Русский
Русский
English
Авторизация
Ip-адрес
Восстановление пароля
Регистрация
Статистика
Реклама

Социальная инженерия

EDR откуда взялся и почему это очередной виток защиты от хакеров

15.12.2020 14:09:01 | Автор: admin


Компьютеры всегда были полем боя. Вечная битва взлома и защиты началась с появления первого массового ПК и будет продолжаться пока существует человечество. Первые хакеры были исследователями, они искали способы оптимизировать вычисления, найти более эффективные режимы работы, выжать максимум из скудных возможностей компьютеров. Тогда еще не было термина хакер, людей, которые занимались взломом, сейчас бы назвали системными программистами и программистами микроконтроллеров, до сих пор бьющихся за каждый лишний байт и пишущих на низком уровне.

Сложно сказать, когда развлечение стало злонамеренным, а потом корыстным. Первоначально, порча данных или железа не приводила к выгоде, потому написание вирусов был удел одиночек, любителей в хорошем смысле слова, людей не ищущих выгоды.

Все изменила сеть

Предпосылки возникновения EDR


Очень долго, компьютерные вирусы были чрезвычайно специфическими программами. Им приходилось выживать в очень стесненных условиях слабых компьютеров с ограниченными ресурсами, авторы вирусов были гуру Ассемблера, досконально знали все тонкости работы компьютеров на низком уровне. Но компьютеры становились мощнее, их связала сеть и все это запахло большими деньгами. Взлом был поставлен на поток, теперь это серьезный и крупный бизнес, уязвимости продают за огромные деньги, основной трафик компьютерных сетей DDoS. Таким же крупным бизнесом стала и защита от атак. Прошли те времена, когда антивирусные программы покупались на дискетах и защищали только один компьютер. Даже сами понятия вирус и антивирус уже устаревают, целью атак становятся целые организации, а занимаются этим уже не одиночки-энтузиасты.


Но атакующие программы довольно долго оставались все такими же специфическими, их можно было распознать по характерным сигнатурам, особенностям поведения и вектору атаки. Антивирусы работающие по древним досовским принципам были довольно эффективны, эвристический анализ анализ позволяет быстро находить шифрующиеся и полиморфные вирусы. Специалисты по безопасности разрабатывали новые методы защиты, основанные на комплексном анализе разных признаков злонамеренной деятельности, таких как: нетипичный сетевой трафик, подозрительная активность аккаунтов пользователей, присутствие на компьютерах подозрительных программ и тп. Системы SIEM (Security Information and Event Management) выявляют зараженные компьютеры благодаря анализу логов корпоративной сети. А локальные системы EPP (Endpoint Protection Platform) следят за порядком на рабочем месте сотрудника по принципу классического антивируса и фаервола.

Казалось бы, все под контролем, но проблема пришла с другой стороны.


Кевин в молодые годы, фото из полицейского участка

Со времен знаменитого Кевина Митника классическая социальная инженерия не только успешно применяется до сих пор, но и развивается в ногу со временем. Уже не надо самому обзванивать все номера принадлежащие фирме, чтобы найти беспечного сотрудника, который согласится открыть дверь или ввести необходимую взломщику команду. Простейший скрипт разошлет десятки тысяч поддельных писем, бот будет стучаться в мессенджеры и соцсети, а фишинговые сайты соберут богатый урожай паролей. У такой атаки нет особых сигнатур, ее нельзя отследить по логам сетевого экрана. Узкоспециализированная программа, написанная под конкретные меры безопасности, заранее выбранной компании, тоже будет пропущена антивирусом без поднятия тревоги.

Сравнительно недавно, в 2013 году, компанией Symantec была расследована деятельность одной хакерской группировки под названием Thrip. Их действия были очень успешны именно потому, что они практически не использовали традиционный хакерский софт, оставляющий привычные следы и хорошо известный современным системам безопасности. Для проникновения в организацию такие хакеры используют социальную инженерию. Чтобы получить привилегии администратора, однократно модифицируют обычную утилиту, не засвечивая одну и ту же сигнатуру при разных взломах. Более того, подобные программы или скрипты используются очень кратковременно и потом сами себя удаляют, не оставляя следов, или хуже того существуют только в оперативной памяти, никогда не записывая свой код в файлы, храня данные в реестре, а для работы вызывая стандартные powershell.exe или wmic.exe, не поднимающих тревогу у обычных антивирусов. После проникновения в систему используются самые обычные служебные утилиты, которые разрешены политиками безопасности. Например Thrip применяли для проникновения модифицированную пентестерскую программу Mimikatz, предназначенную для изучения языка C и экспериментов над защитой Windows, а потом, для удаленного управления взломанными компьютерами, использовали утилиту PsExec фирмы Microsoft из пакета PsTools и другую совершенно легальную программу LogMeIn. Чтобы своровать данные они использовали не хитрые шпионские программы, а самый обычный FTP-клиент WinSCP.

Подобная активность практически незаметна для средств типа SIEM и EPP.

Принципы работы EDR


В том же 2013 году, Антон Чувакин (русский специалист по компьютерной безопасности, окончивший ФизФак МГУ, работающий за границей), предложил выделить новую категорию инструментов для предотвращения хакерских атак и назвал их ETDR (Endpoint Threat Detection & Response), позднее общепринятой стала аббревиатура EDR. Под конечной точкой подразумеваются сервер, десктопная рабочая станция, ноутбук и смартфон.


Антон Чувакин

Чем же отличаются EDR от других, более традиционных методов защиты?

Главное отличие EDR от SIEM это работа с локальными данными и логирование событий происходящих на конкретном компьютере. SIEM следит за глобальным сетевым трафиком в организации, заставить эту систему собирать данные с каждого отдельного компьютера очень накладно и потребует слишком больших мощностей.

По сути, это логическое развитие привычных антивирусов и систем EPP, следящих за подозрительной активностью трафика и занимающихся поиском известных вредоносных программ. Но если антивирусы отлавливают вредоносный софт в момент его запуска, инструменты EDR работают глубже.

Любая система EDR состоит из нескольких типичных модулей, взаимодействие которых можно разобрать на примере EDR фирмы Comodo Cybersecurity, которая выложила исходный код Open EDR в общий доступ:

  • Core Library базовый фреймворк, который содержит основные функции и является ядром системы;
  • EDR Agent service собственно само приложение EDR;
  • Process Monitor DLL-библиотека, которая внедряется в различные процессы для перехвата вызовов API и инструментарий для работы с ней;
  • File filter driver мини-фильтр файловой системы, который перехватывает запросы ввода-вывода файловой системы, отслеживает доступ к реестру, обеспечивают защиту компонентов и настроек EDR и тп;
  • Network monitor компонент мониторинга сетевой активности;




Гибкие настройки позволяют отфильтровать ложные тревоги и отрегулировать систему для конкретной специфики сети в организации, а ядро системы закапывается на очень глубокий уровень, используя для этого хакерские технологии, такие как Rootkit.

Помимо сигнатурного и эвристического анализа, EDR непрерывно сканирует систему на предмет IoC (Indicator of Compromise Индикатор компрометации) и IoA (Indicators of Attack Индикатор атаки), выслеживая определенные признаки, которые могут говорить о попытке вторжения: фишинговые письма, обращение на подозрительные IP-адреса, отслеживание хешей вредоносных файлов, значения реестра и тп.

Кажется, что все это не очень сильно отличается от обычного антивируса и фаервола? Не совсем.

Искусственный интеллект стоит на страже


Некоммерческая организация MITRE Corp накопила большой массив данных из логов сканирования корпоративных сетей и конечных точек, собранных во время проникновения злоумышленников в системы, а также пентестинга и собственных исследований, систематизировав их и вычленив основные тактики атак. Первый вариант базы был представлен в 2013 году, с каждым годом она расширялась и дополнялась.

Термином Threat Intelligence (Анализ угроз) называется анализ данных получаемых EDR при сканировании, когда они сопоставляются с известными тактиками злоумышленников. При получении положительной корреляции с паттернами MITRE ATT&CK, система поднимет тревогу, а при необходимости может инкапсулировать угрозу в песочницу и отключить подозрительные машины от компьютерной сети. При этом, сбор очень подробных и систематизированных логов, позволяет инженерам-безопасникам быстро найти брешь при обнаружении факта проникновения злоумышленников в систему и дальнейшего расследования инцидента.

Недавно британская компания Micro Focus International представила отчет по текущим трендам информационной безопасности. Опрос из 15 пунктов был разослан нескольким сотням специалистам из разных стран. Выяснилось, что 90% пользуются базой MITRE ATT&CK и 93% применяют технологии AI и ML.

Анализ данных с помощью ИИ позволяет перейти на новый уровень, от Threat Intelligence, к Threat Hunting. Специалисты по безопасности моделируют разнообразные атаки на инфраструктуру своей компании, заранее определяют слабые места и принимают меры для их укрепления.

Еще один вектор для приложения ИИ в безопасности анализ поведения сотрудников.

Составляется карта обычной активности в учетной записи работника, согласно которой, его трафик и запущенные программы более-менее одинаковые день ото дня. И если вдруг выясняется, что он залогинился глубокой ночью, запускает нетипичный для него софт и пытается обратиться к неизвестному адресу в инете система поднимет тревогу и может заблокировать аккаунт.

Будущее рядом




Канадский научный фантаст Питер Уоттс в своей мрачной трилогии Рифтеры, действие которой происходит в ближайшем будущем, описывает некий зельц умный гель, состоящий из нервных клеток коры головного мозга, культивированных на искусственном субстрате. Ученые научились образовывать в нем связи наподобие тех, что есть в человеческом мозгу, и создавать на его основе высокопроизводительные биокомпьютеры, превосходящие по мощности компьютерные нейросети. С особенностями мышления подобных устройств связана главная интрига трилогии, но я расскажу только об одной области их применения.

В будущем, компьютерные вирусы и сетевые атаки настолько забили все информационные каналы, что интернет, в нашем современном понимании, перестал существовать. Тогда, в качестве антивирусов, приспособили умные гели, которых нельзя было обмануть простым шифрованием и полиморфизмом, они на лету отслеживали паттерны взлома и моментально его пресекали. Эта мера полностью очистила компьютерные сети от подобных угроз.

Кто знает. Может базы данных подобные той, что собирает MITRE и машинное обучение, очистят инет от вирусов быстрее, чем предполагал Питер Уоттс? Хотя, ведь киберпреступники тоже могут пользоваться технологиями ИИ. Более того, есть свидетельства, что они их уже освоили



Подробнее..
Категории: Блог компании ruvds.com , Информационная безопасность , Ruvds , Антивирусная защита , Спам и антиспам , Социальная инженерия , Взлом , Edr , Хакеры

Перевод Кто стоит за случившимся в среду эпичным взломом Твиттера?

18.07.2020 00:05:02 | Автор: admin
Прим. перев.: статья с сайта krebsonsecurity.com от автора Брайана Кребса, в прошлом журналиста The Washington Post, ныне независимого специалиста по кибербезопасности.

В среду 15 июля Твиттер погрузился в хаос в учётных записях наиболее известных в мире людей, директоров компаний и знаменитостей, стали появляться ссылки на мошеннические сайты, собирающие биткоины. В Твиттере говорят, что эта атака стала возможной, поскольку кто-то обманул или принудил одного из сотрудников компании дать доступ ко внутренним административным инструментам платформы. В данной статье я попытаюсь составить временной график этой атаки и указать на свидетельства о том, кто за ней может стоять.

Первые свидетельства атаки стали заметны публике примерно в 15 часов по североамериканскому восточному времени (UTC-5; летом UTC-4), когда в учётной записи криптовалютной биржи Binance появилось сообщение о том, что биржа скооперировалась с организацией CryptoForHealth с намерением раздать 5000 биткоинов нуждающимся, а также ссылка, куда люди могли отправлять пожертвования.

Через несколько минут похожие твиты появились в учётных записях других криптовалютных бирж, а также в аккаунтах кандидата в президенты США Джо Байдена, главы Amazon Джеффа Безоса, бывшего президента США Барака Обамы, главы Tesla Илона Маска, бывшего мэра Нью-Йорка Майкла Блумберга и инвестора Уоррена Баффетта.



Кажется смехотворным, что кто-то реально поверил бы в эти запросы и отправил им деньги, однако анализ кошелька BTC, который рекламировали множество взломанных учётных записей, показал, что за последние 24 часа он обработал 383 транзакции и получил почти 13 биткоинов, что примерно равно $117 000.

Компания Twitter выпустила заявление об обнаружении координированной атаки на некоторых наших сотрудников методом социальной инженерии, в результате которой удалось получить доступ ко внутренним системам и инструментам. Нам известно, что злоумышленники использовали полученные доступ для получения контроля над многими популярными (включая и подтверждённые) учётными записями и размещения сообщений от их имени. Мы изучаем вопрос того, какие ещё возможные злонамеренные действия они могли совершить или к какой информации получить доступ, и поделимся результатами, как только получим их.

Есть убедительные признаки того, что атака осуществлялась людьми, традиционно специализирующимися на взломе соцсетей через подмену SIM всё чаще встречающийся вариант преступлений, включающий в себя подкуп, взлом или принуждение сотрудников мобильных операторов или соцсетей с целью получения доступа к учётной записи жертвы.

Деятели из сообщества любителей подмены SIM обожают перехватывать доступ к социальным учётным записям из т.н. категории OG. OG, или original gangster это короткие имена учёток, типа @B или joe. Обладание подобным аккаунтом повышает статус, влияние и общественный вес в кругах хакеров, занимающихся подменой SIM, поскольку за перепродажу подобных учёток иногда можно выручить по нескольку тысяч долларов.

Уже за несколько дней до атаки, произошедшей в среду, в интернете появились признаки того, что некоторые участники хакерского сообщества продавали возможность поменять емейл, привязанный к любой учётной записи твиттера. В посте на форуме OGusers, посвящённом взлому аккаунтов, пользователь Chaewon рекламировал возможность привязки заданного емейла к любой учётной записи твиттера за $250 и доступа к учёткам за $2000-$3000.



Это не какой-то особый метод. Если вам не дадут емейл, мы вернём деньги. Если учётку забанят, мы не несём ответственности, писал Chaewon в записи под названием запросы на подмену емейла для твиттера.

За несколько часов до того, как в учётных записях криптобирж и знаменитых людей в твиттере начали появляться призывы жертвовать биткоины, атакующие сконцентрировались на взломе нескольких OG-учёток, включая "@6".

Этим аккаунтом раньше владел ныне покойный Адриан Ламо, известный, как бездомный хакер, взломавший сеть New York Times, а также сдавший властям США Брэдли Мэннинга, военнослужащего, который передал сайту WikiLeaks документы различной степени секретности. Сейчас учёткой @6 управляет давний друг Ламо, исследователь в области безопасности и телефонный фрикер, который попросил называть его в этой истории прозвищем Lucky225.

Lucky225 сказал, что незадолго до 2 часов дня по североамериканскому восточному времени в среду он получил код для подтверждения сброса пароля для учётной записи @6 через Google Voice. Lucky225 сказал, что до этого запрещал отправку SMS-уведомлений для многоступенчатой авторизации, и использовал временные коды, генерируемые мобильным приложением.

Но поскольку атакующие смогли поменять емейл-адрес, привязанный к учётной записи @6, и запретить многоступенчатую авторизацию, на его аккаунт в Google Voice и на новый емейл, зарегистрированный атакующими, был отправлен одноразовый код подтверждения.

Атака была осуществлена благодаря тому, что в административных инструментах твиттера, по-видимому, есть возможность обновить емейл-адрес любого пользователя, не отправляя ему при этом никаких уведомлений, рассказал Lucky225. Поэтому атакующие могли избежать обнаружения, сначала обновив емейл учётки, а потом включив двухфакторную аутентификацию.

Lucky225 сказал, что у него до сих пор нет возможности проверить, были ли с его адреса отправлены какие-то твиты после того, как его взломали, потому что у него пока нет к нему доступа (весь этот эпизод он подробно разобрал в посте на сайте Medium).

Примерно в то же время, когда был уведён аккаунт @6, была захвачена ещё одна учётка @B. Затем кто-то начал постить изображения админки твиттера, на которых было видно учётную запись @B.



В Твиттере отреагировали, удалив с платформы все скриншоты со снимками их внутренних инструментов, а в некоторых случаях временно заблокировали учётные записи.

Ещё в одном аккаунте shinji также выкладывали изображения внутренних инструментов твиттера. За несколько минут до бана там опубликовали твит с призывом подписываться на @6 аккаунт, который увели у Lucky225.



Здесь и здесь, на сайте Internet Archive можно скачать кэшированные версии твитов Shinji до атаки в среду. На них видно, что пользователь утверждает, что владеет двумя аккаунтами OG в инстаграме j0e и dead.

Источник из службы безопасности одного из крупнейших мобильных операторов США сообщил нам, что аккаунты j0e и dead привязаны к печально известному хакеру, занимающемуся подменой SIM-карт по прозвищу PlugWalkJoe. Исследователи следили за PlugWalkJoe, поскольку считается, что за несколько лет он совершил несколько подмен SIM-карт, за которыми последовали кражи большого объёма биткоинов.



Теперь посмотрим на изображение в профиле в другом архиве аккаунта shinji (ниже). Изображение то же самое, что и на скриншоте от среды, когда Joseph/@Shinji выкладывал в ленту снимки внутренних инструментов Твиттера.



Наш источник сообщил, что этот человек был одним из ключевых людей в составе группы, занимающейся подменой SIM под названием ChucklingSquad. Считается, что это они увели учётную запись в твиттере Джека Дорси [создателя твиттера / прим.перев.] в прошлом году. В Wired писали, что аккаунт jack увели, когда хакеры организовали подмену SIM-карт оператора AT&T номер этого провайдера привязан к аккаунту Дорси.


Твит, отправленный с учётной записи Джека Дорси, когда его взломали, упоминает PlugWalkJoe и других членов Chuckling Squad.

Источник из индустрии мобильной безопасности рассказал нам, что в реальной жизни PlugWalkJoe это Джозеф Джеймс Коннор, 21-летний житель Ливерпуля. Сейчас он находится в Испании, где учился в университете, и пока не может вернуться домой из-за ограничений на перемещения, связанных с коронавирусом.

Источник сообщил, что деятельность PlugWalkJoe пристально изучается, и одну женщину-следователя наняли для того, чтобы она познакомилась с ним и убедила пообщаться в видеочате. Затем на записанном в этом чате видео следователи обнаружили характерный бассейн.

Источник рассказал, что бассейн, замеченный на фотографии в инстаграмме PlugWalkJoe, instagram.com/j0e, точно такой же, какой они видели в видеочате.



Если PlugWalkJoe принял непосредственное участие во взломе твиттера, то кажется уместным, что его раскрыли в частности благодаря социальной инженерии. Возможно, нам стоит быть благодарными за то, что атакующие твиттер хакеры не нацелились на что-то более амбициозное, вроде вмешательства в выборы или обрушения финансовых рынков, или попытки начать войну посредством ложных и разжигающих рознь высказываний мировых лидеров.

Также ясно, что этот взлом твиттера мог дать хакерам доступ к переписке между любыми аккаунтами а эту информацию сложно переоценить, при том, что она наверняка заинтересует различных лиц и организаций, от государств до корпоративных шпионов и шантажистов.
Подробнее..
Категории: Информационная безопасность , Социальная инженерия , Взлом , Биткоин , Твиттер , Twitter

Перевод Социальные сети управляют вами, но есть способы дать им отпор

25.09.2020 14:16:06 | Автор: admin

Уроки от фильма Netflix Социальная дилемма.

Социальные сети делают вас другим человеком. Они меняют то, что вы делаете, меняют ход ваших мыслей и, в конечном итоге, меняют вас. И, кажется, это чуть страшнее, чем известный и давно обсуждаемый вопрос о защите конфиденциальных данных.

Документальный фильм Социальная дилемма от Netflix показывает, что проблема соцсетей в действительности гораздо глубже, чем может показаться. Через интервью с инженерами, участвовавшими в их создании, нам дают понять, что характерные особенности соцсетей, вызывающие привыкание, тщательно изучаются и с успехом применяются для того, чтобы заставить нас проводить на платформах еще больше времени. Каким образом? Все просто: алгоритмы, используемые в соцсетях, умеют создавать наши идеальные психологические портреты и постепенно изменять нас в собственных интересах.

Как говорит в Социальной дилемме Эдвард Тафти (Edward Tufte): Есть только две сферы деятельности, представители которых называют своих клиентов пользователями: торговля наркотиками и разработка программного обеспечения. Социальные платформы предлагают свои услуги бесплатно, поэтому мы думаем, что продукт, который они продают это наше внимание, и если сервис бесплатный, то вы и есть продукт. Однако, этим дело не ограничивается.

Это постепенное, легкое, незаметное изменение в вашем собственном поведении и восприятии. Именно это и есть единственная вещь, на которой они могут зарабатывать деньги: изменение того, что вы делаете, как вы думаете, изменение вашей личности.

Социальная Дилемма

Так, собственно, в чем проблема?

Социальная дилемма называет три главных повода для беспокойства.

