ಈ ಪರಿಸ್ಥಿತಿಯನ್ನು ಕಲ್ಪಿಸಿಕೊಳ್ಳಿ. ಶೀತ ಅಕ್ಟೋಬರ್ ಬೆಳಿಗ್ಗೆ, ರಶಿಯಾ ಪ್ರದೇಶದ ಒಂದು ಪ್ರಾದೇಶಿಕ ಕೇಂದ್ರದಲ್ಲಿ ವಿನ್ಯಾಸ ಸಂಸ್ಥೆ. HR ವಿಭಾಗದ ಯಾರೋ ಒಬ್ಬರು ಇನ್ಸ್ಟಿಟ್ಯೂಟ್ ವೆಬ್‌ಸೈಟ್‌ನಲ್ಲಿ ಖಾಲಿ ಇರುವ ಪುಟಗಳಲ್ಲಿ ಒಂದಕ್ಕೆ ಹೋಗಿ, ಒಂದೆರಡು ದಿನಗಳ ಹಿಂದೆ ಪೋಸ್ಟ್ ಮಾಡಿದ್ದಾರೆ ಮತ್ತು ಅಲ್ಲಿ ಬೆಕ್ಕಿನ ಫೋಟೋವನ್ನು ನೋಡುತ್ತಾರೆ. ಬೆಳಿಗ್ಗೆ ಬೇಗನೆ ನೀರಸವಾಗುವುದನ್ನು ನಿಲ್ಲಿಸುತ್ತದೆ ...
ಈ ಲೇಖನದಲ್ಲಿ, ಗ್ರೂಪ್-ಐಬಿಯಲ್ಲಿ ಆಡಿಟ್ ಮತ್ತು ಸಲಹಾ ವಿಭಾಗದ ತಾಂತ್ರಿಕ ಮುಖ್ಯಸ್ಥ ಪಾವೆಲ್ ಸುಪ್ರುನ್ಯುಕ್, ಪ್ರಾಯೋಗಿಕ ಭದ್ರತೆಯನ್ನು ನಿರ್ಣಯಿಸುವ ಯೋಜನೆಗಳಲ್ಲಿ ಸಾಮಾಜಿಕ ತಾಂತ್ರಿಕ ದಾಳಿಯ ಸ್ಥಳ, ಅವರು ಯಾವ ಅಸಾಮಾನ್ಯ ರೂಪಗಳನ್ನು ತೆಗೆದುಕೊಳ್ಳಬಹುದು ಮತ್ತು ಅಂತಹ ದಾಳಿಯಿಂದ ಹೇಗೆ ರಕ್ಷಿಸಿಕೊಳ್ಳುವುದು ಎಂಬುದರ ಕುರಿತು ಮಾತನಾಡುತ್ತಾರೆ. ಲೇಖನವು ವಿಮರ್ಶೆಯ ಸ್ವರೂಪದ್ದಾಗಿದೆ ಎಂದು ಲೇಖಕರು ಸ್ಪಷ್ಟಪಡಿಸುತ್ತಾರೆ, ಆದಾಗ್ಯೂ, ಯಾವುದೇ ಅಂಶವು ಓದುಗರಿಗೆ ಆಸಕ್ತಿಯನ್ನು ಹೊಂದಿದ್ದರೆ, ಗುಂಪು-IB ತಜ್ಞರು ಕಾಮೆಂಟ್‌ಗಳಲ್ಲಿ ಪ್ರಶ್ನೆಗಳಿಗೆ ಸುಲಭವಾಗಿ ಉತ್ತರಿಸುತ್ತಾರೆ.
ಭಾಗ 1. ಏಕೆ ತುಂಬಾ ಗಂಭೀರವಾಗಿದೆ?
ನಮ್ಮ ಬೆಕ್ಕಿಗೆ ಹಿಂತಿರುಗಿ ನೋಡೋಣ. ಸ್ವಲ್ಪ ಸಮಯದ ನಂತರ, ಮಾನವ ಸಂಪನ್ಮೂಲ ವಿಭಾಗವು ಫೋಟೋವನ್ನು ಅಳಿಸುತ್ತದೆ (ಇಲ್ಲಿ ಮತ್ತು ಕೆಳಗಿನ ಸ್ಕ್ರೀನ್‌ಶಾಟ್‌ಗಳನ್ನು ನೈಜ ಹೆಸರುಗಳನ್ನು ಬಹಿರಂಗಪಡಿಸದಂತೆ ಭಾಗಶಃ ಮರುಸಂಪರ್ಕಿಸಲಾಗಿದೆ), ಆದರೆ ಅದು ಮೊಂಡುತನದಿಂದ ಹಿಂತಿರುಗುತ್ತದೆ, ಅದನ್ನು ಮತ್ತೆ ಅಳಿಸಲಾಗುತ್ತದೆ ಮತ್ತು ಇದು ಹಲವಾರು ಬಾರಿ ಸಂಭವಿಸುತ್ತದೆ. ಬೆಕ್ಕು ಅತ್ಯಂತ ಗಂಭೀರವಾದ ಉದ್ದೇಶಗಳನ್ನು ಹೊಂದಿದೆ ಎಂದು ಮಾನವ ಸಂಪನ್ಮೂಲ ಇಲಾಖೆ ಅರ್ಥಮಾಡಿಕೊಂಡಿದೆ, ಅವನು ಬಿಡಲು ಬಯಸುವುದಿಲ್ಲ, ಮತ್ತು ಅವರು ವೆಬ್ ಪ್ರೋಗ್ರಾಮರ್‌ನಿಂದ ಸಹಾಯಕ್ಕಾಗಿ ಕರೆ ಮಾಡುತ್ತಾರೆ - ಸೈಟ್ ಅನ್ನು ರಚಿಸಿದ ಮತ್ತು ಅದನ್ನು ಅರ್ಥಮಾಡಿಕೊಳ್ಳುವ ಮತ್ತು ಈಗ ಅದನ್ನು ನಿರ್ವಹಿಸುವ ವ್ಯಕ್ತಿ. ಪ್ರೋಗ್ರಾಮರ್ ಸೈಟ್‌ಗೆ ಹೋಗಿ, ಕಿರಿಕಿರಿಯುಂಟುಮಾಡುವ ಬೆಕ್ಕನ್ನು ಮತ್ತೊಮ್ಮೆ ಅಳಿಸಿ, ಅದು ಮಾನವ ಸಂಪನ್ಮೂಲ ವಿಭಾಗದ ಪರವಾಗಿ ಪೋಸ್ಟ್ ಮಾಡಲ್ಪಟ್ಟಿದೆ ಎಂದು ಕಂಡುಹಿಡಿದಿದೆ, ನಂತರ ಮಾನವ ಸಂಪನ್ಮೂಲ ವಿಭಾಗದ ಪಾಸ್ವರ್ಡ್ ಕೆಲವು ಆನ್‌ಲೈನ್ ಗೂಂಡಾಗಳಿಗೆ ಸೋರಿಕೆಯಾಗಿದೆ ಎಂದು ಊಹಿಸಿ ಮತ್ತು ಅದನ್ನು ಬದಲಾಯಿಸುತ್ತದೆ. ಬೆಕ್ಕು ಮತ್ತೆ ಕಾಣಿಸುವುದಿಲ್ಲ.
