જો તમે કરી શકો તો મને જૂઠું બોલો: સોશિયલ એન્જિનિયરિંગ પેનિટ્રેશન ટેસ્ટ કરાવવાની ખાસિયતો

કલ્પના કરો: રશિયાના એક પ્રદેશના પ્રાદેશિક કેન્દ્રમાં આવેલી ડિઝાઇન સંસ્થામાં ઓક્ટોબરની ઠંડી સવાર. HR વિભાગમાંથી કોઈ વ્યક્તિ સંસ્થાની વેબસાઇટ પર નોકરીની જગ્યાઓની મુલાકાત લે છે, જે તેણે થોડા દિવસ પહેલા પોસ્ટ કરી હતી, અને એક બિલાડીનો ફોટો જુએ છે. સવાર ઝડપથી ઓછી કંટાળાજનક બની જાય છે...

આ લેખમાં, ગ્રુપ-આઈબીના ઓડિટ અને કન્સલ્ટિંગ વિભાગના ટેકનિકલ ડિરેક્ટર, પાવેલ સુપ્રુન્યુક, વ્યવહારિક સુરક્ષા મૂલ્યાંકન પ્રોજેક્ટ્સમાં સોશિયલ એન્જિનિયરિંગ હુમલાઓની ભૂમિકા, તેઓ કયા અસામાન્ય સ્વરૂપો લઈ શકે છે અને તેમની સામે કેવી રીતે રક્ષણ મેળવવું તે અંગે ચર્ચા કરે છે. લેખક સ્પષ્ટતા કરે છે કે આ લેખ એક ઝાંખી છે, પરંતુ જો કોઈ પાસું વાચકોને રસ હોય, તો ગ્રુપ-આઈબી નિષ્ણાતો ટિપ્પણીઓમાં પ્રશ્નોના જવાબ આપવા માટે ખુશ છે.

ભાગ ૧. આટલું ગંભીર કેમ?

ચાલો આપણી બિલાડી પર પાછા આવીએ. થોડા સમય પછી, HR વિભાગ ફોટો ડિલીટ કરે છે (અહીં અને નીચે સ્ક્રીનશોટ વાસ્તવિક નામોને સુરક્ષિત રાખવા માટે આંશિક રીતે રિટચ કરવામાં આવ્યા છે), પરંતુ તે જીદથી પાછો ફરે છે, ફરીથી ડિલીટ કરવામાં આવે છે, અને આવું ઘણી વખત થાય છે. HR ને ખ્યાલ આવે છે કે બિલાડીના ઇરાદા ગંભીર છે અને તે છોડવા માંગતી નથી, તેથી તેઓ એક વેબ પ્રોગ્રામરને બોલાવે છે - તે વ્યક્તિ જેણે વેબસાઇટ બનાવી છે અને તેને સમજે છે, અને હવે તેનું સંચાલન કરે છે. પ્રોગ્રામર વેબસાઇટમાં લોગ ઇન કરે છે, હેરાન કરતી બિલાડીને ફરીથી ડિલીટ કરે છે, શોધે છે કે તે HR દ્વારા જ પોસ્ટ કરવામાં આવી હતી, પછી ધારે છે કે HR પાસવર્ડ કેટલાક ઑનલાઇન ગુંડાઓને લીક કરવામાં આવ્યો છે અને તેને બદલી નાખે છે. બિલાડી ફરી ક્યારેય દેખાતી નથી.

ખરેખર શું થયું? ગ્રુપ-આઈબીના નિષ્ણાતોએ રેડ ટીમિંગ જેવા ફોર્મેટનો ઉપયોગ કરીને સંસ્થા સહિત કંપનીઓના જૂથ પર ઘૂંસપેંઠ પરીક્ષણ હાથ ધર્યું (સરળ શબ્દોમાં કહીએ તો, આ હેકર જૂથો માટે ઉપલબ્ધ સૌથી અદ્યતન પદ્ધતિઓ અને સાધનોનો ઉપયોગ કરીને તમારી કંપની પર લક્ષિત હુમલાઓનું અનુકરણ કરે છે). અમે રેડ ટીમિંગને વિગતવાર આવરી લીધું છે. અહીંએ નોંધવું મહત્વપૂર્ણ છે કે આવા પરીક્ષણ દરમિયાન સોશિયલ એન્જિનિયરિંગ સહિત પૂર્વ-સંમત હુમલાઓની વિશાળ શ્રેણીનો ઉપયોગ કરી શકાય છે. સ્પષ્ટપણે, બિલાડીને મૂકવી એ પરીક્ષણનો અંતિમ ધ્યેય નહોતો. તેમાં નીચે મુજબનો સમાવેશ થતો હતો:

• સંસ્થાની વેબસાઇટ તૃતીય-પક્ષ સર્વરોને બદલે સંસ્થાના પોતાના નેટવર્કમાં રહેલા સર્વર પર હોસ્ટ કરવામાં આવી હતી;
• HR એકાઉન્ટ (સાઇટના રૂટમાં એક ઇમેઇલ લોગ ફાઇલ) માં લીક જોવા મળ્યું. આ એકાઉન્ટને સાઇટનું સંચાલન કરવાની મંજૂરી નહોતી, પરંતુ જોબ પોસ્ટિંગ પૃષ્ઠોને સંપાદિત કરવાનું શક્ય હતું;
• પૃષ્ઠોમાં ફેરફાર કરીને, કસ્ટમ જાવાસ્ક્રિપ્ટ સ્ક્રિપ્ટો દાખલ કરવાનું શક્ય બન્યું. જાવાસ્ક્રિપ્ટ સ્ક્રિપ્ટો સામાન્ય રીતે પૃષ્ઠોને ઇન્ટરેક્ટિવ બનાવે છે, પરંતુ આ પરિસ્થિતિમાં, આ જ સ્ક્રિપ્ટો મુલાકાતીના બ્રાઉઝરમાંથી ચોરી શકે છે જે HR વિભાગને પ્રોગ્રામરથી અને પ્રોગ્રામરને નિયમિત મુલાકાતીથી અલગ પાડે છે - સાઇટના સત્ર ID. બિલાડી એટેક ટ્રિગર હતી અને ધ્યાન આકર્ષિત કરવા માટે વપરાતી છબી હતી. HTML માં, તે આના જેવું દેખાતું હતું: જો છબી લોડ થઈ ગઈ હોય, તો JavaScript પહેલાથી જ એક્ઝિક્યુટ થઈ ગઈ હતી, અને તમારું સત્ર ID, તમારા બ્રાઉઝર અને IP સરનામાં સાથે, પહેલાથી જ ચોરાઈ ગયું હતું.
• ચોરાયેલા એડમિનિસ્ટ્રેટર સેશન આઈડી સાથે, સાઇટની સંપૂર્ણ ઍક્સેસ મેળવવાનું, PHP માં એક્ઝિક્યુટેબલ પૃષ્ઠોને હોસ્ટ કરવાનું અને આ રીતે સર્વરની ઓપરેટિંગ સિસ્ટમ અને પછી સ્થાનિક નેટવર્કમાં જ ઍક્સેસ મેળવવાનું શક્ય બનશે, જે પ્રોજેક્ટનો એક મહત્વપૂર્ણ મધ્યવર્તી ધ્યેય હતો.

હુમલો આંશિક રીતે સફળ રહ્યો - એડમિનિસ્ટ્રેટરનો સત્ર ID ચોરાઈ ગયો હતો, પરંતુ તે IP સરનામાં સાથે બંધાયેલ હતો. અમે આને બાયપાસ કરી શક્યા નહીં, અને અમે સાઇટ પરના અમારા વિશેષાધિકારોને એડમિનિસ્ટ્રેટર સ્તર સુધી વધારી શક્યા નહીં, પરંતુ અમને તેના વિશે સારી લાગણી હતી. નેટવર્ક પરિમિતિના બીજા ભાગમાં આખરે અંતિમ પરિણામ પ્રાપ્ત થયું.

ભાગ ૨. હું તમને લખી રહ્યો છું - મને બીજું શું જોઈએ? અને હું ફોન પણ કરી રહ્યો છું અને તમારી ઓફિસમાં ફરતો રહું છું, ફ્લેશ ડ્રાઇવ મૂકી રહ્યો છું.

બિલાડી સાથે જે બન્યું તે સોશિયલ એન્જિનિયરિંગનું ઉદાહરણ છે, જોકે તે ક્લાસિક નથી. હકીકતમાં, આ વાર્તામાં ઘણું બધું હતું: બિલાડી, સંસ્થા, HR વિભાગ અને પ્રોગ્રામર, પરંતુ એવા ઇમેઇલ્સ પણ હતા જેમાં સ્પષ્ટતા કરતા પ્રશ્નો હતા જે કથિત "ઉમેદવારો" દ્વારા HR વિભાગ અને પ્રોગ્રામરને વ્યક્તિગત રીતે મોકલવામાં આવ્યા હતા, જે તેમને વેબસાઇટની મુલાકાત લેવા માટે લલચાવવા માટે રચાયેલ હતા.

