यदि आप कर सकते हैं तो मुझे मूर्ख बनाइए: एक सामाजिक-तकनीकी पेन्टेस्ट आयोजित करने की विशेषताएं

इस स्थिति की कल्पना कीजिए. अक्टूबर की ठंडी सुबह, रूस के एक क्षेत्र के क्षेत्रीय केंद्र में डिजाइन संस्थान। मानव संसाधन विभाग से कोई व्यक्ति संस्थान की वेबसाइट पर कुछ दिन पहले पोस्ट की गई रिक्तियों के पन्नों में से एक पर जाता है, और वहां एक बिल्ली की तस्वीर देखता है। सुबह जल्द ही उबाऊ होना बंद हो जाती है...

इस लेख में, ग्रुप-आईबी में ऑडिट और परामर्श विभाग के तकनीकी प्रमुख, पावेल सुप्रुन्युक, व्यावहारिक सुरक्षा का आकलन करने वाली परियोजनाओं में सामाजिक-तकनीकी हमलों के स्थान, वे कौन से असामान्य रूप ले सकते हैं, और ऐसे हमलों से कैसे बचाव किया जाए, के बारे में बात करते हैं। लेखक स्पष्ट करता है कि लेख एक समीक्षा प्रकृति का है, हालांकि, यदि कोई पहलू पाठकों को रूचि देता है, तो ग्रुप-आईबी विशेषज्ञ टिप्पणियों में प्रश्नों का आसानी से उत्तर देंगे।

भाग 1. इतना गंभीर क्यों?

आइए अपनी बिल्ली की ओर लौटें। कुछ समय बाद, मानव संसाधन विभाग फोटो को हटा देता है (यहाँ और नीचे के स्क्रीनशॉट आंशिक रूप से सुधारे गए हैं ताकि वास्तविक नाम प्रकट न हों), लेकिन यह हठपूर्वक वापस आ जाता है, इसे फिर से हटा दिया जाता है, और ऐसा कई बार होता है। मानव संसाधन विभाग समझता है कि बिल्ली के इरादे बहुत गंभीर हैं, वह छोड़ना नहीं चाहता है, और वे एक वेब प्रोग्रामर से मदद मांगते हैं - एक ऐसा व्यक्ति जिसने साइट बनाई और इसे समझता है, और अब इसे प्रबंधित करता है। प्रोग्रामर साइट पर जाता है, एक बार फिर कष्टप्रद बिल्ली को हटा देता है, पता चलता है कि यह एचआर विभाग की ओर से ही पोस्ट किया गया था, फिर यह धारणा बनाता है कि एचआर विभाग का पासवर्ड कुछ ऑनलाइन गुंडों के लिए लीक हो गया है, और इसे बदल देता है। बिल्ली दोबारा दिखाई नहीं देती.

असल में क्या हुआ था? उन कंपनियों के समूह के संबंध में जिनमें संस्थान शामिल है, ग्रुप-आईबी विशेषज्ञों ने रेड टीमिंग के करीब एक प्रारूप में प्रवेश परीक्षण किया (दूसरे शब्दों में, यह सबसे उन्नत तरीकों और उपकरणों का उपयोग करके आपकी कंपनी पर लक्षित हमलों की नकल है) हैकर समूहों का शस्त्रागार)। हमने रेड टीमिंग के बारे में विस्तार से बात की यहां. यह जानना महत्वपूर्ण है कि इस तरह का परीक्षण करते समय, सोशल इंजीनियरिंग सहित पूर्व-सहमत हमलों की एक बहुत विस्तृत श्रृंखला का उपयोग किया जा सकता है। यह स्पष्ट है कि जो कुछ हो रहा था उसका अंतिम लक्ष्य बिल्ली की नियुक्ति नहीं था। और वहाँ निम्नलिखित था:

• संस्थान की वेबसाइट संस्थान के नेटवर्क के भीतर ही एक सर्वर पर होस्ट की गई थी, न कि तीसरे पक्ष के सर्वर पर;
• मानव संसाधन विभाग के खाते में एक लीक पाया गया (ईमेल लॉग फ़ाइल साइट के मूल में है)। इस खाते से साइट का प्रबंधन करना असंभव था, लेकिन कार्य पृष्ठों को संपादित करना संभव था;
• पेजों को बदलकर, आप अपनी स्क्रिप्ट्स को जावास्क्रिप्ट में रख सकते हैं। आम तौर पर वे पृष्ठों को इंटरैक्टिव बनाते हैं, लेकिन इस स्थिति में, वही स्क्रिप्ट विज़िटर के ब्राउज़र से चोरी कर सकती हैं जो एचआर विभाग को प्रोग्रामर से और प्रोग्रामर को एक साधारण विज़िटर से अलग करती है - साइट पर सत्र पहचानकर्ता। बिल्ली एक आक्रमण उत्प्रेरक और ध्यान आकर्षित करने वाली एक तस्वीर थी। HTML वेबसाइट मार्कअप भाषा में, यह इस तरह दिखता था: यदि आपकी छवि लोड हो गई है, तो जावास्क्रिप्ट पहले ही निष्पादित हो चुकी है और आपका सत्र आईडी, आपके ब्राउज़र और आईपी पते के डेटा के साथ, पहले ही चोरी हो चुका है।
• चोरी हुए व्यवस्थापक सत्र आईडी के साथ, साइट तक पूर्ण पहुंच प्राप्त करना, PHP में निष्पादन योग्य पृष्ठों को होस्ट करना और इसलिए सर्वर ऑपरेटिंग सिस्टम तक पहुंच प्राप्त करना और फिर स्थानीय नेटवर्क तक पहुंच प्राप्त करना संभव होगा, जो कि एक महत्वपूर्ण मध्यवर्ती लक्ष्य था। परियोजना।

हमला आंशिक रूप से सफल रहा: व्यवस्थापक की सत्र आईडी चोरी हो गई थी, लेकिन यह एक आईपी पते से जुड़ा हुआ था। हम इससे बच नहीं सके; हम अपनी साइट के विशेषाधिकारों को प्रशासकीय विशेषाधिकारों तक नहीं बढ़ा सके, लेकिन हमने अपना मूड सुधार लिया। अंतिम परिणाम अंततः नेटवर्क परिधि के दूसरे भाग में प्राप्त हुआ।

भाग 2. मैं तुम्हें लिख रहा हूँ - और क्या? मैं भी फोन करता हूं और आपके कार्यालय में घूमता हूं, फ्लैश ड्राइव छोड़ता हूं।

बिल्ली के साथ जो हुआ वह सोशल इंजीनियरिंग का एक उदाहरण है, यद्यपि बिल्कुल शास्त्रीय नहीं है। वास्तव में, इस कहानी में और भी घटनाएँ थीं: एक बिल्ली थी, और एक संस्थान, और एक कार्मिक विभाग, और एक प्रोग्रामर, लेकिन स्पष्ट प्रश्नों वाले ईमेल भी थे जो कथित तौर पर "उम्मीदवारों" ने कार्मिक विभाग को और व्यक्तिगत रूप से लिखे थे प्रोग्रामर को साइट पेज पर जाने के लिए उकसाने के लिए।

पत्रों की बात हो रही है. साधारण ईमेल, संभवतः सोशल इंजीनियरिंग को आगे बढ़ाने का मुख्य माध्यम, ने कुछ दशकों से अपनी प्रासंगिकता नहीं खोई है और कभी-कभी सबसे असामान्य परिणाम सामने आते हैं।

हम अक्सर अपने आयोजनों में निम्नलिखित कहानी सुनाते हैं, क्योंकि यह बहुत ही खुलासा करने वाली है।

आमतौर पर, सोशल इंजीनियरिंग परियोजनाओं के परिणामों के आधार पर, हम आँकड़े संकलित करते हैं, जो, जैसा कि हम जानते हैं, एक सूखी और उबाऊ चीज़ है। इतने प्रतिशत प्राप्तकर्ताओं ने पत्र से अनुलग्नक खोला, इतने सारे ने लिंक का अनुसरण किया, लेकिन इन तीनों ने वास्तव में अपना उपयोगकर्ता नाम और पासवर्ड दर्ज किया। एक प्रोजेक्ट में, हमें दर्ज किए गए 100% से अधिक पासवर्ड प्राप्त हुए - यानी, हमने जितने पासवर्ड भेजे थे, उससे कहीं अधिक बाहर आए।