ನಿಜವಾಗಿಯೂ ಏನಾಯಿತು? ಸಂಸ್ಥೆಯನ್ನು ಒಳಗೊಂಡಿರುವ ಕಂಪನಿಗಳ ಗುಂಪಿಗೆ ಸಂಬಂಧಿಸಿದಂತೆ, ಗ್ರೂಪ್-ಐಬಿ ತಜ್ಞರು ರೆಡ್ ಟೀಮಿಂಗ್‌ಗೆ ಹತ್ತಿರವಿರುವ ಸ್ವರೂಪದಲ್ಲಿ ನುಗ್ಗುವ ಪರೀಕ್ಷೆಯನ್ನು ನಡೆಸಿದರು (ಬೇರೆ ರೀತಿಯಲ್ಲಿ ಹೇಳುವುದಾದರೆ, ಇದು ಅತ್ಯಾಧುನಿಕ ವಿಧಾನಗಳು ಮತ್ತು ಸಾಧನಗಳನ್ನು ಬಳಸಿಕೊಂಡು ನಿಮ್ಮ ಕಂಪನಿಯ ಮೇಲೆ ಉದ್ದೇಶಿತ ದಾಳಿಯ ಅನುಕರಣೆಯಾಗಿದೆ. ಹ್ಯಾಕರ್ ಗುಂಪುಗಳ ಆರ್ಸೆನಲ್). ನಾವು ರೆಡ್ ಟೀಮಿಂಗ್ ಬಗ್ಗೆ ವಿವರವಾಗಿ ಮಾತನಾಡಿದ್ದೇವೆ . ಅಂತಹ ಪರೀಕ್ಷೆಯನ್ನು ನಡೆಸುವಾಗ, ಸಾಮಾಜಿಕ ಎಂಜಿನಿಯರಿಂಗ್ ಸೇರಿದಂತೆ ಪೂರ್ವ-ಒಪ್ಪಿಗೆಯ ಆಕ್ರಮಣಗಳ ವ್ಯಾಪಕ ಶ್ರೇಣಿಯನ್ನು ಬಳಸಬಹುದು ಎಂದು ತಿಳಿಯುವುದು ಮುಖ್ಯ. ಬೆಕ್ಕಿನ ನಿಯೋಜನೆಯು ಏನು ನಡೆಯುತ್ತಿದೆ ಎಂಬುದರ ಅಂತಿಮ ಗುರಿಯಾಗಿರಲಿಲ್ಲ ಎಂಬುದು ಸ್ಪಷ್ಟವಾಗಿದೆ. ಮತ್ತು ಕೆಳಗಿನವುಗಳು ಇದ್ದವು:
- ಇನ್‌ಸ್ಟಿಟ್ಯೂಟ್‌ನ ವೆಬ್‌ಸೈಟ್ ಅನ್ನು ಇನ್‌ಸ್ಟಿಟ್ಯೂಟ್‌ನ ನೆಟ್‌ವರ್ಕ್‌ನಲ್ಲಿರುವ ಸರ್ವರ್‌ನಲ್ಲಿ ಹೋಸ್ಟ್ ಮಾಡಲಾಗಿದೆ ಮತ್ತು ಮೂರನೇ ವ್ಯಕ್ತಿಯ ಸರ್ವರ್‌ಗಳಲ್ಲಿ ಅಲ್ಲ;
- ಮಾನವ ಸಂಪನ್ಮೂಲ ವಿಭಾಗದ ಖಾತೆಯಲ್ಲಿ ಸೋರಿಕೆ ಕಂಡುಬಂದಿದೆ (ಇಮೇಲ್ ಲಾಗ್ ಫೈಲ್ ಸೈಟ್‌ನ ಮೂಲದಲ್ಲಿದೆ). ಈ ಖಾತೆಯೊಂದಿಗೆ ಸೈಟ್ ಅನ್ನು ನಿರ್ವಹಿಸುವುದು ಅಸಾಧ್ಯವಾಗಿತ್ತು, ಆದರೆ ಕೆಲಸದ ಪುಟಗಳನ್ನು ಸಂಪಾದಿಸಲು ಸಾಧ್ಯವಾಯಿತು;
- ಪುಟಗಳನ್ನು ಬದಲಾಯಿಸುವ ಮೂಲಕ, ನಿಮ್ಮ ಸ್ಕ್ರಿಪ್ಟ್‌ಗಳನ್ನು ನೀವು ಜಾವಾಸ್ಕ್ರಿಪ್ಟ್‌ನಲ್ಲಿ ಇರಿಸಬಹುದು. ಸಾಮಾನ್ಯವಾಗಿ ಅವರು ಪುಟಗಳನ್ನು ಸಂವಾದಾತ್ಮಕವಾಗಿ ಮಾಡುತ್ತಾರೆ, ಆದರೆ ಈ ಪರಿಸ್ಥಿತಿಯಲ್ಲಿ, ಅದೇ ಸ್ಕ್ರಿಪ್ಟ್‌ಗಳು ಸಂದರ್ಶಕರ ಬ್ರೌಸರ್‌ನಿಂದ ಕದಿಯಬಹುದು, ಅದು ಪ್ರೋಗ್ರಾಮರ್‌ನಿಂದ HR ವಿಭಾಗವನ್ನು ಮತ್ತು ಪ್ರೋಗ್ರಾಮರ್ ಅನ್ನು ಸರಳ ಸಂದರ್ಶಕರಿಂದ ಪ್ರತ್ಯೇಕಿಸುತ್ತದೆ - ಸೈಟ್‌ನಲ್ಲಿನ ಅಧಿವೇಶನ ಗುರುತಿಸುವಿಕೆ. ಬೆಕ್ಕು ದಾಳಿಯ ಪ್ರಚೋದಕ ಮತ್ತು ಗಮನ ಸೆಳೆಯುವ ಚಿತ್ರವಾಗಿತ್ತು. HTML ವೆಬ್‌ಸೈಟ್ ಮಾರ್ಕ್ಅಪ್ ಭಾಷೆಯಲ್ಲಿ, ಇದು ಈ ರೀತಿ ಕಾಣುತ್ತದೆ: ನಿಮ್ಮ ಇಮೇಜ್ ಲೋಡ್ ಆಗಿದ್ದರೆ, JavaScript ಅನ್ನು ಈಗಾಗಲೇ ಕಾರ್ಯಗತಗೊಳಿಸಲಾಗಿದೆ ಮತ್ತು ನಿಮ್ಮ ಬ್ರೌಸರ್ ಮತ್ತು IP ವಿಳಾಸದ ಡೇಟಾದೊಂದಿಗೆ ನಿಮ್ಮ ಸೆಷನ್ ಐಡಿಯನ್ನು ಈಗಾಗಲೇ ಕಳವು ಮಾಡಲಾಗಿದೆ.
- ಕದ್ದ ನಿರ್ವಾಹಕರ ಅಧಿವೇಶನ ID ಯೊಂದಿಗೆ, ಸೈಟ್‌ಗೆ ಪೂರ್ಣ ಪ್ರವೇಶವನ್ನು ಪಡೆಯಲು, PHP ನಲ್ಲಿ ಕಾರ್ಯಗತಗೊಳಿಸಬಹುದಾದ ಪುಟಗಳನ್ನು ಹೋಸ್ಟ್ ಮಾಡಲು ಮತ್ತು ಆದ್ದರಿಂದ ಸರ್ವರ್ ಆಪರೇಟಿಂಗ್ ಸಿಸ್ಟಮ್‌ಗೆ ಪ್ರವೇಶವನ್ನು ಪಡೆಯಲು ಮತ್ತು ನಂತರ ಸ್ಥಳೀಯ ನೆಟ್‌ವರ್ಕ್‌ಗೆ ಪ್ರವೇಶವನ್ನು ಪಡೆಯಲು ಸಾಧ್ಯವಾಗುತ್ತದೆ, ಇದು ಪ್ರಮುಖ ಮಧ್ಯಂತರ ಗುರಿಯಾಗಿತ್ತು. ಯೋಜನೆ.
ದಾಳಿಯು ಭಾಗಶಃ ಯಶಸ್ವಿಯಾಗಿದೆ: ನಿರ್ವಾಹಕರ ಅಧಿವೇಶನ ID ಅನ್ನು ಕಳವು ಮಾಡಲಾಗಿದೆ, ಆದರೆ ಅದನ್ನು IP ವಿಳಾಸದೊಂದಿಗೆ ಬಂಧಿಸಲಾಗಿದೆ. ನಾವು ಇದನ್ನು ನಿಭಾಯಿಸಲು ಸಾಧ್ಯವಾಗಲಿಲ್ಲ; ನಮ್ಮ ಸೈಟ್ ಸವಲತ್ತುಗಳನ್ನು ನಿರ್ವಾಹಕರ ಸವಲತ್ತುಗಳಿಗೆ ಹೆಚ್ಚಿಸಲು ನಮಗೆ ಸಾಧ್ಯವಾಗಲಿಲ್ಲ, ಆದರೆ ನಾವು ನಮ್ಮ ಮನಸ್ಥಿತಿಯನ್ನು ಸುಧಾರಿಸಿದ್ದೇವೆ. ಅಂತಿಮ ಫಲಿತಾಂಶವನ್ನು ಅಂತಿಮವಾಗಿ ನೆಟ್ವರ್ಕ್ ಪರಿಧಿಯ ಮತ್ತೊಂದು ವಿಭಾಗದಲ್ಲಿ ಪಡೆಯಲಾಗಿದೆ.
ಭಾಗ 2. ನಾನು ನಿಮಗೆ ಬರೆಯುತ್ತಿದ್ದೇನೆ - ಇನ್ನೇನು? ನಾನು ನಿಮ್ಮ ಕಛೇರಿಯಲ್ಲಿ ಫ್ಲ್ಯಾಶ್ ಡ್ರೈವ್‌ಗಳನ್ನು ಬಿಡುತ್ತೇನೆ ಮತ್ತು ಕರೆ ಮಾಡುತ್ತೇನೆ ಮತ್ತು ಸುತ್ತಾಡುತ್ತೇನೆ.
ಬೆಕ್ಕಿನೊಂದಿಗಿನ ಪರಿಸ್ಥಿತಿಯಲ್ಲಿ ಏನಾಯಿತು ಎಂಬುದು ಸಾಮಾಜಿಕ ಎಂಜಿನಿಯರಿಂಗ್‌ನ ಉದಾಹರಣೆಯಾಗಿದೆ, ಆದರೂ ಸಾಕಷ್ಟು ಶಾಸ್ತ್ರೀಯವಾಗಿಲ್ಲ. ವಾಸ್ತವವಾಗಿ, ಈ ಕಥೆಯಲ್ಲಿ ಹೆಚ್ಚಿನ ಘಟನೆಗಳು ಇದ್ದವು: ಬೆಕ್ಕು, ಮತ್ತು ಇನ್ಸ್ಟಿಟ್ಯೂಟ್, ಮತ್ತು ಸಿಬ್ಬಂದಿ ವಿಭಾಗ ಮತ್ತು ಪ್ರೋಗ್ರಾಮರ್ ಇತ್ತು, ಆದರೆ "ಅಭ್ಯರ್ಥಿಗಳು" ಎಂದು ಭಾವಿಸಲಾದ ಸಿಬ್ಬಂದಿ ವಿಭಾಗಕ್ಕೆ ಸ್ವತಃ ಮತ್ತು ವೈಯಕ್ತಿಕವಾಗಿ ಬರೆದ ಪ್ರಶ್ನೆಗಳನ್ನು ಸ್ಪಷ್ಟಪಡಿಸುವ ಇಮೇಲ್‌ಗಳು ಸಹ ಇದ್ದವು. ಸೈಟ್ ಪುಟಕ್ಕೆ ಹೋಗಲು ಅವರನ್ನು ಪ್ರಚೋದಿಸುವ ಸಲುವಾಗಿ ಪ್ರೋಗ್ರಾಮರ್ಗೆ.
