જો તમે કરી શકો તો મને મૂર્ખ બનાવો: સામાજિક તકનીકી પેન્ટેસ્ટ કરવા માટેની સુવિધાઓ

આ પરિસ્થિતિની કલ્પના કરો. ઑક્ટોબરની શીત સવાર, રશિયાના એક પ્રદેશના પ્રાદેશિક કેન્દ્રમાં ડિઝાઇન સંસ્થા. એચઆર વિભાગમાંથી કોઈ વ્યક્તિ સંસ્થાની વેબસાઈટ પરના એક ખાલી જગ્યા પર જાય છે, જે થોડા દિવસો પહેલા પોસ્ટ કરવામાં આવે છે, અને ત્યાં એક બિલાડીનો ફોટો જુએ છે. સવાર ઝડપથી કંટાળાજનક થવાનું બંધ કરે છે ...

આ લેખમાં, ગ્રુપ-આઈબીના ઓડિટ અને કન્સલ્ટિંગ વિભાગના તકનીકી વડા, પાવેલ સુપ્રુન્યુક, વ્યવહારિક સુરક્ષાનું મૂલ્યાંકન કરતા પ્રોજેક્ટ્સમાં સામાજિક તકનીકી હુમલાઓનું સ્થાન, તેઓ કયા અસામાન્ય સ્વરૂપો લઈ શકે છે અને આવા હુમલાઓ સામે કેવી રીતે રક્ષણ કરવું તે વિશે વાત કરે છે. લેખક સ્પષ્ટતા કરે છે કે લેખ સમીક્ષા પ્રકૃતિનો છે, જો કે, જો કોઈ પાસું વાચકોને રુચિ ધરાવતું હોય, તો ગ્રુપ-આઈબી નિષ્ણાતો ટિપ્પણીઓમાં પ્રશ્નોના જવાબો સરળતાથી આપશે.

ભાગ 1. શા માટે આટલું ગંભીર?

ચાલો આપણી બિલાડી પર પાછા આવીએ. થોડા સમય પછી, એચઆર વિભાગ ફોટો કાઢી નાખે છે (અહીં અને નીચેના સ્ક્રીનશૉટ્સ આંશિક રીતે રિટચ કરવામાં આવ્યા છે જેથી વાસ્તવિક નામો જાહેર ન થાય), પરંતુ તે જીદથી પાછો આવે છે, તે ફરીથી કાઢી નાખવામાં આવે છે, અને આવું ઘણી વખત થાય છે. એચઆર વિભાગ સમજે છે કે બિલાડીનો સૌથી ગંભીર ઇરાદો છે, તે છોડવા માંગતો નથી, અને તેઓ વેબ પ્રોગ્રામરની મદદ માટે કૉલ કરે છે - એક વ્યક્તિ જેણે સાઇટ બનાવી અને તેને સમજે છે, અને હવે તેનું સંચાલન કરે છે. પ્રોગ્રામર સાઇટ પર જાય છે, ફરી એકવાર હેરાન કરતી બિલાડીને કાઢી નાખે છે, તેને ખબર પડે છે કે તે HR વિભાગ વતી પોસ્ટ કરવામાં આવી હતી, પછી તે ધારણા કરે છે કે HR વિભાગનો પાસવર્ડ કેટલાક ઑનલાઇન ગુંડાઓ પાસે લીક થયો છે, અને તેને બદલી નાખે છે. બિલાડી ફરી દેખાતી નથી.

ખરેખર શું થયું? સંસ્થાનો સમાવેશ કરતી કંપનીઓના જૂથના સંબંધમાં, ગ્રુપ-આઈબીના નિષ્ણાતોએ રેડ ટીમિંગની નજીકના ફોર્મેટમાં ઘૂંસપેંઠ પરીક્ષણ હાથ ધર્યું હતું (બીજા શબ્દોમાં કહીએ તો, આ તમારી કંપની પરના સૌથી અદ્યતન પદ્ધતિઓ અને સાધનોનો ઉપયોગ કરીને લક્ષિત હુમલાનું અનુકરણ છે. હેકર જૂથોનું શસ્ત્રાગાર). અમે રેડ ટીમિંગ વિશે વિગતવાર વાત કરી અહીં. એ જાણવું અગત્યનું છે કે આવા પરીક્ષણનું સંચાલન કરતી વખતે, સામાજિક ઇજનેરી સહિત, પૂર્વ-સંમત હુમલાઓની ખૂબ વ્યાપક શ્રેણીનો ઉપયોગ કરી શકાય છે. તે સ્પષ્ટ છે કે બિલાડીનું પ્લેસમેન્ટ પોતે શું થઈ રહ્યું હતું તેનો અંતિમ ધ્યેય ન હતો. અને નીચેના હતા:

• સંસ્થાની વેબસાઇટ સંસ્થાના નેટવર્કમાં જ સર્વર પર હોસ્ટ કરવામાં આવી હતી, અને તૃતીય-પક્ષ સર્વર પર નહીં;
• HR વિભાગના ખાતામાં લીક જોવા મળ્યું હતું (ઈમેલ લોગ ફાઈલ સાઈટના મૂળમાં છે). આ એકાઉન્ટ સાથે સાઇટનું સંચાલન કરવું અશક્ય હતું, પરંતુ જોબ પૃષ્ઠોને સંપાદિત કરવું શક્ય હતું;
• પૃષ્ઠો બદલીને, તમે JavaScript માં તમારી સ્ક્રિપ્ટો મૂકી શકો છો. સામાન્ય રીતે તેઓ પૃષ્ઠોને ઇન્ટરેક્ટિવ બનાવે છે, પરંતુ આ પરિસ્થિતિમાં, સમાન સ્ક્રિપ્ટો મુલાકાતીના બ્રાઉઝરમાંથી ચોરી કરી શકે છે જે પ્રોગ્રામરથી HR વિભાગને અલગ પાડે છે, અને પ્રોગ્રામરને એક સરળ મુલાકાતીથી અલગ પાડે છે - સાઇટ પર સત્ર ઓળખકર્તા. બિલાડી એટેક ટ્રિગર હતી અને ધ્યાન આકર્ષિત કરવા માટેનું ચિત્ર હતું. HTML વેબસાઈટ માર્કઅપ લેંગ્વેજમાં, તે આના જેવું દેખાતું હતું: જો તમારી ઈમેજ લોડ થઈ ગઈ હોય, તો JavaScript પહેલેથી જ એક્ઝિક્યુટ થઈ ચૂક્યું છે અને તમારા બ્રાઉઝર અને આઈપી એડ્રેસ વિશેના ડેટા સાથે તમારું સત્ર ID પહેલેથી જ ચોરાઈ ગયું છે.
• ચોરાયેલા એડમિનિસ્ટ્રેટર સત્ર ID સાથે, સાઇટની સંપૂર્ણ ઍક્સેસ મેળવવી, PHP માં એક્ઝિક્યુટેબલ પૃષ્ઠોને હોસ્ટ કરવું અને તેથી સર્વર ઑપરેટિંગ સિસ્ટમ અને પછી સ્થાનિક નેટવર્કની ઍક્સેસ મેળવવાનું શક્ય બનશે, જે એક મહત્વપૂર્ણ મધ્યવર્તી લક્ષ્ય હતું. પ્રોજેક્ટ

હુમલો આંશિક રીતે સફળ રહ્યો હતો: એડમિનિસ્ટ્રેટરનું સત્ર ID ચોરાઈ ગયું હતું, પરંતુ તે IP એડ્રેસ સાથે જોડાયેલું હતું. અમે આની આસપાસ મેળવી શક્યા નથી; અમે અમારી સાઇટ વિશેષાધિકારોને એડમિનિસ્ટ્રેટર વિશેષાધિકારોમાં વધારી શક્યા નથી, પરંતુ અમે અમારા મૂડમાં સુધારો કર્યો છે. અંતિમ પરિણામ આખરે નેટવર્ક પરિમિતિના બીજા વિભાગમાં મેળવવામાં આવ્યું હતું.

ભાગ 2. હું તમને લખી રહ્યો છું - બીજું શું? હું પણ ફોન કરું છું અને ફ્લેશ ડ્રાઇવ છોડીને તમારી ઓફિસમાં અટકી જાઉં છું.

બિલાડી સાથેની પરિસ્થિતિમાં જે બન્યું તે સામાજિક ઇજનેરીનું ઉદાહરણ છે, જોકે તદ્દન શાસ્ત્રીય નથી. હકીકતમાં, આ વાર્તામાં વધુ ઘટનાઓ હતી: ત્યાં એક બિલાડી, અને એક સંસ્થા, અને એક કર્મચારી વિભાગ અને એક પ્રોગ્રામર હતી, પરંતુ સ્પષ્ટતા કરતા પ્રશ્નો સાથેના ઇમેઇલ્સ પણ હતા જે માનવામાં આવે છે કે "ઉમેદવારો" એ કર્મચારી વિભાગને પોતે અને વ્યક્તિગત રીતે લખ્યા હતા. પ્રોગ્રામરને સાઇટ પૃષ્ઠ પર જવા માટે ઉશ્કેરવા માટે.