પત્રોની વાત કરીએ તો, નિયમિત ઇમેઇલ - કદાચ સામાજિક ઇજનેરીનું પ્રાથમિક માધ્યમ - બે દાયકાઓથી સુસંગત રહ્યું છે અને ક્યારેક તે સૌથી અસામાન્ય પરિણામો તરફ દોરી જાય છે.

અમે ઘણીવાર અમારા કાર્યક્રમોમાં નીચેની વાર્તા કહીએ છીએ કારણ કે તે ખૂબ જ ખુલાસાત્મક છે.

આપણે સામાન્ય રીતે સોશિયલ એન્જિનિયરિંગ પ્રોજેક્ટ્સમાંથી આંકડા એકત્રિત કરીએ છીએ, જે આપણે બધા જાણીએ છીએ તેમ, શુષ્ક અને કંટાળાજનક હોય છે. ઘણા ટકા પ્રાપ્તકર્તાઓએ ઇમેઇલ જોડાણ ખોલ્યું, ઘણા લોકોએ લિંક પર ક્લિક કર્યું, અને ફક્ત ત્રણ જ લોકોએ ખરેખર તેમનું વપરાશકર્તા નામ અને પાસવર્ડ દાખલ કર્યો. એક પ્રોજેક્ટમાં, અમે 100% થી વધુ પાસવર્ડ એન્ટ્રીઓ જોઈ - એટલે કે અમે મોકલેલા કરતા વધુ મોકલ્યા.

તે આ રીતે બન્યું: એક ફિશિંગ ઇમેઇલ મોકલવામાં આવ્યો હતો, જે કથિત રીતે એક રાજ્ય કોર્પોરેશનના CISO તરફથી મોકલવામાં આવ્યો હતો, જેમાં "ઇમેઇલ સેવામાં ફેરફારોનું તાત્કાલિક પરીક્ષણ" કરવાની માંગ કરવામાં આવી હતી. આ ઇમેઇલ ટેકનિકલ સપોર્ટ માટે જવાબદાર એક મોટા વિભાગના વડા સુધી પહોંચ્યો. મેનેજર વરિષ્ઠ મેનેજમેન્ટના આદેશોનું પાલન કરવામાં ખૂબ જ મહેનતુ હતા અને તેમણે ઇમેઇલને બધા ગૌણ અધિકારીઓને મોકલ્યો. કોલ સેન્ટર પોતે જ ખૂબ મોટું હોવાનું બહાર આવ્યું. સામાન્ય રીતે, એવી પરિસ્થિતિઓ જ્યાં કોઈ તેમના સાથીદારોને "રસપ્રદ" ફિશિંગ ઇમેઇલ ફોરવર્ડ કરે છે, અને તેઓ પણ પકડાઈ જાય છે, તે ખૂબ સામાન્ય છે. અમારા માટે, આ ઇમેઇલની ગુણવત્તા પર શ્રેષ્ઠ પ્રતિસાદ છે.

થોડા સમય પછી અમને ખુલાસો થયો (પત્ર એક બગડેલા મેઈલબોક્સમાં ફિલ્માવવામાં આવ્યો હતો):

આ હુમલાની સફળતા એ હકીકતને કારણે હતી કે મેઇલિંગમાં ક્લાયન્ટની ઇમેઇલ સિસ્ટમમાં ઘણી તકનીકી ખામીઓનો ઉપયોગ કરવામાં આવ્યો હતો. તે એવી રીતે ગોઠવવામાં આવ્યું હતું કે કોઈપણ ઇમેઇલ સંસ્થામાં કોઈપણ મોકલનાર તરફથી અધિકૃતતા વિના મોકલી શકાય છે, ઇન્ટરનેટ પરથી પણ. આનો અર્થ એ થયો કે કોઈ વ્યક્તિ CISO, અથવા તકનીકી સપોર્ટના વડા, અથવા અન્ય કોઈ હોવાનો ડોળ કરી શકે છે. વધુમાં, ઇમેઇલ ઇન્ટરફેસ, જ્યારે "તેના" ડોમેનમાંથી ઇમેઇલ્સ શોધે છે, ત્યારે તે વપરાશકર્તાની સરનામાં પુસ્તિકામાંથી એક ફોટો વિચારપૂર્વક દાખલ કરશે, જે મોકલનારની અધિકૃતતામાં વધારો કરશે.