ಪತ್ರಗಳ ಬಗ್ಗೆ ಮಾತನಾಡುತ್ತಾ. ಸಾಮಾನ್ಯ ಇಮೇಲ್, ಬಹುಶಃ ಸಾಮಾಜಿಕ ಇಂಜಿನಿಯರಿಂಗ್ ಅನ್ನು ನಿರ್ವಹಿಸುವ ಮುಖ್ಯ ವಾಹನ, ಒಂದೆರಡು ದಶಕಗಳಿಂದ ಅದರ ಪ್ರಸ್ತುತತೆಯನ್ನು ಕಳೆದುಕೊಂಡಿಲ್ಲ ಮತ್ತು ಕೆಲವೊಮ್ಮೆ ಅತ್ಯಂತ ಅಸಾಮಾನ್ಯ ಪರಿಣಾಮಗಳಿಗೆ ಕಾರಣವಾಗುತ್ತದೆ.
ನಮ್ಮ ಈವೆಂಟ್‌ಗಳಲ್ಲಿ ನಾವು ಈ ಕೆಳಗಿನ ಕಥೆಯನ್ನು ಆಗಾಗ್ಗೆ ಹೇಳುತ್ತೇವೆ, ಏಕೆಂದರೆ ಅದು ತುಂಬಾ ಬಹಿರಂಗವಾಗಿದೆ.
ಸಾಮಾನ್ಯವಾಗಿ, ಸಾಮಾಜಿಕ ಎಂಜಿನಿಯರಿಂಗ್ ಯೋಜನೆಗಳ ಫಲಿತಾಂಶಗಳ ಆಧಾರದ ಮೇಲೆ, ನಾವು ಅಂಕಿಅಂಶಗಳನ್ನು ಕಂಪೈಲ್ ಮಾಡುತ್ತೇವೆ, ಇದು ನಮಗೆ ತಿಳಿದಿರುವಂತೆ, ಶುಷ್ಕ ಮತ್ತು ನೀರಸ ವಿಷಯವಾಗಿದೆ. ಎಷ್ಟು ಪ್ರತಿಶತ ಸ್ವೀಕೃತದಾರರು ಪತ್ರದಿಂದ ಲಗತ್ತನ್ನು ತೆರೆದರು, ಅನೇಕರು ಲಿಂಕ್ ಅನ್ನು ಅನುಸರಿಸಿದರು, ಆದರೆ ಈ ಮೂವರು ವಾಸ್ತವವಾಗಿ ತಮ್ಮ ಬಳಕೆದಾರಹೆಸರು ಮತ್ತು ಪಾಸ್ವರ್ಡ್ ಅನ್ನು ನಮೂದಿಸಿದ್ದಾರೆ. ಒಂದು ಯೋಜನೆಯಲ್ಲಿ, ನಾವು ನಮೂದಿಸಿದ 100% ಕ್ಕಿಂತ ಹೆಚ್ಚು ಪಾಸ್‌ವರ್ಡ್‌ಗಳನ್ನು ಸ್ವೀಕರಿಸಿದ್ದೇವೆ - ಅಂದರೆ, ನಾವು ಕಳುಹಿಸಿದ್ದಕ್ಕಿಂತ ಹೆಚ್ಚಿನವು ಹೊರಬಂದಿವೆ.
ಇದು ಈ ರೀತಿ ಸಂಭವಿಸಿದೆ: "ಮೇಲ್ ಸೇವೆಯಲ್ಲಿನ ಬದಲಾವಣೆಗಳನ್ನು ತುರ್ತಾಗಿ ಪರೀಕ್ಷಿಸುವ" ಬೇಡಿಕೆಯೊಂದಿಗೆ ರಾಜ್ಯ ನಿಗಮದ CISO ನಿಂದ ಫಿಶಿಂಗ್ ಪತ್ರವನ್ನು ಕಳುಹಿಸಲಾಗಿದೆ. ಪತ್ರವು ತಾಂತ್ರಿಕ ಬೆಂಬಲದೊಂದಿಗೆ ವ್ಯವಹರಿಸಿದ ದೊಡ್ಡ ವಿಭಾಗದ ಮುಖ್ಯಸ್ಥರನ್ನು ತಲುಪಿತು. ವ್ಯವಸ್ಥಾಪಕರು ಉನ್ನತ ಅಧಿಕಾರಿಗಳ ಸೂಚನೆಗಳನ್ನು ಬಹಳ ಶ್ರದ್ಧೆಯಿಂದ ನಿರ್ವಹಿಸುತ್ತಿದ್ದರು ಮತ್ತು ಅವುಗಳನ್ನು ಎಲ್ಲಾ ಅಧೀನ ಅಧಿಕಾರಿಗಳಿಗೆ ರವಾನಿಸಿದರು. ಕಾಲ್ ಸೆಂಟರ್ ಸ್ವತಃ ಸಾಕಷ್ಟು ದೊಡ್ಡದಾಗಿದೆ. ಸಾಮಾನ್ಯವಾಗಿ, ಯಾರಾದರೂ ತಮ್ಮ ಸಹೋದ್ಯೋಗಿಗಳಿಗೆ "ಆಸಕ್ತಿದಾಯಕ" ಫಿಶಿಂಗ್ ಇಮೇಲ್‌ಗಳನ್ನು ಫಾರ್ವರ್ಡ್ ಮಾಡುವ ಸಂದರ್ಭಗಳು ಮತ್ತು ಅವರು ಸಿಕ್ಕಿಬೀಳುವುದು ಸಾಕಷ್ಟು ಸಾಮಾನ್ಯ ಘಟನೆಯಾಗಿದೆ. ನಮಗೆ, ಪತ್ರ ಬರೆಯುವ ಗುಣಮಟ್ಟದ ಬಗ್ಗೆ ಇದು ಅತ್ಯುತ್ತಮ ಪ್ರತಿಕ್ರಿಯೆಯಾಗಿದೆ.
ಸ್ವಲ್ಪ ಸಮಯದ ನಂತರ ಅವರು ನಮ್ಮ ಬಗ್ಗೆ ಕಂಡುಕೊಂಡರು (ಪತ್ರವನ್ನು ರಾಜಿ ಮಾಡಿದ ಅಂಚೆಪೆಟ್ಟಿಗೆಯಲ್ಲಿ ತೆಗೆದುಕೊಳ್ಳಲಾಗಿದೆ):
ಕ್ಲೈಂಟ್‌ನ ಮೇಲ್ ವ್ಯವಸ್ಥೆಯಲ್ಲಿನ ಹಲವಾರು ತಾಂತ್ರಿಕ ನ್ಯೂನತೆಗಳನ್ನು ಮೇಲಿಂಗ್ ದುರ್ಬಳಕೆ ಮಾಡಿಕೊಂಡಿರುವುದು ದಾಳಿಯ ಯಶಸ್ಸಿಗೆ ಕಾರಣವಾಗಿದೆ. ಸಂಸ್ಥೆಯ ಯಾವುದೇ ಕಳುಹಿಸುವವರ ಪರವಾಗಿ ಯಾವುದೇ ಪತ್ರಗಳನ್ನು ಅನುಮತಿಯಿಲ್ಲದೆ ಇಂಟರ್ನೆಟ್‌ನಿಂದಲೂ ಕಳುಹಿಸಲು ಸಾಧ್ಯವಾಗುವ ರೀತಿಯಲ್ಲಿ ಇದನ್ನು ಕಾನ್ಫಿಗರ್ ಮಾಡಲಾಗಿದೆ. ಅಂದರೆ, ನೀವು CISO, ಅಥವಾ ತಾಂತ್ರಿಕ ಬೆಂಬಲದ ಮುಖ್ಯಸ್ಥ ಅಥವಾ ಬೇರೆಯವರಂತೆ ನಟಿಸಬಹುದು. ಇದಲ್ಲದೆ, ಮೇಲ್ ಇಂಟರ್ಫೇಸ್, "ಅದರ" ಡೊಮೇನ್‌ನಿಂದ ಅಕ್ಷರಗಳನ್ನು ಗಮನಿಸಿ, ವಿಳಾಸ ಪುಸ್ತಕದಿಂದ ಫೋಟೋವನ್ನು ಎಚ್ಚರಿಕೆಯಿಂದ ಸೇರಿಸಿತು, ಇದು ಕಳುಹಿಸುವವರಿಗೆ ನೈಸರ್ಗಿಕತೆಯನ್ನು ಸೇರಿಸಿತು.