પત્રોની વાત. સામાન્ય ઈમેઈલ, જે કદાચ સામાજિક ઈજનેરી હાથ ધરવા માટેનું મુખ્ય વાહન છે, તેણે કેટલાક દાયકાઓથી તેની સુસંગતતા ગુમાવી નથી અને કેટલીકવાર તે સૌથી અસામાન્ય પરિણામો તરફ દોરી જાય છે.

અમે ઘણીવાર અમારી ઇવેન્ટ્સમાં નીચેની વાર્તા કહીએ છીએ, કારણ કે તે ખૂબ જ છતી કરે છે.

સામાન્ય રીતે, સામાજિક ઇજનેરી પ્રોજેક્ટ્સના પરિણામોના આધારે, અમે આંકડાઓનું સંકલન કરીએ છીએ, જે આપણે જાણીએ છીએ, તે શુષ્ક અને કંટાળાજનક બાબત છે. ઘણા ટકા પ્રાપ્તકર્તાઓએ પત્રમાંથી જોડાણ ખોલ્યું, ઘણાએ લિંકને અનુસર્યું, પરંતુ આ ત્રણેએ ખરેખર તેમના વપરાશકર્તા નામ અને પાસવર્ડ દાખલ કર્યા. એક પ્રોજેક્ટમાં, અમને દાખલ કરેલા 100% કરતાં વધુ પાસવર્ડ્સ પ્રાપ્ત થયા છે - એટલે કે, અમે મોકલેલા પાસવર્ડ્સ કરતાં વધુ બહાર આવ્યા છે.

તે આના જેવું બન્યું: એક ફિશિંગ પત્ર મોકલવામાં આવ્યો હતો, માનવામાં આવે છે કે રાજ્ય કોર્પોરેશનના CISO તરફથી, "મેલ સેવામાં તાકીદે ફેરફારોનું પરીક્ષણ કરવાની માંગ સાથે." પત્ર એક મોટા વિભાગના વડા સુધી પહોંચ્યો જે તકનીકી સહાય સાથે કામ કરે છે. મેનેજર ઉચ્ચ અધિકારીઓની સૂચનાઓનું પાલન કરવામાં ખૂબ જ મહેનતુ હતા અને તેને તમામ ગૌણ અધિકારીઓને મોકલતા હતા. કોલ સેન્ટર પોતે ઘણું મોટું હોવાનું બહાર આવ્યું છે. સામાન્ય રીતે, એવી પરિસ્થિતિઓ કે જ્યાં કોઈ તેમના સાથીદારોને "રસપ્રદ" ફિશિંગ ઇમેઇલ્સ ફોરવર્ડ કરે છે અને તેઓ પકડાઈ જાય છે તે એકદમ સામાન્ય ઘટના છે. અમારા માટે, પત્ર લખવાની ગુણવત્તા પર આ શ્રેષ્ઠ પ્રતિસાદ છે.

થોડી વાર પછી તેઓને અમારા વિશે જાણવા મળ્યું (પત્ર એક ચેડા મેઈલબોક્સમાં લેવામાં આવ્યો હતો):

હુમલાની સફળતા એ હકીકતને કારણે હતી કે મેઇલિંગે ક્લાયંટની મેઇલ સિસ્ટમમાં સંખ્યાબંધ તકનીકી ખામીઓનું શોષણ કર્યું હતું. તે એવી રીતે ગોઠવવામાં આવ્યું હતું કે સંસ્થાના કોઈપણ પ્રેષક વતી કોઈપણ પત્રો અધિકૃતતા વિના, ઇન્ટરનેટ પરથી પણ મોકલવાનું શક્ય હતું. એટલે કે, તમે CISO, અથવા ટેક્નિકલ સપોર્ટના વડા અથવા અન્ય કોઈ હોવાનો ડોળ કરી શકો છો. તદુપરાંત, મેઇલ ઇન્ટરફેસ, "તેના" ડોમેનના અક્ષરોનું અવલોકન કરીને, એડ્રેસ બુકમાંથી કાળજીપૂર્વક એક ફોટો દાખલ કર્યો, જેણે પ્રેષકને પ્રાકૃતિકતા ઉમેર્યું.