यह इस तरह हुआ: एक फ़िशिंग पत्र भेजा गया था, कथित तौर पर एक राज्य निगम के सीआईएसओ से, "मेल सेवा में तत्काल परिवर्तन का परीक्षण करने" की मांग के साथ। पत्र तकनीकी सहायता से जुड़े एक बड़े विभाग के प्रमुख तक पहुँच गया। प्रबंधक उच्च अधिकारियों के निर्देशों का पालन करने में बहुत मेहनती था और उन्हें सभी अधीनस्थों को भेज देता था। कॉल सेंटर अपने आप में काफी बड़ा निकला। सामान्य तौर पर, ऐसी स्थितियाँ जहां कोई अपने सहकर्मियों को "दिलचस्प" फ़िशिंग ईमेल अग्रेषित करता है और वे भी पकड़े जाते हैं, एक काफी सामान्य घटना है। हमारे लिए, पत्र लिखने की गुणवत्ता पर यह सबसे अच्छी प्रतिक्रिया है।

थोड़ी देर बाद उन्हें हमारे बारे में पता चला (पत्र एक समझौता किए गए मेलबॉक्स में लिया गया था):

हमले की सफलता इस तथ्य के कारण थी कि मेलिंग ने ग्राहक की मेल प्रणाली में कई तकनीकी कमियों का फायदा उठाया। इसे इस तरह से कॉन्फ़िगर किया गया था कि संगठन के किसी भी प्रेषक की ओर से प्राधिकरण के बिना, यहां तक ​​कि इंटरनेट से भी कोई भी पत्र भेजना संभव था। यानी, आप सीआईएसओ, या तकनीकी सहायता प्रमुख, या कोई और होने का दिखावा कर सकते हैं। इसके अलावा, मेल इंटरफ़ेस ने, "अपने" डोमेन से पत्रों का अवलोकन करते हुए, पता पुस्तिका से सावधानीपूर्वक एक तस्वीर डाली, जिससे प्रेषक में स्वाभाविकता जुड़ गई।

सच में, ऐसा हमला कोई विशेष रूप से जटिल तकनीक नहीं है; यह मेल सेटिंग्स में एक बहुत ही बुनियादी दोष का सफल शोषण है। विशिष्ट आईटी और सूचना सुरक्षा संसाधनों पर इसकी नियमित रूप से समीक्षा की जाती है, लेकिन फिर भी, अभी भी ऐसी कंपनियां हैं जिनके पास यह सब मौजूद है। चूंकि कोई भी एसएमटीपी मेल प्रोटोकॉल के सर्विस हेडर की पूरी तरह से जांच करने के लिए इच्छुक नहीं है, इसलिए आमतौर पर मेल इंटरफेस में चेतावनी आइकन का उपयोग करके एक पत्र को "खतरे" के लिए जांचा जाता है, जो हमेशा पूरी तस्वीर प्रदर्शित नहीं करता है।

दिलचस्प बात यह है कि इसी तरह की भेद्यता दूसरी दिशा में भी काम करती है: एक हमलावर आपकी कंपनी की ओर से किसी तीसरे पक्ष के प्राप्तकर्ता को एक ईमेल भेज सकता है। उदाहरण के लिए, वह आपकी ओर से नियमित भुगतान के लिए एक चालान में हेराफेरी कर सकता है, जिसमें आपके बजाय अन्य विवरण दर्शाए जा सकते हैं। धोखाधड़ी-विरोधी और कैश-आउट मुद्दों के अलावा, यह संभवतः सोशल इंजीनियरिंग के माध्यम से पैसे चुराने का सबसे आसान तरीकों में से एक है।