ಸತ್ಯದಲ್ಲಿ, ಅಂತಹ ದಾಳಿಯು ನಿರ್ದಿಷ್ಟವಾಗಿ ಸಂಕೀರ್ಣವಾದ ತಂತ್ರಜ್ಞಾನವಲ್ಲ; ಇದು ಮೇಲ್ ಸೆಟ್ಟಿಂಗ್‌ಗಳಲ್ಲಿನ ಮೂಲಭೂತ ದೋಷದ ಯಶಸ್ವಿ ಶೋಷಣೆಯಾಗಿದೆ. ವಿಶೇಷ ಐಟಿ ಮತ್ತು ಮಾಹಿತಿ ಭದ್ರತಾ ಸಂಪನ್ಮೂಲಗಳ ಮೇಲೆ ಇದನ್ನು ನಿಯಮಿತವಾಗಿ ಪರಿಶೀಲಿಸಲಾಗುತ್ತದೆ, ಆದರೆ ಅದೇನೇ ಇದ್ದರೂ, ಈ ಎಲ್ಲವನ್ನು ಹೊಂದಿರುವ ಕಂಪನಿಗಳು ಇನ್ನೂ ಇವೆ. SMTP ಮೇಲ್ ಪ್ರೋಟೋಕಾಲ್‌ನ ಸೇವಾ ಹೆಡರ್‌ಗಳನ್ನು ಸಂಪೂರ್ಣವಾಗಿ ಪರಿಶೀಲಿಸಲು ಯಾರೂ ಒಲವು ತೋರದ ಕಾರಣ, ಮೇಲ್ ಇಂಟರ್ಫೇಸ್‌ನಲ್ಲಿ ಎಚ್ಚರಿಕೆ ಐಕಾನ್‌ಗಳನ್ನು ಬಳಸಿಕೊಂಡು "ಅಪಾಯ" ಗಾಗಿ ಪತ್ರವನ್ನು ಸಾಮಾನ್ಯವಾಗಿ ಪರಿಶೀಲಿಸಲಾಗುತ್ತದೆ, ಅದು ಯಾವಾಗಲೂ ಸಂಪೂರ್ಣ ಚಿತ್ರವನ್ನು ಪ್ರದರ್ಶಿಸುವುದಿಲ್ಲ.
ಕುತೂಹಲಕಾರಿಯಾಗಿ, ಇದೇ ರೀತಿಯ ದುರ್ಬಲತೆಯು ಇತರ ದಿಕ್ಕಿನಲ್ಲಿಯೂ ಕಾರ್ಯನಿರ್ವಹಿಸುತ್ತದೆ: ಆಕ್ರಮಣಕಾರರು ನಿಮ್ಮ ಕಂಪನಿಯ ಪರವಾಗಿ ಮೂರನೇ ವ್ಯಕ್ತಿಯ ಸ್ವೀಕರಿಸುವವರಿಗೆ ಇಮೇಲ್ ಕಳುಹಿಸಬಹುದು. ಉದಾಹರಣೆಗೆ, ಅವರು ನಿಮ್ಮ ಪರವಾಗಿ ನಿಯಮಿತ ಪಾವತಿಗಾಗಿ ಇನ್ವಾಯ್ಸ್ ಅನ್ನು ಸುಳ್ಳು ಮಾಡಬಹುದು, ನಿಮ್ಮ ಬದಲಿಗೆ ಇತರ ವಿವರಗಳನ್ನು ಸೂಚಿಸುತ್ತದೆ. ವಂಚನೆ-ವಿರೋಧಿ ಮತ್ತು ನಗದು-ಔಟ್ ಸಮಸ್ಯೆಗಳ ಹೊರತಾಗಿ, ಇದು ಬಹುಶಃ ಸಾಮಾಜಿಕ ಎಂಜಿನಿಯರಿಂಗ್ ಮೂಲಕ ಹಣವನ್ನು ಕದಿಯಲು ಸುಲಭವಾದ ಮಾರ್ಗಗಳಲ್ಲಿ ಒಂದಾಗಿದೆ.
ಫಿಶಿಂಗ್ ಮೂಲಕ ಪಾಸ್‌ವರ್ಡ್‌ಗಳನ್ನು ಕದಿಯುವುದರ ಜೊತೆಗೆ, ಕ್ಲಾಸಿಕ್ ಸೋಷಿಯೋಟೆಕ್ನಿಕಲ್ ದಾಳಿಯು ಕಾರ್ಯಗತಗೊಳಿಸಬಹುದಾದ ಲಗತ್ತುಗಳನ್ನು ಕಳುಹಿಸುತ್ತಿದೆ. ಈ ಹೂಡಿಕೆಗಳು ಎಲ್ಲಾ ಭದ್ರತಾ ಕ್ರಮಗಳನ್ನು ಜಯಿಸಿದರೆ, ಆಧುನಿಕ ಕಂಪನಿಗಳು ಸಾಮಾನ್ಯವಾಗಿ ಅನೇಕವನ್ನು ಹೊಂದಿದ್ದರೆ, ಬಲಿಪಶುವಿನ ಕಂಪ್ಯೂಟರ್ಗೆ ರಿಮೋಟ್ ಪ್ರವೇಶ ಚಾನಲ್ ಅನ್ನು ರಚಿಸಲಾಗುತ್ತದೆ. ದಾಳಿಯ ಪರಿಣಾಮಗಳನ್ನು ಪ್ರದರ್ಶಿಸಲು, ಪರಿಣಾಮವಾಗಿ ರಿಮೋಟ್ ಕಂಟ್ರೋಲ್ ಅನ್ನು ನಿರ್ದಿಷ್ಟವಾಗಿ ಪ್ರಮುಖ ಗೌಪ್ಯ ಮಾಹಿತಿಯನ್ನು ಪ್ರವೇಶಿಸಲು ಅಭಿವೃದ್ಧಿಪಡಿಸಬಹುದು. ಎಲ್ಲರನ್ನೂ ಹೆದರಿಸಲು ಮಾಧ್ಯಮಗಳು ಬಳಸುವ ಬಹುಪಾಲು ದಾಳಿಗಳು ನಿಖರವಾಗಿ ಹೀಗೆಯೇ ಪ್ರಾರಂಭವಾಗುತ್ತವೆ ಎಂಬುದು ಗಮನಾರ್ಹ.
ನಮ್ಮ ಆಡಿಟ್ ವಿಭಾಗದಲ್ಲಿ, ವಿನೋದಕ್ಕಾಗಿ, ನಾವು ಅಂದಾಜು ಅಂಕಿಅಂಶಗಳನ್ನು ಲೆಕ್ಕ ಹಾಕುತ್ತೇವೆ: ಮುಖ್ಯವಾಗಿ ಫಿಶಿಂಗ್ ಮತ್ತು ಕಾರ್ಯಗತಗೊಳಿಸಬಹುದಾದ ಲಗತ್ತುಗಳನ್ನು ಕಳುಹಿಸುವ ಮೂಲಕ ನಾವು ಡೊಮೇನ್ ನಿರ್ವಾಹಕರ ಪ್ರವೇಶವನ್ನು ಪಡೆದಿರುವ ಕಂಪನಿಗಳ ಆಸ್ತಿಗಳ ಒಟ್ಟು ಮೌಲ್ಯ ಎಷ್ಟು? ಈ ವರ್ಷ ಅದು ಸರಿಸುಮಾರು 150 ಬಿಲಿಯನ್ ಯುರೋಗಳನ್ನು ತಲುಪಿದೆ.
ಪ್ರಚೋದನಕಾರಿ ಇಮೇಲ್‌ಗಳನ್ನು ಕಳುಹಿಸುವುದು ಮತ್ತು ವೆಬ್‌ಸೈಟ್‌ಗಳಲ್ಲಿ ಬೆಕ್ಕುಗಳ ಫೋಟೋಗಳನ್ನು ಪೋಸ್ಟ್ ಮಾಡುವುದು ಸಾಮಾಜಿಕ ಎಂಜಿನಿಯರಿಂಗ್‌ನ ಏಕೈಕ ವಿಧಾನವಲ್ಲ ಎಂಬುದು ಸ್ಪಷ್ಟವಾಗಿದೆ. ಈ ಉದಾಹರಣೆಗಳಲ್ಲಿ ನಾವು ವಿವಿಧ ರೀತಿಯ ದಾಳಿಯ ರೂಪಗಳು ಮತ್ತು ಅವುಗಳ ಪರಿಣಾಮಗಳನ್ನು ತೋರಿಸಲು ಪ್ರಯತ್ನಿಸಿದ್ದೇವೆ. ಅಕ್ಷರಗಳ ಜೊತೆಗೆ, ಸಂಭಾವ್ಯ ಆಕ್ರಮಣಕಾರರು ಅಗತ್ಯ ಮಾಹಿತಿಯನ್ನು ಪಡೆಯಲು ಕರೆ ಮಾಡಬಹುದು, ಗುರಿ ಕಂಪನಿಯ ಕಚೇರಿಯಲ್ಲಿ ಕಾರ್ಯಗತಗೊಳಿಸಬಹುದಾದ ಫೈಲ್‌ಗಳೊಂದಿಗೆ ಮಾಧ್ಯಮವನ್ನು (ಉದಾಹರಣೆಗೆ, ಫ್ಲ್ಯಾಷ್ ಡ್ರೈವ್‌ಗಳು) ಸ್ಕ್ಯಾಟರ್ ಮಾಡಬಹುದು, ಇಂಟರ್ನ್ ಆಗಿ ಕೆಲಸ ಪಡೆಯಿರಿ, ಸ್ಥಳೀಯ ನೆಟ್‌ವರ್ಕ್‌ಗೆ ಭೌತಿಕ ಪ್ರವೇಶವನ್ನು ಪಡೆಯಬಹುದು ಸಿಸಿಟಿವಿ ಕ್ಯಾಮೆರಾ ಅಳವಡಿಸುವ ನೆಪದಲ್ಲಿ. ಇವೆಲ್ಲವೂ, ನಮ್ಮ ಯಶಸ್ವಿಯಾಗಿ ಪೂರ್ಣಗೊಂಡ ಯೋಜನೆಗಳ ಉದಾಹರಣೆಗಳಾಗಿವೆ.
