Разработка программного обеспечения давно уже превратилась в отдельную индустрию, которая живет по своим законам и использует свои технологии. Эти технологии призваны сократить время разработки, повысить качество готовой продукции и, в конечном итоге, повысить прибыть от продажи программ. Для обеспечения максимальной производительности труда программистов при разработке средств защиты применяются те же самые идеи организации процесса производства, что и при разработке обычных программ. Используются готовые библиотеки, очевидные решения, создается эффективный и понятный код и т. д.
Но когда ведется разработка методов защиты, не имеющих математического обоснования стойкости, общепринятых приемов лучше избегать. Чем логичнее и очевиднее ведет себя защита, тем проще противнику будет ее проанализировать и понять. Поэтому защита должна быть максимально запутанной — только в этом случае у нее есть хоть какой-то шанс устоять.

Строя доверие не обязательно требуется делать целую серию звонков, как в предыдущей истории. Я расскажу один случай, где мне потребовалось всего пять минут.

Сюрприз для Папы

Я один раз сидел за столом в ресторане с Генри и его отцом. В ходе разговора, Генри упрекал отца в раздаче номера его кредитной карточки как если бы, это был его номер телефона. «Конечно, ты должен дать номер карты, когда ты покупаешь что‑то», он сказал. «Но давать номер карточки в магазине, что записывает номер – это действительно глупо».

«Единственное место, где я сделал это, была Видео Студия», – сказал мистер Конклин, назвав ту самую сеть видео магазинов. "Но я проверяю мои счета в Visa каждый месяц. Если расходы будут превышать ожидаемое, я узнаю об этом.

“Уверен", сказал Генри, «но как только у них появится твой номер, очень легко можно будет его украсть».

“Ты имеешь в виду плохого служащего”?

“Нет, кто‑нибудь – не обязательно служащий".

Чем естественней социальный инженер общается с жертвой, тем больше он ослабляет подозрение. Когда у людей нет причины для подозрений, социальному инженеру становится легко приобрести доверие жертвы.

Как только он получает ваше доверие, разводной мост опускается, и дверь замка распахивается, и он может зайти и взять ту информацию, что он хочет.

Заметка:

Вы можете заметить, как я ссылался на социальных инженеров, на телефонных фрикеров, и жуликов (con‑game operators) в большинстве этих рассказов как «он». Это не – шовинизм; просто такова истина – большинство практикующий в этих областях – мужчины. Но, несмотря на это, среди социальных инженеров есть и женщины, число которых растет. Вы не должны терять бдительность и осторожность просто из‑за того, что слышите женский голос. Фактически, женщины социальные инженеры имеют четкое преимущество из‑за того, что они могут использовать свою сексуальность, чтобы получить сотрудничество. Вы найдете немножко так называемого слабого пола, представленного на этих страницах.

Не только активы компании находятся под угрозой сценария социальной инженерии. Иногда жертвами являются клиенты компании.

Работа по обслуживанию клиентов несет с собой отчасти разочарование, отчасти смех, отчасти невинные ошибки, которые могут привести к плохим последствиям для клиентов компании.

История Дженни Эктон

Дженни Эктон более трех лет работала в службе клиентов компании «Hometown Electric Power» в Вашингтоне, округ Колумбия. Она считалась одним из лучших служащих, проворной и добросовестной.

Несмотря на миф о безбумажном офисе, компании продолжают печатать стопки бумаг каждый день. Печатная информация в в вашей компании может быть уязвимой, даже если вы предпринимаете меры предосторожности и помечаете ее как конфиденциальную.

Вот одна история, показывающая, как социальные инженеры могут получить ваши самые секретные документы.

Обман с номерами обратного вызова

Каждый год телефонная компания издает справочник тестовых номеров (или по крайней мере издавали, но, поскольку я все еще нахожусь под надзором, то не собираюсь спрашивать об этом). Этот документ высоко ценился фрикерами, так как содержал список тщательно скрываемых телефонных номеров, которые использовались мастерами, техниками и другими работниками компании для таких вещей как тестирование магистрали или проверки всегда занятых номеров.