હકીકતમાં, આ હુમલો ખાસ કરીને જટિલ નથી; તે ખૂબ જ મૂળભૂત ઇમેઇલ ગોઠવણી ખામીનો સફળ શોષણ છે. તેનું નિયમિતપણે વિશિષ્ટ IT અને સુરક્ષા સંસાધનો પર વિશ્લેષણ કરવામાં આવે છે, છતાં હજુ પણ એવી કંપનીઓ છે જે તેનો ઉપયોગ કરે છે. કોઈ પણ SMTP હેડરોને સંપૂર્ણ રીતે તપાસવા માટે તૈયાર ન હોવાથી, ઇમેઇલ્સ સામાન્ય રીતે ઇમેઇલ ઇન્ટરફેસના ચેતવણી ચિહ્નોના આધારે "ખતરો" માટે તપાસવામાં આવે છે, જે હંમેશા સંપૂર્ણ ચિત્ર પ્રદાન કરતા નથી.

રસપ્રદ વાત એ છે કે, આ નબળાઈ બીજી દિશામાં પણ કામ કરે છે: કોઈ હુમલાખોર તમારી કંપનીનો ઢોંગ કરીને તૃતીય-પક્ષ પ્રાપ્તકર્તાને ઇમેઇલ મોકલી શકે છે. ઉદાહરણ તરીકે, તેઓ તમારા નામથી અલગ વિગતોનો ઉપયોગ કરીને તમારા નામે રિકરિંગ પેમેન્ટ ઇન્વોઇસ બનાવી શકે છે. છેતરપિંડી વિરોધી અને કેશ-આઉટ મુદ્દાઓને ધ્યાનમાં લીધા વિના, આ કદાચ સોશિયલ એન્જિનિયરિંગનો ઉપયોગ કરીને પૈસા ચોરવાની સૌથી સરળ રીતોમાંની એક છે.

ફિશિંગ દ્વારા પાસવર્ડ ચોરી કરવા ઉપરાંત, એક ક્લાસિક સોશિયલ એન્જિનિયરિંગ હુમલો એક્ઝિક્યુટેબલ એટેચમેન્ટ્સ મોકલવાનો છે. જો આ એટેચમેન્ટ્સ તમામ સુરક્ષા પગલાંને પાર કરે છે, જેમાંથી આધુનિક કંપનીઓ સામાન્ય રીતે અસંખ્ય હોય છે, તો તેઓ પીડિતના કમ્પ્યુટર પર રિમોટ એક્સેસ ચેનલ સ્થાપિત કરે છે. હુમલાના પરિણામો દર્શાવવા માટે, આ રિમોટ કંટ્રોલને અત્યંત સંવેદનશીલ ગોપનીય માહિતીને ઍક્સેસ કરવા માટે વધારી શકાય છે. નોંધનીય છે કે મીડિયા જે હુમલાઓથી દરેકને ડરાવે છે તેમાંથી મોટાભાગના આ રીતે શરૂ થાય છે.

અમારા ઓડિટ વિભાગમાં, અમે મનોરંજન માટે કેટલાક રફ આંકડાઓ બનાવી રહ્યા છીએ: જે કંપનીઓમાં અમે ડોમેન એડમિનિસ્ટ્રેટર-સ્તરની ઍક્સેસ મેળવી છે, મુખ્યત્વે ફિશિંગ અને એક્ઝિક્યુટેબલ એટેચમેન્ટ દ્વારા, તેમની કુલ સંપત્તિ મૂલ્ય કેટલી છે? આ વર્ષે, તે આશરે €150 બિલિયન સુધી પહોંચી ગયું છે.

સ્પષ્ટપણે, ઉશ્કેરણીજનક ઇમેઇલ્સ મોકલવા અને વેબસાઇટ્સ પર બિલાડીના ફોટા પોસ્ટ કરવા એ સામાજિક ઇજનેરીની એકમાત્ર પદ્ધતિઓ નથી. આ ઉદાહરણોમાં, અમે હુમલાના સ્વરૂપો અને તેના પરિણામોને પ્રકાશિત કરવાનો પ્રયાસ કર્યો છે. ઇમેઇલ્સ ઉપરાંત, સંભવિત હુમલાખોર ઇચ્છિત માહિતી મેળવવા માટે કૉલ કરી શકે છે, લક્ષ્ય કંપનીની ઓફિસની આસપાસ એક્ઝિક્યુટેબલ ફાઇલો ધરાવતી મીડિયા (જેમ કે ફ્લેશ ડ્રાઇવ) છોડી શકે છે, ઇન્ટર્ન તરીકે નોકરી મેળવી શકે છે, અથવા CCTV કેમેરા ઇન્સ્ટોલર તરીકે પોતાને રજૂ કરીને સ્થાનિક નેટવર્કમાં ભૌતિક ઍક્સેસ મેળવી શકે છે. આ બધા, માર્ગ દ્વારા, અમારા સફળતાપૂર્વક પૂર્ણ થયેલા પ્રોજેક્ટ્સના ઉદાહરણો છે.