હકીકતમાં, આવો હુમલો એ ખાસ જટિલ તકનીક નથી; તે મેઇલ સેટિંગ્સમાં ખૂબ જ મૂળભૂત ખામીનો સફળ શોષણ છે. વિશિષ્ટ IT અને માહિતી સુરક્ષા સંસાધનો પર તેની નિયમિતપણે સમીક્ષા કરવામાં આવે છે, પરંતુ તેમ છતાં, હજી પણ એવી કંપનીઓ છે કે જેઓ પાસે આ બધું હાજર છે. SMTP મેઇલ પ્રોટોકોલના સર્વિસ હેડરોને સંપૂર્ણ રીતે તપાસવા માટે કોઈ પણ વલણ ધરાવતું નથી, તેથી મેઇલ ઇન્ટરફેસમાં ચેતવણીના ચિહ્નોનો ઉપયોગ કરીને સામાન્ય રીતે "ખતરો" માટે પત્ર તપાસવામાં આવે છે, જે હંમેશા સંપૂર્ણ ચિત્ર પ્રદર્શિત કરતું નથી.

રસપ્રદ રીતે, એક સમાન નબળાઈ અન્ય દિશામાં પણ કામ કરે છે: હુમલાખોર તમારી કંપની વતી તૃતીય-પક્ષ પ્રાપ્તકર્તાને ઇમેઇલ મોકલી શકે છે. ઉદાહરણ તરીકે, તે તમારા વતી નિયમિત ચુકવણી માટે ઇન્વૉઇસ ખોટા કરી શકે છે, જે તમારી વિગતોને બદલે અન્ય વિગતો દર્શાવે છે. છેતરપિંડી વિરોધી અને કેશ-આઉટ મુદ્દાઓ સિવાય, સામાજિક એન્જિનિયરિંગ દ્વારા નાણાંની ચોરી કરવાનો આ કદાચ સૌથી સહેલો રસ્તો છે.

ફિશિંગ દ્વારા પાસવર્ડ્સ ચોરી કરવા ઉપરાંત, ક્લાસિક સોશિયોટેક્નિકલ હુમલો એક્ઝિક્યુટેબલ જોડાણો મોકલી રહ્યો છે. જો આ રોકાણો તમામ સુરક્ષા પગલાંને દૂર કરે છે, જેમાંથી આધુનિક કંપનીઓ સામાન્ય રીતે ઘણી હોય છે, તો પીડિતના કમ્પ્યુટર પર રિમોટ એક્સેસ ચેનલ બનાવવામાં આવશે. હુમલાના પરિણામો દર્શાવવા માટે, પરિણામી રીમોટ કંટ્રોલ ખાસ કરીને મહત્વપૂર્ણ ગોપનીય માહિતી સુધી પહોંચવા માટે વિકસાવી શકાય છે. નોંધનીય છે કે મીડિયા દ્વારા દરેકને ડરાવવા માટે ઉપયોગમાં લેવાતા મોટાભાગના હુમલા આ રીતે જ શરૂ થાય છે.

અમારા ઓડિટ વિભાગમાં, આનંદ માટે, અમે અંદાજિત આંકડાઓની ગણતરી કરીએ છીએ: મુખ્યત્વે ફિશિંગ દ્વારા અને એક્ઝિક્યુટેબલ જોડાણો મોકલીને અમે ડોમેન એડમિનિસ્ટ્રેટર એક્સેસ મેળવી હોય તેવી કંપનીઓની સંપત્તિનું કુલ મૂલ્ય શું છે? આ વર્ષે તે અંદાજે 150 બિલિયન યુરો સુધી પહોંચી ગયું છે.

તે સ્પષ્ટ છે કે ઉશ્કેરણીજનક ઇમેઇલ્સ મોકલવા અને વેબસાઇટ્સ પર બિલાડીઓના ફોટા પોસ્ટ કરવા એ સોશિયલ એન્જિનિયરિંગની એકમાત્ર પદ્ધતિઓ નથી. આ ઉદાહરણોમાં અમે હુમલાના વિવિધ સ્વરૂપો અને તેના પરિણામો બતાવવાનો પ્રયાસ કર્યો છે. પત્રો ઉપરાંત, સંભવિત હુમલાખોર જરૂરી માહિતી મેળવવા માટે કૉલ કરી શકે છે, લક્ષ્ય કંપનીની ઑફિસમાં એક્ઝિક્યુટેબલ ફાઇલો સાથે સ્કેટર મીડિયા (ઉદાહરણ તરીકે, ફ્લેશ ડ્રાઇવ), ઇન્ટર્ન તરીકે નોકરી મેળવી શકે છે, સ્થાનિક નેટવર્કમાં ભૌતિક ઍક્સેસ મેળવી શકે છે. સીસીટીવી કેમેરા ઇન્સ્ટોલરની આડમાં. આ બધા, માર્ગ દ્વારા, અમારા સફળતાપૂર્વક પૂર્ણ થયેલા પ્રોજેક્ટ્સના ઉદાહરણો છે.