Человек, которого мы назовем Фрэнк Парсонс, был в бегах долгие годы, находясь в федеральном розыске за участие в подпольной антивоенной группировке в 1960‑х гг. В ресторанах он сидел лицом к дверям и периодически оглядывался, что смущало других людей. Он переезжал каждые несколько лет.

В некоторый момент времени Фрэнк остановился в городе, который не знал, и приступил к поиску работы. Для таких как Фрэнк, с его развитыми компьютерными навыками (и навыками социального инженера, хотя он никогда не упоминал об этом при соискании) поиск хорошей работы обычно не составляет проблемы. За исключением случаев, когда организация ограничена в средствах, люди с хорошими компьютерными навыками обычно пользуются высоким спросом и им несложно обосноваться. Фрэнк быстро нашел высокооплачиваемое, постоянное место работы рядом со своим домом.

Хотите узнать чей‑нибудь неопубликованный номер телефона? Социальный инженер может сообщить вам полдюжины способов (некоторые из них вы найдете в других историях книги), но, возможно, самым простым из них будет обычный телефонный звонок, как этот.

Номер, пожалуйста

Атакующий позвонил по неофициальному номеру телефонной компании, в механизированный центр назначения линий (Mechanized Line Assignment Center). Он сказал женщине, поднявшей трубку:

Ваша компания ответственна за то, чтобы предупредить работников насколько серьёзной может быть выдача непубличной информации. Хорошая продуманная информационная политика безопасности вместе с надлежащим обучением и тренировками улучшат понимание работников о надлежащей работе с корпоративной бизнес‑информацией. Политика классификации данных поможет вам осуществить надлежащий контроль за раскрытием информации. Без политики классификации данных вся внутренняя информация должна рассматриваться как конфиденциальная, если не определено иначе.

Примите к сведению эти шаги для защиты вашей компании от распространения кажущейся безвредной информации:

Отдел информационной защиты должен проводить обучения, детализуя методы, используемые социальными инженерами. Один метод, описанный выше, касается получения кажущейся нечувствительной информации и использование её для получения краткосрочного доверия. Каждый работник должен знать, что когда у звонящего есть знания о процедурах компании, лексике и внутренних идентификаторах, он должен подтвердить личность звонящего или получить от него разрешение на получение того, что он хочет. Звонящий может быть обычным работником или подрядчиком с необходимой внутренней информацией. Соответственно, на каждой корпорации лежит ответственность за определение соответствующего опознавательного метода, для использования в случаях, когда работники взаимодействуют с людьми, которых не могут узнать по телефону.

Помимо номера расчётного центра и внутренних номеров, какая еще, по‑видимому, бесполезная информация может быть чрезвычайно ценной для вашего врага?

Телефонный звонок Питера Абеля

«Привет», сказал человек на другом конце линии. «Это Том из Parkhurst Travel. Ваш билет в Сан‑Франциско готов. Вы хотите, чтобы Вам его доставили или Вы хотите забрать его сами?»

«Сан‑Франциско?» сказал Питер. «Я не собираюсь в Сан‑Франциско.»

Широко известно, что агентства по трудоустройству (т.н. охотники за головами) пользуются социальным инженерингом, чтобы переманивать корпоративные таланты. Вот пример того, как это может происходить.

В конце 1990‑х одно не слишком этичное агентство подписало контракт с новым клиентом – компанией, ищущей инженеров‑электронщиков с опытом в области телефонной промышленности. Исполнителем проекта стала леди с чувственным низким голосом и сексуальными манерами, которая научилась их использовать, чтобы вызывать первоначальные доверие и привязанность по телефону.

Леди решила организовать набег на провайдера услуг сотовой связи, чтобы посмотреть, можно ли было там найти несколько инженеров, которые могли бы поддаться соблазну перейти к конкуренту. Она не могла просто позвонить в центр связи и сказать: «Дайте мне поговорить с кем‑нибудь с пятилетним опытом работы инженером.» Вместо этого по понятным причинам она начала охоту за талантами с поиска кусочков информации, которые кажутся совсем незначительными, информации, которую люди из компании скажут почти любому, кто спросит.