Социальная инженерия
Download as PPTX, PDF1 like2,782 views
Методы и способы противодействия атакам методом социальной инженерии.
More Related Content
What's hot (20)
Similar to Социальная инженерия (20)
More from Alex Babenko (11)
Социальная инженерия
- 1. Социальная инженерия – козырь в руке злоумышленника Алексей Бабенко руководитель направления, PA&PCI QSA IDC Security Roadshow Moscow 2014 12 марта 2014, «Холидей Инн Сокольники»
- 2. Найдите самое уязвимое место
- 3. Социальная инженерия • Слабое звено – человек • Социальная инженерия – метод несанкционированного доступа к информации/ системам хранения информации основанный на использовании слабостей человеческого фактора • Социальная инженерия = обман
- 4. Статистика Информзащиты 36% 56% 73% 0% 10% 20% 30% 40% 50% 60% 70% 80% 90% 100% 2010 2011 2012 Успешность проведение атак методом социальной инженерии
- 5. Как это происходит? • Социальные сети – копирование друга • Почтовая рассылка – реиндексация зарплат, web-интерфейс портала, настойчивая просьба • Физические носители – потерянная флешка, посылка начальнику • Телефонная сеть – техническая поддержка, забытый пароль, ограбленный клиент Сбор информации Разработка сценариев Реализация атак
- 6. Методы противодействия Обучение Отладка процессов Тестирование Разбор полетов
- 7. Повышение осведомлённости • Знать > уметь > выполнять • Разные формы обучения: • Ознакомление с документацией • Рассылки по e-mail • Плакаты/ заставки • Внутренние семинары • Внешнее обучение • Контроль знаний • Направленное обучение
- 8. Повышение осведомлённости • Говорить на одном языке: • НСД с АРМ к КТ запрещено • Вычисление закрытого ключа RSA эквивалентно нахождению нетривиального квадратного корня из 1
- 9. Отладка процессов • Лишние и нелогичные действия • Создание процедур в отрыве от исполнителей
- 10. Встроенное качество «Покончите с зависимостью от массового контроля: Уничтожайте потребность в массовых проверках и инспекции как способе достижения качества, прежде всего путем «встраивания» качества в продукцию» (14 ключевых принципов Деминга) • Встроенное качество – решения, которые делают невозможным (крайне сложными) некорректные действия сотрудников. • Примеры:
- 11. Разделение обязанностей • Снижает риск «человеческого фактора» • Для намеренного выполнения неправомерного действия требуется сговор • Деление ответственности (не всегда в пользу) • Двойной контроль ≠ двойная работа
- 12. Тестирование и разбор полетов • «Учебные тревоги» • Тестирование на проникновение • Плановое vs внезапное vs непрерывное • Недостатки это хорошо (когда их нашли раньше злоумышленников) • Тестирование в стол = крик в вакуум • По результатам тестирования: • Доведение результатов до руководства с вариантами коррекции • Разбор полетов с сотрудниками • Коррекция внутренних контролей, процессов, программы обучения
- 13. Сухой остаток • Любая система может быть взломана • Системы защиты с каждым годом все совершеннее, сотрудники – неизменны. • Самое слабое звено – человек, но можно максимально сократить риски: • Объяснив сотрудникам, что их могут обмануть и как • Внеся корректировки в существующие процессы • Проводя периодические тестирования и делая выводы из результатов • Лучшая проверка – независимая, максимально приближенная к реальности
- 14. ВОПРОСЫ? Алексей Бабенко руководитель направления, PA&PCI QSA a.babenko@infosec.ru + 7 (495) 980-23-45 #458 + 7 905 991-99-19 skype: arekusux arekusux.blogspot.com www.infosec.ru
- 15. Полезные ссылки Социальная инженерия: • http://www.social-engineer.org Обучение: • http://itsecurity.ru Тестирование на проникновение: • http://www.isecom.org/research/osstmm.html • http://www.infosec.ru/katalog/bezopasnost-it- infrastrukturyi/obespechenie-bezopasnosti-setevoy-infrastrukturyi Встроенное качество: • http://ru.wikibooks.org/wiki/ТРИЗ • http://ru.wikipedia.org/wiki/Кайдзен