ભાગ 3. શિક્ષણ પ્રકાશ છે, પણ અશિક્ષિત અંધકાર છે

એક વાજબી પ્રશ્ન ઊભો થાય છે: સારું, ઠીક છે, ત્યાં સોશિયલ એન્જિનિયરિંગ છે, તે ખતરનાક લાગે છે, પરંતુ કંપનીઓએ આ બધા વિશે શું કરવું જોઈએ? કૅપ્ટન ઑબ્વિયસ બચાવમાં આવે છે: તમારે તમારો બચાવ કરવાની જરૂર છે, અને વ્યાપક રીતે. સંરક્ષણના કેટલાક ભાગનો હેતુ પહેલાથી જ ક્લાસિક સુરક્ષા પગલાંને ધ્યાનમાં રાખીને કરવામાં આવશે, જેમ કે માહિતી સુરક્ષાના તકનીકી માધ્યમો, દેખરેખ, પ્રક્રિયાઓની સંસ્થાકીય અને કાનૂની સહાય, પરંતુ મુખ્ય ભાગ, અમારા મતે, કર્મચારીઓ સાથે સીધા કામ કરવા માટે નિર્દેશિત હોવું જોઈએ. સૌથી નબળી કડી. છેવટે, તમે ગમે તેટલી ટેક્નોલોજીને મજબૂત કરો અથવા કઠોર નિયમો લખો, ત્યાં હંમેશા એક વપરાશકર્તા હશે જે દરેક વસ્તુને તોડવાની નવી રીત શોધશે. તદુપરાંત, ન તો નિયમો કે ટેક્નોલોજી વપરાશકર્તાની સર્જનાત્મકતાની ફ્લાઇટ સાથે રહેશે, ખાસ કરીને જો તેને કોઈ લાયક હુમલાખોર દ્વારા સંકેત આપવામાં આવે.

સૌ પ્રથમ, વપરાશકર્તાને તાલીમ આપવી મહત્વપૂર્ણ છે: સમજાવો કે તેના નિયમિત કાર્યમાં પણ, સામાજિક ઇજનેરી સંબંધિત પરિસ્થિતિઓ ઊભી થઈ શકે છે. અમારા ગ્રાહકો માટે અમે વારંવાર આચરણ કરીએ છીએ અભ્યાસક્રમો ડિજિટલ સ્વચ્છતા પર - એક ઇવેન્ટ જે સામાન્ય રીતે હુમલાઓનો સામનો કરવા માટે મૂળભૂત કુશળતા શીખવે છે.

હું ઉમેરી શકું છું કે શ્રેષ્ઠ સુરક્ષા પગલાં પૈકી એક માહિતી સુરક્ષા નિયમોને યાદ રાખવાનું નથી, પરંતુ થોડી અલગ રીતે પરિસ્થિતિનું મૂલ્યાંકન કરવું છે:

1. મારો ઇન્ટરલોક્યુટર કોણ છે?
2. તેની દરખાસ્ત અથવા વિનંતી ક્યાંથી આવી (આ પહેલા ક્યારેય બન્યું નથી, અને હવે તે દેખાયું છે)?
3. આ વિનંતી વિશે શું અસામાન્ય છે?