Психическое здоровье

Исследование, в котором поучаствовали 5000 человек, показало, чем чаще люди используют социальные сети, тем хуже они оценивают состояние собственного физического и психического здоровья и тем ниже их удовлетворенность жизнью

Американский журнал эпидемиологии (American Journal of Epidemiology), 2017

Большинство инженеров, работающих в известных технологических гигантах, посещали университетские курсы, где учились использовать основы человеческой психологии с целью манипуляции нами для достижения своих собственных целей. Социальные сети успешно играют на глубинных проявлениях человеческой природы, как бы мы ни пытались этому сопротивляться. Они соблазняет вас. Они манипулирует вами. Они хотят от вас многого, говорит Тристан Харрис (Tristan Harris), бывший специалист Google по этике дизайна и соучредитель Центра гуманных технологий.

Тим Кендалл (Tim Kendall), бывший исполнительный директор Facebook и Pinterest, делится: Думаю, в этом есть некая классическая ирония. Целый день я работаю над созданием чего-то такого, чьим заложником стану сам. И в некоторые моменты я ничего не смогу с собой поделать.

Психологические манипуляции вызывают особую тревогу о представителях более молодых поколений. Современные дети рождаются в мире, управляемом технологиями, который им просто не с чем сравнить.

Мы создали целое поколение людей, выросших в среде, где главной целью общения, главной целью всей культуры, является манипуляция, говорит в фильме писатель Джарон Ланье (Jaron Lanier).

Цена которую мы платим высока. Всё это оказывает огромное влияние на психическое здоровье детей, приводя к росту числа самоубийств и проявлений членовредительства среди подростков.

Демократия

Количество стран, проводящих политические дезинформационные кампании в соцсетях, удвоилось за последние два года

Социальная Дилемма

Неожиданный поворот: социальные сети увеличивают дистанцию между людьми. Идеологическую дистанцию. В фильме рассказывается о том, что разрыв во взглядах сторонников Республиканской и Демократической партий с каждым годом увеличивается, и с каждым годом остается все меньше пространства для взаимопонимания и конструктивного диалога.

Этот феномен один из симптомов болезни, которой больны мы все, и ее страшным последствием может стать угроза демократии. Но эта угроза не является результатом взлома нас какими-то идеологическими группами. Эти группы просто используют имеющиеся в их распоряжении инструменты. Профессор Гарвардской школы бизнеса указывает на простую, но шокирующую правду о российском влиянии на выборы в США в 2016 году: Русские не взламывали Facebook. Они использовали инструменты, которые Facebook специально создал для добросовестных рекламодателей.

Дискриминация

Алгоритмы продвигают контент, который вызывает возмущение, разжигает ненависть и усиливает предубеждения, живущие в информации, которую мы же им даем

Социальная Дилемма

Социальные сети разрушают понятие истины. Вместо того, чтобы жить в едином мире, каждый из нас проводит дни в своем собственном, специально созданном мире даже не осознавая этого. У новостных лент есть пугающий эффект в них мы подтверждаем свои собственные взгляды на жизнь снова и снова, и это отдаляет нас от реальности.

Конечная цель технологических компаний 'определять аудиторию из одного человека' и извлекать максимум данных о каждом пользователе", говорит Тристан Харрис. "Это отправляет каждого человека в свою собственную кроличью нору", или, как говорит режиссер фильма Джефф Орловски (Jeff Orlowski): "2,7 миллиарда "Шоу Трумэна", работающих одновременно.

Как следствие, мы видим, например, активизацию движения сторонников плоской Земли. Все благодаря алгоритму Youtube, который продолжает подбрасывать людям контент, совпадающий с их видением мира, даже если оно не соответствует действительности.

Проще всего думать, что это действует на нескольких не очень умных и легко внушаемых людей, предупреждает Гийом Шасло (Guillaume Chaslot), инженер, создавший алгоритм Youtube, но алгоритм с каждым днём становится всё умнее и умнее. Сегодня он убедит кого-то, что Земля плоская, а завтра он сможет убедить в чём-то и вас.

Что можете сделать вы как личность

Первый совет дает сайт Социальной дилеммы голосом Тима Кендалла (Tim Kendall).

  1. Проанализируйте время, проводимое перед экраном

    • Оцените свой уровень цифровой активности: вы не будете мотивированы на решение проблемы, если у вас нет её полноценного осознания. Это исследование показывает, что среднестатистический человек ежедневно проводит перед экраном телефона примерно 4 часа. При этом, отвечая на вопрос о продолжительности пребывания перед экраном, эти же люди будут утверждать что провели там не более половины этого времени. Вы можете проконтролировать себя с помощью установки на телефон отслеживающих активность приложений (тайм-трекеров), которые сообщат вам сколько времени вы проводите перед телефоном и какие приложения используете. Два неплохих варианта: StayFree и YourHour.

    • Отключите уведомления: они отвлекают вас, держат в постоянном желании их проверить и в течение всего дня притягивают вас к телефону. Особое беспокойство вызывает факт, что среднестатистический пользователь получает 63 уведомления в день. Это означает, что если вы бодрствуете в течение 16 часов, то получаете уведомление каждые 15 минут.

    • Установите ограничения: воспользуйтесь еще одной полезной функцией тайм-трекеров, определите для себя дневные лимиты на использование конкретных приложений, в особенности, соцсетей и новостных ресурсов. Кроме этого можно установить для себя временные (например, не использовать телефон после 9 вечера) или территориальные (не брать телефон в спальню) ограничения.

  2. Наведите порядок в лентах новостей

    Социальные сети постоянно кормят нас невероятным количеством информации, сражаясь за наше внимания. Потратьте немного времени и пересмотрите аккаунты, которые вы отслеживаете. Все ли они все еще актуальны для вас?

    Стив Бартлетт (Steve Bartlett), генеральный директор Social Chain одного из крупнейших агентств по продвижению в соцсетях, подчеркивает важность гигиены новостных лент: Ваша лента это ваша библиотека, и, даже если вы этого не осознаете, она управляет тем, что вы знаете, думаете или чувствуете. Старайтесь становиться фолловерами тех, кто просвещает, вдохновляет и мотивирует. Откажитесь от чтения записей негативных, мелочных и демотивирующих людей.

  3. Выбирайте видео на Youtube

    Одна их ключевых рекомендаций, озвученных в Социальной дилемме, это получение контроля над контентом, который мы видим. Именно мы должны его выбирать. Самый простой способ это сделать последовать совету Жарона Ланье (Jaron Lanier): прекратите кликать на видео, которые предлагает вам Youtube.

  4. Проверяйте факты

    Существует исследование, проведенное в Массачусетском технологическом институте (MIT), которое показывает, что фейковые новости распространяются в Твиттере в 6 раз быстрее, чем правдивые. Количество фейковых новостей в лентах соцсетей просто зашкаливает.

    Одна из первых вещей, которой учат будущих журналистов в университетах: всегда проверяйте дважды, даже если источник информации ваша мама. Не доверяйте своей маме. И тем более, не доверяйте лентам новостей.

  5. Поделитесь фильмом с другими

    Фильм заканчивается шуткой Следите за нами в социальных сетях. Шутка. Но, честно говоря, возможно, вам все же стоит написать пару слов о Социальной дилемме на своих страницах и рассказать лично своей семье и друзьям. Вместе мы сможем сделать несколько шагов навстречу лучшему миру. Примерно так, как описано в следующем разделе.

Что можем сделать мы как общество

  1. Присоединиться к движению за гуманные технологии

    Это движение создали Тристан Харрис (Tristan Harris), Аза Раскин (Aza Raskin) и Рэнди Фернандо (Randy Fernando), те, кто принимал участие в съемках Социальной дилеммы. Оно посвящено "созданию условий для радикально переосмысленной цифровой инфраструктуры 21 века, которая поддерживает благосостояние людей, наши отношения, демократию и единую информационную среду.

    Можете использовать их ресурсы для того, чтобы оставаться в теме. Кроме этого можно прослушать несколько тематических курсов.

  2. Бороться с политической дезинформацией

    Плагин Ad Observer был создан как часть проекта Политическая Прозрачность в Интернете (Online Political Transparency) в университете Нью-Йорка (New York University). По заявлению проекта, онлайн-рекламу обычно видит только та аудитория, на которую нацелен рекламодатель, после чего эта реклама исчезает. Это затрудняет общественный контроль за такой рекламой и привлечение к ответственности рекламодателей, в том числе политических групп.

    Установив данный плагин в свой браузер, вы внесете вклад в предоставление информации исследователям, поможете им разоблачать методы микротаргетинга, а также привлекать политических рекламодателей к ответственности.

Выводы

Не следует воспринимать эту информацию как предупреждение о конце света и полностью отключаться от сети. Что вам действительно нужно сделать, так это быть бдительными, развивать критическое мышление и начать предпринимать личные и коллективные действия по изменению ландшафта социальных сетей. Активно высказывайте свое мнение, не будьте пассивной пешкой, которую технологические гиганты используют как свой продукт.

С технологиями и социальными сетями не всё так уж плохо. Они все также дают возможность сокращать дистанцию между людьми, объединять их и распространять сообщения, которые могут помочь сделать мир лучше.

Джастин Розенштейн (Justin Rosenstein), один из разработчиков кнопки нравится в Facebook, говорит в фильме: Когда мы делали кнопку "нравится", наша мотивация была такая: Можем ли мы распространять позитив и любовь в мире? Мы не думали о том, что подростки будут впадать в депрессию, когда им ставят мало лайков, или что это может привести к политической поляризации.

Надежда есть. Но нам нужно перестать быть такими безразличными ко всей этой ситуации. Легче думать, что у вас нет абсолютно никакой силы противостоять технологическим гигантам. И если все будут так думать, это станет правдой. Но если мы объединимся в этой борьбе, то у нас есть шанс. Мы можем требовать, чтобы социальные сети разрабатывались исходя из принципов гуманизма, говорит Харрис. "Мы их создали, и мы должны взять на себя ответственность за то, чтобы они изменились.

О переводчике

Перевод статьи выполнен в Alconost.

Alconost занимается локализацией игр приложений и сайтов на 70 языков. Переводчики-носители языка, лингвистическое тестирование, облачная платформа с API, непрерывная локализация, менеджеры проектов 24/7, любые форматы строковых ресурсов.

Мы также делаем рекламные и обучающие видеоролики для сайтов, продающие, имиджевые, рекламные, обучающие, тизеры, эксплейнеры, трейлеры для Google Play и App Store.

Подробнее..
Категории: Информационная безопасность , Социальные сети и сообщества , Научно-популярное , Лайфхаки для гиков , Блог компании alconost , Alconost , Социальные сети , Здоровье , Социальная инженерия , Психология влияния , Социальная дилемма , Социальная психология , Психология убеждения

Социотехническое тестирование какое лучше выбрать в 2021 году?

29.12.2020 12:11:44 | Автор: admin


В интернете предостаточно статей о важности социотехнического тестирования. В них разбирается само понятие, методика, инструменты и почему так важно его проводить. Все просто: человек слабое звено в системе защиты любой компании.

В этой статье команда департамента аудита и консалтинга Group-IB решила пойти дальше и поделиться своим опытом социотехнического тестирования, которое проводила в этом году. Расскажем, для каких целей использовать данный вид тестирования, какие форматы предпочитали компании, что лучше выбрать в следующем году, а также каких результатов ждать.

Сразу предупреждаем, что текста получилось немало. Поэтому запасайтесь чаем, теплым свитером и любимой музыкой на фоне перед вами новогоднее чтиво. Также по нашей классике спешим предупредить (внимание: дисклеймер), что все совпадения случайны, а читатель сам в праве думать, что в этих историях правда, а что ложь.

С чего начинается социотехническое тестирование?


Тестирование начинается с формулирования целей. Именно цель определяет остальные составляющие:

  • время на подготовку к тестированию
  • объем разведывательных работ
  • формат тестирования
  • условия, которые должна обеспечить компания для старта работ
  • стоимость тестирования (эту составляющую не обсуждаем в статье)

Для чего и как проводить такое тестирование?


Социотехническое тестирование может проводиться для установления:

  • уровня осведомленности сотрудников и их практических навыков в распознавании социотехнических атак
  • эффективности функционирования систем обеспечения информационной безопасности
  • уровня подготовки сотрудников ИТ- и ИБ-отделов к выявлению и реагированию на социотехнические атаки (уровень осведомленности в вопросах безопасности данных сотрудников выше, что повышает сложность тестирования)
  • возможности компрометации инфраструктуры (социотехническое тестирование может применяться для тестирования на проникновение)

Соотношение цели социотехнического тестирования (социальная инженерия или СИ) и других его составляющих представлено в таблице.
Определить уровень подготовленности сотрудников Определить эффективность функционирования СЗИ Определить уровень подготовленности сотрудников ИТ- и ИБ-отделов Компрометация инфраструктуры
Формат тестирования письма со ссылкой на поддельный ресурс (фишинг)

письма с исполняемым вложением (нагрузка)

телефонное взаимодействие (вишинг)		 письма со ссылкой на поддельный ресурс (фишинг)

письма с исполняемым вложением (нагрузка)
 письма со ссылкой на поддельный ресурс (фишинг)

письма с исполняемым вложением (нагрузка)

телефонное взаимодействие (вишинг)
 письма со ссылкой на поддельный ресурс (фишинг)

письма с исполняемым вложением (нагрузка)
Начальные условия ФИО сотрудников и email-адреса

номера телефонов, ФИО и/или должности сотрудников, а также любая другая информация согласно легенде

добавление в белые списки
(email-адреса, домены, СЗИ и т.д.)		 ФИО сотрудников и email-адреса ФИО сотрудников и email-адреса

номера телефонов, ФИО и/или должности сотрудников, а также любая другая информация согласно легенде

добавление в белые списки
(email-адреса, домены, СЗИ и т.д.)		 входная информация не предоставляется
Время на подготовку Одна неделя Две недели Одна-две недели Три недели

Теория, теория Где же обещанные истории?


Да-да. Раз обещали рассказать про опыт, то и историями поделимся. Основные моменты мы расскажем немного позже в кейсах. А сейчас немного отвлечемся на различные ошибки и просто любопытные моменты.

Очевидно, что одинаковое понимание целей и процедуры проведения социотехнического тестирования обеими сторонами (источником и потребителем), участвующими в тестировании, позволяет избежать ошибок, которые тормозят, угрожают срывом тестирования и негативно влияют на результаты.

Как показывает практика, ошибки, вызванные недопонимаем сторон, встречаются достаточно часто. Например, со стороны компаний, заказывающих социотехническое тестирование, нас поджидали следующие неожиданности:

  • затягивание согласования легенды и предоставления адресов почты для рассылки
  • предоставление неактуального списка сотрудников
  • многократная отработка одной легенды на одних и тех же сотрудниках
  • загрузка подготовленной полезной нагрузки в используемое СЗИ (да-да, здесь речь про проверку осведомленности/подготовленности сотрудников, а не СЗИ...)
  • добавление сотрудников ИТ/ИБ-отделов в рабочую переписку (при том что их уровень осведомленности и проверялся)

Но будем честны эксперты тоже не застрахованы от подобных ошибок, влияющих на результаты тестирования. И вот одна из них:

Представим, что в компании N проводится несколько социотехнических тестирований, каждое из которых включает телефонное взаимодействие с сотрудниками. Список сотрудников и их контакты предоставлял представитель компании.

Первое телефонное взаимодействие было успешным: ряд сотрудников, поддавшись на уговоры эксперта, совершили потенциально опасные действия.

Второе тестирование тоже: сотрудники поверили легенде и охотно выполнили все, о чем их попросили.

А вот третье тестирование закончилось, не успев начаться. Уже на втором звонке легенда была раскрыта, сотрудник сказал, что дважды на одну удочку не попадется и оповестит о тестировании всех сотрудников, включая службу безопасности. Тестирование пришлось остановить.

Шок! Как так? Поиск ошибки начали с повторной проверки списка сотрудников, заявленных на каждое из трех тестирований. Совпадений нет. Потом проверили номера телефонов И вот он один номер телефона, только в первом тестировании он заявлен для Ивановой Анны Сергеевны, а в третьем для Петровой Анны Сергеевны (здесь и далее используются вымышленные имена). За время, прошедшее между тестированиями, девушка сменила фамилию.

В ходе первого тестирования Иванова Анна Сергеевна поверила в легенду и выполнила все действия, следуя указаниям эксперта, а вот Петрова Анна Сергеевна быстро поставила на место нерадивого эксперта.

Получается, что ошибка была допущена на этапе подготовки: эксперт проверил только фамилии сотрудников, но проигнорировал номера телефонов.

Что из этого можно вынести? На ошибках учатся, и теперь мы внимательнее проверяем списки сотрудников, по разным критериям, разрабатываем сценарии отхода, а эксперты делятся друг с другом своими ошибками на Вики-страницах, чтобы не повторять их.

Разбираем тренды уходящего года


Форматы социотехнического тестирования


Мы покажем сводную статистику по всем социотехническим тестированиям, которые мы провели в 2020 году, а также разберем кейсы наиболее интересных и показательных проектов.

В проектах использовались следующие форматы социотехнического тестирования:

  • рассылка фишинговых писем со ссылкой на поддельный ресурс 52%
  • рассылка фишинговых писем с исполняемым вложением 36%
  • телефонные звонки (вишинг) 12%

Самым результативным (отношение количества попавшихся к общему числу получателей) из представленных форматов стал вишинг 37%.

О высокой результативности вишинга знают не только эксперты по информационной безопасности, но и реальные злоумышленники, а также различные блогеры и репортеры. Ведь не просто так в последние годы количество вишинг-атак растет.

2020 год отметился настоящим бумом вишинга как в плане звонков от самих злоумышленников, так и в плане расследований СМИ. В этом году легенды вишинга стали более разнообразны и изобретательны: предложение медицинских и юридических услуг, звонки от лица сотрудника прокуратуры, и не стоит забывать о классике расследование подозрительного перевода банком (порядком приевшийся прием, но, к сожалению, все еще работающий).

Высокая результативность вишинга объясняется следующими моментами:

  • Заранее известна информация, которую нужно получить. Это позволяет сформировать сценарий разговора, проработать вопросы, которые надо задать для достижения цели. Есть возможность подготовить пути отхода, если собеседник начнет что-то подозревать.
  • Большой объем работ по сбору информации о сотрудниках и компании, которая используется для формирования легенды и сценария разговора. Например:

    о сотрудниках: ФИО, номер мобильного телефона, добавочный номер, адрес корпоративной электронной почты, ник в телеграмме, отдел, в котором работает сотрудник, его должность, дата рождения и фото;

    о компании: наименования подразделений и имена руководителей ключевых подразделений; используемые внутренние системы.
  • В разговоре используется информация, которая указывает на осведомленность эксперта во внутренних процессах компании; отсылки на распоряжения, якобы полученные от начальников структурных подразделений компании. Например:
    Эксперт: Здравствуйте, Татьяна Игоревна! Звоню вам по просьбе руководителя Владимира Алексеевича Кузнецова. У нас произошел инцидент ИБ: по вашему пропуску сегодня через систему контроля управления доступом был зафиксирован проход в хранилище M.
  • Эксперт демонстрирует эмоциональную заинтересованность в сложившейся ситуации или схожие интересы, чтобы притупить внимание собеседника:
    Эксперт: Вы пользуетесь ноутбуком только как рабочим компьютером или по каким-то еще личным делам?
    Сотрудник: Ну, смотрю YouTube еще.
    Эксперт: Да-да, я понимаю. Не переживайте. Просто возможно, что ваша доменная учетная запись была скомпрометирована и с ее помощью смогли пройти через СКУД.

Также следует помнить про внезапность звонка (человек может не понять, кто звонит) и возможность подмены номера. Таким образом, все перечисленные приемы позволяют увеличить доверие со стороны сотрудника и ослабить его бдительность.

Что касается диалогов выше, все они приведены из реального разговора, который состоялся в рамках проекта по вишингу. В кейсе 1 подробнее рассказываем про проект и его результаты.

Кейс 1


Цель: получить информацию разной степени критичности (компания определила информацию, которую считала конфиденциальной).
Легенда: сотрудника уведомляют об инциденте ИБ его пропуск использовали для несанкционированного прохода через СКУД в хранилище М. Служба безопасности расследует инцидент и звонит, чтобы узнать текущее местоположение пропуска, где находился пропуск в рабочее время, существуют ли альтернативные способы для прохождения СКУД. Звонят в нерабочее время (выходной день). Эксперт должен убедить сотрудника проверить доменную учетную запись на факт компрометации сотрудника просят аутентифицироваться на резервном портале (фишинговый ресурс).

Количество участников и инфраструктура под спойлером
Количество участников: 50 человек.
Инфраструктура: поддельный домен, поддельный корпоративный портал, который при вводе учетных данных перенаправлял сотрудника на оригинальный портал.

Вернемся к Татьяне Игоревне и информации, которую она предоставила за время разговора:

  • использует пропуск и специальный браслет для прохождения СКУД
  • пропуск и браслет находятся дома
  • использует корпоративную электронную почту дома
  • предоставила свои учетные данные, введя их на фишинговом ресурсе:

    02.03.2020 13:48:25#0.2.0.2#ida****:rsa****55#Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/72.0.3626.121 YaBrowser/19.3.1.828 Yowser/2.5 Safari/537.36

Компания остановила тестирование сотрудников после того как:

  • 29 телефонных взаимодействий было нами произведено;
  • 23 сотрудника раскрыли конфиденциальную информацию различного уровня критичности.