ભાગ ૩. શીખવું એ પ્રકાશ છે, પણ અશિક્ષિત લોકો અંધકાર છે

એક વાજબી પ્રશ્ન ઊભો થાય છે: ઠીક છે, તો સોશિયલ એન્જિનિયરિંગ અસ્તિત્વમાં છે અને તે ખતરનાક લાગે છે, પરંતુ કંપનીઓએ તેના વિશે શું કરવું જોઈએ? કેપ્ટન ઓબ્વિયસ બચાવમાં આવે છે: આપણે પોતાનો બચાવ કરવાની જરૂર છે, અને આપણે તે વ્યાપકપણે કરવાની જરૂર છે. કેટલીક સુરક્ષા પહેલાથી જ ક્લાસિક સુરક્ષા પગલાં પર કેન્દ્રિત હશે, જેમ કે માહિતીને સુરક્ષિત કરવાના તકનીકી માધ્યમો, દેખરેખ અને પ્રક્રિયાઓ માટે સંગઠનાત્મક અને કાનૂની સહાય, પરંતુ મોટાભાગે, અમારા મતે, કર્મચારીઓને સૌથી નબળી કડી તરીકે સીધી રીતે સંબોધવા પર ધ્યાન કેન્દ્રિત કરવું જોઈએ. છેવટે, તમારી ટેકનોલોજી ગમે તેટલી કઠિન હોય અથવા તમારા નિયમો ગમે તેટલા કડક હોય, હંમેશા એક વપરાશકર્તા હશે જે બધું હેક કરવાની નવી રીત શોધશે. વધુમાં, ન તો નિયમો કે ટેકનોલોજી વપરાશકર્તાની સર્જનાત્મકતા સાથે તાલમેલ રાખશે, ખાસ કરીને જો તેમને કોઈ કુશળ હુમલાખોર દ્વારા સૂચના આપવામાં આવી રહી હોય.

સૌ પ્રથમ, વપરાશકર્તાને શિક્ષિત કરવું મહત્વપૂર્ણ છે: સમજાવો કે તેમના નિયમિત કાર્યમાં પણ, સામાજિક ઇજનેરી સંબંધિત પરિસ્થિતિઓ ઊભી થઈ શકે છે. અમે ઘણીવાર અમારા ગ્રાહકો માટે આનું સંચાલન કરીએ છીએ. અભ્યાસક્રમો ડિજિટલ હાઇજીન એ એક એવી ઇવેન્ટ છે જે સામાન્ય રીતે હુમલાઓનો સામનો કરવા માટે મૂળભૂત કુશળતા શીખવે છે.

હું એ ઉમેરી શકું છું કે શ્રેષ્ઠ સંરક્ષણ પગલાંઓમાંનો એક માહિતી સુરક્ષા નિયમોને યાદ રાખવાનો નથી, પરંતુ પરિસ્થિતિનું થોડું અલગ મૂલ્યાંકન છે:

1. મારો વાર્તાલાપ કરનાર કોણ છે?
2. તેમનો પ્રસ્તાવ કે વિનંતી ક્યાંથી આવી (છેવટે, આવું પહેલાં ક્યારેય બન્યું ન હતું, અને હવે તે દેખાયું છે)?
3. આ વિનંતીમાં શું અસામાન્ય છે?