ಭಾಗ 3. ಬೋಧನೆ ಬೆಳಕು, ಆದರೆ ಕಲಿಯದಿರುವುದು ಕತ್ತಲೆ
ಸಮಂಜಸವಾದ ಪ್ರಶ್ನೆ ಉದ್ಭವಿಸುತ್ತದೆ: ಸರಿ, ಸರಿ, ಸಾಮಾಜಿಕ ಎಂಜಿನಿಯರಿಂಗ್ ಇದೆ, ಇದು ಅಪಾಯಕಾರಿ ಎಂದು ತೋರುತ್ತದೆ, ಆದರೆ ಈ ಎಲ್ಲದರ ಬಗ್ಗೆ ಕಂಪನಿಗಳು ಏನು ಮಾಡಬೇಕು? ಕ್ಯಾಪ್ಟನ್ ಒಬ್ವಿಯಸ್ ಪಾರುಗಾಣಿಕಾಕ್ಕೆ ಬರುತ್ತಾನೆ: ನೀವು ನಿಮ್ಮನ್ನು ರಕ್ಷಿಸಿಕೊಳ್ಳಬೇಕು ಮತ್ತು ಸಮಗ್ರ ರೀತಿಯಲ್ಲಿ. ರಕ್ಷಣೆಯ ಕೆಲವು ಭಾಗವು ಈಗಾಗಲೇ ಕ್ಲಾಸಿಕ್ ಭದ್ರತಾ ಕ್ರಮಗಳನ್ನು ಗುರಿಯಾಗಿರಿಸಿಕೊಂಡಿದೆ, ಉದಾಹರಣೆಗೆ ಮಾಹಿತಿ ರಕ್ಷಣೆಯ ತಾಂತ್ರಿಕ ವಿಧಾನಗಳು, ಮೇಲ್ವಿಚಾರಣೆ, ಪ್ರಕ್ರಿಯೆಗಳ ಸಾಂಸ್ಥಿಕ ಮತ್ತು ಕಾನೂನು ಬೆಂಬಲ, ಆದರೆ ಮುಖ್ಯ ಭಾಗವು ನಮ್ಮ ಅಭಿಪ್ರಾಯದಲ್ಲಿ, ಉದ್ಯೋಗಿಗಳೊಂದಿಗೆ ನೇರ ಕೆಲಸ ಮಾಡಲು ನಿರ್ದೇಶಿಸಬೇಕು. ದುರ್ಬಲ ಲಿಂಕ್. ಎಲ್ಲಾ ನಂತರ, ನೀವು ತಂತ್ರಜ್ಞಾನವನ್ನು ಎಷ್ಟು ಬಲಪಡಿಸಿದರೂ ಅಥವಾ ಕಠಿಣ ನಿಯಮಗಳನ್ನು ಬರೆದರೂ, ಎಲ್ಲವನ್ನೂ ಮುರಿಯಲು ಹೊಸ ಮಾರ್ಗವನ್ನು ಕಂಡುಕೊಳ್ಳುವ ಬಳಕೆದಾರರು ಯಾವಾಗಲೂ ಇರುತ್ತಾರೆ. ಇದಲ್ಲದೆ, ನಿಯಮಗಳು ಅಥವಾ ತಂತ್ರಜ್ಞಾನವು ಬಳಕೆದಾರರ ಸೃಜನಶೀಲತೆಯ ಹಾರಾಟವನ್ನು ಮುಂದುವರಿಸುವುದಿಲ್ಲ, ವಿಶೇಷವಾಗಿ ಅವನು ಅರ್ಹ ಆಕ್ರಮಣಕಾರರಿಂದ ಪ್ರೇರೇಪಿಸಲ್ಪಟ್ಟರೆ.
ಮೊದಲನೆಯದಾಗಿ, ಬಳಕೆದಾರರಿಗೆ ತರಬೇತಿ ನೀಡುವುದು ಮುಖ್ಯ: ಅವರ ದಿನನಿತ್ಯದ ಕೆಲಸದಲ್ಲಿಯೂ ಸಹ ಸಾಮಾಜಿಕ ಎಂಜಿನಿಯರಿಂಗ್‌ಗೆ ಸಂಬಂಧಿಸಿದ ಸಂದರ್ಭಗಳು ಉದ್ಭವಿಸಬಹುದು ಎಂದು ವಿವರಿಸಿ. ನಮ್ಮ ಗ್ರಾಹಕರಿಗೆ ನಾವು ಆಗಾಗ್ಗೆ ನಡೆಸುತ್ತೇವೆ ಡಿಜಿಟಲ್ ನೈರ್ಮಲ್ಯದ ಕುರಿತು - ಸಾಮಾನ್ಯವಾಗಿ ದಾಳಿಗಳನ್ನು ಎದುರಿಸಲು ಮೂಲಭೂತ ಕೌಶಲ್ಯಗಳನ್ನು ಕಲಿಸುವ ಈವೆಂಟ್.
ಮಾಹಿತಿ ಭದ್ರತಾ ನಿಯಮಗಳನ್ನು ನೆನಪಿಟ್ಟುಕೊಳ್ಳುವುದು ಉತ್ತಮ ರಕ್ಷಣಾ ಕ್ರಮಗಳಲ್ಲಿ ಒಂದಲ್ಲ, ಆದರೆ ಪರಿಸ್ಥಿತಿಯನ್ನು ಸ್ವಲ್ಪ ಬೇರ್ಪಟ್ಟ ರೀತಿಯಲ್ಲಿ ನಿರ್ಣಯಿಸುವುದು ಎಂದು ನಾನು ಸೇರಿಸಬಹುದು:
- ನನ್ನ ಸಂವಾದಕ ಯಾರು?
- ಅವರ ಪ್ರಸ್ತಾಪ ಅಥವಾ ವಿನಂತಿಯು ಎಲ್ಲಿಂದ ಬಂತು (ಇದು ಹಿಂದೆಂದೂ ಸಂಭವಿಸಿಲ್ಲ, ಮತ್ತು ಈಗ ಅದು ಕಾಣಿಸಿಕೊಂಡಿದೆ)?
- ಈ ವಿನಂತಿಯಲ್ಲಿ ಅಸಹಜವಾದದ್ದೇನಿದೆ?