Как видно из примера, вишинг может использоваться не только для получения личной или конфиденциальной информации, но и для получения прямого доступа к инфраструктуре.

Какие могут быть результаты


Если сравнивать результативность рассылки фишинговых писем со ссылками на поддельный ресурс и писем с исполняемым вложением, то лидирует первый тип.

Один из ключевых факторов успеха в том, что рядовой сотрудник зачастую не разбирается в доменах, поддоменах и пр. Как следствие, он не видит разницы между portal-domain.ru и portal.domain.ru. Слова и порядок их употребления совпадают и там, и там, а вот символов можно пропустить по невнимательности или в спешке.

В свою очередь, рассылка фишинговых писем с исполняемым вложением предполагает большую вовлеченность со стороны сотрудников, поэтому данный формат тестирования показывает наименьшую результативность.



Однако сотрудники, открывшие вредоносные вложения, чаще вступают в переписку с экспертами, чем при работе с фишинговым ресурсом. Это позволяет эксперту продолжать воздействие для достижения своих целей.

Например, в попытке спасти якобы утерянные данные об отпусках сотрудники присылали не только свой график отпуска, но и файл на весь отдел, а там тысячи сотрудников со всеми данными и структура компании.

Также сотрудники часто пересылают письма своим коллегам.

Кейс 2


Цель: оценить осведомленность сотрудников в вопросах информационной безопасности.
Легенда: ознакомиться с новой системой премирования. К письму прилагался документ Премии.xls.

Количество участников и инфраструктура под спойлером
Количество участников: 75 человек.
Инфраструктура: поддельный домен, поддельный почтовый адрес (якобы принадлежащий отделу по работе с персоналом), вредоносная нагрузка, которая выполнялась в ОС удаленного компьютера, обеспечивала соединение с ним и собирала данные о конфигурации ОС.

За время тестирования удалось успешно подключиться к компьютерам 11 сотрудников (14% участников). Столкнувшись якобы с проблемой в работе документа, сотрудники вступали в переписку с экспертами в том числе и не заявленные в тестировании сотрудники.

Пример одной из таких переписок ниже:





В итоге сотрудник прислал ответное письмо, которое содержало скриншот рабочего стола.

Окей, возвращаемся к тенденциям


В 2020-м стали чаще появляться новости о том, что злоумышленники используют фишинг и вишинг в рамках одной атаки. К примеру, в начале декабря сообщалось, что злоумышленники рассылают уведомления о долгах за ЖКУ в размере 1020 тысяч рублей, которые якобы появились за время карантина, и просят оплатить поддельные квитанции онлайн.

Если человек проигнорировал письмо ему звонили от имени сотрудника управляющей компании для проверки ранее совершенных платежей. Преступники убеждали, что долг по квартплате есть, и узнавали способы оплаты и реквизиты карты, которая использовалась для платежа, а затем предлагали сделать пробную транзакцию и сообщить им код из SMS.

Для нас это не было новостью, и к тому моменту мы уже опробовали подобную схему на некоторых проектах: сначала рассылали сотрудникам фишинговые письма, а в случае низкого отклика звонили и в ходе разговора провоцировали сотрудника открыть файл или перейти по ссылке и выполнить действия, указанные в письме, или узнавали, почему он отказался выполнять инструкцию.

В результате сотрудники, которые изначально не хотели переходить по ссылке или не были заинтересованы в предлагаемой акции, меняли отношение к нашему фишинговому письму и, поддавшись на уговоры эксперта, делали то, что угрожало безопасности компании.

Таким образом, проекты, в которых одновременно использовались фишинг и вишинг, оказались более результативными, чем те, где использовался только фишинг. Сотрудники, которые подозревали, что проводится тестирование, меняли свое мнение, верили в легитимность писем и охотно шли на контакт с экспертами.

Примечание: для построения третьей диаграммы использовались общие результаты тестирования в формате фишинговых рассылок, дополняемые вишинг-активностью.



Легенды


Следует отметить, что при разработке легенды учитывается сфера деятельности компании и основной вид деятельности тестируемых сотрудников, но в основе всегда лежит сильная эмоция, которая притупляет внимание и провоцирует на необдуманные действия: жадность, любопытство, страх, доверчивость.

Ниже представлены основные примеры легенд:

  • Изменение в графике работы
  • Изменение в IT-системах
  • Система премирования
  • Скидки и бонусы
  • События в компании

Самой результативной легендой было информирование об изменениях в системе премирования.

Кроме того, упоминание легитимного сервиса, используемого многими компаниями, такого как Office 365, повышает доверие сотрудника. Такой подход часто используют реальные злоумышленники для проведения социотехнических атак.

Реалии 2020-го привнесли новое веяние в легенды социотехнического тестирования, да и реальных атак тоже. На первый план вышла коронавирусная инфекция и все, что с ней связано.

Когда коронавирус только начинался, компании просили не использовать его в качестве легенды, поскольку отсылка к столь актуальной теме гарантировала высокую результативность и негативно сказывалась на настроении сотрудников. Мы отвечали, что реальные злоумышленники не так этичны и активно используют эту легенду с начала пандемии, но получали категорический отказ. В результате табу на использование COVID-19 было снято с введением новых ограничительных мер осенью. Возможно, именно в этот момент компании осознали, что коронавирус с нами надолго и его игнорирование может привести к рискам.

Первый же проект с COVID-19 продемонстрировал неослабевающий интерес людей к данной тем и, как следствие, больше половины участников тестирования выполнили потенциально опасные действия.

Пожалуйста, прислушивайтесь к экспертам при выборе легенд.

Кейс 3


Цель: оценить осведомленность сотрудников в вопросах информационной безопасности.
Легенда: проверить сервис удаленного доступа, поскольку сотрудники переходят на удаленную работу из-за COVID-19. Для проверки доступа надо ввести учетные данные от рабочего компьютера на фишинговой странице, которая копировала страницу входа на VPN-портал.

Количество участников и инфраструктура под спойлером
Количество участников: 150 человек.
Инфраструктура: поддельный домен, поддельный почтовый адрес (якобы принадлежащий ИТ-отделу), поддельная страница входа на VPN-портал.

Пример письма для рассылки:


Мы получили следующие результаты:


Нужно больше тестирований или что будет в периоде


Каждая подобная статья заканчивается списком рекомендаций, которые позволят повысить осведомленность сотрудников в вопросах информационной безопасности.

К примеру, проверять источник письма или путь, по которому ведет ссылка. В целом, разумная рекомендация, но на практике не всегда работает. Вот смотрите: сотрудник, который получает 15 писем в день (возможно, среди читателей найдутся те, кто мечтает получать *всего* 15 писем в день), а чтение и участие в переписке не его основной вид деятельности, не будет до буквы, до знака проверять адрес отправителя или сверять его ФИО с корпоративным списком контактов.

Он увидит знакомый набор символов (самое время вспомнить про portal-domain.ru и portal.domain.ru), а должность отправителя и тема письма определят, в какую очередь он ответит на письмо. Возможно, ответная реакция на фишинговое письмо случится не сразу, но в свое время ссылка будет открыта, а исполняемое вложение запущено.

Еще одна типичная рекомендация регулярные тестирования персонала. Это замечательно, но тоже не всегда работает. Почему смотрите в кейсе 4.

Кейс 4


Компания М время от времени организовывала социотехническое тестирование своих сотрудников. Какого-то ощутимого прогресса в знаниях основ информационной безопасности не наблюдалось: сотрудники продолжали переходить по ссылкам, вступать в переписку и выполнять просьбы.

Чтобы продемонстрировать, что положительная динамика возможна только при регулярном тестировании, решили провести четыре социотехнических тестирования в течение года (в начале каждого квартала). Все тестирования проводились в одном формате, но под разными легендами, а участвовали в них сотрудники одного подразделения.

Результат регулярного тестирования оказался таким же, как и у нерегулярного: сотрудники переходили по ссылкам, вступали в переписку и раскрывали конфиденциальную информацию. Результативность отдельного тестирования в большей степени определялась актуальностью легенды. В 3 квартале легенда с COVID-19 заставила людей забыть о тренингах, наставлениях и рекомендациях.


Даже сотрудники с достаточными знаниями, умеющие распознавать атаки социальной инженерии, склонны проявлять халатное отношение к социотехническому тестированию: раз это очередной тест, то нет ничего страшного, если написать все, что думаешь по этому поводу. Вот только где уверенность, что это не реальная атака?

Кейс 5


В этом примере демонстрируем, как выявленное на ранних этапах социотехническое тестирование оказалось результативным только из-за того, что сотрудники, распознавшие тестирование, не оповестили о нем коллег.

Цель: получить валидные учетные данные сотрудников.
Легенда: проверить наличие доступа к новому корпоративному порталу.

Количество участников и инфраструктура под спойлером
Количество участников: 200 человек.
Инфраструктура: поддельный домен, поддельный почтовый адрес (якобы принадлежащий отделу техподдержки), поддельный корпоративный портал, который при вводе учетных данных перенаправлял сотрудника на оригинальный портал.

Активная фаза социотехнического тестирования началась 11 февраля 2020 года в 13:30 (МСК).

Первые учетные данные мы получили через 4 минуты:
Дата и время IP-адрес /
MAC-адрес		 Введенные логин и пароль Общая информация о конфигурации рабочей станции
11.02.2020 13:34 0.0.0.1 ni*********a:V******v Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/72.0.3626.121 Safari/537.36
11.02.2020 13:34 0.0.0.6 mi****a:2******aB3 Mozilla/5.0 (Macintosh; Intel Mac OS X 10_13_6) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/12.0.3 Safari/605.1.15
Примерно через 30 минут после начала тестирования получили данные, явно указывающие, что легенда раскрыта и сотрудники либо догадались о проводимом тестировании, либо заподозрили атаку: вместо учетных данных в логах собиралась ненормативная лексика.
Дата и время IP-адрес /
MAC-адрес		 Введенные логин и пароль Общая информация о конфигурации рабочей станции
11.02.2020 14:02 0.0.0.71 Idi ** *** sobaka:ahahhahaha Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/73.0.3683.75 Safari/537.36
Судя по полученным результатам (IP-адрес и информация о рабочей станции), мы подозревали, что это администратор. К этому моменту получили уже 37 учетных данных. Цель достигнута!

Тестирование можно сворачивать и садиться за отчет, но сотрудники продолжали вводить учетные данные. Последний ввод данных был зафиксирован 17 февраля. Следовательно, сотрудники, распознавшие тестирование (или атаку), не предупредили об этом своих коллег.
Дата и время IP-адрес /
MAC-адрес		 Введенные логин и пароль Общая информация о конфигурации рабочей станции
17.02.2020 14:08 0.0.0.55 Ty********v:T**********rah Mozilla/5.0 (iPhone; CPU iPhone OS 12_1_4 like Mac OS X) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/12.0 Mobile/15E148 Safari/604.1
Всего получили 76 уникальных учетных данных. Валидность каждой пары была подтверждена.

Подобное поведение показывает, что сотрудники не до конца понимают, как себя вести при выявлении социотехнической атаки. Важно научить не только распознавать социотехнические атаки, но и правильно на них реагировать.

В случае распознавания атаки или социотехнического тестирования сотрудник не должен идти на контакт со злоумышленником (или экспертом) ни при каком условии и должен немедленно оповестить ответственных за информационную безопасность.

Итоги, проблемы и рекомендации


Наверное, уже пора заканчивать со всеми этими рассказами и историями.

Может показаться, что конец какой-то пессимистичный (какой год такой и конец): сотрудники необучаемы, рассеяны и бизнес все еще в опасности.

На самом деле все не так плохо и не стоит отчаиваться. Обращайтесь к экспертам в области практической безопасности они расскажут об актуальных тенденциях в социотехнических атаках, порекомендуют лучший именно для вас формат тестирования.

Также не забывайте о простых правилах цифровой гигиены и рекомендациях по повышению осведомленности в ИБ.

Мы уже говорили, что в интернете достаточно статей о социотехническом тестировании (такая есть и у нас), а также статей с рекомендациями по повышению защиты. Поэтому хотим в очередной раз просто напомнить, что здесь нужен комплексный подход, а значит следует помнить о:

  • регулярном обучении и опросе сотрудников
  • понятной поставке материалов и гайдов (Вики-страницы, видео и т.п.)
  • обязательной двухфакторной аутентификации
  • разграничении доступа и минимизации прав пользователей
  • хорошей фильтрации электронной почты
  • средствах защиты от целенаправленных атак


Возвращаясь к основному вопросу: что же выбрать в 2021-м?

Мы решили оставить его на размышление вам. Рекомендуем попробовать фишинг + вишинг или только вишинг. Поможет сотрудникам не только в корпоративной среде, но и при подобных атаках в нерабочей обстановке.

Главное, про что стоит помнить: обучение и социотехнические тестирования должны быть направлены на формирование культуры поведения, которая позволит своевременно выявлять и эффективно реагировать на различные атаки.

Стоит сместить фокус с заучивания обязательных действий по обнаружению социотехнических атак на объяснение, почему их должен выполнять каждый сотрудник в компании. Без осознанного подхода к информационной безопасности со стороны сотрудников ни одна обучающая программа не сработает.
Подробнее..
Категории: Информационная безопасность , Pentest , It-компании , Исследования и прогнозы в it , Cybersecurity , Кибербезопасность , Блог компании group-ib , Социальная инженерия , Пентест , Information security , Penetration testing , Обучение сотрудников , Тест на проникновение , Social engineering

Мой пароль не дата, не улица, и фишингом меня нe дocтaть. Как защититься от атак социальной инженерии. Часть 1

23.01.2021 00:18:58 | Автор: admin

Введение

По статистике за 2020 год до 45% сотрудников организаций открывают фишинговые письма, 20-30% переходят по нежелательным ссылкам в таких письмах, а от 10 до 15% вводят свои учетные данные на фишинговых ресурсах. Данные процентные соотношения взяты с учетом следующих факторов:

  • фишинговые письма обходят все спам-фильтры и доставлены до целей (жертв)

  • письма содержат актуальную информацию для сотрудников той или иной организации в определенный промежуток времени.

Поэтому в целях предотвращения утечки данных сотрудников может проводиться заблаговременное социотехническое тестирование. Представленный цикл статей будет посвящен рассмотрению основных этапов в рамках проведения такого вида тестирования.

Первая часть данного цикла посвящена подготовительному этапу при проведении тестирования методами социальной инженерии. Так, будет рассмотрено, как правильно сконфигурировать smtp-сервер с rDNS записью для отправки фишинговых писем, какие DNS-записи необходимо настроить для дальнейшего обхода спам-фильтров, а также как добавить авторизацию на почтовом сервере.

Перед тем как начать

В процессе проведения тестирования методами социальной инженерии мы использовали услуги VPS в основном из-за наличия белого IP.

Весь процесс настройки будет производиться на Ubuntu 18.04.5 LTS c использованием:

  • Postfix 3.3.0-1

  • OpenDKIM 2.11.0

  • Dovecot 2.2.33.2

  • Certbot 0.27.0

В качестве примера будет использоваться доменное имя "example.com" и сеть 192.168.10.0/24.

Настройка smtp-сервера

Для отправки почтовых писем будет использоваться smtp-сервер Postfix. Установка smtp-сервера Postfix производится командой:

apt-get install postfix

Для упрощения процесса конфигурирования во время установки Postfix в пользовательском интерфейсе в списке типов конфигурации сервера необходимо выбрать Internet Site для автоматической генерации файла конфигурации main.cf

После установки Postfix производим его базовую настройку. Для этого в терминале прописываем команды по изменению доменного имени и сети, из которой будет отправляться почта.

postconf e 'myhostname=example.com'postconf e 'mynetworks=192.168.10.0/24'

Настройка OpenDKIM

Теперь, когда базовая конфигурация Postfix закончена, необходимо провести дальнейшие настройки, чтобы уменьшить вероятность попадания в спам писем, отправляемых с нашего smtp-сервера.

Начнем с настройки DKIM для Postfix. Это цифровая подпись, которая подтверждает подлинность отправителя и гарантирует целостность доставленного письма. Для ее настройки нам понадобится OpenDKIM - открытая реализация системы аутентификации отправителя по DKIM. Установка OpenDKIM производится командой:

apt-get install opendkim opendkim-tools -y

Cоздаем директорию /etc/opendkim/example.comи генерируем приватный и публичный ключ RSA.

openssl genrsa -out dkimprivate.key 1024openssl rsa -pubout -in dkimprivate.key -out dkimpublic.key

Примечание: для генерации ключей использовался более стабильный openssl, т.к. ключи, которые получались с помощью opendkim-genkey, не проходили проверки на сервисах тестирования записи DKIM.

Далее создаем файл доверенных узлов /etc/opendkim/TrustedHostsи делаем в нем запись следующего вида:

localhost#имя необходимого домена*.example.com

В файле /etc/opendkim/signingtable, который будет содержать список подписей, применяемых к сообщениям согласно адресу, указанному в поле заголовка From, создаем запись следующего вида:

*@example.com  mail._domainkey.example.com

Файл /etc/opendkim/keytable, который будет содержать таблицу ключей, приводим к следующему виду:

mail._domainkey.example.com example.com:mail:/etc/opendkim/example.com/dkimprivate.key

Далее открываем конфигурационный файл/etc/opendkim.conf и приводим его к следующему виду:

UMask                   002Domain                  example.comKeyFile                 /etc/opendkim/example.com/dkimprivate.keySelector                mailUserID                  opendkim:opendkimSyslogSuccess         YesLogWhy                  YesBackground              YesCanonicalization        relaxed/relaxedExternalIgnoreList      refile:/etc/opendkim/TrustedHostsInternalHosts           refile:/etc/opendkim/TrustedHostsKeyTable                refile:/etc/opendkim/keys/keytableSigningTable            refile:/etc/opendkim/keys/signingtableMode                    svPidFile                 /var/run/opendkim/opendkim.pidSignatureAlgorithm      rsa-sha256Socket                  inet:8891@localhost

Немного поподробнее про поля, которые были прописаны в файле выше:

  • Domain: параметр, определяющий имя используемого домена

  • KeyFile: параметр, описывающий путь до приватного ключа RSA, полученного с помощью openssl

  • UserID: параметр, который определяет под каким пользователем должен работать процесс OpenDKIM

  • ExternalIgnoreList: параметр, определяющий внешние хосты, которые могут отправлять почту через сервер в качестве одного из доменов подписания без полномочий.

  • InternalHosts: параметр, который определяет перечень внутренних хостов, чьи письма не должны быть проверены, но должны быть подписаны

  • KeyTable: таблица с параметрами подписи

  • SigningTable: список подписей, чтобы применить к сообщению на основе адреса, указанному в поле "От:" заголовка

  • PidFile: путь к PID файлу, который содержит идентификационный номер процесса

  • SignatureAlgorithm: алгоритм создания подписи

  • Socket: определяет параметры сервера OpenDKIM. Postfix будет отправлять сообщения на проверки и подпись через указанный в этом параметре сокет

Для взаимодействия Postfix и OpenDKIM в терминале прописываем следующие команды:

echo 'SOCKET="inet:8891@localhost"' >> /etc/default/opendkimpostconf -e milter_default_action=acceptpostconf -e milter_protocol=2postconf -e smtpd_milters = inet:localhost:8891postconf -e non_smtpd_milters = $smtpd_milters

После настройки Postfix и OpenDKIM проверяем отсутствие ошибок в конфигурационных файлах. Делаем это с помощью команд:

postfix check opendkim -n

Если в ходе проверок не было обнаружено ошибок, то перезапускаем сервисы Postfix и OpenDKIM и проверяем их статусы:

systemctl restart postfix systemctl restart opendkimsystemctl status postfix systemctl status opendkim

*Примечание

Если в ходе проверки статуса OpenDKIM возникает ошибка, связанная с отсутствием pid-файлаopendkim.pid, то переходим в/lib/systemd/system/opendkim.serviceи комментируем следующую строку:

#PIDFile=/var/run/opendkim/opendkim.pid

После чего еще раз перезапускаем OpenDKIM.

Настройка DNS-записей

После настройки OpenDKIM и создания приватных и публичных ключей переходим к настройке DNS-записей. Подробнее про них можно прочитать на данном ресурсе.

Для SPF создаем DNS-запись следующего вида:

В приведенной записи:

  • v - версия, всегда устанавливается как SPF1

  • ip4 - добавляет IP-адрес сервера, имеющего разрешение отправлять письма

  • a - позволяет отправлять письма с адреса, который указан в записи А на домене

  • mx - позволяет отправлять письма с адреса, который указан в записи MX на домене

  • ~all - определяет, что всем остальным ip-адресам присвоить режим мягкого возврата (попадание в папку спам).

Для DKIM создаем следующую DNS-запись:

В приведенной записи:

  • v - версия, всегда устанавливается как DKIM1

  • k тип ключа, всегда указывается как RSA

  • p - сам открытый ключ

Примечание: процесс создания открытого ключа RSA был описан в предыдущем разделе. Ключ находится/etc/opendkim/<имя используемого домена>/dkimpublic.key

Далее для DMARC подписи создаем следующую DNS-запись:

В приведенной записи:

  • v - версия, всегда устанавливается как DMARC1

  • p - правило для домена, none - означает "не делает ничего, кроме подготовки отчетов"

  • aspf - проверка соответствия записей, r - означает, что проверка осуществляется в мягком режиме

  • sp - правило для субдомена, none - означает "не делает ничего, кроме подготовки отчетов"

После добавления всех описанных записей можно сделать проверку, что они действительны. Сделать это можно на известном сервисеMxtoolbox.