મોકલનાર તરફથી અસામાન્ય ફોન્ટ પ્રકાર અથવા અસામાન્ય વાણી શૈલી પણ શંકાઓની સાંકળ ઉશ્કેરી શકે છે જે હુમલાને અટકાવશે. લેખિત સૂચનાઓ પણ જરૂરી છે, પરંતુ તે અલગ રીતે કાર્ય કરે છે અને દરેક સંભવિત પરિસ્થિતિને ખાસ સંબોધિત કરી શકતા નથી. ઉદાહરણ તરીકે, માહિતી સુરક્ષા સંચાલકો તેમની સૂચનાઓમાં લખે છે કે તમારે તૃતીય-પક્ષ સંસાધનો પર તમારો પાસવર્ડ દાખલ ન કરવો જોઈએ. પરંતુ જો "તમારા પોતાના," "કોર્પોરેટ" નેટવર્ક સંસાધન માટે પાસવર્ડની વિનંતી કરવામાં આવે તો શું? વપરાશકર્તા વિચારે છે, "અમારી કંપની પાસે પહેલેથી જ એક જ એકાઉન્ટ સાથે બે ડઝન સેવાઓ છે, તો બીજી શા માટે ન ઉમેરો?" આ બીજા નિયમ તરફ દોરી જાય છે: સારી રીતે રચાયેલ વર્કફ્લો પણ સુરક્ષાને સીધી અસર કરે છે: જો પડોશી વિભાગ ફક્ત લેખિતમાં અને ફક્ત તમારા મેનેજર દ્વારા માહિતીની વિનંતી કરી શકે છે, તો "વિશ્વસનીય કંપની ભાગીદાર તરફથી" કોઈ ચોક્કસપણે ફોન પર તેની વિનંતી કરી શકશે નહીં - તે તમારા માટે બકવાસ હશે. ખાસ કરીને સાવચેત રહો જો તમારા વાર્તાલાપકર્તા માંગ કરે છે કે બધું હમણાં જ કરવામાં આવે, અથવા "ASAP", જેમ તેઓ કહેવા માંગે છે. રોજિંદા કામમાં પણ, આવી પરિસ્થિતિ ઘણીવાર અનિચ્છનીય હોય છે, અને સંભવિત હુમલાઓનો સામનો કરવા માટે, તે એક શક્તિશાળી ટ્રિગર છે. સમજાવવાનો સમય નથી, મારી ફાઇલ ચલાવો!

અમે નોંધ્યું છે કે વપરાશકર્તાઓ હંમેશા સોશિયલ એન્જિનિયરિંગ હુમલાઓ માટે કવર સ્ટોરી તરીકે એક યા બીજા સ્વરૂપમાં પૈસા સંબંધિત થીમ્સ તરફ આકર્ષાય છે: પ્રમોશન, પસંદગીઓ, ભેટોના વચનો, તેમજ સ્થાનિક ગપસપ અને ષડયંત્રને છતી કરતી માહિતી. બીજા શબ્દોમાં કહીએ તો, મામૂલી "ઘાતક પાપો" કામ કરી રહ્યા છે: લોભ, લોભ અને અતિશય જિજ્ઞાસા.

સારી તાલીમમાં હંમેશા વ્યવહારુ અનુભવનો સમાવેશ થવો જોઈએ. આ તે જગ્યા છે જ્યાં ઘૂંસપેંઠ પરીક્ષણ નિષ્ણાતો મદદ કરી શકે છે. આગળનો પ્રશ્ન એ છે કે: આપણે શું અને કેવી રીતે પરીક્ષણ કરીશું? ગ્રુપ-આઇબી ખાતે, અમે નીચેનો અભિગમ પ્રસ્તાવિત કરીએ છીએ: શરૂઆતથી જ પરીક્ષણ ધ્યાન પસંદ કરો: કાં તો ફક્ત વપરાશકર્તાઓની હુમલાની તૈયારીનું મૂલ્યાંકન કરો, અથવા સમગ્ર કંપનીની સુરક્ષાનું પરીક્ષણ કરો. પછી પરીક્ષણ સામાજિક ઇજનેરી પદ્ધતિઓનો ઉપયોગ કરીને થવું જોઈએ, વાસ્તવિક હુમલાઓનું અનુકરણ કરવું - એટલે કે, ફિશિંગ, એક્ઝિક્યુટેબલ દસ્તાવેજો મોકલવા, ફોન કોલ્સ અને અન્ય તકનીકો.