ಪತ್ರದ ಫಾಂಟ್‌ನ ಅಸಾಮಾನ್ಯ ಪ್ರಕಾರ ಅಥವಾ ಕಳುಹಿಸುವವರಿಗೆ ಅಸಾಮಾನ್ಯವಾದ ಮಾತಿನ ಶೈಲಿಯು ಸಹ ದಾಳಿಯನ್ನು ನಿಲ್ಲಿಸುವ ಅನುಮಾನದ ಸರಪಳಿಯನ್ನು ಹೊಂದಿಸಬಹುದು. ಸೂಚಿಸಲಾದ ಸೂಚನೆಗಳು ಸಹ ಅಗತ್ಯವಿದೆ, ಆದರೆ ಅವು ವಿಭಿನ್ನವಾಗಿ ಕಾರ್ಯನಿರ್ವಹಿಸುತ್ತವೆ ಮತ್ತು ಎಲ್ಲಾ ಸಂಭವನೀಯ ಸಂದರ್ಭಗಳನ್ನು ನಿರ್ದಿಷ್ಟಪಡಿಸಲು ಸಾಧ್ಯವಿಲ್ಲ. ಉದಾಹರಣೆಗೆ, ಮೂರನೇ ವ್ಯಕ್ತಿಯ ಸಂಪನ್ಮೂಲಗಳಲ್ಲಿ ನಿಮ್ಮ ಪಾಸ್ವರ್ಡ್ ಅನ್ನು ನಮೂದಿಸಲು ಸಾಧ್ಯವಿಲ್ಲ ಎಂದು ಮಾಹಿತಿ ಭದ್ರತಾ ನಿರ್ವಾಹಕರು ಅವುಗಳಲ್ಲಿ ಬರೆಯುತ್ತಾರೆ. "ನಿಮ್ಮ", "ಕಾರ್ಪೊರೇಟ್" ನೆಟ್ವರ್ಕ್ ಸಂಪನ್ಮೂಲವು ಪಾಸ್ವರ್ಡ್ ಅನ್ನು ಕೇಳಿದರೆ ಏನು? ಬಳಕೆದಾರರು ಯೋಚಿಸುತ್ತಾರೆ: "ನಮ್ಮ ಕಂಪನಿಯು ಈಗಾಗಲೇ ಒಂದೇ ಖಾತೆಯೊಂದಿಗೆ ಎರಡು ಡಜನ್ ಸೇವೆಗಳನ್ನು ಹೊಂದಿದೆ, ಇನ್ನೊಂದು ಖಾತೆಯನ್ನು ಏಕೆ ಹೊಂದಿಲ್ಲ?" ಇದು ಮತ್ತೊಂದು ನಿಯಮಕ್ಕೆ ಕಾರಣವಾಗುತ್ತದೆ: ಉತ್ತಮವಾಗಿ-ರಚನಾತ್ಮಕ ಕೆಲಸದ ಪ್ರಕ್ರಿಯೆಯು ಭದ್ರತೆಯ ಮೇಲೆ ನೇರವಾಗಿ ಪರಿಣಾಮ ಬೀರುತ್ತದೆ: ನೆರೆಯ ಇಲಾಖೆಯು ನಿಮ್ಮಿಂದ ಬರವಣಿಗೆಯಲ್ಲಿ ಮತ್ತು ನಿಮ್ಮ ವ್ಯವಸ್ಥಾಪಕರ ಮೂಲಕ ಮಾತ್ರ ಮಾಹಿತಿಯನ್ನು ಕೋರಿದರೆ, "ಕಂಪನಿಯ ವಿಶ್ವಾಸಾರ್ಹ ಪಾಲುದಾರರಿಂದ" ಒಬ್ಬ ವ್ಯಕ್ತಿಯು ಖಂಡಿತವಾಗಿಯೂ ಆಗುವುದಿಲ್ಲ. ಫೋನ್ ಮೂಲಕ ವಿನಂತಿಸಲು ಸಾಧ್ಯವಾಗುತ್ತದೆ - ಇದು ನಿಮಗೆ ಅಸಂಬದ್ಧವಾಗಿರುತ್ತದೆ. ನಿಮ್ಮ ಸಂವಾದಕನು ಇದೀಗ ಎಲ್ಲವನ್ನೂ ಮಾಡಲು ಒತ್ತಾಯಿಸಿದರೆ ಅಥವಾ "ಎಎಸ್ಎಪಿ", ಬರೆಯಲು ಫ್ಯಾಶನ್ ಆಗಿರುವುದರಿಂದ ನೀವು ವಿಶೇಷವಾಗಿ ಜಾಗರೂಕರಾಗಿರಬೇಕು. ಸಾಮಾನ್ಯ ಕೆಲಸದಲ್ಲಿಯೂ ಸಹ, ಈ ಪರಿಸ್ಥಿತಿಯು ಸಾಮಾನ್ಯವಾಗಿ ಆರೋಗ್ಯಕರವಾಗಿರುವುದಿಲ್ಲ, ಮತ್ತು ಸಂಭವನೀಯ ದಾಳಿಗಳ ಮುಖಾಂತರ, ಇದು ಬಲವಾದ ಪ್ರಚೋದಕವಾಗಿದೆ. ವಿವರಿಸಲು ಸಮಯವಿಲ್ಲ, ನನ್ನ ಫೈಲ್ ಅನ್ನು ರನ್ ಮಾಡಿ!
ಒಂದಲ್ಲ ಒಂದು ರೂಪದಲ್ಲಿ ಹಣಕ್ಕೆ ಸಂಬಂಧಿಸಿದ ವಿಷಯಗಳ ಮೂಲಕ ಬಳಕೆದಾರರು ಯಾವಾಗಲೂ ಸಾಮಾಜಿಕ ತಂತ್ರಜ್ಞಾನದ ದಾಳಿಗೆ ದಂತಕಥೆಗಳಾಗಿ ಗುರಿಯಾಗಿರುವುದನ್ನು ನಾವು ಗಮನಿಸುತ್ತೇವೆ: ಪ್ರಚಾರಗಳ ಭರವಸೆಗಳು, ಆದ್ಯತೆಗಳು, ಉಡುಗೊರೆಗಳು, ಹಾಗೆಯೇ ಸ್ಥಳೀಯ ಗಾಸಿಪ್ ಮತ್ತು ಒಳಸಂಚುಗಳಿರುವ ಮಾಹಿತಿ. ಬೇರೆ ರೀತಿಯಲ್ಲಿ ಹೇಳುವುದಾದರೆ, ನೀರಸ "ಮಾರಣಾಂತಿಕ ಪಾಪಗಳು" ಕೆಲಸದಲ್ಲಿವೆ: ಲಾಭಕ್ಕಾಗಿ ಬಾಯಾರಿಕೆ, ದುರಾಶೆ ಮತ್ತು ಅತಿಯಾದ ಕುತೂಹಲ.
ಉತ್ತಮ ತರಬೇತಿ ಯಾವಾಗಲೂ ಅಭ್ಯಾಸವನ್ನು ಒಳಗೊಂಡಿರಬೇಕು. ಇಲ್ಲಿಯೇ ನುಗ್ಗುವ ಪರೀಕ್ಷಾ ತಜ್ಞರು ರಕ್ಷಣೆಗೆ ಬರಬಹುದು. ಮುಂದಿನ ಪ್ರಶ್ನೆ: ನಾವು ಏನು ಮತ್ತು ಹೇಗೆ ಪರೀಕ್ಷಿಸುತ್ತೇವೆ? ಗ್ರೂಪ್-ಐಬಿಯಲ್ಲಿ ನಾವು ಈ ಕೆಳಗಿನ ವಿಧಾನವನ್ನು ಪ್ರಸ್ತಾಪಿಸುತ್ತೇವೆ: ಪರೀಕ್ಷೆಯ ಗಮನವನ್ನು ತಕ್ಷಣವೇ ಆಯ್ಕೆಮಾಡಿ: ಬಳಕೆದಾರರ ದಾಳಿಯ ಸಿದ್ಧತೆಯನ್ನು ನಿರ್ಣಯಿಸಿ ಅಥವಾ ಒಟ್ಟಾರೆಯಾಗಿ ಕಂಪನಿಯ ಸುರಕ್ಷತೆಯನ್ನು ಪರಿಶೀಲಿಸಿ. ಮತ್ತು ಸೋಶಿಯಲ್ ಇಂಜಿನಿಯರಿಂಗ್ ವಿಧಾನಗಳನ್ನು ಬಳಸಿಕೊಂಡು ಪರೀಕ್ಷಿಸಿ, ನೈಜ ದಾಳಿಗಳನ್ನು ಅನುಕರಿಸುವುದು - ಅಂದರೆ, ಅದೇ ಫಿಶಿಂಗ್, ಕಾರ್ಯಗತಗೊಳಿಸಬಹುದಾದ ದಾಖಲೆಗಳು, ಕರೆಗಳು ಮತ್ತು ಇತರ ತಂತ್ರಗಳನ್ನು ಕಳುಹಿಸುವುದು.
ಮೊದಲ ಪ್ರಕರಣದಲ್ಲಿ, ಗ್ರಾಹಕರ ಪ್ರತಿನಿಧಿಗಳೊಂದಿಗೆ ಮುಖ್ಯವಾಗಿ ಅದರ ಐಟಿ ಮತ್ತು ಮಾಹಿತಿ ಭದ್ರತಾ ತಜ್ಞರೊಂದಿಗೆ ದಾಳಿಯನ್ನು ಎಚ್ಚರಿಕೆಯಿಂದ ತಯಾರಿಸಲಾಗುತ್ತದೆ. ದಂತಕಥೆಗಳು, ಉಪಕರಣಗಳು ಮತ್ತು ದಾಳಿ ತಂತ್ರಗಳು ಸ್ಥಿರವಾಗಿವೆ. ಗ್ರಾಹಕರು ಸ್ವತಃ ಗಮನ ಗುಂಪುಗಳು ಮತ್ತು ದಾಳಿಗಾಗಿ ಬಳಕೆದಾರರ ಪಟ್ಟಿಗಳನ್ನು ಒದಗಿಸುತ್ತಾರೆ, ಇದರಲ್ಲಿ ಎಲ್ಲಾ ಅಗತ್ಯ ಸಂಪರ್ಕಗಳು ಸೇರಿವೆ. ಭದ್ರತಾ ಕ್ರಮಗಳ ಮೇಲೆ ವಿನಾಯಿತಿಗಳನ್ನು ರಚಿಸಲಾಗಿದೆ, ಏಕೆಂದರೆ ಸಂದೇಶಗಳು ಮತ್ತು ಕಾರ್ಯಗತಗೊಳಿಸಬಹುದಾದ ಲೋಡ್ಗಳು ಸ್ವೀಕರಿಸುವವರನ್ನು ತಲುಪಬೇಕು, ಏಕೆಂದರೆ ಅಂತಹ ಯೋಜನೆಯಲ್ಲಿ ಜನರ ಪ್ರತಿಕ್ರಿಯೆಗಳು ಮಾತ್ರ ಆಸಕ್ತಿಯನ್ನು ಹೊಂದಿವೆ. ಐಚ್ಛಿಕವಾಗಿ, ನೀವು ದಾಳಿಯಲ್ಲಿ ಮಾರ್ಕರ್‌ಗಳನ್ನು ಸೇರಿಸಿಕೊಳ್ಳಬಹುದು, ಅದರ ಮೂಲಕ ಬಳಕೆದಾರರು ಇದು ಆಕ್ರಮಣ ಎಂದು ಊಹಿಸಬಹುದು - ಉದಾಹರಣೆಗೆ, ನೀವು ಸಂದೇಶಗಳಲ್ಲಿ ಒಂದೆರಡು ಕಾಗುಣಿತ ದೋಷಗಳನ್ನು ಮಾಡಬಹುದು ಅಥವಾ ಕಾರ್ಪೊರೇಟ್ ಶೈಲಿಯನ್ನು ನಕಲಿಸುವಲ್ಲಿ ತಪ್ಪುಗಳನ್ನು ಬಿಡಬಹುದು. ಯೋಜನೆಯ ಕೊನೆಯಲ್ಲಿ, ಅದೇ "ಶುಷ್ಕ ಅಂಕಿಅಂಶಗಳನ್ನು" ಪಡೆಯಲಾಗುತ್ತದೆ: ಯಾವ ಕೇಂದ್ರೀಕೃತ ಗುಂಪುಗಳು ಸನ್ನಿವೇಶಗಳಿಗೆ ಪ್ರತಿಕ್ರಿಯಿಸಿದವು ಮತ್ತು ಯಾವ ಪ್ರಮಾಣದಲ್ಲಿ.