Установка и настройка Dovecot и Certbot

Заключительной настройкой на подготовительной этапе будет конфигурирование Dovecot и Certbot. Dovecot в нашем случаи необходим, чтобы настроить авторизацию на smtp-сервере. Certbot же позволит управлять SSL-сертификатами от Let's Encrypt. Для установки Dovecot и Certbot используем следующую команду:

apt-get install dovecot-imapd dovecot-pop3d certbot

Для создания сертификатов Let's Encrypt прописываем в терминале следующую команду:

certbot certonly --standalone -d example.com

После завершения процесса сертификаты будут храниться в/etc/letsencrypt/live/examle.com

Далее производим дополнительную настройку Postfix. Для этого в терминале прописываем следующие команды:

postconf -e smtpd_tls_cert_file = /etc/letsencrypt/live/example.com/fullchain.pempostconf -e smtpd_tls_key_file = /etc/letsencrypt/live/example.com/privkey.pempostconf -e smtp_tls_security_level = maypostconf -e smtpd_tls_security_level = maypostconf -e smtp_tls_note_starttls_offer = yespostconf -e smtpd_tls_loglevel = 1postconf -e smtpd_tls_received_header = yespostconf -e smtpd_use_tls=yespostconf -e smtpd_sasl_type = dovecotpostconf -e smtpd_sasl_path = private/authpostconf -e smtpd_sasl_local_domain = example.compostconf -e smtpd_sasl_security_options = noanonymouspostconf -e broken_sasl_auth_clients = yespostconf -e smtpd_sasl_auth_enable = yespostconf -e smtpd_recipient_restrictions = permit_sasl_authenticated, permit_mynetworks, reject_unauth_destination

Следует немного прояснить, что обозначают некоторые параметры в приведенных выше командах:

  • smtpd_tls_cert_file - параметр, отвечающий за местонахождение сертификата сервера

  • smtpd_tls_key_file - параметр, отвечающий за местонахождение закрытого ключа сервера

  • smtp_sasl_auth_enable - параметр, который отвечает за включение поддержки sasl для проверки подлинности почтовых серверов

  • smtpd_sasl_path - параметр, который определяет путь до плагина аутентификации по механизму SASL

  • smtp_sasl_security_options - параметр безопасности, запрещающий механизмы, которые выполняют анонимную проверку подлинности. noplaintext - обозначает не использовать механизмы, которые передают незашифрованное имя пользователя и пароль

  • smtp_sasl_type - тип плагина sasl, используемый для проверки подлинности

  • smtpd_recipient_restrictions - параметр, отвечающий за список ограничений

Подробно с каждым параметром также можно ознакомиться в документации Postfix.

Также можно создать список виртуальных имен. Для этого прописываем следующие строки вконфигурационном файле /etc/postfix/main.cf:

virtualaliasdomains = $mydomainvirtualaliasmaps = hash:/etc/postfix/virtual

Далее открываем файл/etc/postfix/virtualи приводим его к следующему виду:

admin@example.com rootinfo@example.com root

Также в/etc/postfix/master.cfраскомментируем данные строки:

-o smtpdtlswrappermode=yes-o smtpdsaslauthenable=yes-o smtpdmilters=inet:localhost:8891

Переходим к настройке Dovecot. Открываем файл/etc/dovecot/conf.d/10-auth.confи прописываем следующие строки:

disableplaintextauth = yesauthmechanisms = plain login

Далее открываем файл/etc/dovecot/conf.d/10-mail.confи приводим его к следующему виду:

maillocation = maildir: ~ / Maildir

В файле/etc/dovecot/conf.d/10-master.conf находим селекторservice authи прописываем следующие строки:

service auth {   # Postfix smtp-auth  unixlistener / var / spool / postfix / private / auth {       mode = 0660       user = postfix       group = postfix }

Файл/etc/dovecot/conf.d/10-ssl.confприводим к следующему виду:

ssl = requiredsslcert = </etc/letsencrypt/live/example.com/fullchain.pemsslkey = </etc/letsencrypt/live/example.com/privkey.pemsslprotocols = !SSLv3 !TLSv1.1 TLSv1.2sslcipherlist = ALL:!LOW:!SSLv2:!EXP:!aNULL

Проверяем правильность конфигураций Postfix и Dovecot, после чего перезапускаем данные сервисы и проверяем их статусы:

postfix check dovecot -nsystemctl restart postfix systemctl restart dovecotsystemctl status postfix systemctl status dovecot

*Примечание: пути до ключей указываем те, что создались в процессе генерацию сертификатов с помощью Certbot выше.

Для проверки корректной настройки Postfix, Opendkim, Dovecot можно использовать сервис Mail-Tester, который позволит протестировать, попадают ли в дальнейшем письма, отправляемые с нашего почтового сервера, в спам.

echo "Test mail" | mail test-c69hzynjz@srv1.mail-tester.com -s "Hello" -a "MIME-Version: 1.0" -a "Content-Type: text/plain"

На этом подготовительный этап закончен. В следующей части цикла исследуем процесс разработки тематик фишинговых писем для более эффективных результатов, процесс формирования целевых групп, а также рассмотрим, какие средства лучше всего подойдут для создания фишинговых веб-ресурсов и разных типов писем.

Подробнее..
Категории: Информационная безопасность , Социальная инженерия , Фишинг , Postfix , Opendkim , Dovecot

Чем опасен ТГ-бот, позволяющий подменять Caller-ID

04.02.2021 14:12:29 | Автор: admin

Сегодня в СМИ ворвалась новость про бот в Telegram для телефонных звонков с функцией подмены обратного номера. На Хабре тоже уже появилась. Ну а так как я и есть Алексей Дрозд, подумал, что вам может быть интересно узнать немного подробностей про функционал бота и про угрозы, которые он несёт.

Старая песня на новый лад

С технической точки зрения в атаке ничего нового. Новизна, скорее, с функциональной стороны. Появление такого бота снижает до нуля порог вхождения для мошенников. Если раньше надо было немного пошевелить мозгом для того, чтобы прочитать инструкции по настройке виртуальной АТС, то сейчас достаточно шевелить лишь пальцем. Всё интуитивно понятно.

Удешевление атаки, равно как и снижение порога входа, способствует росту популярности. Первой ассоциацией, пришедшей на ум, был давний пост @LukaSafonovпро утёкшие исходники Citadel. Спрос порождает не только предложение, но и сервис. Вот и у ТГ-бота тоже есть возможность покурить мануалы, написать в сапорт и посмотреть различные отчёты своей деятельности. В лучших традициях, прикручена партнёрка с рефералами.

Что касается тарифов, то всё более-менее стандартно. Посекундная тарификация и различные пакеты.

С чего вдруг ополчился на бот?

Действительно, к самой технологии претензий нет. Не секрет, что подобные звонилки много кто использует в мирном русле. Поэтому изначально к боту вопросов не было, пока не дошло до функции изменения голоса.

Зачем легитимному сотруднику колл-центра такой функционал? Вопрос из разряда риторических. Кроме того, даже без тестового звонка можно предположить, что бот изменяет pitch. А это обратимый процесс, если записать голос звонившего.

В чём опасность?

В первую очередь, как уже писал, увеличение потока желающих. Классическая атака состоит из 2 частей: позвонить-напугать-убедить + вывести деньги. Часть 1 стало легче организовать. Часть 2, в принципе, отработана и так.

Во вторую очередь меняются подходы. Если раньше преимущественно звонки шли от "сотрудников службы безопасности банка", то в последнее время чаще наблюдаю двухходовку. Сперва мошенники узнают реальные номера отделений полиции, ФИО работников. Далее, звонят жертве с подменного номера, представляясь сотрудником ведомства, и просто предупреждают о зафиксированной попытке списания средств. Никаких действий совершать не просят. Всячески разыгрывают спектакль "Моя милиция меня бережёт". В конце разговора предупреждают о том, что скоро свяжется сотрудник банка и нужно будет следовать его инструкциям. Собственно, ради этого напутствия спектакль и затевался.

После разговора с "полицейским" некоторые жертвы проявляют здравый скепсис и лезут в Сеть проверять достоверность предоставленной информации. Естественно, находят и номер, и ФИО сотрудника, от имени которого вёлся разговор. It's a trap! Подозрительность снижается и звонящему банковскому сотруднику верят охотнее.

P.S. Не стоит надеяться, что единожды проинформировав родственников и знакомых о мошеннической схеме, вы решите проблему навсегда. Увы, практика показывает, что в подавляющем большинстве случаев жертвы до последнего уверены, что с ними такого не случится. Поэтому настоятельно рекомендую к прочтению пост @iiwabor. А самые отчаянные могут найти бота и воспроизвести атаку на своих же. Бесплатного времени хватит на несколько секунд. Но, надеюсь, у вышей "жертвы" наступит прозрение, когда вы покажете наглядно, как легко "на коленке" можно организовать атаку. Пусть запомнят раз и навсегда, им звонить никто не будет. Если есть сомнения, надо повесить трубку и самостоятельно связаться с банком\отделом полиции\прокурором\спортлото.

Подробнее..
Категории: Информационная безопасность , Социальная инженерия , Телеграм-бот , Блог компании searchinform , Мошенничество , Подмена номеров

Перевод Борьба с инсайдерской угрозой на примере Among Us

08.02.2021 08:23:59 | Автор: admin

Как ИБ-специалисты могут использовать знаменитую игру для обучения сотрудников

Говорить с сотрудниками о безопасности бывает сложно, особенно если в компании высоки риски инсайдерских угроз. Могут ли игры на социальную дедукцию сломать этот лёд? Могут, считают авторы блога Security through education. И рассказывают как это сделать, делая выводы на примере игры Among Us. Приводим перевод статьи.

Считается, что первая игра на социальную дедукцию была создана россиянином Дмитрием Давыдовым на факультете психологии МГУ в 1986 году. Это Мафия, впоследствии известная как Оборотень. Разрабатывая ее, Давыдов пытался совместить психологические исследования с преподавательскими обязанностями.

Концепция получила развитие в многочисленных настолках, карточных и ролевых играх (для тренингов и просто вечеринок). Перевод увлечения в видео- и онлайн-формат привели к мировой популярности игр. А Among Us и вовсе взорвала интернет.

В Among Us хорошие участники пытаются выполнить игровую задачу (вернуться на космическом корабле домой). Но некоторые члены команды самозванцы-саботажники (в терминах игры импостеры от англ. imposter). Их цель вывести остальных из игры. Чтобы не быть обнаруженными, самозванцам нужно плести интриги и устраивать саботажи.

Внутри игровое общение ведется с помощью голосового чата. Каждый раз, когда игроки обнаруживают тело, они созывают экстренное собрание, чтобы пообщаться и проголосовать, кто из них самозванец.

Эти встречи один из немногих способов для добропорядочных игроков собрать информацию, кто же самозванец. А для последнего распространить ложь и отвести недоверие от себя.

Игра, если рассматривать ее с психологической точки зрения, демонстрация принципов социальной инженерии, с которой мы сталкиваемся каждый день.

Исследователи провели несколько игр в разных группах людей: знакомыми друг с другом и незнакомыми. Их просили обращать внимание, что влияло на выигрыш или проигрыш, на самые эффективные способы проверить подозреваемых, на то, какие приёмы социальной инженерии самозванца оказывались самыми действенным.

Так, самым эффективным для самозванца было притвориться новичком, который нуждался в помощи или не понимал, что делать. Так, он намеренно совершал ошибки и с благодарностью принимал помощь, чтобы завоевать доверие. Он старался выглядеть максимально безобидными, у него всегда было фальшивое или настоящее алиби. Они держали язык за зубами, когда это было нужно. Так, они позволяли другим игрокам даже с более высоким игровым статусом вызвать подозрение.

Исследователи сделали несколько интересных выводов на основе игры. Наиболее эффективные игроки это касается как добропорядочных, так и самозванцев хорошо знают правила и игровое поле. Т.е. представляют, куда лучше перемещаться, какие есть секретные маршруты, каково время на выполнение той или иной игровой задачи, способ ее выполнения. Мало того, они использовали это знание умело и творчески, как для выявления людей, которые вели себя ненормально и вызывали подозрения, так и в фазе допроса.

Но всё же информация дает больше преимущество для добропорядочных игроков, поэтому самый эффективный приём самозванца, чтобы лишить других игроков информации, саботаж. Он выключает свет, чтобы отвлечь внимание игроков. Часть уходит чинить освещение и не знает, что происходит на другом конце поля, где самозванец продолжает совершать игровые злодейства, а после возлагает вину на кого-то другого.

Так какие выводы из этой детской игры на социальную дедукцию специалисты по безопасности могут применять и в реальной корпоративной жизни? Например, такой: инстинктивно обнаружить лжеца почти невозможно. Многочисленные исследования с более чем 24 000 участников показали, что средняя точность обнаружения предателя составила 54%.

Имейте в виду эту статистику, если вы привыкли доверять своему чутью видеть обманщика за верстку.

Так что можно сделать для снижения риска инсайдерских инцидентов?

1) Информация это всё. Ваши сотрудники, особенно руководство, должны знать политики безопасности компании очень хорошо. Все члены команды должны быть в курсе, чем занимаются сотрудники других отделов, что для них нормальное поведение, а что нет. Сотрудников нужно приучать делиться своими сомнениями.

2) Доверяй, но проверяй. Самозванцы побеждали очень быстро, если игроки не договаривались друг с другом и не пытались проверить ложь. То же самое может случиться в компании. Когда происходит что-то подозрительное, общение между отделами должно быть открытым. Кроме того, должна быть организована чёткая обратная связь, по которой люди не боялись бы сообщать о проблемах и угрозах безопасности.

3) Разграничение доступов и мониторинг информации. Да, информация это всё. И мы только что говорили, что команде (читайте, сотрудникам) нужна информация, чтобы выявлять самозванцев (читайте, инсайдеров). Но есть пределы осведомленности. Так, сотрудникам не нужно знать в деталях особенности организации технической инфраструктуры компании. Разграничение доступа очень важно, но даже так доступ к критической информации должен быть под контролем.

ИБ-специалистам часто сложно объяснить непрофессионалам, почему важна безопасность. Поэтому отсылки к известным играм на социальную дедукцию, таким как Among Us, позволяют сделать это более доступно. Можно даже собрать сотрудников и проиграть несколько раундов, чтобы они увидели, как легко обмануться и не увидеть самозванца в коллективе. Так вы еще получите удовольствие от обучения команды, а люди будут рады общению.

Подробнее..
Категории: Информационная безопасность , Социальная инженерия , Блог компании searchinform , Сёрчинформ , Мошенничество , Утечки информации , Among us , Инсайдеры

Верить ли глазам

17.02.2021 10:06:07 | Автор: admin

На что обращать внимание при оценке невербальных проявлений лжи

В прошлой статье мы разобрали, какие когнитивные искажения мешают определить обман. Как и обещал, хочу развить тему безынструментальной детекции лжи. Этот метод можно разделить на 2 категории:

1) оценка невербальных реакций;

2) оценка речи (и текстов).

Максимальную эффективность можно обеспечить только сочетанием двух моделей. Сегодня хочу обсудить первую категорию. Обсудим, какие правдивые выводы можно сделать из чтения по лицу и мимике, а что всего лишь стереотипы. И бонус для дочитавших текст несколько тренажеров, чтобы стать почти как Пол Экман в деле распознания эмоций.

Оценка невербальных реакций человека на те или иные вопросы это изучение проявлений т.н. первой сигнальной системы. Т.е. те сигналов, которые в норме минимально контролируются сознанием (мимика, жесты, кожные реакции и т.д.), а значит, условно являются искренними. Считается, что любые попытки их контролировать будут заметны внимательному взгляду или аппаратуре.

Классика всех исследований в этой области заключалась в том, что участников эксперимента просили рассказать правдивую историю о каком-либо человеке (чаще себе), а потом ложную. Оба рассказа записывались на видео. Потом другие участники экспериментов (которые не знали, какой из рассказов правдивый) просматривали запись и оценивали правдивость или ложность каждой истории.

В некоторых экспериментах участников просили сделать выводы, основываясь:

- только на звуковых сообщениях (без изображения);

- только на визуальных сообщениях (без звука);

- на звучании и видео одновременно.

И опрашивали, на основе каких признаков они делали выводы о том, обманывает ли человек на видео, или говорит правду.

Результаты экспериментов показывают, что сделать верные выводы можно в каждом случае, но процент правильных ответов будет разный.

Твой голос на мамин совсем не похож, или Как обнаружить ложь в речи говорящего

Есть несколько доказанных признаков лжи, которые можно обнаружить в речи. Разговор лгущего человека чаще включает отрицательные утверждения, очень общие фразы, односложные ответы и мало информации о самом говорящем и его опыте. Одни и те же высказывания неоднократно повторяются, при этом речь неспонтанна. По мере разговора она становится менее правильной, говорящий допускает больше грамматических ошибок и оговорок (Дипауло и др., 1985a; Цукерман и Драйвф, 1984).

Также лгущие люди чаще изменяют тон голоса и больше колеблются (Дипауло и др., 1985a; Цукерман и Драйвф, 1984), говорят медленнее и дольше обдумывают ответ. Ложные ответы на вопросы в интервью, как правило, менее решительные и более развернутые (Харрисон и др., 1978). В целом обман требует от человека больших интеллектуальных затрат, чем честность (Эллиот, 1979), из-за отсутствия спонтанности и контроля за своей речью.

Но все это скорее тенденции, чем законы.

В глаза мне смотри

Сразу оговорюсь, при оценке видео беседы без звука, участники эксперимента в гораздо большей степени рискуют ориентироваться на стереотипы. Согласно им лжец это человек, избегающий смотреть в глаза и принимающий закрытые и скошенные (скошенные) позы. Он много неискренне улыбается, чтобы скрыть ложь и ведет себя достаточно позитивно. Лжецы знают эти стереотипы и стараются их избегать (Экман, 1988).

Принято также считать, что врущий часто моргает и использует много адаптеров т.е. жестов самоприкосновения (например, к лицу, шее, волосам и т.д.)

Классический стереотип, пришедший из НЛП это неверное толкование глазных сигналов доступа (ГСД). По этой концепции, если человек, отвечая на ваш вопрос, смотрит вправо и вверх, то это означает, что он врет. Если же он смотрит влево и вверх, то, скорее всего, говорит правду.

Спешу заверить вас, что и эта концепция никак не доказана и является исключительно стереотипом.

К счастью, кроме стереотипов достаточно научно доказанных фактов. Так известно, что во время обмана активизируются реакции вегетативной нервной системы. Например изменения дыхания (лгущий начинает его контролировать или задерживать), кожа краснеет или бледнеет, появляется повышенное потоотделение и даже расширение зрачков и они, кстати, меняют свой т.н. паттерн движения (обычным зрением такое не заметишь, это делают специальные прибор ай-трекеры). Эти параметры, управляемые высшей нервной системой, сознательно контролировать практически невозможно. Но замечают их только внимательные и те, у кого есть практика по детекции лжи (как тренировать навык, расскажу ниже). Другие на эти признаки практически не обращают внимание.

Поэтому на широкую публику я обычно призываю не верить в то, что тело не врет, потому что человеку без тренированного глаза врет:)

Еще одна проблема безынструментального направления детекции лжи заключается в том, что невербальные реакции неспецифичны и никогда прямо не говорят об обмане. Они скорее говорят об уровне стресса, который испытывает человек в данном контексте. Обязанностью верификатора в данном направлении является правильно распознать эти признаки и доказательно их связать именно с обманом, а не со стрессовой реакцией опрашиваемого лица на сам опрос. Признаться, это бывает сделать нелегко и требует тщательного изучения опрашиваемого лица, его паттернов поведения, характера, психотипа и многого другого.

И значит, всё?!

Если вы дочитали до этого момента, у вас могло сложиться мнение, что всё зыбко и нет никаких невербальных показателей, которым можно было бы с уверенностью доверять.

Действительно, специалисты подстраховываются применением техники (полиграф), увеличением количества предъявлений (одна и та же реакция проверяется несколько раз), эмоциональными провокациями и даже манипуляциями восприятия клиента.

В комплексе это позволяет улучшить процент правильного определения лжи.

Еще один вариант подстраховки это эмоциональная провокация, предложенная еще самими Полом Экманом одним из наиболее авторитетных мэтров изучения эмоций, верификации лжи, известным широкой общественности как консультант сериала Обмани меня.

Фото отсюда: https://ekmanrussia.ru/paulekman-2/Фото отсюда: https://ekmanrussia.ru/paulekman-2/

Суть методики заключается в том, что верификатор в ответ на рассказ человека дает быстрый ответ: верит он ему или нет. Обратная реакция собеседника и является индикатором. В этих реакциях есть 4 варианта, а именно:

1) Верификатор поверил лживому высказыванию

Если верификатор сообщает о том, что поверил в искаженную информацию, то у обманщика часто наблюдается эмоция презрения или ее аналоги, сопровождаемая телесной асимметрией. Обманщик на бессознательном уровне, как бы говорит себе: Я переиграл эксперта и показывает нотки высокомерия по отношению к нему. В целом реакция может быть и другой, но эмоция презрения (даже если она была фоном) явно усилится именно это мы и ищем.