એક અસામાન્ય પ્રકારનો અક્ષર ફોન્ટ અથવા વાણીની શૈલી કે જે પ્રેષક માટે અસામાન્ય છે તે પણ શંકાની સાંકળ બંધ કરી શકે છે જે હુમલાને અટકાવશે. સૂચિત સૂચનાઓ પણ જરૂરી છે, પરંતુ તે અલગ રીતે કાર્ય કરે છે અને તમામ સંભવિત પરિસ્થિતિઓનો ઉલ્લેખ કરી શકતા નથી. ઉદાહરણ તરીકે, માહિતી સુરક્ષા સંચાલકો તેમાં લખે છે કે તમે તૃતીય-પક્ષ સંસાધનો પર તમારો પાસવર્ડ દાખલ કરી શકતા નથી. જો "તમારું", "કોર્પોરેટ" નેટવર્ક સંસાધન પાસવર્ડ માંગે તો શું? વપરાશકર્તા વિચારે છે: "અમારી કંપની પાસે પહેલેથી જ એક એકાઉન્ટ સાથે બે ડઝન સેવાઓ છે, શા માટે બીજું એક નથી?" આ બીજા નિયમ તરફ દોરી જાય છે: સારી રીતે રચાયેલ કાર્ય પ્રક્રિયા પણ સુરક્ષાને સીધી અસર કરે છે: જો પડોશી વિભાગ તમારી પાસેથી ફક્ત લેખિતમાં અને ફક્ત તમારા મેનેજર દ્વારા માહિતીની વિનંતી કરી શકે છે, તો કોઈ વ્યક્તિ "કંપનીના વિશ્વાસપાત્ર ભાગીદાર પાસેથી" ચોક્કસપણે નહીં થાય. ફોન દ્વારા તેની વિનંતી કરવામાં સક્ષમ - આ તમારા માટે છે તે બકવાસ હશે. તમારે ખાસ કરીને સાવચેત રહેવું જોઈએ જો તમારો ઇન્ટરલોક્યુટર અત્યારે બધું કરવા માંગે છે, અથવા "જલદીથી" લખવાની ફેશનેબલ છે. સામાન્ય કાર્યમાં પણ, આ પરિસ્થિતિ ઘણીવાર સ્વસ્થ હોતી નથી, અને સંભવિત હુમલાઓના ચહેરામાં, તે એક મજબૂત ટ્રિગર છે. સમજાવવાનો સમય નથી, મારી ફાઇલ ચલાવો!

અમે નોંધ્યું છે કે વપરાશકર્તાઓને હંમેશા એક અથવા બીજા સ્વરૂપમાં નાણાં સંબંધિત વિષયો દ્વારા સામાજિક તકનીકી હુમલા માટે દંતકથાઓ તરીકે લક્ષ્યાંકિત કરવામાં આવે છે: પ્રમોશન, પસંદગીઓ, ભેટો, તેમજ સ્થાનિક ગપસપ અને ષડયંત્ર સાથેની માહિતીના વચનો. બીજા શબ્દોમાં કહીએ તો, મામૂલી "ઘાતક પાપો" કામ પર છે: નફાની તરસ, લોભ અને અતિશય જિજ્ઞાસા.

સારી તાલીમમાં હંમેશા પ્રેક્ટિસનો સમાવેશ થવો જોઈએ. આ તે છે જ્યાં ઘૂંસપેંઠ પરીક્ષણ નિષ્ણાતો બચાવમાં આવી શકે છે. આગળનો પ્રશ્ન છે: આપણે શું અને કેવી રીતે પરીક્ષણ કરીશું? અમે ગ્રુપ-આઈબી પર નીચેની અભિગમનો પ્રસ્તાવ મૂક્યો છે: તરત જ પરીક્ષણનું ફોકસ પસંદ કરો: કાં તો ફક્ત વપરાશકર્તાઓના હુમલાઓ માટે તૈયારીનું મૂલ્યાંકન કરો અથવા સમગ્ર રીતે કંપનીની સુરક્ષા તપાસો. અને સામાજિક ઇજનેરી પદ્ધતિઓનો ઉપયોગ કરીને પરીક્ષણ કરો, વાસ્તવિક હુમલાઓનું અનુકરણ કરો - એટલે કે, સમાન ફિશિંગ, એક્ઝિક્યુટેબલ દસ્તાવેજો, કૉલ્સ અને અન્ય તકનીકો મોકલવા.