પ્રથમ કિસ્સામાં, ક્લાયન્ટના પ્રતિનિધિઓ, મુખ્યત્વે તેમના IT અને માહિતી સુરક્ષા નિષ્ણાતો સાથે મળીને હુમલાનું કાળજીપૂર્વક આયોજન કરવામાં આવે છે. હુમલાના દૃશ્યો, સાધનો અને તકનીકો પર સંમતિ આપવામાં આવે છે. ક્લાયન્ટ હુમલા માટે ફોકસ જૂથો અને વપરાશકર્તા સૂચિઓ પ્રદાન કરે છે, જેમાં બધા સંબંધિત સંપર્કોનો સમાવેશ થાય છે. સુરક્ષા પગલાં માટે અપવાદો બનાવવામાં આવે છે, કારણ કે સંદેશાઓ અને એક્ઝિક્યુટેબલ પેલોડ્સ પ્રાપ્તકર્તા સુધી પહોંચવા જ જોઈએ, કારણ કે આવા પ્રોજેક્ટમાં, ફક્ત માનવ પ્રતિક્રિયાઓ જ રસપ્રદ હોય છે. વૈકલ્પિક રીતે, હુમલામાં માર્કર્સ એમ્બેડ કરી શકાય છે જે વપરાશકર્તાને હુમલા પ્રત્યે ચેતવણી આપશે - ઉદાહરણ તરીકે, સંદેશાઓમાં થોડી જોડણી ભૂલો અથવા કોર્પોરેટ ઓળખની નકલ કરવામાં અચોક્કસતા. પ્રોજેક્ટ પૂર્ણ થયા પછી, "શુષ્ક આંકડા" પ્રાપ્ત થાય છે: કયા ફોકસ જૂથોએ દૃશ્યો પર પ્રતિક્રિયા આપી અને કેટલી હદ સુધી.

બીજા કિસ્સામાં, "બ્લેક બોક્સ" પદ્ધતિનો ઉપયોગ કરીને, શૂન્ય પૂર્વ જાણકારી સાથે હુમલો કરવામાં આવે છે. અમે સ્વતંત્ર રીતે કંપની, તેના કર્મચારીઓ અને તેના નેટવર્ક પરિમિતિ વિશે માહિતી એકત્રિત કરીએ છીએ, હુમલાના દૃશ્યો બનાવીએ છીએ, પદ્ધતિઓ પસંદ કરીએ છીએ, લક્ષ્ય કંપની દ્વારા ઉપયોગમાં લેવાતા સંભવિત સંરક્ષણો શોધીએ છીએ, સાધનોને અનુકૂલિત કરીએ છીએ અને દૃશ્યો બનાવીએ છીએ. અમારા નિષ્ણાતો ક્લાસિક ઓપન-સોર્સ ઇન્ટેલિજન્સ (OSINT) પદ્ધતિઓ અને ગ્રુપ-IB ના માલિકીનું ઉત્પાદન, થ્રેટ ઇન્ટેલિજન્સ બંનેનો ઉપયોગ કરે છે, જે ફિશિંગની તૈયારીમાં, લાંબા સમય સુધી કંપની વિશેની માહિતીના એકત્રીકરણ તરીકે કાર્ય કરી શકે છે, જેમાં વર્ગીકૃત માહિતીનો ઉપયોગ પણ શામેલ છે. સ્વાભાવિક રીતે, હુમલો અપ્રિય આશ્ચર્ય તરીકે ન આવે તેની ખાતરી કરવા માટે, તેની વિગતો ક્લાયંટ સાથે પણ સંમત થાય છે. પરિણામ એક સંપૂર્ણ ઘૂંસપેંઠ પરીક્ષણ છે, પરંતુ તેના મૂળમાં અદ્યતન સામાજિક ઇજનેરી હશે. આ કિસ્સામાં એક તાર્કિક વિકલ્પ એ છે કે નેટવર્કની અંદર હુમલો વિકસાવવાનો, આંતરિક સિસ્ટમોમાં સર્વોચ્ચ વિશેષાધિકારો મેળવવા માટે. આકસ્મિક રીતે, અમે સમાન રીતે સામાજિક ઇજનેરી હુમલાઓનો ઉપયોગ કરીએ છીએ રેડ ટીમિંગ, અને કેટલાક ઘૂંસપેંઠ પરીક્ષણોમાં. પરિણામે, ક્લાયન્ટને ચોક્કસ પ્રકારના સામાજિક ઇજનેરી હુમલા સામે તેમની સુરક્ષાનો સ્વતંત્ર, વ્યાપક દૃષ્ટિકોણ પ્રાપ્ત થશે, તેમજ બાહ્ય જોખમો સામે સ્થાપિત સંરક્ષણની અસરકારકતા (અથવા, તેનાથી વિપરીત, બિનઅસરકારકતા)નું પ્રદર્શન પ્રાપ્ત થશે.