2) Верификатор подтверждает, что верит рассказанному (правде)

Для подозреваемого это знак, что нет причин для беспокойства о ложном обвинении или борьбы за собственную безопасность. У него возникает легкая реакция удовлетворения и/или легкой радости.

3) Верификатор не верит лжи

Т.е. сообщает причастному, что его ложь не увенчалась успехом. Это свидетельствует о том, что скрыть свое участие в преступлении не удалось и придется отвечать за действия. Это вызывает эмоцию страха (может быть лишь микровыражение), замирание в одной позе, нейтрализацию всех невербальных действий. Возможно проявление фальшивого удивления, которое длится больше секунды, проявляется несвоевременно и впоследствии переходит в эмоцию страха или отвращения. Последующие реакции могут быть разные, но здесь мы ищем именно страх и тревогу.

4) Верификатор не верит правде

Как правило, сначала проявляется удивление, которое перерастает в негодование, гнев. Эмоция удивления свидетельствует о том, что человек не представлял для себя возможность обвинения во лжи (преступлении). Эмоция удивления самая короткая, она длится значительно меньше секунды, затем следует выражение неприятия ситуации, которое может выражаться в гневе, направленном на эксперта, сообщившего данную информацию. В случае тревоги и беспокойства, непричастный отрицает свое участие в виде невербального признака несогласие. Подбородок приподнят вверх, он смотрит на эксперта как бы свысока. Имеется множество стандартных проявлений, демонстрирующих отрицание.

Вот схема для удобства

ПРАВДЕ

ЛЖИ

ВЕРЮ

Радость

Сенсорное удовольствие

Презрение

Облегчение

НЕ ВЕРЮ

Удивление

Несогласие

Гнев

Страх разоблачения

Фальшивое удивление

Отвращение

Практики часто используют эту методику и считают ее эффективной, но сухая наука ее эффективность пока не доказала. Вернее, есть несколько исследований, которые описывают достоверность этих реакций в диапазоне 45-64%.

Я дополнил эту методику, чтобы повысить её результативность. После первичной реакции подозреваемого всегда говорю: Вы знаете, скорее всего я ошибся и меняю свое мнение на противоположное: если в первый раз я ему поверил, то скажу, что он меня обманул. А если с самого начала не поверил, то скажу, что он меня убедил. И опять же смотрю на ответную реакцию, перепроверяя предыдущий тест.

Сюрприз J Эта методика тоже требует умелого применение. Способность в короткое время увидеть на лице и понять эмоцию человека это отдельный и зачастую довольно сложный навык, требующий тренировки.

Как тренировать?

Навык определения эмоций очень полезен и входит в структуру учения об эмоциональном интеллекте. По моему опыту есть два основных способа тренировки этой компетенции.

Первый планомерно изучать принципы и признаки эмоций в лице, голосе и жестах, используя научные подходы, такие как, например, FACS. Это позволит вам понимать и структурно описывать все признаки эмоций и их выраженность. Для тренировки этого существует несколько тренажеров, в том числе и тренажер самого Экмана. (https://cloud.mail.ru/public/4Q5Z/2L53nk11p/).

Второй посмотреть и прослушать тысячу (лучше больше :)) размеченных по эмоциям фотографий, видео и аудио-фрагментов. Благо, их сейчас найти довольно легко: они используются для обучения нейросетей определению эмоций. Если на этом учится нейросеть, выучится и человек.

А вот аудиальные базы содержат файлы с аудио-дорожками по основным эмоциям и эмоциональным состояниям (https://citeseerx.ist.psu.edu/viewdoc/download?doi=10.1.1.98.9202&rep=rep1&type=pdf).

Визуальные (https://face-rec.org/databases/) содержат либо фотографии, либо видео.

Лично мне больше нравится база RAVDESS из-за того, что она одна из самых новых (2018 г.) и из-за того, что она содержит в себе фото, видео и аудио контент (https://zenodo.org/record/1188976#.YCo2jhMzZQI).

На этом завершаю рассказ. Как я говорил, без оценки вербальных проявлений исследование невербальных не даст полноценного результата. Поэтому следующий пост про оценку речи, структуры лжи и построение опросной беседы, чтобы эту конструкцию разрушить.

Подробнее..
Категории: Информационная безопасность , Мозг , Научно-популярное , Управление персоналом , Профессиональная литература , Социальная инженерия , Профайлинг , Детектор лжи

(не)Безопасный дайджест потерянные миллионы и телефонные мошенники

04.03.2021 12:16:30 | Автор: admin

Обычно в конце месяца мы предлагаем вам дайджест самых интересных ИБ-инцидентов. Но в феврале нам встретилось столько совершенно потрясающих историй на вечную тему вам звонят из банка, что мы решили собрать их в отдельный пост.

И хоть в телефонном мошенничестве нет ничего нового, мы не устаем удивляться наглости мошенников, ущербу и доверчивости жертв!

Минус квартира

Что случилось: У пенсионерки из Петербурга фальшивые банковские специалисты увели более 6 млн рублей.

Как это было: Служба безопасности банка впервые позвонила женщине еще 11 декабря. С тех пор мошенники звонили с завидной регулярностью больше месяца, под их руководством женщина опустошила все свои счета и в несколько подходов перевела на безопасный счет 6,3 млн рублей. Как подметили журналисты, сумма сопоставима со стоимостью двухкомнатной квартиры! Технически афера происходила так: пенсионерке звонили менеджеры и вели до банкомата, где диктовали инструкции как и куда перевести деньги. Неладное она заподозрила только в начале февраля, после того, как лжебанкиры перестали выходить на связь. Теперь в деле разбирается полиция.

Стокгольмский синдром

Что случилось: в Череповце обманутая пенсионерка помогала мошенникам окучивать новых жертв.

Как это было: Пожилой женщине позвонили из финдепартамента и предупредили: с ее карты пытаются снять деньги. Убедили, что надо срочно забрать все сбережения из банка и положить на безопасный счет пенсионерка послушалась и поехала аж в областной центр, потому что в родной деревне не было банкомата. Мошенники все время оставались на линии и инструктировали, как снять сбережения, не вызвав подозрений (скажите, что на крупные покупки), куда и как их перевести. А когда на странные действия бабушки у банкомата обратила внимание сотрудница полиции и попыталась предупредить об опасности мошенники убедили ей не верить и выслали подмогу. Вскоре к женщине подошла пенсионерка, которая увела ее к банкомату в другом ТЦ и помогла перевести 260 тыс. рублей.

Помощница рассказала, что сама обезопасила таким образом больше 4 млн рублей. Оказалось, что она тоже жертва, полностью доверяла финдепартаменту и выполняла их инструкции аж с ноября. В общей сложности она совершила более 170 переводов в разных банкоматах, набрала несколько кредитов и лишилась сбережений, отправив все мошенникам. Сомнения в ней не зашевелились даже когда банкиры попросили ее приехать на другой конец города и помочь женщине, которая оказалась в похожей ситуации. В следующий раз обе обманутые встретились в полиции возбуждено уголовное дело.

Операция Ой

Что случилось: Лжеполицейский в рамках фальшивой спецоперации выманил у югорчанки почти 2 млн рублей.

Как это было: 48-летней женщине позвонил полицейский и заявил, что в регионе идет спецоперация по борьбе с мошенничеством и пресечению утечек из банков. Он предупредил, что делится служебной информацией и попросил помочь на условиях строгой конфиденциальности. Мошенников якобы нужно было ловить на живца: для этого женщине предстояло перевести все свои деньги со скомпрометированных счетов на неизвестный QIWI-кошелек (более 800 тыс. рублей), а потом и вовсе взять кредит (1,1 млн рублей!), чтобы приманка в кошельке была привлекательней. Женщина выполнила все инструкции в этот момент мошенники по классике перестали выходить на связь. Чтобы разобраться, она позвонила с жалобой в настоящую полицию, и только тут узнала об обмане. Мошенников ищут.

Договор аферы

Что случилось: сотрудник банка и полицейский заставили кубанца взять кредит на 1,4 млн рублей и перевести на страховой счет. Чтобы убедить жертву, ему присылали документы, подтверждающие законность всей действий.

Как это было: Сработала классическая кредитная схема: мужчину предупредили, что кто-то от его имени пытается получить в банке крупную сумму и предложили оформить зеркальный кредит, чтобы аннулировать мошенническую заявку. Разговаривал с жертвой сотрудник СБ Сбербанка, когда его собеседник в онлайн-банкинге получил одобрение на кредит в 1,4 млн рублей, подключил к разговору якобы сотрудника управления экономической безопасности и противодействия коррупции МВД. Тот сообщил, что идет операция по поимке мошенника, для этого якобы необходимо срочно снять все кредитные деньги и перевести на карту в доверенном банке. В подтверждение своих слов полицейский отправлял мужчине какие-то документы: что банки страховые партнеры, что сотрудники банка действуют по инструкциям МВД и так далее. Аргументы сыграли. В итоге мужчина остался без денег и с кредитом, а мошенников пытается найти реальная полиция.


СБ всех банков страны
Что случилось: В Якутии женщина перевела больше полумиллиона на счета мошенников, которые представились службой безопасности всех банков страны.


Как это было: В два ночи жертве позвонили: взволнованная банковская служащая сообщила, что кто-то пытается получить доступ к счету женщины. Стоило положить трубку дозвонился представитель СБ всех банков и сообщил, что проводит спецоперацию против мошенников. Его сменил якобы местный правоохранитель, он настоятельно рекомендовал следовать указаниям банковских специалистов. В итоге женщина все-таки потеряла бдительность и по указаниям мошенников перевела деньги. И сразу на два счета: на резервный 340 тыс. рублей, еще 215 тысяч на безопасный. Вторую операцию банк заблокировал, а мошенники после этого исчезли. Тогда она догадалась сама позвонить в полицию.

Дай тим
Что случилось: Мошенники убедили предпринимательницу из Калининграда установить на телефон приложение TeamViewer. Получив контроль над устройством, украли с ее счетов 255 тыс. рублей.

Как это было: Директору фирмы, по традиции, дозвонились из банка. Запугали, что неизвестные выводят деньги с ее счетов из-за уязвимости в смартфоне. Чтобы остановить их, требовалось срочно установить на телефон приложение для обеспечения безопасности (на поверку это оказался TeamViewer). Женщина все-таки заподозрила неладное, когда увидела, что в смартфоне открыт онлайн-банкинг и только что спасенные деньги на счете тают на глазах. К счастью, оставалась возможность по телефону заблокировать карту. Мошенники успели вывести только 255 тысяч, здесь предпринимательница успела прервать операцию и связалась с реальным банком.


Бонус: капля мёда
Что случилось: В феврале депутаты Госдумы озвучили идею, как защитить граждан от финансовых кибермошенников. Готовится законопроект, который позволит людям оформить запрет на выдачу им кредитов без их ведома.


Как это будет: По задумке, можно будет подать заявление на Госуслугах или в МФЦ и все кредитные организации получат запрет на выдачу кредитов на ваше имя. Это призвано обезопасить людей от ситуаций, когда кто-то оформляет займы на их имя по украденным паспортным данным, а если это произошло, освободить от выплаты таких кредитов мол, раз банк оформил займ при запрете, то потерянные деньги его проблема.


Звучит оптимистично. Но спорно. Статистика показывает, что махинации с кредитами на чужое имя встречаются реже, чем страшилки об этом, которыми мошенники пугают своих жертв. В теории уверенность, что на тебя точно не оформят кредит, может быть козырем против мошенников. Но у проекта есть тонкое место. Если кредит человеку все же понадобится, запрет по его заявлению можно снять. Социальным инженерам останется убедить жертву, что это именно та ситуация, когда срочно нужны деньги и она добровольно отзовет защиту.

Подробнее..
Категории: Информационная безопасность , Социальная инженерия , Утечка данных , Утечка информации , Блог компании searchinform , Мошенничество , Утечка , Утечка паролей

Recovery mode Фишинг и с чем его едят

18.03.2021 20:06:33 | Автор: admin

Почти каждый из нас слышал это страшное слово, но далеко не каждый понимает, что же это такое

Подробнее..
Категории: Информационная безопасность , Антивирусная защита , Социальная инженерия , Фишинг , Защита информации , Антифишинг , Борьба с фишингом

Хакеры создали подставную фирму SecuriElite, чтобы атаковать исследователей безопасности и других хакеров

21.04.2021 16:08:09 | Автор: admin

Сайт несуществующей компании SecuriElite

В январе 2021 года специалисты Google Threat Analysis Group (TAG) рассказали об атаке на исследователей ИТ-безопасности по всему миру. Теперь опубликованы некоторые подробности этой необычной операции.

Злоумышленники использовали новые 0-day, которые срабатывают в последних версиях Windows 10 и Chrome. Кроме того, исследователям предлагали поучаствовать в совместном проекте Visual Studio и по их запросу предоставляли DLL якобы с кодом эксплоита (хэш DLL на VirusTotal). Такой вектор социальной инженерии встречается впервые в мире.

Как показало расследование, хакерская группа контактировала с исследователями безопасности через поддельные аккаунты в социальных сетях Twitter и LinkedIn.



Фейковые профили пользователей LinkedIn и Twitter

Более того, они создали поддельную компанию под названием SecuriElite, которая базируется в Турции и якобы приглашает экспертов по безопасности. Как сообщается, компания предлагает услуги offensive security, включая пентесты, оценку безопасности программного обеспечения и эксплоиты.

В общей сложности Google идентифицировала восемь аккаунтов Twitter и семь профилей LinkedIn, которые участвовали в операции. Блог с интересной информацией на тему ИБ для привлечения целевой аудитории был запущен в 2020 году.


Блог с интересной информацией для привлечения исследователей по безопасности

Для операции были зарегистрированы профили на ряде платформ, включая Telegram, Keybase и Discord, чтобы общаться с исследователями и завоевать их доверие.

14 января 2021 года злоумышленники опубликовали в Twitter и на YouTube видео с демонстрацией эксплоита для недавно закрытой уязвимости в Windows Defender (CVE-2021-1647).



Если кто-то из исследователей по безопасности заглотил наживку, ему предлагали поучаствовать в совместном проекте Visual Studio. Это новый метод социальной инженерии, который ранее ещё не встречался.


Хакеры обещали, что в проекте Visual Studio будет код эксплоита, показанного на видео, и предоставляли DLL, которая исполнялась через Visual Studio Build Events. Сразу после этого она устанавливала соединение с удалённым командным сервером.



Сайт SecuriElite запустили 17 марта 2021 года. До этого атака велась только через блог.



Корейские коллеги уже определили уязвимость 0-day, через которую эксплоит срабатывал в Internet Explorer. О других браузерах информации пока нет.



Кроме сайта, атака велась через официальный блог blog.br0vvnn[.]io. Ранее сообщалось, что эксплоит срабатывает в последних версиях Windows 10 и Chrome со всеми патчами. Сейчас антивирусы уже начали его распознавать.

Если избранных жертв индивидуально приглашают на заражённый сайт, то это таргетированный фишинг. Если жертва сама нашла новый интересный сайт, то это немного похоже на атаку типа watering hole (когда взламывается настоящий сайт, которым пользуется целевая группа). Наверное, в данном случае можно говорить о гибридной технике.

Пока непонятно, с какой целью на компьютеры специалистов устанавливали бэкдоры. Возможно, злоумышленники искали информацию о новых 0-day. Это ценный товар на чёрном рынке. Сведения о багах в популярном ПО продаются за сотни тысяч долларов. Уязвимости эксплуатируются несколько месяцев или лет, пока о них не становится известно широкой публике. Если хакер находит серьёзную уязвимость в Windows или iOS он может обеспечить себе безбедное существование на годы вперёд и пожизненный авторитет в сообществе.

Теоретически, жертвой нацеленной атаки может стать каждый, даже эксперт по безопасности, если он не использует для выхода в интернет отдельный компьютер. Антивирусные программы здесь не помогут, скорее наоборот: зачастую они увеличивают поверхность атаки и ухудшают безопасность системы.

Google Threat Analysis Group опубликовала список аккаунтов в соцсетях, адреса командных серверов (в том числе взломанных чужих серверов, которые использовались как командные), хэши DLL для VS Project и индикаторы компрометации (IOCs).



Подробнее..
Категории: Информационная безопасность , Социальные сети и сообщества , Браузеры , Блог компании globalsign , Антивирусная защита , Visual studio , Социальная инженерия , Pgp , Securielite , Google threat analysis group , Таргетированный фишинг , Watering hole , Публичный ключ , 0-day

Социальная инженерия в эпоху социальной изоляции

14.05.2021 16:12:54 | Автор: admin
image

Мир изменился. Я чувствую это в воде, чувствую это в земле, ощущаю в воздухе Многое из того, что было ушло. И не осталось тех, кто помнит об этом.

Пандемия изменила привычный уклад жизни огромного количества людей и подкинула проблем в самых разных сферах. Одна из этих сфер информационная безопасность. Первостепенной задачей стал перевод сотрудников на удаленное место работы без потерь (здесь мы писали о рисках ИБ удаленного офиса). Затем последовал всплеск атак, связанных с дистанционным выполнением операций и возросшей популярностью онлайн-шоппинга и разнообразных онлайн-сервисов. Также обострились проблемы фишинга и социальной инженерии.


Несколько фактов:

  • За первые три месяца 2020 года, согласно отчету Terranova security, удаленные сотрудники получили 30 000 подозрительных сообщений, а весь целевой фишинг, связанный с COVID, увеличился на 667%.
  • В течение 3 квартала 2020 года 37% компьютеров и серверов в мире, использующихся для хранения и обработки биометрических данных (отпечатки пальцев, шаблоны лица, голоса и радужной оболочки глаза), как минимум один раз подвергались риску заражения вредоносным ПО.
  • Согласно результатам Microsoft Digital Civility Index, в России в 2020 году из всех онлайн-угроз чаще всего люди сталкивались с рисками нежелательной коммуникации: об этом заявили 71% опрошенных, из них с мошенничеством и обманом встретились 54%.

В условиях стресса пользователи становятся более восприимчивы к атакам злоумышленников. В полной мере это используют социальные инженеры. Основа социальной инженерии психология, а опытный мошенник отлично знает, за какие ниточки потянуть, чтобы добиться своего.

Напомним основные этапы атаки социальной инженерии:


  1. Сбор информации о целевом объекте;
  2. Подготовка сценария действий и необходимых средств атаки (фишинговые ресурсы, вредоносные вложения и др.);
  3. Установление связей и завоевание доверия жертвы;
  4. Достижение цели атаки (получение необходимой информации).

Почему же атаки с применением социальной инженерии работают?

  • Они выглядят естественно, поскольку мошенники эксплуатируют доверие пользователей;
  • Информация, на которой они базируются, может утекать за пределами рабочего места сотрудника, что бывает довольно сложно отследить;
  • Часто злоумышленникам не требуется тратить время на эксплуатацию уязвимости в ПО компании или поиск 0-day в продуктах, чтобы после обратить ситуацию в свою пользу. Всё сделает пользователь, достаточно лишь подтолкнуть. Это дёшево и сравнительно быстро, особенно если рассматривать phishing as a service.

В нашем блоге мы уже публиковали подробную статью о социальной инженерии. Сегодня же хотим проанализировать, как со временем меняются фишинговые сценарии, в том числе под влиянием COVID-19; какие сценарии остаются неизменны и по-прежнему бьют в цель, а какие изжили себя и напоминают о себе разве что единичными случаями поражения. Кроме того, еще раз напомним о мерах безопасности как говорится, praemonitus, praemunitus.

Отметим, что в этой статье мы будем рассматривать атаки на человека не как на частное лицо, но как на сотрудника компании, когда злоумышленнику важно заполучить конфиденциальную информацию или доступ к рабочей станции пользователя.

Сценарий в работе


Для начала разделим все фишинговые сценарии на три больших условных группы:

  • Макросные сценарии сценарии, где пользователь должен разрешить выполнение макросов. В качестве примера недавней атаки можно привести запуск шифровальщика через макросы.
  • Парольные сценарии сценарии, где пользователь должен ввести в систему свои логин и пароль. Здесь можно вспомнить необычную атаку с использованием азбуки Морзе.
  • Сценарии с исполняемыми файлами сценарии, где пользователь должен скачать и установить исполняемый файл. Телефонный скам якобы от компании Microsoft, а также атаки на пользователей LinkedIn с использованием бесфайлового бэкдора more_eggs.

Теперь рассмотрим несколько реализаций этих сценариев, применимых на практике.

Макросные сценарии:


1. Распродажа офисного имущества
Вам на почту приходит письмо с заманчивым предложением: У нас осталось несколько списанных ноутбуков, почти новых, не битых-не крашеных и всего за треть от закупочной цены. Или же: Планируем новые закупки, старую мебель отдадим за бесценок, только заберите. И к письму прикреплена таблица Excel с макросами. Знакомо?

2. Инвентаризация оборудования
Тоже частая ситуация и, что самое плохое, очень правдоподобная: Посмотрите, есть ли в данном документе ваше оборудование?