फ़िशिंग के माध्यम से पासवर्ड चुराने के अलावा, एक क्लासिक सामाजिक तकनीकी हमला निष्पादन योग्य अनुलग्नक भेजना है। यदि ये निवेश सभी सुरक्षा उपायों को पार कर लेते हैं, जिनमें से आधुनिक कंपनियों के पास आमतौर पर कई होते हैं, तो पीड़ित के कंप्यूटर तक एक रिमोट एक्सेस चैनल बनाया जाएगा। हमले के परिणामों को प्रदर्शित करने के लिए, विशेष रूप से महत्वपूर्ण गोपनीय जानकारी तक पहुंच के लिए परिणामी रिमोट कंट्रोल विकसित किया जा सकता है। यह उल्लेखनीय है कि मीडिया द्वारा हर किसी को डराने के लिए किए जाने वाले अधिकांश हमले बिल्कुल इसी तरह से शुरू होते हैं।

हमारे ऑडिट विभाग में, मनोरंजन के लिए, हम अनुमानित आंकड़ों की गणना करते हैं: उन कंपनियों की संपत्ति का कुल मूल्य क्या है, जिन तक हमने डोमेन प्रशासक पहुंच प्राप्त की है, मुख्य रूप से फ़िशिंग और निष्पादन योग्य अनुलग्नक भेजकर? इस साल यह लगभग 150 अरब यूरो तक पहुंच गया.

यह स्पष्ट है कि उत्तेजक ईमेल भेजना और वेबसाइटों पर बिल्लियों की तस्वीरें पोस्ट करना सोशल इंजीनियरिंग का एकमात्र तरीका नहीं है। इन उदाहरणों में हमने आक्रमण के विभिन्न प्रकारों और उनके परिणामों को दिखाने का प्रयास किया है। पत्रों के अलावा, एक संभावित हमलावर आवश्यक जानकारी प्राप्त करने के लिए कॉल कर सकता है, लक्ष्य कंपनी के कार्यालय में निष्पादन योग्य फ़ाइलों के साथ मीडिया (उदाहरण के लिए, फ्लैश ड्राइव) को बिखेर सकता है, एक प्रशिक्षु के रूप में नौकरी पा सकता है, स्थानीय नेटवर्क तक भौतिक पहुंच प्राप्त कर सकता है। सीसीटीवी कैमरा इंस्टॉलर की आड़ में। वैसे, ये सभी हमारी सफलतापूर्वक पूर्ण की गई परियोजनाओं के उदाहरण हैं।

भाग 3. शिक्षा तो प्रकाश है, परन्तु न सीखा हुआ अन्धकार है

एक वाजिब सवाल उठता है: अच्छा, ठीक है, सोशल इंजीनियरिंग है, यह खतरनाक लगती है, लेकिन कंपनियों को इस सब के बारे में क्या करना चाहिए? कैप्टन ओब्विअस बचाव के लिए आता है: आपको अपना बचाव करने की जरूरत है, और व्यापक तरीके से। सुरक्षा का कुछ हिस्सा पहले से ही क्लासिक सुरक्षा उपायों पर केंद्रित होगा, जैसे सूचना सुरक्षा के तकनीकी साधन, निगरानी, ​​​​प्रक्रियाओं का संगठनात्मक और कानूनी समर्थन, लेकिन मुख्य हिस्सा, हमारी राय में, कर्मचारियों के साथ सीधे काम करने के लिए निर्देशित किया जाना चाहिए। सबसे कमजोर कड़ी। आख़िरकार, चाहे आप तकनीक को कितना भी मजबूत कर लें या कठोर नियम लिख लें, हमेशा एक उपयोगकर्ता होगा जो सब कुछ तोड़ने का एक नया तरीका खोज लेगा। इसके अलावा, न तो नियम और न ही तकनीक उपयोगकर्ता की रचनात्मकता की उड़ान के साथ टिकेगी, खासकर यदि उसे एक योग्य हमलावर द्वारा प्रेरित किया गया हो।

सबसे पहले, उपयोगकर्ता को प्रशिक्षित करना महत्वपूर्ण है: समझाएं कि उसके नियमित काम में भी सोशल इंजीनियरिंग से संबंधित स्थितियां उत्पन्न हो सकती हैं। अपने ग्राहकों के लिए हम अक्सर आचरण करते हैं पाठ्यक्रम डिजिटल स्वच्छता पर - एक ऐसा आयोजन जो सामान्य तौर पर हमलों का मुकाबला करने के लिए बुनियादी कौशल सिखाता है।

