিয়াই আগ্রহের বিষয়। ঐচ্ছিকভাবে, আপনি আক্রমণে মার্কারগুলিকে অন্তর্ভুক্ত করতে পারেন, যার দ্বারা ব্যবহারকারী অনুমান করতে পারে যে এটি একটি আক্রমণ - উদাহরণস্বরূপ, আপনি বার্তাগুলিতে কয়েকটি বানান ত্রুটি করতে পারেন বা কর্পোরেট শৈলী অনুলিপি করার ক্ষেত্রে ভুল রাখতে পারেন৷ প্রকল্পের শেষে, একই "শুষ্ক পরিসংখ্যান" প্রাপ্ত হয়: কোন ফোকাস গোষ্ঠীগুলি পরিস্থিতিগুলির প্রতিক্রিয়া জানায় এবং কতটা পর্যন্ত।

দ্বিতীয় ক্ষেত্রে, "ব্ল্যাক বক্স" পদ্ধতি ব্যবহার করে শূন্য প্রাথমিক জ্ঞানের সাথে আক্রমণ করা হয়। আমরা স্বাধীনভাবে কোম্পানি, এর কর্মচারী, নেটওয়ার্ক পরিধি সম্পর্কে তথ্য সংগ্রহ করি, আক্রমণের কিংবদন্তি তৈরি করি, পদ্ধতি নির্বাচন করি, টার্গেট কোম্পানিতে ব্যবহৃত সম্ভাব্য নিরাপত্তা ব্যবস্থার সন্ধান করি, সরঞ্জামগুলিকে মানিয়ে নেওয়া এবং পরিস্থিতি তৈরি করি। আমাদের বিশেষজ্ঞরা ক্লাসিক ওপেন সোর্স ইন্টেলিজেন্স (OSINT) পদ্ধতি এবং Group-IB-এর নিজস্ব পণ্য উভয়ই ব্যবহার করেন - থ্রেট ইন্টেলিজেন্স, এমন একটি সিস্টেম যা ফিশিংয়ের জন্য প্রস্তুত করার সময়, শ্রেণীবদ্ধ তথ্য সহ একটি দীর্ঘ সময়ের জন্য একটি কোম্পানি সম্পর্কে তথ্যের সমষ্টি হিসাবে কাজ করতে পারে। অবশ্যই, যাতে আক্রমণটি একটি অপ্রীতিকর আশ্চর্য হয়ে না যায়, এর বিবরণ গ্রাহকের সাথেও একমত হয়। এটি একটি পূর্ণাঙ্গ অনুপ্রবেশ পরীক্ষা হতে দেখা যাচ্ছে, তবে এটি উন্নত সামাজিক প্রকৌশলের উপর ভিত্তি করে হবে। এই ক্ষেত্রে যৌক্তিক বিকল্প হল নেটওয়ার্কের মধ্যে একটি আক্রমণ বিকাশ করা, অভ্যন্তরীণ সিস্টেমে সর্বোচ্চ অধিকার প্রাপ্ত করা। যাইহোক, একইভাবে আমরা আর্থ-প্রযুক্তিগত আক্রমণ ব্যবহার করি রেড টিমিং, এবং কিছু অনুপ্রবেশ পরীক্ষায়। ফলস্বরূপ, গ্রাহক একটি নির্দিষ্ট ধরণের আর্থ-প্রযুক্তিগত আক্রমণের বিরুদ্ধে তাদের নিরাপত্তার একটি স্বাধীন ব্যাপক দৃষ্টিভঙ্গি পাবেন, সেইসাথে বহিরাগত হুমকির বিরুদ্ধে নির্মিত প্রতিরক্ষা লাইনের কার্যকারিতা (বা বিপরীতভাবে, অকার্যকরতা) প্রদর্শন করবে।

আমরা বছরে অন্তত দুবার এই প্রশিক্ষণটি পরিচালনা করার পরামর্শ দিই। প্রথমত, যে কোনও কোম্পানিতে কর্মীদের টার্নওভার থাকে এবং আগের অভিজ্ঞতা ধীরে ধীরে কর্মচারীরা ভুলে যায়। দ্বিতীয়ত, আক্রমণের পদ্ধতি এবং কৌশল ক্রমাগত পরিবর্তিত হচ্ছে এবং এর ফলে নিরাপত্তা প্রক্রিয়া এবং সুরক্ষা সরঞ্জামগুলিকে খাপ খাইয়ে নেওয়া প্রয়োজন।