3. Обновление бонусной программы
Рассылка, которая рассказывает о возможных бонусах за привлечение в компанию новых сотрудников или партнеров.

4. Перерасчет заработной платы, премия
Обычно файл с макросами рассылается от имени главного бухгалтера. Изменение условий начисления премии, перерасчет заработной платы и в целом любые изменения в графике выплат стабильно вызывают интерес. В условиях пандемии выглядит вполне правдоподобно.
image

5. Банковские документы
Еще одна вариация финансового сценария. Подозрительные движения трехзначных сумм. Операции по вашему счету. Новые условия зарплатной программы. Люди эмоционально воспринимают новости, связанные с их финансами, и злоумышленник может сыграть на этом.

6. График выходных и праздничных дней
Как показывает практика, этот сценарий хорошо срабатывает перед праздниками, когда нужно многое успеть, и уровень внимательности к бытовым мелочам резко снижается. Перенос праздников, сокращенные или внезапно увеличенные выходные дни отличные инфоповоды для злоумышленника.

7. Акт сверки счетов и прочая документация
Довольно редкий сценарий, но от этого не менее действенный. Он может сработать, если злоумышленник провел предварительную разведку и выяснил, с какими клиентами/партнерами компания-жертва в данный момент сотрудничает.

Парольные сценарии:


1. Новый офис
Этот сценарий мы решили вынести в отдельный пункт. Пандемия многих заставила переехать в более бюджетные или оптимальные по планировке помещения (например, коворкинги вместо многоэтажных кабинетных офисов). Злоумышленник может пригласить жертву на вебинар по обсуждению переезда или на корпоративный митинг по теме Идеальный офис: ваши предложения. Если он будет достаточно убедителен, такой сценарий может увенчаться успехом.

2. Приглашение на внутреннюю встречу или вебинар
Все зависит от специфики работы компании и фантазии злоумышленника. Внутренний митап, приглашение на бесплатный вебинар по техническому английскому, участие в обсуждении грядущего корпоратива Выбор воистину безграничен, а в условиях удаленной работы мало кого можно удивить предложением созвониться.

3. Внутрикорпоративные плюшки
Старый сценарий, который не теряет своей актуальности. Отлично показывает себя в периоды праздников, особенно если в компании есть корпоративный магазин с мерчем. Поэтому новость о скидке на что-либо или компенсации корпоративного питания с большой долей вероятности будет встречена тепло.

4. Интеграция с популярными сервисами и банками
Развитие предыдущей темы. Промокоды очень соблазнительная вещь, ведь люди в массе своей охочи до скидок. Кто не захочет получить доступ к обучающим курсам или бесплатную подписку на киносервис в преддверии громкой премьеры? Что касается банков, тут всегда можно разыграть карту смены зарплатного проекта с более выгодными условиями.

5. Кто-то входит в ваш аккаунт!
Это также старый-добрый действенный сценарий. Здесь нужно сыграть на бдительности сотрудника и сделать так, чтобы инициатива исходила от него. Не сообразив, что происходит на самом деле, пользователь может перейти по ложной ссылке для сброса пароля или выйти на связь со злоумышленником, ответив на письмо.

6. Автоматическое оповещение из Jira/Wiki/Confluence/чата
Расчёт на то, что сотрудники пользуются этими программами каждый день, из-за чего уже не обращают внимания на сопровождающий текст оповещений. Жертва попадает на фишинговую копию страницы трекера, где вводит свои учетные данные. В этом сценарии на руку злоумышленников играет и то, что не все успели как следует познакомиться с новыми коллегами, которые присоединились к компании во время пандемии/на удаленке, особенно если компания крупная.

7. Тестирование нового сервиса %service_name%
Злоумышленник предлагает жертве проверить, сможет ли она войти в тестируемый сервис, который якобы находится на стадии внедрения. Если страница входа будет выглядеть достаточно правдоподобно и поддерживать корпоративный стиль, жертва может попасться на эту уловку и ввести свои учетные данные.

8. Запись на вакцинацию и прочие околоковидные сценарии
Этот сценарий становится все более вероятным. Люди, которым не терпится вернуться к нормальной жизни, отнесутся к такому письму с большим доверием.

Сценарии с исполняемыми файлами:


Проанализировав статистику успешных атак социальной инженерии, мы пришли к выводу, что подавляющее большинство пользователей относятся с подозрением к призыву скачать и установить некое ПО на свою рабочую станцию. Тем не менее, пока злоумышленники не отказались от подобных сценариев:
1. Приглашение на собеседование или онлайн-встречу
Это может быть заманчивое письмо от рекрутера реальной крупной компании. Для проведения собеседования предлагается установить новое приложение или внутренний мессенджер.

2. Установка нового сервиса/пропатченной версии старого сервиса
Притворяясь представителем IT-отдела, злоумышленник может попросить пользователя установить новую версию ПО, в которой, например, исправлены серьезные уязвимости. Подойдет и вариант с новым, более гибким и безопасным VPN, который запускается в тестовом режиме.

Это, разумеется, далеко не все возможные сценарии фантазия мошенников безгранична.

Цифры и факты


Теперь подробнее обратимся к опыту аудитов Digital Security. На графике ниже показан процент пробива по каждой группе сценариев, которые мы рассмотрели. Данные получены в ходе тестирований за 2018-2020 гг.

image

image

Сценарии с исполняемыми файлами были и есть наименее эффективны. В 2019 году наблюдался спад, что, вероятно, вызвано ростом осведомленности сотрудников. Скачок в 5% в 2020 году можно объяснить появлением новых сценариев с установкой псевдо-VPN-клиентов и аналогичных средств для удаленной работы.

Наиболее резкое сокращение числа успешных атак за три года наблюдается в группе сценариев с макросами. Это вполне закономерно: о них много рассказывают в учебных материалах и на тренингах.

Наблюдается тенденция постепенного снижения числа успешных атак, поскольку проблемам социальной инженерии уделяют все больше внимания. Свой вклад внесли и надоевшие всем представители службы безопасности банка N, которые своими звонками невольно заставляют пользователей быть в тонусе и проявлять здоровую подозрительность.

Тем не менее, какой-то процент пользователей всегда попадается на удочку, которую забрасывают наши аудиторы. А ведь для успешной атаки иногда достаточно и одной оплошности.

Часто сценарии используются комплексно, для большего покрытия. А наличие уязвимостей в инфраструктуре компании, если злоумышленник их обнаружит, может кратно увеличить пробив.

Вспомним пару интересных случаев из нашей практики.

Случай 1.


В ходе аудита на одном из ресурсов клиента мы выявили ряд уязвимостей, делающих возможными атаки типа XSS. Это позволило разместить фишинговую форму не на ресурсе с похожим именем, а на легитимном веб-сервисе компании.

В веб-приложении были настроены механизмы Content Security Policy, допускающие исполнение встраиваемого JavaScript-кода и подгрузку JS-файлов только с разрешенных источников. Однако оказалось, что в списке доверенных источников для исполнения JS-кода присутствует запись https://*.googleapis.com. Это позволяет любому пользователю Google Cloud Platform разместить произвольный JS-файл в публично доступном хранилище, чей адрес будет удовлетворять требованиям CSP.

Далее по списку email-адресов сотрудников производилась почтовая рассылка. Ссылка в письме вела на фишинговый ресурс, внешне имитирующий корпоративный. Ничего не подозревающая жертва проходила по ссылке и, видя настоящий URL в адресной строке и знакомый интерфейс, вводила свои логин и пароль.

Случай 2.


Во время работы над проектом аудиторы обнаружили хранимую XSS во внутреннем ресурсе компании. Также у этой компании был внутренний чат, куда можно было отправлять ссылки. После перехода сотрудников поддержки по ссылкам на уязвимый внутренний ресурс можно было получить их Cookies для дальнейшего проникновения в систему.

Рекомендации:


Необходимо помнить, что фишинг в первую очередь направлен на персонал с низким уровнем грамотности в сфере информационной безопасности. Но это не значит, что на уловки хакеров не ведутся сотрудники ИБ- и ИТ-компаний. От атаки не застрахован никто. Чем выше и важнее занимаемая должность, тем больший интерес жертва представляет. Нужно держать сотрудников в тонусе, проверяя их осведомленность, регулярно напоминать о возможных рисках и проводить обучение.

1. Обратите внимание на отправителя
Решения для защиты электронной почты обычно доверяют недавно созданным доменам электронной почты, которые еще не были помечены как опасные, поэтому лучше надеяться на себя и проверять легитимность домена. Злоумышленник может зарегистрировать домен, который похож на домен вашей компании.
Кроме того, посмотрите действительно ли такой отправитель существует? Бухгалтерия, IT-отдел, отдел маркетинга c этого ли адреса от них обычно приходят письма?
И, наконец, если в поле Отправитель стоит незнакомый адрес, не лишним будет уточнить у более осведомленных лиц: действительно ли такой сотрудник существует?

2. Обратите внимание на тон и стиль письма
Обычно злоумышленники пытаются сделать свои письма предельно нейтральными, чтобы минимизировать количество признаков, по которым можно отличить фальшивое сообщение от настоящего. Вспомните, в каком стиле обычно выдержаны письма от условного отдела технической поддержки? Похоже ли на них письмо, которое вы получили? Может быть, тон чересчур официальный или, наоборот, неформальный?

3. Не переходите по сомнительным ссылкам
Предположим, вам пришло письмо с уведомлением о поставленной в Jira задаче от незнакомого коллеги или о том, что некто поделился с вами файлом в корпоративной системе. Не переходите напрямую по ссылкам, если не уверены в подлинности такого письма. Вы всегда можете войти в нужную корпоративную систему привычным способом и обнаружить обновление/оповещение там.
image

4. Уточните у коллег
Если письмо выглядит правдоподобно, но вы все равно сомневаетесь, не стесняйтесь обратиться за помощью к коллегам. Спросите у сисадмина, действительно ли они тестируют обновление OVA? Напишите главному бухгалтеру и поинтересуйтесь, правда ли изменились правила начисления премии? Не нужно бояться лишний раз проявить бдительность, ведь это малое усилие с вашей стороны может предотвратить огромный ущерб для компании.

5. Предупредите службу безопасности
Как можно скорее предупредите безопасников вашей компании, особенно если вы попались на уловку и ввели свои настоящие логин и пароль или запустили макросы. Возможно, это ложная тревога или даже учения, проводимые вашей компанией, а возможно и реальная атака.
В таком случае, чем раньше будут приняты меры, тем лучше. В нашей практике были случаи, когда дальнейшее проведение атаки становилось невозможным как раз из-за своевременного обращения сотрудников в службу безопасности.

6. Пройдите обучение по противодействию социальной инженерии
Активно участвуйте в обучающих программах вашей компании и повышайте уровень осведомленности. Как мы уже сказали, фантазия злоумышленников безгранична, а значит и меры защиты должны развиваться и своевременно внедряться в производственный процесс. Обучение и бдительность ключ к успеху. Если же в вашей компании не проводятся такие мероприятия, может быть, пришло время вам выступить с инициативой?

7. Усовершенствуйте технические меры защиты
Это можно сделать в рамках своих возможностей и обязанностей, а также обратившись за помощью в отдел технического обеспечения и поддержки вашей компании. Не ленитесь менять пароли, у которых истек срок давности, не игнорируйте положения политики ИБ. Не распространяйте в социальных сетях информацию, которая может помочь злоумышленникам провести атаку на вас как на сотрудника компании (старые-добрые фотографии пропусков и бейджей).

8. Своевременно обновляйте ПО и ОС на вашей рабочей станции.
Что делать, если вы подозреваете, что кого-то из ваших коллег зафишили? Или даже вашего непосредственного начальника или человека, занимающего высокий пост в компании? Ответ прежний: не стесняться уточнить, если не лично, то через отдел, обеспечивающий безопасность. Не нужно бояться показаться смешным, поскольку злоумышленники часто используют образ людей, наделенных большими полномочиями, а значит в какой-то момент именно ваша бдительность может спасти ситуацию.

Вывод:


Нужно понять и принять, что безопасность компании всегда требует от сотрудников дополнительных усилий. Но как и в случае с болезнью, лучше предупредить неприятности и снизить уровень угрозы, чем разбираться с дорогостоящими последствиями. Будьте бдительны и оставайтесь в безопасности.

P.S. Еще одно направление деятельности социального инженера физическое проникновение в офис компании. Здесь есть масса интересных нюансов, о которых мы расскажем в отдельной статье.
Подробнее..
Категории: Информационная безопасность , Социальная инженерия , Блог компании digital security , Фишинг

Рыбаки атакуют фишинг

19.05.2021 14:18:09 | Автор: admin

Фишинг (phishing, от fishing рыбалка, выуживание) вид интернет-мошенничества, при котором злоумышленник любым доступным способом пытается получить конфиденциальные данные пользователя: логин/пароль, ФИО, номер телефона, паспортные данные и тд. Помимо стандартного фишинга существует и его разновидность вишинг (от англ. Voice phishing). Используя вишинг, злоумышленники с помощью голосовых видов коммуникации и социальной инженерии пытаются получить данные банковских карт пользователей или любую другую конфиденциальную информацию. Вишинг тоже является довольно популярным методом получения конфиденциальных данных, но сегодня мы говорим про классический вариант.

Чем опасен фишинг

Основная опасность фишинговых атак заключается в ее направленности на человека, и полностью защититься от нее невозможно. Разумеется, можно и нужно проводить в компаниях регулярные семинары или обучение для повышения уровня осведомленности сотрудников в области информационной безопасности. Но и техники проведения фишинга не стоят на месте и постоянно развиваются. Еще одна опасность проведения фишинга заключается в получении доступа к конфиденциальным данным пользователей. Если это логины и пароли, то пользователь наверняка потеряет доступ к учетной записи. Если это данные банковских карт, то злоумышленники будут пытаться украсть с них денежные средства. В остальных случаях персональные данные с большой долей вероятности будут проданы (рекламным компаниям, даркнет и т.д.), опубликованы в открытом доступе или использованы для проведения атак.

Пример фишинга

Наша компания регулярно сталкивается с фишинговыми атаками. Ранее мы ужеписалио том, как хакеры пытались провести фишинговую атаку через нашу корпоративную почту. И вот недавно случился новый эпизод. На корпоративную почту мы получили довольно странное письмо. В письме говорилось о том, что из-за некорректной настройки сервисаIMAPиPOPвходящие сообщения на корпоративную электронную почту задерживались. Для устранения этой проблемы необходимо перейти по ссылке с подозрительным доменом и ввести логин/пароль от учетной записи.

Прикрепленная ссылка в сообщении не редкость, но если в ней указан странный домен, то это первый признак того, что дело явно нечисто. Перейдем по ссылке и посмотрим что в ней.

Как выглядит веб-интерфейс у Roundcube
Что находится в ссылке злоумышленников

Оформление потенциально фишинговой страницы выглядит, как наспех выполненная поделка это второй признак, что нас хотят обмануть. Хотя стоит отметить, что обычно злоумышленники полностью копируют реальный сайт и в целом более основательно подходят к этому вопросу. Но вполне возможно сайт так может выглядеть из-за того, что подгрузка различных элементов происходит со множества других адресов, которые мы не стали разрешать в корпоративной среде.

Если внимательно изучить заголовки письма, то можно заметить, что в отправителе указанpentestit.ru, а вReturn-Path, который обычно скрыт и означает адрес доставки уведомлений об ошибках, указан домен, принадлежащий некоторой медицинской организации.

Эта информация позволяет определить, что письмо является фишинговым, а злоумышленник постарался запутать пользователя, скрыв не только отправителя, но и обратный адрес пересылки.

Возвращаемся на фишинговую страницу и изучим ее. При обращении через curl в ответе видим закодированное содержимое страницы.

После декодирования еще раз смотрим содержимое и очищаем его от всего лишнего. Например, в начале идет много закомментированного кода, который в целом нам не особо интересен.

Код до очистки

Теперь, после очистки кода, с ним можно работать. Если спустимся ниже, то увидим код проверки ввода логина и пароля после нажатия кнопки "Sign In". Если поля будут пустые, то будет выводиться предупреждение:

Проверка полей

Если поля заполнены, то по нажатию кнопки данные из этих полей будут отправляться на сайт злоумышленника в формате JSON по указанному адресу:

Отправка данных злоумышленнику

После отправки данных жертва будет перенаправлена на домен компании, указанный после символа@ с помощью строчки:

windows.location.replace("http://www."+my_slice)

Домен для подстановки извлекается из переменной my_slice, за инициализацию которой отвечает фрагмент кода ниже:

Отдельно хочется обратить внимание, что злоумышленник скорее всего не очень опытный и где-то взял шаблон кода, который просто немного переписал под себя. На это указывает огромное количество закомментированного кода и несколько вставок new injection в функциональной части.

Как определить фишинг?

Существует несколько признаков, по котором можно понять, что перед вами фишинговое письмо, сайт и т.д.:

  • Домен. При фишинге домен сайта, где пользователь должен ввести свои данные, максимально похож на оригинальный. Но если внимательно посмотреть на него, то можно заметить различия. Например, доменыpentestit.ruиpenteslit.ruбудут практически неотличимы друг от друга и неопытный пользователь может не заметить подмену, на что и рассчитывают злоумышленники. Также не лишним будет проверить дату регистрации домена, например, на сайте 2ip.ru. В нашем случае злоумышленники не пытались сымитировать домен компании, что говорит о массовой рассылке;

  • Содержимое письма. Как правило, и тема письма, и его содержимое составлены таким образом, чтобы оказать психологическое воздействие на получателя. Побуждают жертву как можно скорее и без лишних вопросов перейти по ссылке, чтобы оплатить штраф, продлить действие домена, забрать выигрыш, удалить какие-то компрометирующие материалы и т.д. Также стоит обращать внимание на заголовокReturn-Path, который предназначен для обратной пересылки, чем могут пользоваться злоумышленники. В нашем случае в письме указано, что необходимо пройти авторизацию на сервисе для устранения проблем, иначе почта будет удалена в течение 4 дней, а обратный адрес ведет к почтовому адресу медицинской компании;

  • Внешний вид. Если письмо написано со множеством грамматических ошибок или используется устаревший логотип компании, от имени которой отправлено письмо, то с большой долей вероятности письмо фишинговое. Также стоит обратить внимание на то, как к получателю обращается отправитель письма. Если приветствие начинается с обезличенного обращения, например,Dear Friendили указываетсяemail-адрес получателя, то скорее всего письмо фишинговое и злоумышленники используют массовую рассылку. И снова попадание, в нашем случае обращение было не персонализированным. Вероятно, скрипт подставлял в шаблон письма адрес электронной почты.

Вывод

Фишинг и по сей день остается одним из самых распространенных видов атак т.к. взломать пользователя намного проще компьютера. Для предотвращения подобных ситуаций достаточно всегда проверять все, что получаете и не переходить по подозрительным ссылкам. А чтобы углубиться в изучение практической ИБ и узнать не только об актуальных методах фишинга и противодействия ему, но и о методах поиска и эксплуатации уязвимостей, специализированном инструментарии и дистрибутивах для проведения пентестов и многом другом приглашаем вКорпоративные лаборатории Pentestit программу практической подготовки в области информационной безопасности. Здесь можно получить не только теоретическую подготовку, но и попробовать на практике, как действуют этичные хакеры.

Подробнее..
Категории: Информационная безопасность , Социальная инженерия , Фишинг , Блог компании pentestit

Осторожно! Развод и фишинг одновременно по нескольким каналам

01.06.2021 22:13:59 | Автор: admin


На прошлой неделе на РБК была статья, в которой некоторые крупные российские банки в последнее время отмечают значительный рост числа попыток хищений денежных средств клиентов по сравнению аналогичным периодом прошлого года. Об этом рассказали сразу несколько банков, причем было отдельно отмечено, что использовались различные приемы социальной инженерии.

Наверно, я бы пропустил данную заметку, так как все мы уже давно привыкли к телефонному мошенничеству, спаму в электронной почте и СМС от сомнительных отправителей, различным фишинговым письмам и множеству других способов развода граждан на честно заработанные, если бы совершено недавно я сам чуть не попался на удочку мошенников.

Моя история примечательна тем, что я первый раз столкнулся с хорошо продуманной атакой с применением приемов социальной инженерии, которая была организована одновременно по нескольким каналам!

Ведь если это реальная тенденция, то мне становится очень неприятно от осознания того, что спамеры переходят к значительно более глубокому анализу данных о своих потенциальных жертва, а сами атаки становятся не массовыми и шаблонными, а точечными и персонализированными.

И тот факт, что при атаках начинают применяться приемы социальной инженерии с использованием сразу несколько независимых каналов одновременно, значительно повышает их достоверность и вероятность срабатывания!

Сама история


У моего провайдера (неважно у какого, это не реклама и не жалоба), к некоторым доменам для удобства подключена услуга их автоматического продления. И некоторое время назад автопродление сработало по одному домену. А через день на телефон, который привязан к аккаунту на хостинге, приходит СМС с просьбой пополнить счет из-за возникшей задолженности. На вашем аккаунте отрицательный баланс. Пополните счет и т.д. Ссылки на оплату никакой нет, только название компании в качестве отправителя.