ಎರಡನೆಯ ಪ್ರಕರಣದಲ್ಲಿ, "ಕಪ್ಪು ಪೆಟ್ಟಿಗೆ" ವಿಧಾನವನ್ನು ಬಳಸಿಕೊಂಡು ಶೂನ್ಯ ಆರಂಭಿಕ ಜ್ಞಾನದೊಂದಿಗೆ ದಾಳಿಯನ್ನು ನಡೆಸಲಾಗುತ್ತದೆ. ನಾವು ಸ್ವತಂತ್ರವಾಗಿ ಕಂಪನಿ, ಅದರ ಉದ್ಯೋಗಿಗಳು, ನೆಟ್ವರ್ಕ್ ಪರಿಧಿಯ ಬಗ್ಗೆ ಮಾಹಿತಿಯನ್ನು ಸಂಗ್ರಹಿಸುತ್ತೇವೆ, ದಾಳಿಯ ದಂತಕಥೆಗಳನ್ನು ರಚಿಸುತ್ತೇವೆ, ವಿಧಾನಗಳನ್ನು ಆಯ್ಕೆ ಮಾಡುತ್ತೇವೆ, ಗುರಿ ಕಂಪನಿಯಲ್ಲಿ ಬಳಸಲಾಗುವ ಸಂಭವನೀಯ ಸುರಕ್ಷತಾ ಕ್ರಮಗಳಿಗಾಗಿ ನೋಡುತ್ತೇವೆ, ಪರಿಕರಗಳನ್ನು ಅಳವಡಿಸಿಕೊಳ್ಳುತ್ತೇವೆ ಮತ್ತು ಸನ್ನಿವೇಶಗಳನ್ನು ರಚಿಸುತ್ತೇವೆ. ನಮ್ಮ ತಜ್ಞರು ಕ್ಲಾಸಿಕ್ ಓಪನ್ ಸೋರ್ಸ್ ಇಂಟೆಲಿಜೆನ್ಸ್ (OSINT) ವಿಧಾನಗಳು ಮತ್ತು ಗ್ರೂಪ್-IB ಯ ಸ್ವಂತ ಉತ್ಪನ್ನ ಎರಡನ್ನೂ ಬಳಸುತ್ತಾರೆ - ಥ್ರೆಟ್ ಇಂಟೆಲಿಜೆನ್ಸ್, ಫಿಶಿಂಗ್‌ಗೆ ತಯಾರಿ ನಡೆಸುವಾಗ, ವರ್ಗೀಕೃತ ಮಾಹಿತಿ ಸೇರಿದಂತೆ ದೀರ್ಘಾವಧಿಯವರೆಗೆ ಕಂಪನಿಯ ಬಗ್ಗೆ ಮಾಹಿತಿಯ ಒಟ್ಟುಗೂಡಿಸುವಿಕೆಯಾಗಿ ಕಾರ್ಯನಿರ್ವಹಿಸಬಹುದು. ಸಹಜವಾಗಿ, ದಾಳಿಯು ಅಹಿತಕರ ಆಶ್ಚರ್ಯವಾಗುವುದಿಲ್ಲ, ಅದರ ವಿವರಗಳನ್ನು ಗ್ರಾಹಕರೊಂದಿಗೆ ಸಹ ಒಪ್ಪಿಕೊಳ್ಳಲಾಗುತ್ತದೆ. ಇದು ಪೂರ್ಣ ಪ್ರಮಾಣದ ಒಳಹೊಕ್ಕು ಪರೀಕ್ಷೆಯಾಗಿ ಹೊರಹೊಮ್ಮುತ್ತದೆ, ಆದರೆ ಇದು ಮುಂದುವರಿದ ಸಾಮಾಜಿಕ ಎಂಜಿನಿಯರಿಂಗ್ ಅನ್ನು ಆಧರಿಸಿದೆ. ಈ ಸಂದರ್ಭದಲ್ಲಿ ತಾರ್ಕಿಕ ಆಯ್ಕೆಯು ಆಂತರಿಕ ವ್ಯವಸ್ಥೆಗಳಲ್ಲಿ ಹೆಚ್ಚಿನ ಹಕ್ಕುಗಳನ್ನು ಪಡೆಯುವವರೆಗೆ ನೆಟ್ವರ್ಕ್ನಲ್ಲಿ ಆಕ್ರಮಣವನ್ನು ಅಭಿವೃದ್ಧಿಪಡಿಸುವುದು. ಮೂಲಕ, ಇದೇ ರೀತಿಯಲ್ಲಿ ನಾವು ಸಾಮಾಜಿಕ ತಾಂತ್ರಿಕ ದಾಳಿಗಳನ್ನು ಬಳಸುತ್ತೇವೆ , ಮತ್ತು ಕೆಲವು ನುಗ್ಗುವ ಪರೀಕ್ಷೆಗಳಲ್ಲಿ. ಪರಿಣಾಮವಾಗಿ, ಗ್ರಾಹಕರು ಒಂದು ನಿರ್ದಿಷ್ಟ ರೀತಿಯ ಸಾಮಾಜಿಕ ತಾಂತ್ರಿಕ ದಾಳಿಗಳ ವಿರುದ್ಧ ತಮ್ಮ ಭದ್ರತೆಯ ಸ್ವತಂತ್ರ ಸಮಗ್ರ ದೃಷ್ಟಿಯನ್ನು ಪಡೆಯುತ್ತಾರೆ, ಜೊತೆಗೆ ಬಾಹ್ಯ ಬೆದರಿಕೆಗಳ ವಿರುದ್ಧ ನಿರ್ಮಿತ ರಕ್ಷಣಾ ರೇಖೆಯ ಪರಿಣಾಮಕಾರಿತ್ವದ (ಅಥವಾ, ಪ್ರತಿಯಾಗಿ, ನಿಷ್ಪರಿಣಾಮಕಾರಿತ್ವ) ಪ್ರದರ್ಶನವನ್ನು ಪಡೆಯುತ್ತಾರೆ.
ವರ್ಷಕ್ಕೆ ಎರಡು ಬಾರಿಯಾದರೂ ಈ ತರಬೇತಿಯನ್ನು ನಡೆಸಲು ನಾವು ಶಿಫಾರಸು ಮಾಡುತ್ತೇವೆ. ಮೊದಲನೆಯದಾಗಿ, ಯಾವುದೇ ಕಂಪನಿಯಲ್ಲಿ ಸಿಬ್ಬಂದಿ ವಹಿವಾಟು ಇರುತ್ತದೆ ಮತ್ತು ಹಿಂದಿನ ಅನುಭವವನ್ನು ನೌಕರರು ಕ್ರಮೇಣ ಮರೆತುಬಿಡುತ್ತಾರೆ. ಎರಡನೆಯದಾಗಿ, ದಾಳಿಯ ವಿಧಾನಗಳು ಮತ್ತು ತಂತ್ರಗಳು ನಿರಂತರವಾಗಿ ಬದಲಾಗುತ್ತಿವೆ ಮತ್ತು ಇದು ಭದ್ರತಾ ಪ್ರಕ್ರಿಯೆಗಳು ಮತ್ತು ರಕ್ಷಣಾ ಸಾಧನಗಳನ್ನು ಅಳವಡಿಸಿಕೊಳ್ಳುವ ಅಗತ್ಯಕ್ಕೆ ಕಾರಣವಾಗುತ್ತದೆ.