પ્રથમ કિસ્સામાં, હુમલો ગ્રાહકના પ્રતિનિધિઓ સાથે, મુખ્યત્વે તેના IT અને માહિતી સુરક્ષા નિષ્ણાતો સાથે કાળજીપૂર્વક તૈયાર કરવામાં આવે છે. દંતકથાઓ, સાધનો અને હુમલાની તકનીકો સુસંગત છે. ગ્રાહક પોતે ફોકસ જૂથો અને હુમલા માટે વપરાશકર્તાઓની સૂચિ પ્રદાન કરે છે, જેમાં તમામ જરૂરી સંપર્કો શામેલ છે. સુરક્ષા પગલાં પર અપવાદો બનાવવામાં આવે છે, કારણ કે સંદેશાઓ અને એક્ઝિક્યુટેબલ લોડ્સ પ્રાપ્તકર્તા સુધી પહોંચવા જોઈએ, કારણ કે આવા પ્રોજેક્ટમાં ફક્ત લોકોની પ્રતિક્રિયાઓ જ રસ ધરાવે છે. વૈકલ્પિક રીતે, તમે હુમલામાં માર્કર્સનો સમાવેશ કરી શકો છો, જેના દ્વારા વપરાશકર્તા અનુમાન કરી શકે છે કે આ હુમલો છે - ઉદાહરણ તરીકે, તમે સંદેશામાં જોડણીની કેટલીક ભૂલો કરી શકો છો અથવા કોર્પોરેટ શૈલીની નકલ કરવામાં અચોક્કસતા છોડી શકો છો. પ્રોજેક્ટના અંતે, સમાન "શુષ્ક આંકડા" પ્રાપ્ત થાય છે: કયા ફોકસ જૂથોએ દૃશ્યોને અને કેટલી હદ સુધી પ્રતિક્રિયા આપી.

બીજા કિસ્સામાં, "બ્લેક બોક્સ" પદ્ધતિનો ઉપયોગ કરીને, શૂન્ય પ્રારંભિક જ્ઞાન સાથે હુમલો કરવામાં આવે છે. અમે સ્વતંત્ર રીતે કંપની, તેના કર્મચારીઓ, નેટવર્ક પરિમિતિ વિશે માહિતી એકત્રિત કરીએ છીએ, હુમલાની દંતકથાઓ બનાવીએ છીએ, પદ્ધતિઓ પસંદ કરીએ છીએ, લક્ષ્ય કંપનીમાં ઉપયોગમાં લેવાતા સંભવિત સુરક્ષા પગલાં શોધીએ છીએ, સાધનોને અનુકૂલિત કરીએ છીએ અને દૃશ્યો બનાવીએ છીએ. અમારા નિષ્ણાતો ક્લાસિક ઓપન સોર્સ ઇન્ટેલિજન્સ (OSINT) પદ્ધતિઓ અને ગ્રુપ-IB ની પોતાની પ્રોડક્ટ - થ્રેટ ઇન્ટેલિજન્સ બંનેનો ઉપયોગ કરે છે, એક એવી સિસ્ટમ કે જે ફિશિંગની તૈયારી કરતી વખતે, વર્ગીકૃત માહિતી સહિત લાંબા સમય સુધી કંપની વિશેની માહિતીના એકત્રીકરણ તરીકે કાર્ય કરી શકે છે. અલબત્ત, જેથી હુમલો કોઈ અપ્રિય આશ્ચર્યજનક ન બને, તેની વિગતો પણ ગ્રાહક સાથે સંમત થાય છે. તે એક સંપૂર્ણ પ્રવેશ પરીક્ષણ હોવાનું બહાર આવ્યું છે, પરંતુ તે અદ્યતન સામાજિક ઇજનેરી પર આધારિત હશે. આ કિસ્સામાં તાર્કિક વિકલ્પ એ છે કે આંતરિક સિસ્ટમોમાં સર્વોચ્ચ અધિકારો મેળવવા સુધી, નેટવર્કમાં હુમલો વિકસાવવો. માર્ગ દ્વારા, તે જ રીતે આપણે સામાજિક તકનીકી હુમલાઓનો ઉપયોગ કરીએ છીએ રેડ ટીમિંગ, અને કેટલાક ઘૂંસપેંઠ પરીક્ષણોમાં. પરિણામે, ગ્રાહકને ચોક્કસ પ્રકારના સામાજિક-તકનીકી હુમલાઓ સામે તેમની સુરક્ષાનું સ્વતંત્ર વ્યાપક દ્રષ્ટિકોણ પ્રાપ્ત થશે, સાથે સાથે બાહ્ય જોખમો સામે સંરક્ષણની બિલ્ટ લાઇનની અસરકારકતા (અથવા તેનાથી વિપરીત, બિનઅસરકારકતા) નું પ્રદર્શન.

અમે વર્ષમાં ઓછામાં ઓછા બે વાર આ તાલીમ લેવાની ભલામણ કરીએ છીએ. સૌપ્રથમ, કોઈપણ કંપનીમાં સ્ટાફ ટર્નઓવર હોય છે અને પાછલો અનુભવ ધીમે ધીમે કર્મચારીઓ ભૂલી જાય છે. બીજું, હુમલાની પદ્ધતિઓ અને તકનીકો સતત બદલાતી રહે છે અને આ સુરક્ષા પ્રક્રિયાઓ અને સુરક્ષા સાધનોને અનુકૂલિત કરવાની જરૂરિયાત તરફ દોરી જાય છે.