যদি আমরা আক্রমণ থেকে রক্ষা করার জন্য প্রযুক্তিগত ব্যবস্থা সম্পর্কে কথা বলি, তাহলে নিম্নলিখিতগুলি সবচেয়ে বেশি সাহায্য করে:

• ইন্টারনেটে প্রকাশিত পরিষেবাগুলিতে বাধ্যতামূলক দ্বি-ফ্যাক্টর প্রমাণীকরণের উপস্থিতি। 2019 সালে সিঙ্গেল সাইন অন সিস্টেম ছাড়া, পাসওয়ার্ড ব্রুট ফোর্স থেকে সুরক্ষা ছাড়া এবং কয়েকশ লোকের একটি কোম্পানিতে দ্বি-ফ্যাক্টর প্রমাণীকরণ ছাড়াই এই ধরনের পরিষেবাগুলি প্রকাশ করা "আমাকে ব্রেক করার" একটি খোলা কলের সমতুল্য। সঠিকভাবে প্রয়োগ করা সুরক্ষা চুরি করা পাসওয়ার্ডগুলির দ্রুত ব্যবহারকে অসম্ভব করে তুলবে এবং ফিশিং আক্রমণের পরিণতিগুলি দূর করতে সময় দেবে৷
• অ্যাক্সেস নিয়ন্ত্রণ নিয়ন্ত্রণ করা, সিস্টেমে ব্যবহারকারীর অধিকার হ্রাস করা এবং প্রতিটি প্রধান নির্মাতার দ্বারা প্রকাশিত নিরাপদ পণ্য কনফিগারেশনের জন্য নির্দেশিকা অনুসরণ করা। এগুলি প্রায়শই প্রকৃতিতে সহজ, তবে খুব কার্যকর এবং পদক্ষেপগুলি বাস্তবায়ন করা কঠিন, যা প্রত্যেকে, এক বা অন্যভাবে, গতির জন্য অবহেলা করে। এবং কিছু এত প্রয়োজনীয় যে তাদের ছাড়া সুরক্ষার কোনও উপায় সংরক্ষণ করবে না।
• ভালভাবে নির্মিত ইমেল ফিল্টারিং লাইন। অ্যান্টিস্প্যাম, দূষিত কোডের জন্য সংযুক্তিগুলির সম্পূর্ণ স্ক্যানিং, স্যান্ডবক্সের মাধ্যমে গতিশীল পরীক্ষা সহ। একটি ভাল-প্রস্তুত আক্রমণের অর্থ হল অ্যান্টিভাইরাস সরঞ্জাম দ্বারা এক্সিকিউটেবল সংযুক্তি সনাক্ত করা যাবে না। স্যান্ডবক্স, বিপরীতভাবে, নিজের জন্য সবকিছু পরীক্ষা করবে, ফাইলগুলিকে একইভাবে ব্যবহার করে যেমন একজন ব্যক্তি তাদের ব্যবহার করে। ফলস্বরূপ, একটি সম্ভাব্য দূষিত উপাদান স্যান্ডবক্সের ভিতরে করা পরিবর্তন দ্বারা প্রকাশ করা হবে।
• লক্ষ্যবস্তু আক্রমণের বিরুদ্ধে সুরক্ষার উপায়। যেমন ইতিমধ্যে উল্লেখ করা হয়েছে, ক্লাসিক অ্যান্টিভাইরাস সরঞ্জামগুলি ভালভাবে প্রস্তুত আক্রমণের ক্ষেত্রে দূষিত ফাইলগুলি সনাক্ত করবে না। সর্বাধিক উন্নত পণ্যগুলিকে স্বয়ংক্রিয়ভাবে নেটওয়ার্কে ঘটতে থাকা ইভেন্টগুলির সম্পূর্ণতা নিরীক্ষণ করা উচিত - উভয়ই একটি পৃথক হোস্টের স্তরে এবং নেটওয়ার্কের মধ্যে ট্র্যাফিকের স্তরে। আক্রমণের ক্ষেত্রে, ইভেন্টগুলির খুব বৈশিষ্ট্যযুক্ত চেইনগুলি উপস্থিত হয় যা ট্র্যাক করা এবং বন্ধ করা যেতে পারে যদি আপনি এই ধরণের ইভেন্টগুলির উপর নজরদারি করেন।

মূল নিবন্ধ প্রকাশিত "তথ্য নিরাপত্তা/তথ্য নিরাপত্তা" #6, 2019 ম্যাগাজিনে।

উত্স: www.habr.com