मैं यह जोड़ सकता हूं कि सर्वोत्तम सुरक्षा उपायों में से एक सूचना सुरक्षा नियमों को बिल्कुल भी याद रखना नहीं होगा, बल्कि स्थिति का थोड़ा अलग तरीके से आकलन करना होगा:

1. मेरा वार्ताकार कौन है?
2. उनका प्रस्ताव या अनुरोध कहां से आया (ऐसा पहले कभी नहीं हुआ था, और अब यह सामने आया है)?
3. इस अनुरोध में क्या असामान्य है?

यहां तक ​​कि एक असामान्य प्रकार का पत्र फ़ॉन्ट या भाषण की शैली जो प्रेषक के लिए असामान्य है, संदेह की एक श्रृंखला शुरू कर सकती है जो हमले को रोक देगी। निर्धारित निर्देशों की भी आवश्यकता होती है, लेकिन वे अलग तरह से काम करते हैं और सभी संभावित स्थितियों को निर्दिष्ट नहीं कर सकते हैं। उदाहरण के लिए, सूचना सुरक्षा प्रशासक उनमें लिखते हैं कि आप तृतीय-पक्ष संसाधनों पर अपना पासवर्ड दर्ज नहीं कर सकते। यदि "आपका", "कॉर्पोरेट" नेटवर्क संसाधन पासवर्ड मांगता है तो क्या होगा? उपयोगकर्ता सोचता है: "हमारी कंपनी के पास पहले से ही एक ही खाते से दो दर्जन सेवाएँ हैं, एक और खाता क्यों नहीं?" यह एक और नियम की ओर ले जाता है: एक अच्छी तरह से संरचित कार्य प्रक्रिया भी सीधे सुरक्षा को प्रभावित करती है: यदि कोई पड़ोसी विभाग आपसे केवल लिखित रूप में और केवल आपके प्रबंधक के माध्यम से जानकारी का अनुरोध कर सकता है, तो "कंपनी के विश्वसनीय भागीदार से" कोई व्यक्ति निश्चित रूप से नहीं होगा फ़ोन द्वारा इसका अनुरोध करने में सक्षम - यह आपके लिए बकवास होगा। आपको विशेष रूप से सावधान रहना चाहिए यदि आपका वार्ताकार सब कुछ अभी या "जल्द से जल्द" करने की मांग करता है, क्योंकि लिखना फैशनेबल है। सामान्य कामकाज में भी, यह स्थिति अक्सर स्वस्थ नहीं होती है, और संभावित हमलों के सामने, यह एक मजबूत ट्रिगर है। समझाने का समय नहीं, मेरी फ़ाइल चलाओ!

हमने देखा है कि उपयोगकर्ताओं को हमेशा किसी न किसी रूप में पैसे से संबंधित विषयों द्वारा सामाजिक-तकनीकी हमले के लिए किंवदंतियों के रूप में लक्षित किया जाता है: पदोन्नति, प्राथमिकताओं, उपहारों के वादे, साथ ही कथित स्थानीय गपशप और साज़िश के साथ जानकारी। दूसरे शब्दों में, सामान्य "घातक पाप" काम कर रहे हैं: लाभ की प्यास, लालच और अत्यधिक जिज्ञासा।

अच्छे प्रशिक्षण में हमेशा अभ्यास शामिल होना चाहिए। यह वह जगह है जहां प्रवेश परीक्षण विशेषज्ञ बचाव में आ सकते हैं। अगला सवाल यह है कि हम क्या और कैसे परीक्षण करेंगे? ग्रुप-आईबी में हम निम्नलिखित दृष्टिकोण का प्रस्ताव करते हैं: तुरंत परीक्षण का फोकस चुनें: या तो केवल स्वयं उपयोगकर्ताओं की हमलों के लिए तैयारी का आकलन करें, या समग्र रूप से कंपनी की सुरक्षा की जांच करें। और सोशल इंजीनियरिंग विधियों का उपयोग करके परीक्षण करें, वास्तविक हमलों का अनुकरण करें - यानी, वही फ़िशिंग, निष्पादन योग्य दस्तावेज़, कॉल और अन्य तकनीकें भेजना।