И я ведь знаю, что вчера действительно была оплата за автопродление и мне даже приходило письмо о списании со счета хостинга. Но немного смутило то, что СМС по этому поводу мне никогда не присылали, тем более о каком-то возникшем долге.

Хотя червячок сомнения немного зародился, т.к. раньше один раз у меня возникла неразбериха со счетами. Это случилось из-за того, что обычно на оплату хостинга резервируется определенная сумма, которую нельзя потратить на оплату продления домена (хотя деньги на счете формально есть, т.к. сам счет один). Поэтому в этот раз подумал, что возможно и сейчас списали на продление домена из зарезервированных денег, а потом спохватились. Хотя в этом случае они сами себе злобные буратины. Но с другой стороны, если провайдеру будет нужно, они мне сообщат еще раз.

И буквально через пару часов, оппа получаю уже электронное письмо от хостинга с напоминанием о случайно возникшей задолженности и вежливой просьбой пополнить счет в кабинете. Сумма в письме совпадает с суммой в полученном ранее СМС сообщении. Из-за этого я уже на автомате думаю, что раз оплата за домен вчера действительно была, а косяки с резервированием средств ранее тоже случались, то я почти поверил, что нужно заплатить!

Правда у меня, как у здорового человека с выработанным параноидальным синдромом, давно есть привычка не кликать по ссылкам в полученных письмах. Поэтому для оплаты я зашел в аккаунт на сайте, чтобы заплатить из него, а заодно и историю списаний уточнить.

А в личном кабинете оказалось, что никакой задолженности нет и это все почти обычный развод!

Что это было?


Почти, потому что развод выполнен очень грамотно, и провели его сразу по нескольким каналам одновременно, предварительно проведя анализ данных о потенциальной жертве. Ведь для выполнения такой атаки злоумышленникам потребовалось свести воедино довольно много информации:

  1. Требовалось мониторить момент изменения данных о продлении домена
  2. Знать email адрес владельца домена (хоть в whois и стоит Private Person, но в какой нибудь истории наверно можно найти имя реального владельца и его электронной почты)
  3. Пробить по имени мой номер телефона
  4. Организовать отправку СМС с подменой имени отправителя
  5. Прислать письмо с перенаправлением на фишинговый сайт поддельной компании хостера


И хотя на электронную почту фишинговые письма приходят с завидной регулярностью и уже просто не обращаешь внимание на очередное уникальное предложение или для пополнения счета перейдите по ссылке, но подобная многоканальная атака для меня была полной неожиданностью. Ведь в какой-то момент я даже усомнился в злонамеренности полученных сообщений и на пару минут предположил, что мне действительно следует положить деньги на счет.

Подозреваю, что я вряд ли стал первым, кто сталкивался с подобными ухищрениями. Но так как мне раньше с подобной схемой развода сталкиваться не приходилось, а в последнее время про подобные многовекторные атаки я даже не слышал, то решил, что данная публикация будет совсем не лишней. Может быть эта статья убережет других людей от все более изощренных способов развода и хотя бы на время повысит их внимательность.

Пользователь, будь внимательным!




Лучше лишний раз написать очевидные вещи о необходимости соблюдения элементарных мер предосторожности и цифровой гигиены при получении различных электронных писем, чем попасться на подобную атаку из-за незнания о еще одном способе развода, что теперь перед фишинговым письмом может еще отправляться и СМС для пущей убедительности. И даже страшно подумать, что будет, если подобные методы социальной инженерии станут массовыми.
Подробнее..
Категории: Информационная безопасность , Хостинг , Законодательство в it , Социальная инженерия , Фишинг , Фишинговые ссылки , Фишинговые атаки , Разводки

Социальная инженерия а вы точно курьер?

03.06.2021 08:11:45 | Автор: admin
В одной из последних статей мы рассуждали об изменениях в сценариях социальной инженерии, которые спровоцировала мировая пандемия COVID-19. Разумеется, все тонкости рассмотреть в рамках одной публикации невозможно, поэтому сегодня продолжим нашу беседу и расскажем об особенностях физического проникновения злоумышленника на территорию компании. Не лишним будет еще раз напомнить о мерах безопасности, которые должен предпринимать каждый, чтобы не стать невольной жертвой.



Подчеркнем, что хотя наши рекомендации направлены на поддержание бдительности сотрудников компаний, общественности их также стоит взять на вооружение.

При упоминании термина социальная инженерия у многих возникают ассоциации с Кевином Д. Митником и его книгами. Работы Митника были опубликованы более пятнадцати лет назад, однако описанные в них сценарии проникновения работают до сих пор, несколько видоизмененные и адаптированные под реалии текущего времени (а некоторые и вовсе в том же виде).

Разумеется, это лишь капля в море. Для каждой компании может использоваться как шаблонный, так и уникальный сценарий, учитывающий конкретные особенности предприятия.
Поставив себе задачу проникнуть внутрь компании, злоумышленник будет анализировать такие факторы как:

  • сфера деятельности компании;
  • особенности физической защиты периметра офисного здания (заборы, камеры, посты охраны и т.п.);
  • особенности здания, где располагается офис (целый ли БЦ занимает компания или только часть, местоположение постов охраны, расположение основных и запасных входов и выходов);
  • особенности окружающего ландшафта (наличие вокруг здания кустов, скамеек, мусорных контейнеров, куда злоумышленник может спрятать свои устройства);
  • распорядок дня сотрудников и их привычки;
  • возможность проникновения 3-х лиц на территорию;
  • фотографии пропусков, планы этажей, расписания мероприятий и иную информацию, которую можно найти в открытом доступе.

Физическое проникновение подразумевает высокий риск деанонимизации для самого злоумышленника. Так зачем же атакующему идти на такой опасный шаг? Чтобы упростить и удешевить реализацию атаки. Злоумышленник может незаметно закрепиться во внутренней сети и на протяжении некоторого времени получать конфиденциальную информацию, в том числе и об устройстве необходимой ему системы.

Спектр целей, которые преследует злоумышленник, может быть довольно широк: от хищения техники и другого офисного имущества до кражи конфиденциальных и критичных данных. Это чревато финансовыми и репутационными рисками для компании.

В условиях выхода из пандемии возможностей для социального инженера стало больше. Бурные изменения на рынке труда стали причиной оттока работников из одних компаний и притока в другие. Это привело к тому, что многие сотрудники знакомы со своими новыми коллегами исключительно через мессенджеры и электронную почту. Особенно такая ситуация актуальна для крупных компаний, где работает большое количество людей.

Разумный шаг для руководства в таких условиях сблизить новых и старых сотрудников. Это послужит не только укреплению общего командного духа, но и безопасности предприятия, вне зависимости от профиля деятельности. При этом мы прекрасно понимаем, что для больших компаний перезнакомить всех работников между собой это далеко не первостепенная, а иногда даже невозможная задача, но в рамках отделов/департаментов ее можно успешно решить.

Какие лица имеют высокий кредит доверия и не вызывают подозрений, находясь у входа в здание компании?

Вне (?) подозрения


1. Технический персонал


Электрики, монтеры, уборщицы все те, кто носят униформу. Униформа всегда вызывает доверие, и мало кто озадачится вопросом: Что здесь делает этот человек? А делать он может что угодно, в том числе оставлять технические закладки и изучать устройство инфраструктуры.
Нельзя не вспомнить про недавний громкий случай, когда из Третьяковской галереи неизвестные в одежде рабочих вынесли картину Куинджи. И никто, включая смотрителя, их не остановил.

2. Обслуживающий персонал


Работники, заменяющие ковры, ухаживающие за растениями, обслуживающие вендинговые аппараты Опять же, зависит от специфики работы конкретного предприятия. На людей, которые обеспечивают функционирование офиса, мало кто обращает внимание. А очень зря, ведь злоумышленник может притвориться представителем такого персонала, чтобы пройти в нужный ему участок здания. Если же ему еще и удастся скопировать пропуск сотрудника или настоящего представителя обслуживающей фирмы, то перемещение по территории компании облегчится в разы.

3. Доставка еды


В пандемию службы доставки еды вышли на новый уровень, и, похоже, сдавать позиции не собираются. Злоумышленник может сделать вид, что ждет заказчика на проходной, и в это время установить фейковую точку доступа Wi-Fi, скопировать пропуски сотрудников и т.п.

Что делать в таком случае?


Если вы точно знаете, что представителям службы доставки еды не разрешено проходить на территорию предприятия, предупредите охрану о постороннем. Так же следует поступить, если вызывающий подозрение курьер обнаружился в холле и не уходит достаточно долгое время.

4. Курьерские службы


Политика безопасности предприятия в принципе не должна позволять посторонним, в том числе и курьерам, заходить дальше, чем на проходную. В противном случае компания сама открывает двери злоумышленнику, который всегда может притвориться курьером.



Что делать в таком случае?


Доставка любых документов и грузов должна ограничиваться постом охраны или стойкой администрации компании. Это касается и доставки крупногабаритных грузов. Если же без помощи посторонних никак не обойтись, обязательно следует назначить сопровождающего, который проводит посторонних на выход по завершении работ.

И снова повторим: ключевое звено социальной инженерии психология. Если злоумышленник решит взаимодействовать с сотрудниками компании, то постарается, чтобы инициатива помощи исходила с их стороны. Так сценарий будет выглядеть наиболее естественно. Если в случае фишинговых рассылок упор делается в основном на любопытство и боязнь авторитетов, то в данной ситуации злоумышленник сыграет на вежливости, взаимовыручке и желании помочь.

Означает ли это, что никому нельзя придерживать двери или показывать короткий путь в библиотеку? Конечно же да нет. Вежливость и взаимовыручка никогда не бывают лишними. Это лишь означает, что не стоит терять бдительность, какой бы естественной ситуация ни казалась. Лучше перестраховаться, чем сыграть на руку злоумышленнику своей невнимательностью.

Как могут проникнуть в здание?


1. Я на собеседование


Злоумышленник может заранее договориться о собеседовании, чтобы получить легитимный гостевой пропуск и пройти на территорию компании. Если недостаточно внимательно отнестись к процедуре сопровождения незнакомого человека, то это даст злоумышленнику возможность исследовать интересующие его помещения и осуществить свои идеи и задумки.

Что делать в таком случае?


Если вы поймали на этаже подозрительного человека, то спросите, к кому конкретно он пришел. Не получив вразумительного ответа, не спешите с выводами. Предложите вместе пройти на пост охраны или ресепшен, где обязательно помогут найти нужный кабинет или дозвониться до рекрутера. Также следует отметить, что приглашенный на собеседование человек в принципе не должен искать нужный ему кабинет в одиночестве. При нем всегда должен находиться сотрудник, в том числе и при выводе с территории предприятия.

Расскажем про одну атаку с физическим проникновением, где аудитор выступал в качестве кандидата на открытую вакансию тестируемой компании.

Во время проведения разведки и сбора информации он использовал HR-ресурсы для поиска сотрудников, чтобы найти открытые вакансии компании. После аудитор составил резюме, которое максимально соответствовало требованиям вакансии, и стал ждать приглашения на собеседование в офис или прохождения первичного удаленного интервью.

Получив приглашение на собеседование, он провел разведку внутренней планировки офиса, рассмотрел планы этажей и расположение переговорных комнат, как расположены столы, сетевые розетки, источники питания и пр. Стало понятно, что ничего не стоит найти возможность отлучиться в туалет или ответить на важный звонок во время собеседования, чтобы разместить технические устройства или вставить флешку Rubber Duck/HID в чей-нибудь не заблокированный компьютер. Также вполне можно было бы использовать актерские навыки и попросить сотрудников распечатать с флешки сертификат или резюме. В таком случае аудитор (читай: злоумышленник) получил бы удаленный доступ в сеть компании.

2. Игра в переодевание


Злоумышленник может облачиться в платье горничной рабочую одежду или спецовку и сделать вид, что он пришел из организации-подрядчика заниматься ремонтными или техническими работами. Под этим прикрытием он может, например, получить физический доступ к внутренней сети предприятия или установить свое оборудование для того, чтобы собрать как можно больше информации об интересующей его системе.

Приведем пример из нашей практики. В ходе аудита безопасности стало известно, что в здании тестируемой компании идет ремонт, поэтому аудитор переоделся в рабочую одежду и попытался пройти без пропуска через турникеты БЦ. Сотруднику охраны он сказал, что пришел забирать строительный мусор по приказу начальства, а пропуска у него нет, потому что понесет в руках тяжелые коробки. После этого сотрудник охраны пропустил аудитора. Через некоторое время аудитор вышел, но, так как коробок у него не было, он объяснил, что еще ничего не готово, и ему было велено вернуться вечером. Далее развивать вектор атаки мы не стали, поскольку цель была достигнута проникновение на территорию прошло успешно.

Что делать в таком случае?


Обратить внимание охраны или соответствующего отдела на подозрительную ситуацию. Если вы видите, как некий рабочий что-то колдует над сетевыми коммуникациями, уточните у представителя IT-отдела: планировались ли на сегодня какие-либо работы?

3. Опоздание на встречи


Этот сценарий можно разыграть с охранниками, если они недостаточно внимательно относятся к выполнению рабочих обязанностей. Злоумышленник делает вид, что опаздывает на важную встречу, оперирует знакомыми именами, требует пропустить его, поскольку нет времени на оформление пропуска или на поиск нужного человека. При должном уровне актерской игры и убедительности сценарий сработает, и злоумышленник проникнет на внутреннюю территорию компании.

Что делать в таком случае?


Если вы стали свидетелем такой ситуации, предложите сопровождение до пункта назначения. А если же вы представитель охранной организации, то помните, что первостепенной важностью для вас обладают все же ваши рабочие обязанности, и как бы ни пытался человек вас разжалобить или подавить авторитетом, нельзя нарушать служебные инструкции.

4. Вход через курилку


Если у компании место для курения находится возле отдельного входа в здание (а так бывает очень часто), то злоумышленник может дождаться, пока сотрудники интересующей его фирмы закончат перерыв, и зайти в здание за ними, притворившись одним из работников. Для усиления эффекта доверия он может оставаться без верхней одежды, с документами в руках, с коробками и т.п. Или даже с бананом. Ведь человек с бананом просто так по улице не ходит, значит, он точно работает где-то здесь ;)



Что делать в таком случае?


Уточнить у человека, куда конкретно он идет или как зовут начальника его отдела. Если подозрения не оправдаются, вы познакомитесь с новым коллегой. А вот если человек не сможет ответить, не лишним будет предупредить охрану о постороннем на территории.

5. Копирование пропусков


Скопированный пропуск может позволить злоумышленнику не только проникнуть в помещения, вход в которые разрешен ограниченному числу работников, но и в целом свободно перемещаться по территории предприятия под чужой личиной. Вычислить сотрудников нужной компании помогут опознавательные знаки вроде ланъярдов или брендированных ретракторов. Для копирования достаточно всего пару секунд постоять вплотную к жертве. Злоумышленник может осведомиться о кратчайшем пути в библиотеку, попросить прикурить или помочь сориентировать по гугл-картам и найти нужный корпус.

Что делать в таком случае?


Не носить пропуски на виду вне офиса на шее или на поясе. Убирайте пропуск в карман, сумку или бумажник. Хотя это не так удобно, чем иметь пропуск в зоне быстрой досягаемости, но тем самым вы в разы усложните злоумышленнику задачу. Не выкладывать фотографии пропусков в социальные сети тем самым вы помогаете злоумышленнику изготовить правдоподобную подделку.

6. Физические носители


В отдельный пункт мы решили вынести технику road apple, когда злоумышленник разбрасывает носители информации в местах общего доступа: туалетах, парковках, столовых и т.п. Движимый любопытством сотрудник может открыть вредоносный файл на носителе, тем самым позволив злоумышленнику, к примеру, получить контроль над своей рабочей станцией.

Что делать в таком случае?


Не запускать подозрительный носитель информации в рабочей среде, используйте для этого виртуальную машину. А лучше вообще не запускать носители неизвестного происхождения. Но если очень хочется узнать, что же на нем находится, то отдайте находку в IT-отдел или отдел безопасности, обязательно уточнив, где вы это нашли.

Это лишь верхушка айсберга. При этом иногда злоумышленнику необязательно проникать непосредственно на территорию предприятия. Например, для проведения атаки типа evil twin он может поднять копию беспроводной точки доступа в вестибюле здания.

Вот пример из нашей практики, где сочетаются элементы нескольких описанных выше сценариев.

В социальной сети Instagram был выполнен поиск по тегу с названием нужной компании. Далее из полученных фото, сделанных в офисе, была извлечена геопозиция. Поиск по геопозиции позволил подобрать ряд фотографий пропусков-бейджей, хорошего качества и разрешения. Таким образом, аудиторы смогли понять, как внешне выглядят пропуски компании.



В холле центрального входа в офис в непосредственной близости от входных дверей располагались кресла для посетителей. Аудиторы положили в крайнее кресло рюкзак с оборудованием для клонирования пропусков. Это дало им возможность находиться от входящих в офис сотрудников на минимальном расстоянии. Так удалось клонировать пропуск одного из сотрудников для получения доступа в офис и сделать его физическую копию, которая внешне выглядела как настоящий пропуск.

Так аудиторы получили неограниченную возможность беспрепятственного входа и выхода на территорию различных корпусов офиса компании для проведения разведки, сбора информации, размещения собственных устройств и других действий с целью симуляции нанесения существенного финансового и репутационного ущерба компании.

Они смогли посетить все этажи корпусов, не вызывая подозрения охраны и сотрудников различных подразделений компании (включая бухгалтерию, HR, департамент разработки, рекламных подразделений различных проектов и т.д.), разместить 3 устройства для обеспечения сетевого доступа во внутреннюю сеть компании, а успешная реализации атаки evil-twin на корпоративный Wi-Fi позволила получить доступ к учетным данным сотрудников.

Рекомендации


Для компаний:


  • Проводить обучение охраны. Все заходящие на территорию люди должны либо пользоваться пропусками, либо вручную заноситься в журналы. В той или иной форме следует фиксировать сведения о перемещениях по территории.
  • Иметь гостевые пропуски для посетителей с ограниченным радиусом действия. Если возможно, реализовать систему man's trap.
  • Внедрить СКУД, которая не подвержена атаке клонирования, например на основе HID iclass se или mifare desfire.
  • Проводить тренинги для сотрудников. Сотрудники должны понимать, в какой момент можно стать мишенью и какие есть способы затруднить работу злоумышленника.
  • Сохранять баланс между корпоративной культурой и задачей защитить компанию.


Это важный пункт, поскольку неосмотрительные действия компании могут поспособствовать возникновению новой угрозы появлению внутреннего нарушителя в лице обиженного или недовольного сотрудника. Он может совершать деструктивные действия, похищать критичную информацию с целью ее продажи или заниматься саботажем, и вычислить такого сотрудника может быть достаточно сложно.

Поэтому, если во время тренингов или тестирования по социальной инженерии ваши сотрудники попались на фишинг, не нужно применять к ним карательные меры. Мы советуем внести в эту ситуацию элемент игры или шутки, особенно если сотрудник не в первый раз проваливает проверку: пожурить, рассказать, что господин N попался, но не переходить черту.

В качестве штрафа такой сотрудник может пройти дополнительный тренинг, но уж точно не стоит в качестве наказания урезать зарплату или премии.

Для сотрудников:


  • Не нужно стесняться разговаривать с людьми. В большинстве случаев вы поможете человеку решить его проблему, однако не стоит в это время забывать о базовых мерах предосторожности.
  • Сомневаетесь, но не хотите показаться невежливым, пропуская подозрительную личность за собой паровозиком? Замешкайтесь, сделайте вид, что читаете сообщение в телефоне, и посмотрите, куда пойдет этот человек и что он будет делать.
  • Не бойтесь показаться параноиком, обращая внимание других на подозрительную активность.
  • Следуйте указаниям службы безопасности/IT-отдела. Помните, что тренинги по безопасности проводятся не просто так, а политика ИБ это не очередной документ, который можно прочитать и забыть.
  • Нужно понимать, что никто вас не просит ловить подозрительного человека за рукав и лично тащить к начальству. Это (если обратного не утверждает трудовой договор) не ваша обязанность. Ответственность за поимку возможного преступника лежит на охране объекта, ваше дело обратить внимание на подозрительную активность и предупредить об этом.
  • Отключайте Wi-Fi на телефонах, если он вам не нужен. Особенно это касается владельцев Android-устройств, поскольку они более уязвимы к атакам типа evil-twin ввиду особенностей работы этой ОС.

Вывод


Атаки с использованием средств социальной инженерии могут показаться не самыми опасными, поскольку они подразумевают непосредственное, неудаленное присутствие злоумышленника в процессе подготовки или осуществления атаки. Однако подобная мнимая простота их обнаружения гораздо чаще играют на руку самому атакующему.

Социальные инженеры люди изобретательные и хитрые. Они прекрасно знают, как использовать не только уязвимости системы, но и слабые стороны человека, которым сотрудник компании в любом случае остается на протяжении всего своего рабочего дня. Не особенно важно, какую должность он занимает, злоумышленник всегда может найти способ использовать его неосторожность, скромность, доверчивость, а также иные как положительные, так и отрицательные качества личности в своих интересах.