ದಾಳಿಯಿಂದ ರಕ್ಷಿಸಲು ನಾವು ತಾಂತ್ರಿಕ ಕ್ರಮಗಳ ಬಗ್ಗೆ ಮಾತನಾಡಿದರೆ, ಕೆಳಗಿನವುಗಳು ಹೆಚ್ಚು ಸಹಾಯ ಮಾಡುತ್ತವೆ:
- ಇಂಟರ್ನೆಟ್ನಲ್ಲಿ ಪ್ರಕಟವಾದ ಸೇವೆಗಳಲ್ಲಿ ಕಡ್ಡಾಯವಾದ ಎರಡು ಅಂಶಗಳ ದೃಢೀಕರಣದ ಉಪಸ್ಥಿತಿ. ಒಂದೇ ಸೈನ್ ಆನ್ ವ್ಯವಸ್ಥೆಗಳಿಲ್ಲದೆ, ಪಾಸ್ವರ್ಡ್ ವಿವೇಚನಾರಹಿತ ಶಕ್ತಿಯಿಂದ ರಕ್ಷಣೆಯಿಲ್ಲದೆ ಮತ್ತು ಹಲವಾರು ನೂರು ಜನರ ಕಂಪನಿಯಲ್ಲಿ ಎರಡು ಅಂಶಗಳ ದೃಢೀಕರಣವಿಲ್ಲದೆ 2019 ರಲ್ಲಿ ಅಂತಹ ಸೇವೆಗಳನ್ನು ಬಿಡುಗಡೆ ಮಾಡುವುದು "ನನ್ನನ್ನು ಮುರಿಯಲು" ಮುಕ್ತ ಕರೆಗೆ ಸಮನಾಗಿರುತ್ತದೆ. ಸರಿಯಾಗಿ ಅಳವಡಿಸಲಾದ ರಕ್ಷಣೆಯು ಕದ್ದ ಪಾಸ್‌ವರ್ಡ್‌ಗಳ ತ್ವರಿತ ಬಳಕೆಯನ್ನು ಅಸಾಧ್ಯವಾಗಿಸುತ್ತದೆ ಮತ್ತು ಫಿಶಿಂಗ್ ದಾಳಿಯ ಪರಿಣಾಮಗಳನ್ನು ತೊಡೆದುಹಾಕಲು ಸಮಯವನ್ನು ನೀಡುತ್ತದೆ.
- ಪ್ರವೇಶ ನಿಯಂತ್ರಣವನ್ನು ನಿಯಂತ್ರಿಸುವುದು, ಸಿಸ್ಟಂಗಳಲ್ಲಿ ಬಳಕೆದಾರರ ಹಕ್ಕುಗಳನ್ನು ಕಡಿಮೆಗೊಳಿಸುವುದು ಮತ್ತು ಪ್ರತಿ ಪ್ರಮುಖ ತಯಾರಕರು ಬಿಡುಗಡೆ ಮಾಡುವ ಸುರಕ್ಷಿತ ಉತ್ಪನ್ನ ಕಾನ್ಫಿಗರೇಶನ್‌ಗಾಗಿ ಮಾರ್ಗಸೂಚಿಗಳನ್ನು ಅನುಸರಿಸುವುದು. ಇವುಗಳು ಸಾಮಾನ್ಯವಾಗಿ ಸ್ವಭಾವತಃ ಸರಳವಾಗಿರುತ್ತವೆ, ಆದರೆ ಅತ್ಯಂತ ಪರಿಣಾಮಕಾರಿ ಮತ್ತು ಕಾರ್ಯಗತಗೊಳಿಸಲು ಕಷ್ಟಕರವಾದ ಕ್ರಮಗಳು, ಪ್ರತಿಯೊಬ್ಬರೂ ಒಂದು ಹಂತಕ್ಕೆ ಅಥವಾ ಇನ್ನೊಂದಕ್ಕೆ ವೇಗದ ಸಲುವಾಗಿ ನಿರ್ಲಕ್ಷಿಸುತ್ತಾರೆ. ಮತ್ತು ಕೆಲವು ತುಂಬಾ ಅವಶ್ಯಕವಾಗಿದ್ದು ಅವುಗಳಿಲ್ಲದೆ ಯಾವುದೇ ರಕ್ಷಣೆಯ ವಿಧಾನಗಳು ಉಳಿಸುವುದಿಲ್ಲ.
- ಉತ್ತಮವಾಗಿ ನಿರ್ಮಿಸಲಾದ ಇಮೇಲ್ ಫಿಲ್ಟರಿಂಗ್ ಲೈನ್. ಆಂಟಿಸ್ಪ್ಯಾಮ್, ಸ್ಯಾಂಡ್‌ಬಾಕ್ಸ್‌ಗಳ ಮೂಲಕ ಡೈನಾಮಿಕ್ ಪರೀಕ್ಷೆ ಸೇರಿದಂತೆ ದುರುದ್ದೇಶಪೂರಿತ ಕೋಡ್‌ಗಾಗಿ ಲಗತ್ತುಗಳ ಒಟ್ಟು ಸ್ಕ್ಯಾನಿಂಗ್. ಚೆನ್ನಾಗಿ ಸಿದ್ಧಪಡಿಸಿದ ದಾಳಿ ಎಂದರೆ ಆಂಟಿವೈರಸ್ ಉಪಕರಣಗಳಿಂದ ಕಾರ್ಯಗತಗೊಳಿಸಬಹುದಾದ ಲಗತ್ತನ್ನು ಕಂಡುಹಿಡಿಯಲಾಗುವುದಿಲ್ಲ. ಸ್ಯಾಂಡ್‌ಬಾಕ್ಸ್, ಇದಕ್ಕೆ ವಿರುದ್ಧವಾಗಿ, ಎಲ್ಲವನ್ನೂ ಸ್ವತಃ ಪರೀಕ್ಷಿಸುತ್ತದೆ, ಒಬ್ಬ ವ್ಯಕ್ತಿಯು ಅವುಗಳನ್ನು ಬಳಸುವ ರೀತಿಯಲ್ಲಿಯೇ ಫೈಲ್‌ಗಳನ್ನು ಬಳಸುತ್ತದೆ. ಪರಿಣಾಮವಾಗಿ, ಸ್ಯಾಂಡ್‌ಬಾಕ್ಸ್‌ನಲ್ಲಿ ಮಾಡಿದ ಬದಲಾವಣೆಗಳಿಂದ ಸಂಭವನೀಯ ದುರುದ್ದೇಶಪೂರಿತ ಘಟಕವನ್ನು ಬಹಿರಂಗಪಡಿಸಲಾಗುತ್ತದೆ.
- ಉದ್ದೇಶಿತ ದಾಳಿಯ ವಿರುದ್ಧ ರಕ್ಷಣೆಯ ವಿಧಾನಗಳು. ಈಗಾಗಲೇ ಗಮನಿಸಿದಂತೆ, ಉತ್ತಮವಾಗಿ ಸಿದ್ಧಪಡಿಸಿದ ದಾಳಿಯ ಸಂದರ್ಭದಲ್ಲಿ ಕ್ಲಾಸಿಕ್ ಆಂಟಿವೈರಸ್ ಉಪಕರಣಗಳು ದುರುದ್ದೇಶಪೂರಿತ ಫೈಲ್‌ಗಳನ್ನು ಪತ್ತೆ ಮಾಡುವುದಿಲ್ಲ. ಅತ್ಯಾಧುನಿಕ ಉತ್ಪನ್ನಗಳು ನೆಟ್ವರ್ಕ್ನಲ್ಲಿ ಸಂಭವಿಸುವ ಈವೆಂಟ್‌ಗಳ ಸಂಪೂರ್ಣತೆಯನ್ನು ಸ್ವಯಂಚಾಲಿತವಾಗಿ ಮೇಲ್ವಿಚಾರಣೆ ಮಾಡಬೇಕು - ವೈಯಕ್ತಿಕ ಹೋಸ್ಟ್‌ನ ಮಟ್ಟದಲ್ಲಿ ಮತ್ತು ನೆಟ್‌ವರ್ಕ್‌ನೊಳಗಿನ ದಟ್ಟಣೆಯ ಮಟ್ಟದಲ್ಲಿ. ದಾಳಿಯ ಸಂದರ್ಭದಲ್ಲಿ, ನೀವು ಈ ರೀತಿಯ ಘಟನೆಗಳ ಮೇಲೆ ಕೇಂದ್ರೀಕರಿಸಿದ ಮೇಲ್ವಿಚಾರಣೆಯನ್ನು ಹೊಂದಿದ್ದರೆ ಅದನ್ನು ಟ್ರ್ಯಾಕ್ ಮಾಡಬಹುದು ಮತ್ತು ನಿಲ್ಲಿಸಬಹುದಾದ ಘಟನೆಗಳ ವಿಶಿಷ್ಟ ಸರಪಳಿಗಳು ಕಾಣಿಸಿಕೊಳ್ಳುತ್ತವೆ.
ಮೂಲ ಲೇಖನ ನಿಯತಕಾಲಿಕದಲ್ಲಿ “ಮಾಹಿತಿ ಭದ್ರತೆ/ ಮಾಹಿತಿ ಭದ್ರತೆ” #6, 2019.
ಮೂಲ: www.habr.com