पहले मामले में, ग्राहक के प्रतिनिधियों, मुख्य रूप से उसके आईटी और सूचना सुरक्षा विशेषज्ञों के साथ मिलकर हमले की सावधानीपूर्वक तैयारी की जाती है। किंवदंतियाँ, उपकरण और आक्रमण तकनीक सुसंगत हैं। ग्राहक स्वयं हमले के लिए फ़ोकस समूह और उपयोगकर्ताओं की सूची प्रदान करता है, जिसमें सभी आवश्यक संपर्क शामिल होते हैं। सुरक्षा उपायों पर अपवाद बनाए जाते हैं, क्योंकि संदेश और निष्पादन योग्य लोड प्राप्तकर्ता तक पहुंचना चाहिए, क्योंकि ऐसी परियोजना में केवल लोगों की प्रतिक्रियाएं ही रुचि रखती हैं। वैकल्पिक रूप से, आप हमले में मार्कर शामिल कर सकते हैं, जिससे उपयोगकर्ता अनुमान लगा सकता है कि यह एक हमला है - उदाहरण के लिए, आप संदेशों में वर्तनी की कुछ गलतियाँ कर सकते हैं या कॉर्पोरेट शैली की नकल करते समय अशुद्धियाँ छोड़ सकते हैं। परियोजना के अंत में, वही "सूखे आँकड़े" प्राप्त होते हैं: किस फोकस समूह ने परिदृश्यों पर और किस हद तक प्रतिक्रिया दी।

दूसरे मामले में, हमला "ब्लैक बॉक्स" विधि का उपयोग करके शून्य प्रारंभिक ज्ञान के साथ किया जाता है। हम स्वतंत्र रूप से कंपनी, उसके कर्मचारियों, नेटवर्क परिधि के बारे में जानकारी एकत्र करते हैं, हमले की कहानियां बनाते हैं, तरीकों का चयन करते हैं, लक्ष्य कंपनी में उपयोग किए जाने वाले संभावित सुरक्षा उपायों की तलाश करते हैं, उपकरणों को अनुकूलित करते हैं और परिदृश्य बनाते हैं। हमारे विशेषज्ञ क्लासिक ओपन सोर्स इंटेलिजेंस (OSINT) तरीकों और ग्रुप-आईबी के अपने उत्पाद - थ्रेट इंटेलिजेंस, दोनों का उपयोग करते हैं, एक प्रणाली जो फ़िशिंग की तैयारी करते समय, वर्गीकृत जानकारी सहित लंबी अवधि में किसी कंपनी के बारे में जानकारी के एक एग्रीगेटर के रूप में कार्य कर सकती है। बेशक, ताकि हमला एक अप्रिय आश्चर्य न बन जाए, इसके विवरण पर ग्राहक के साथ भी सहमति जताई जाती है। यह एक पूर्ण पैठ परीक्षण साबित होता है, लेकिन यह उन्नत सोशल इंजीनियरिंग पर आधारित होगा। इस मामले में तार्किक विकल्प आंतरिक सिस्टम में उच्चतम अधिकार प्राप्त करने तक, नेटवर्क के भीतर एक हमला विकसित करना है। वैसे, इसी तरह हम सामाजिक-तकनीकी हमलों का उपयोग करते हैं रेड टीमिंग, और कुछ प्रवेश परीक्षणों में। नतीजतन, ग्राहक को एक निश्चित प्रकार के सामाजिक-तकनीकी हमलों के खिलाफ उनकी सुरक्षा की एक स्वतंत्र व्यापक दृष्टि प्राप्त होगी, साथ ही बाहरी खतरों के खिलाफ रक्षा की निर्मित लाइन की प्रभावशीलता (या, इसके विपरीत, अप्रभावीता) का प्रदर्शन भी प्राप्त होगा।