Вполне очевидно в данном случае, что единственный эффективный способ превентивного противодействия атакам социальных инженеров является заблаговременное информирование сотрудников. Это подразумевает как знакомство работников с регламентом поведения на рабочем месте, так и культивирование у них привычек, способствующих безопасному для ресурсов компании разрешению описанных выше ситуаций.

Сотрудники не должны забывать, что вежливость и осторожность никак не исключают друг друга. Даже будучи настороже, вы все равно остаетесь человеком и живете обществе. Однако достаточная информированность и внимательность позволят вам сделать то, чего злоумышленник часто не ожидает, стать гораздо большей угрозой для него самого, чем он для вас и для компании, в которой вы работаете.
Подробнее..
Категории: Информационная безопасность , Социальная инженерия , Блог компании digital security , Проникновение

Построение архитектуры социальной среды

20.07.2020 16:23:27 | Автор: admin

Вступление


Вы все система, которая так много знает. Вы решаете, что хорошо, а что плохо. Точно так же, вы решаете, что смешно, а что нет.
Джокер (Joker)

После публикации моей статьи Социальный Организм как форма эффективного взаимодействия команды, у меня состоялся целый ряд дискуссий с заинтересованными читателями на тему организации социальных взаимоотношений. Статья была построена в виде трех основных частей, посвященных: анализу самого явления Социального организма, его основным функциям и практическим советам по построению и развитию подобного Организма.

Предложенный вариант разделения Организации на две взаимодействующие системы: Социальный организм и Производственной механизм, каждый из которых решает только присущие ему функции, вполне применим также к работе социальных сетей, сетевых игр, политических движений и прочих социальных коммуникаций.

К тому же новый тренд самоизоляции и увеличения социальной дистанции в значительной мере повлиял на Социальную реальность. Например, мне пришлось организовывать новые формы и способы преподавания и контроля успеваемости, среди своих студентов в университете.

В результате всех этих перипетий у меня родился целый ряд мыслей и выводов, которыми я хочу поделиться в данной статье.

1. Суть проявления Среды


Странной пустотой отдавал этот день, было даже ощущение, что это понедельник. Пригляделся, нет, среда. Среда моего обитания.
(Автор мне не известен)

Для единого понимания темы, я подстроюсь под участников дискуссии и буду далее рассматривать явление Социального организма, как некую Сред.
Определимся с понятиями.

Среда инструмент, предназначенный для организации комфортных условий пребывания и общения в некоем условном, информационном, идеологическом, культуральном пространстве для всех резидентов Среды.

Социальная реальность способ взаимоотношений, который моделирует Среда. Является взаимодействием между индивидами, подчиненного принципам, законам и социальным представлениям, принятым в их сообществе.

Резидент участник Среды.

Архитектор участник среды, обладающий возможностями ее организации и презентации.

2. Инструменты представления Среды


Всего-то и нужно, что замечать детали и как они складываются в систему. Когда ты поймёшь всю систему, ты сможешь экстраполировать будущее.
Чак Паланик (Уцелевший)

Рассматриваемая нами Среда по всем признакам проявляет себя как система и соответственно должна обладать всеми ее основными качествами и свойствами. Поэтому дальше по тексту, рассматривая Среду, мы будем апеллировать к основным свойствам системы, тем самым подтверждая заявленную гипотезу.

Для представления знаний о Среде, воспользуемся приемами моделирования и рассмотрим модель, как способ отображения и презентации оригинала системы (в нашем случае Социального сообщества), резидентам и прочим заинтересованным лицам. Модель может также выступить полигоном, для моделирования еще не реализованных, перспективных функций системы, и в случае позитивного опыта, воссоздания их в сообществе.

Итак, все по порядку. Продуктом взаимодействия социального сообщества, является порожденная им Социальная реальность, обусловленная принципами этого сообщества, его законами и социальными представлениями. Социальная реальность существует в социальном сообществе, независимо от того, знают он ней, пытаются ее исследовать и описать, или нет.

Далее, с точки зрения моделирования, моделью Социальной реальности будет выступать Среда, которую мы и рассматриваем в данный момент. При этом, Социальное сообщество выступает Оригиналом, а зафиксированная и утвержденная ее модель Среда Эталонный аналогом.

Важно, что один оригинал может иметь множество аналогов.

И еще важное заключение для того, чтобы некую Среду можно было легализовать и представлять в сообществе, необходимо, чтобы ее модель была публично ему (сообществу) представлена и им одобрена (или хотя бы его частью). На роль представителя Среды, при определении понятий, мы заявили Архитектора.

3. Взаимообусловленность Среды и Архитектора


Администрация это машина. Чем она совершеннее, тем меньше она оставляет места для вмешательства человека. При безупречно действующей администрации, где человек играет роль шестеренки, его лень, недобросовестность, несправедливость никак не могут проявиться.
Антуан де Сент-Экзюпери

Говоря об Архитекторе, прежде всего давайте уточним, что это не почетная должность и звание, а роль резидента в Среде. Роль, позволяющая резиденту устанавливать правила формирования Среды, ее функционирования, развития, реагирования на внешние воздействия и т.п. Само собой разумеется, что роль может предоставляться не только одному, но и нескольким участникам или группам, с разной степенью влияния и с различным набором функций.

Чаще всего Архитектором является создатель Среды, целенаправленно и расчетливо устраивающий ее реальность. Но возможно и такое развитие ситуаций, при котором Среда возникает спонтанно, в результате прочей деятельности группы людей, направленной на достижение тех или иных целей. В какой-то момент люди начинают диагностировать присутствие вокруг своих интересов некой реальности, организующей их и прочих заинтересованных лиц в единый механизм, подталкивающий образовавшийся союз к поставленным целям. И только осознав это, невольные созидатели новой Социальной реальности, переходят в ранг архитекторов и целенаправленно обустраивают ее модель в виде Среды.

По мере роста и развития Среды, часть функций архитектора может перейти другим резидентам (или группам), высвобождая Архитектора для генерации новых возможностей Среды. Причем функции роли Архитектора могут быть:
  1. делегированы архитектором (лучше разным резидентам), для сохранения единоуправления;
  2. потеряны подхвачены резидентами при попустительстве (бездействии) архитектора, чаще всего в усеченном (извращенном) варианте;
  3. аннексированы захвачены резидентами с отстранением архитектора от функции или роли целиком;

4. Взаимообусловленность Среды и Резидента


Приложи все усилия, чтобы общаться с теми, кто выше тебя. Это поднимет тебя, тогда как общение с людьми более низкого уровня вынудит тебя опуститься, ибо каково общество, в котором ты находишься, таков и ты сам.
Филип Дормер Стенхоп Честерфилд

Итак, мы установили, что Среда, является Эталонным аналогом Социальной реальности, организованная Архитектором в виде модели.

В соответствии с нашим определением Среда чаще всего предназначена именно для кооперации членов сообщества, организуя их взаимодействие по условиям модели, предложенной Архитектором. Вовлеченные в Среду персоны выступают в качестве ее Резидентов. Пребывание резидентов в Среде реализует, такое свойством системы, как Структурированность, выраженное в том, что части системы не независимы, не изолированы друг от друга, они связаны между собой, взаимодействуют друг с другом.

В связи с физиологическими особенностями человеческого восприятия мира, резидент может осознать модель (Эталонный аналог) лишь в определенном объеме, с определенными искажениями, интерпретируя его в сознании, в свой собственный Субъективный аналог.


Рассматривая модели, важно понимать, несколько ключевых тезисов. Во-первых, модель никогда не тождественна оригиналу (даже когда этого стараются достичь намереннонапример, фальшивые деньги). Во-вторых, в большинстве случаев нет никакой необходимости полностью воспроизводить оригинал в модели, поскольку каждая модель нужна лишь для определенных целей, и включает только те возможности оригинала, которые требуются для их достижения. Этим целям подчинено бытие и смысл существования Среды, что отвечает свойству системы Целесообразность, подчиненность всего (и состава, и структуры) поставленной цели (фундаментальное свойство любой искусственной системы).

Помимо степени осознания (понимания) модели резидентом, имеет место еще и степень ее принятия (разделения ценностей) в определенном объеме, обусловленным культуральным диапазоном его приемлемости. Часто, по уровню принятия, резиденты консолидируются в Среде, по группам единомышленников. Это перекликается со свойством системы Внутренняя неоднородность, сводящаяся к обособлению относительно однородных участков системы, проведению границ между ними.

На разных этапах существования резидента в среде, возникает некое соответствие между моделью, предложенной ему Эталонным аналогом и моделью, воспринимаемой по ее мотивам Субъективным аналогом. При этом, чаще всего, со временем Субъективный аналог приближается к Эталонному. Это обусловлено, влиянием ценностей Среды на сознание резидента, меняющее его мировоззрение, просветляя его с точки зрения Среды.

5. Реакция Среды на внешние воздействия


Среда, в которой мы живем, изменяется, и мы должны меняться с той же скоростью, чтобы оставаться на прежнем месте и не исчезнуть.
Бернард Вебер.

Одним из важных свойств системы является Стимулируемость, изменение поведения системы под воздействием поступающих на входы системы процессов, воздействующих на нее и превращающихся (после ряда преобразований в системе) в ее функциональность. Воздействие является стимулами. В связи с чем необходимо вносить соответствующие корректировки и в модели, изменяя Эталонный аналог и донося новшества до резидентов с целью реорганизации их Субъективного аналога.

В случае, когда этого не происходит, резиденты перестают принимать (разделять), предложенную Средой модель. Если же при этом у резидента еще и имеется оказия анализировать оригинал, то это будет способствовать созданию его собственного аналога и, быть может, он будет превосходить Эталонный

Подобное развитие может привести к нарушению такого свойства системы, как Ингерентность, согласованность, приспособленность к окружающей среде, совместимость с нею. В этом случае система перестает быть устойчивой и возникает необходимость в ее реорганизации. Например:
  1. Изменение эталонного аналога;
  2. Создание новой (конкурентной) среды, превосходящей старую;
  3. Отказ от поддержки старой среды;
  4. Сочетании вариантов.

6. Условия существования и развития Среды


Предоставленные сами себе, события имеют тенденцию развиваться
от плохого к худшему.
Артур Блох. Законы Мерфи

Бытует ошибочное на мой взгляд суждение, что Среда может сама себя развивать. Звучит как-то божественно, как бы среду развивает или бог или природа, кто как это называет.

Для того, чтобы Среда просто существовала, в нее должны быть заложены функции, поддерживающие это существование на некоем оговоренном уровне. Но помимо того Среда, как система подчиняется свойству Изменчивость системы со временем, в любой системе происходят изменения, которые надо учитывать: предусматривать и закладывать в проект будущей системы; способствовать или противодействовать им, ускоряя или замедляя их при работе с существующей системой. Соответственно, кто-то должен вырабатывать стратегии реагирования Среды на изменения. Если этими вызовами не управлять, то Среда сможет существовать какое-то время по инерции, но скорее всего не долго.

Для того же, чтобы Среда развивалась, необходимо приложить значительные усилия. А поскольку мы определили, что возможностью организовывать существование Среды наделены только Архитекторы, то эти функции должны обеспечивать именно они.

Справедливости ради напомню, ранее высказанное допущение, что какие-то функции Архитектора могут реализовываться обычными резидентами или группами резидентов. Но, если это происходит спонтанно, то вероятность качественного их выполнения в конкретной Среде будет крайне мала. Такие решения будут напоминать костыли для подпирания, и назвать такой подход можно социальной ортопедией.

7. Изолированность Среды


Любая система, зависящая от человеческой надежности, ненадежна.
Василий Головачев (Консервный нож)

Следующая аберрация, заключается в том, что Среда должна быть обязательно жестко изолированной от других сред.

Среда, как любая система подчиняется свойству Открытость, исключающее ее изолированность от окружающей среды, а наоборот, реализующее их связанность и обеспечивающую обмен между ними любых видов ресурсов (веществом, энергией, информацией и т.д.). Невозможно создать Среду полностью Изолированной от мира. Постулат из этого тезиса степень изолированности весьма условна. Это в полной мере продемонстрировал вирус COVID-19, вызвавший такие реакции систем, которые до этого никто не закладывал, даже в качестве рисков. А объясняется это еще одним свойством системы Существование в изменяющейся среде, основанное на том, что изменяется не только данная система, но и все остальные. Для данной системы это выглядит как непрерывное изменение окружающей среды.

Поэтому, изолированность Среды должна быть ровно такой, какой ее определил архитектор. При этом Среды могут быть, например:
  1. Открытыми полностью доступны для всех субъектов и других сред.
  2. Частично открытыми доступны для некоторых субъектов и сред, по взаимному контракту.
  3. Закрытыми открыты для ограниченного числа субъектов, являющихся резидентами среды.

Полностью закрытые, изолированные среды в крайнем воплощении это путь к сектам, диктатурам, небезопасным для остальных субъектов образованиям.

Полностью открытая среды в крайнем воплощении это путь к анархии и саморазрушению среды.

Полностью закрытые среды, могут вызвать проблемы, обусловленные тенденцией организации безопасности реального мира, от угроз радикализма и т.п, с чем сейчас активно ведется борьба.

8. Среда, как единый организм


Как прекрасно почувствовать единство целого комплекса явлений, которые при непосредственном восприятии казались разрозненными.
Владимир Петрович Карцев (Приключения великих уравнений)

С точки зрения системы, Среда обладает важнейшим свойством Эмерджентности, означающим, что объединение частей в систему порождает у системы качественно новые свойства, не сводящиеся к свойствам частей, не выводящиеся из свойств частей, присущие только самой системе и существующие только пока система составляет одно целое. Совершенно очевидно, что функциональные возможности Среды значительно отличаются от возможностей отдельных резидентов, а также групп резидентов и даже Архитекторов.

Как единое цело Среда, состоящая из субъектов (живых организмов) и сама проявляет некоторые свойства живых организмов. Я это подробно обсуждал в своей статье Социальный Организм как форма эффективного взаимодействия команды.

На мой взгляд, как раз это свойство помогает развиваться Среде, выявляя ее новые, доселе неизвестные функции и преобразуя существующие. Но в этом случае важно, чтобы Архитекторы распознавали подобные возможности, систематизировали их и организовывали их поддержку.

9. Цели заинтересованных лиц в использовании Среды


Как Вы считаете, человечество идёт вверх, возвышается, развивается, топчется на месте или деградирует?
Вы знаете, человечество никуда не идёт. Оно живёт.
Борис Борисович Гребенщиков

Еще одно некорректное суждение, на которое я наткнулся в процессе обсуждении темы, гласит, что Среда сама по себе является привлекательной для резидентов.

Сам факт существования Среды не может привлекать клиентов, если только исключительно в качестве любопытства. Людей привлекает возможность получения некоего профита: ожидание признания сообществом, получение дохода, завладение инструментом влияния на людей/сообщества и т.п. Только производные от них могут выступать драйверами привлечения в Среду.

С точки зрения достижения целей, в использовании Среды существует целый ряд заинтересованных лиц. Эта функция Среды, достигается за счет еще одного свойства системы Функциональность, обеспечивающаяся процессами, происходящими на выходах системы. . Остановимся лишь на основных причастных к Среде.

Общие цели архитекторов:
  1. Создать модель (Среду) социального сообщества, для привлечения в нее перспективных резидентов;
  2. Обеспечить максимально комфортные условия для удержания резидентов с Среде;
  3. Делегировать резидентам Среды часть функций, по поддержанию ее функционирования и развития;
  4. Получить лояльных субъектов, для решения при помощи них своих основных бизнес-задач (Основная цель).

Цели резидента:
  1. Получить комфортную среду пребывания, для удовлетворения своих социальных потребностей (Основная цель).

10. Итоги


На основании этих основных постулатов (и возможно еще каких-то), можно выработать манифест организации социальной Среды. Например:
  • Для организации Социальной реальности, возникающей в Социальном сообществе, необходимо построить ее модель в виде некой Среды;
  • Среда должна быть представлена сообществу ее Архитектором и им(сообществом) одобрена;
  • Организацией Среды должны заниматься ее Архитекторы, либо резиденты, на которых Архитектором возложены соответствующие функции;
  • Каждый из резидентов имеет свое представление об организации Среды, отличающееся от представления, заложенного Архитектором;
  • Среда оказывает влияние на сознание резидента;
  • Резидент или группа резидентов, может оказывать влияние на Социальную реальность сообщества, заставляя тем самым изменяться Среду;
  • Любая Среда организует лишь часть функций Социальной реальности сообщества;
  • Среда должна обладать способностью противостоять внешним вызовам и соответственно реагировать на них;
  • Желательно, чтобы Среда обладала способностью развиваться;
  • Среда должна быть Изолирована от других Сред, ровно настолько, насколько этого требуют вопросы ее жизнедеятельности;

Добавьте свои варианты

Список литературы
[1] Ф.П. Тарасенко, ПРИКЛАДНОЙ СИСТЕМНЙ АНАЛИЗ, учебное пособие, Москва, 2010..
Подробнее..
Категории: Социальные сети и сообщества , Анализ и проектирование систем , Искусственный интеллект , Управление сообществом , Социальные сети , Архитектура системы , Бизнес-модели , Социальная инженерия , Социальные игры , Среда обитания , Виртуальная инфраструктура

Из песочницы Безопасность аккаунта Ozon.ru

27.06.2020 04:06:32 | Автор: admin
Этот топик будет не совсем логическим, но всё же продолжением статьи Хранение паролей в Ozon.ru.

Компания Ozon.ru очень беспечно относится к пользовательским данным: пароли хранятся в открытом виде, шифрованного соединения вряд ли предвидеться, увести учётную запись любого покупателя можно даже не выходя в интернет.

Не выходя в интернет увести учётку? Враки? Суровая реальность!


При использовании этого метода есть только одно большое НО: нужно знать номер любого заказа покупателя.
Для справки: номер заказа имеет вид хххххххх-yyyy, где хххххххх уникальный номер клиента, который не меняется от заказа к заказу, а уууу уникальный номер заказа. Пример номера заказа, написанного наугад: 06578932-0007.

Алгоритм увода учётной записи прост:
  1. Звоним в службу поддержки Ozon.ru. Номер: 8 800 100 05 56
  2. Как только начинает говорить автоответчик жмём 3 и попадаем на самого компетентного оператора;
  3. Внимательно слушаем оператора, говорим, что мы случайно удалили пароль из браузера, доступа к почте, которую мы указали при регистрации у нас нет, а войти в личный кабинет Озона очень надо хотим сделать покупку;
  4. На вопрос оператора: Назовите вашу почту, которую указали при регистрации? нужно ответить, этот адрес вы точно назвать не сможете, т.к. давно им не пользуетесь;
  5. Далее стоит попросить девушку поискать вашу регистрацию по номеру вашего телефона (девушка не сможет этого сделать такого поиска нет);
  6. С надеждой в голосе стоит спросить: А по номеру заказа вы меня найти сможете?. Услышав да называйте номер заказа;
  7. Как только оператор найдёт вашу регистрацию на назовёт имя соглашайтесь, что имя/фамилия ваши или супруга/супруги;
  8. Попросите сменить почту любую удобную вам и попросите выслать туда пароль;
  9. Поблагодарите оператора! И попрощайтесь с ним, сделайте оператору приятно;
  10. Проверьте почту, которую вы назвали оператору, письмо туда приходит минуты через три после отправки;
  11. Заходите на сайт Ozon.ru, желательно через прокси, логин и пароль у вас уже есть;
  12. ?????
  13. PROFIT

Топик не хочет содержать призывов к конкретным действиям, если у него это получилось приношу извинения всем тем, у кого в ближайшее время пропадёт доступ к учётной записи в Ozon.ru



И в виде постскриптума:
Автор топика активный покупатель на Ozon.ru, общался с большим количеством людей, работающих в поддержке Ozon.ru, о некоторых тонкостях работы компании имеет очень хорошее представление.
Ozon.ru получал два письма в сентябре и ноябре 2011 года, содержание писем было схожим с материалом топика, но ответа так и не было предоставлено, проблема не исправлена.
Так же автор топика общался с руководителем одного из подразделений службы поддержки Ozon.ru, но руководитель не понял всей прелести процесса.

Надеюсь что эти два поста вынудят Ozon.ru серьёзнее отнестись к охране пользовательских данных.
Подробнее..
Категории: Ozon , Чулан , Озон , Головотяпство , Социальная инженерия , Интернет-магазин

Категории

Последние комментарии

  • Имя: Макс
    24.08.2022 | 11:28
    Я разраб в IT компании, работаю на арбитражную команду. Мы работаем с приламы и сайтами, при работе замечаются постоянные баны и лаги. Пацаны посоветовали сервис по анализу исходного кода,https://app Подробнее..
  • Имя: 9055410337
    20.08.2022 | 17:41
    поможем пишите в телеграм Подробнее..
  • Имя: sabbat
    17.08.2022 | 20:42
    Охренеть.. это просто шикарная статья, феноменально круто. Большое спасибо за разбор! Надеюсь как-нибудь с тобой связаться для обсуждений чего-либо) Подробнее..
  • Имя: Мария
    09.08.2022 | 14:44
    Добрый день. Если обладаете такой информацией, то подскажите, пожалуйста, где можно найти много-много материала по Yggdrasil и его уязвимостях для написания диплома? Благодарю. Подробнее..
© 2006-2024, personeltest.ru