જો આપણે હુમલાઓ સામે રક્ષણ આપવા માટેના તકનીકી પગલાં વિશે વાત કરીએ, તો નીચેના સૌથી વધુ મદદ કરે છે:

• ઇન્ટરનેટ પર પ્રકાશિત સેવાઓ પર ફરજિયાત બે-પરિબળ પ્રમાણીકરણની હાજરી. 2019 માં સિંગલ સાઇન ઓન સિસ્ટમ્સ વિના, પાસવર્ડ બ્રુટ ફોર્સ સામે રક્ષણ વિના અને કેટલાક સો લોકોની કંપનીમાં દ્વિ-પરિબળ પ્રમાણીકરણ વિના આવી સેવાઓ રિલીઝ કરવી એ "મને બ્રેક" કરવા માટે ખુલ્લા કૉલ સમાન છે. યોગ્ય રીતે અમલમાં મૂકાયેલ સુરક્ષા ચોરાયેલા પાસવર્ડનો ઝડપી ઉપયોગ અશક્ય બનાવશે અને ફિશિંગ હુમલાના પરિણામોને દૂર કરવા માટે સમય આપશે.
• એક્સેસ કંટ્રોલને નિયંત્રિત કરવું, સિસ્ટમમાં વપરાશકર્તાના અધિકારોને ઘટાડવું અને દરેક મુખ્ય ઉત્પાદક દ્વારા બહાર પાડવામાં આવેલ સુરક્ષિત ઉત્પાદન ગોઠવણી માટેની માર્ગદર્શિકાનું પાલન કરવું. આ ઘણીવાર પ્રકૃતિમાં સરળ હોય છે, પરંતુ પગલાં અમલમાં મૂકવા માટે ખૂબ જ અસરકારક અને મુશ્કેલ હોય છે, જેને દરેક વ્યક્તિ, એક અથવા બીજી રીતે, ઝડપ ખાતર અવગણના કરે છે. અને કેટલાક એટલા જરૂરી છે કે તેમના વિના રક્ષણનું કોઈ સાધન બચશે નહીં.
• સારી રીતે બનાવેલ ઇમેઇલ ફિલ્ટરિંગ લાઇન. એન્ટિસ્પામ, દૂષિત કોડ માટે જોડાણોનું કુલ સ્કેનિંગ, સેન્ડબોક્સ દ્વારા ગતિશીલ પરીક્ષણ સહિત. સારી રીતે તૈયાર કરેલ હુમલાનો અર્થ એ છે કે એક્ઝેક્યુટેબલ જોડાણ એન્ટીવાયરસ ટૂલ્સ દ્વારા શોધી શકાશે નહીં. સેન્ડબોક્સ, તેનાથી વિપરિત, કોઈ વ્યક્તિ તેનો ઉપયોગ કરે છે તે રીતે ફાઇલોનો ઉપયોગ કરીને, તેના માટે બધું જ પરીક્ષણ કરશે. પરિણામે, સેન્ડબોક્સની અંદર કરેલા ફેરફારો દ્વારા સંભવિત દૂષિત ઘટક જાહેર કરવામાં આવશે.
• લક્ષિત હુમલાઓ સામે રક્ષણના માધ્યમો. પહેલેથી જ નોંધ્યું છે તેમ, ક્લાસિક એન્ટીવાયરસ સાધનો સારી રીતે તૈયાર હુમલાની ઘટનામાં દૂષિત ફાઇલોને શોધી શકશે નહીં. સૌથી અદ્યતન ઉત્પાદનોએ નેટવર્ક પર બનતી ઘટનાઓની સંપૂર્ણતાને આપમેળે મોનિટર કરવી જોઈએ - બંને વ્યક્તિગત હોસ્ટના સ્તરે અને નેટવર્કમાં ટ્રાફિકના સ્તરે. હુમલાના કિસ્સામાં, ઘટનાઓની ખૂબ જ લાક્ષણિક સાંકળો દેખાય છે જેને ટ્રેક કરી શકાય છે અને જો તમે આ પ્રકારની ઘટનાઓ પર ધ્યાન કેન્દ્રિત કર્યું હોય તો તેને રોકી શકાય છે.

મૂળ લેખ પ્રકાશિત મેગેઝિનમાં “માહિતી સુરક્ષા/માહિતી સુરક્ષા” #6, 2019.

સોર્સ: www.habr.com