हम इस प्रशिक्षण को वर्ष में कम से कम दो बार आयोजित करने की अनुशंसा करते हैं। सबसे पहले, किसी भी कंपनी में स्टाफ टर्नओवर होता है और पिछले अनुभव को कर्मचारी धीरे-धीरे भूल जाते हैं। दूसरे, हमलों के तरीके और तकनीकें लगातार बदल रही हैं और इससे सुरक्षा प्रक्रियाओं और सुरक्षा उपकरणों को अनुकूलित करने की आवश्यकता होती है।

यदि हम हमलों से बचाव के लिए तकनीकी उपायों की बात करें, तो निम्नलिखित सबसे अधिक मदद करते हैं:

• इंटरनेट पर प्रकाशित सेवाओं पर अनिवार्य दो-कारक प्रमाणीकरण की उपस्थिति। 2019 में सिंगल साइन ऑन सिस्टम के बिना, पासवर्ड ब्रूट फोर्स के खिलाफ सुरक्षा के बिना और कई सौ लोगों की कंपनी में दो-कारक प्रमाणीकरण के बिना ऐसी सेवाओं को जारी करना "मुझे तोड़ दो" के लिए एक खुली कॉल के समान है। उचित रूप से कार्यान्वित सुरक्षा चुराए गए पासवर्ड का त्वरित उपयोग असंभव बना देगी और फ़िशिंग हमले के परिणामों को खत्म करने का समय देगी।
• अभिगम नियंत्रण को नियंत्रित करना, सिस्टम में उपयोगकर्ता अधिकारों को कम करना, और प्रत्येक प्रमुख निर्माता द्वारा जारी सुरक्षित उत्पाद कॉन्फ़िगरेशन के लिए दिशानिर्देशों का पालन करना। ये अक्सर प्रकृति में सरल होते हैं, लेकिन बहुत प्रभावी और कार्यान्वयन में कठिन उपाय होते हैं, जिन्हें हर कोई, किसी न किसी हद तक, गति के लिए उपेक्षित कर देता है। और कुछ तो इतने आवश्यक हैं कि उनके बिना सुरक्षा का कोई भी साधन नहीं बच पाएगा।
• अच्छी तरह से निर्मित ईमेल फ़िल्टरिंग लाइन। एंटीस्पैम, दुर्भावनापूर्ण कोड के लिए अनुलग्नकों की संपूर्ण स्कैनिंग, जिसमें सैंडबॉक्स के माध्यम से गतिशील परीक्षण भी शामिल है। एक अच्छी तरह से तैयार हमले का मतलब है कि निष्पादन योग्य अनुलग्नक का पता एंटीवायरस टूल द्वारा नहीं लगाया जाएगा। इसके विपरीत, सैंडबॉक्स फ़ाइलों का उसी तरह उपयोग करके हर चीज़ का परीक्षण करेगा, जैसे कोई व्यक्ति उनका उपयोग करता है। परिणामस्वरूप, सैंडबॉक्स के अंदर किए गए परिवर्तनों से एक संभावित दुर्भावनापूर्ण घटक प्रकट होगा।
• लक्षित हमलों से सुरक्षा के साधन. जैसा कि पहले ही उल्लेख किया गया है, क्लासिक एंटीवायरस उपकरण अच्छी तरह से तैयार हमले की स्थिति में दुर्भावनापूर्ण फ़ाइलों का पता नहीं लगाएंगे। सबसे उन्नत उत्पादों को स्वचालित रूप से नेटवर्क पर होने वाली घटनाओं की समग्रता की निगरानी करनी चाहिए - व्यक्तिगत होस्ट के स्तर पर और नेटवर्क के भीतर ट्रैफ़िक के स्तर पर। हमलों के मामले में, घटनाओं की बहुत विशिष्ट शृंखलाएँ दिखाई देती हैं जिन्हें ट्रैक किया जा सकता है और रोका जा सकता है यदि आपकी निगरानी इस प्रकार की घटनाओं पर केंद्रित है।

मूल लेख प्रकाशित पत्रिका "सूचना सुरक्षा/सूचना सुरक्षा" #6, 2019 में।

स्रोत: www.habr.com