અમે વર્ષમાં ઓછામાં ઓછા બે વાર આવી તાલીમ યોજવાની ભલામણ કરીએ છીએ. પ્રથમ, કોઈપણ કંપની સ્ટાફ ટર્નઓવરનો અનુભવ કરે છે, અને કર્મચારીઓ ધીમે ધીમે પાછલા અનુભવને ભૂલી જાય છે. બીજું, હુમલાની પદ્ધતિઓ અને તકનીકો સતત બદલાતી રહે છે, જેના કારણે સુરક્ષા પ્રક્રિયાઓ અને સંરક્ષણના અનુકૂલનની જરૂર પડે છે.

જ્યારે હુમલાઓ સામે રક્ષણ માટેના ટેકનિકલ પગલાંની વાત આવે છે, ત્યારે નીચેના સૌથી મદદરૂપ થાય છે:

• ઓનલાઈન પ્રકાશિત સેવાઓ માટે ફરજિયાત બે-પરિબળ પ્રમાણીકરણ. 2019 માં સિંગલ સાઇન ઓન સિસ્ટમ્સ વિના, બ્રુટ-ફોર્સ પ્રોટેક્શન વિના અને કેટલાક સો કર્મચારીઓની કંપનીમાં બે-પરિબળ પ્રમાણીકરણ વિના આવી સેવાઓ પ્રકાશિત કરવી એ "મને તોડવા" માટે ખુલ્લું આમંત્રણ છે. યોગ્ય રીતે અમલમાં મુકાયેલ સુરક્ષા ચોરાયેલા પાસવર્ડ્સનો ઝડપથી ઉપયોગ કરવાનું અશક્ય બનાવશે અને ફિશિંગ હુમલાના પરિણામોને ઘટાડવા માટે સમય આપશે.
• ઍક્સેસ નિયંત્રણનું સંચાલન કરવું, સિસ્ટમમાં વપરાશકર્તા વિશેષાધિકારો ઘટાડવા, અને દરેક મુખ્ય વિક્રેતાના ઉત્પાદનોના સુરક્ષિત ગોઠવણી માર્ગદર્શિકાનું પાલન કરવું. આ પગલાં ઘણીવાર સ્વભાવમાં સરળ હોય છે, છતાં ખૂબ અસરકારક અને અમલમાં મૂકવા મુશ્કેલ હોય છે, છતાં ઘણીવાર ગતિના નામે અમુક હદ સુધી અવગણવામાં આવે છે. કેટલાક એટલા આવશ્યક છે કે તેમના વિના, કોઈ સુરક્ષા ઉકેલ તમારું રક્ષણ કરી શકશે નહીં.
• સારી રીતે વિકસિત ઇમેઇલ ફિલ્ટરિંગ સિસ્ટમ. સ્પામ વિરોધી, દૂષિત કોડ માટે વ્યાપક જોડાણ સ્કેનિંગ, જેમાં સેન્ડબોક્સ દ્વારા ગતિશીલ પરીક્ષણનો સમાવેશ થાય છે. સારી રીતે તૈયાર હુમલાનો અર્થ એ છે કે એક્ઝિક્યુટેબલ જોડાણ એન્ટીવાયરસ સોફ્ટવેર દ્વારા શોધી શકાશે નહીં. બીજી બાજુ, સેન્ડબોક્સ, ફાઇલોનો ઉપયોગ કરીને, માણસની જેમ જ બધું જ તપાસશે. પરિણામે, કોઈપણ સંભવિત દૂષિત સામગ્રી સેન્ડબોક્સમાં કરવામાં આવેલા ફેરફારો દ્વારા જાહેર કરવામાં આવશે.
• લક્ષિત હુમલાઓ સામે રક્ષણ. જેમ નોંધ્યું છે તેમ, પરંપરાગત એન્ટિવાયરસ સોલ્યુશન્સ સારી રીતે તૈયાર હુમલા દરમિયાન દૂષિત ફાઇલો શોધી શકશે નહીં. સૌથી અદ્યતન ઉત્પાદનોએ વ્યક્તિગત હોસ્ટ સ્તરે અને નેટવર્ક ટ્રાફિક સ્તરે, બંને પર આપમેળે સમગ્ર નેટવર્કનું નિરીક્ષણ કરવું જોઈએ. હુમલાઓ ઘટનાઓની ખૂબ જ લાક્ષણિક સાંકળ ઉત્પન્ન કરે છે જેને ધ્યાન કેન્દ્રિત દેખરેખ સાથે ટ્રેક અને બંધ કરી શકાય છે.

મૂળ લેખ પ્રકાશિત "માહિતી સુરક્ષા" જર્નલ #6, 2019 માં.

સોર્સ: www.habr.com