Sosyal Mühendislik Saldırılarına Karşı Kendinizi Nasıl Korursunuz?

Geçen hafta, temel sosyal mühendislik tehditlerinden bazılarına göz attık. Sosyal Mühendislik Nedir? [Bunu Açıklayanlar] Sosyal Mühendislik Nedir? [MakeUseOf Explains] Sektörün en güçlü ve en pahalı güvenlik duvarını kurabilirsiniz. Çalışanları temel güvenlik prosedürleri ve güçlü şifreler seçmenin önemi hakkında eğitebilirsiniz. Sunucu odasını bile kilitleyebilirsiniz - ama nasıl… sizin, şirketinizin veya çalışanlarınızın bakması gerektiği gibi. Kısaca, sosyal mühendislik, bir saldırganın kurbanın güvenini alarak erişim, bilgi veya para kazandığı bir güven numarasına benzer..

Bu teknikler, e-posta yoluyla kimlik avı dolandırıcılığından ayrıntılı telefon numaralarına ve istilacı ön hazırlık saldırılarına kadar uzanabilir. Sosyal mühendisleri durdurmanın kesin bir yolu olmamasına rağmen, bu tür saldırıların çok ciddi hale gelmesini önlemek için hatırlanması gereken birkaç şey vardır. Her zamanki gibi, en iyi savunmanız bilgi ve sürekli ihtiyat.

Fiziksel saldırılara karşı koruma

Birçok şirket ağ güvenlik ekibini fiziksel saldırı tehlikeleri konusunda eğitiyor. Olarak bilinen bir yöntem “tailgating” Birçok fiziksel saldırılarda, izinsiz olarak kısıtlanan alanlara erişim sağlamak için kullanılmaktadır. Bu saldırı temel insanın nezaketine dayanıyor - biri için bir kapı tutuyor - ama saldırgan fiziksel erişim kazandığında güvenlik ihlali çok ciddi hale geliyor.

Bu gerçekten bir ev senaryosunda geçerli olmasa da (ön kapınızı şimdi bir yabancı için açık tutamazsınız, değil mi?) Düşen kurbanların sosyal mühendislik şansını azaltmak için yapabileceğiniz birkaç şey var. fiziksel malzemelere veya bir yere bağlı saldırı.

Preteks, ilk önce mağdurları hakkında (örneğin bir fatura veya kredi kartı beyannamesi) bilgi edinen ve daha sonra mağdurlarına karşı otorite duygusuna sahip olduklarına ikna ederek kullanabilecekleri bir tekniktir. Bu tür saldırılara karşı en temel koruma (bazen “dalış çöplüğü”) önemli, kişisel bilgi içeren materyalleri imha etmek yoluyla.

Bu aynı zamanda dijital veriler için de geçerlidir, bu yüzden eski sabit diskler yeterince fiziksel olarak imha edilmelidir (fiziksel olarak) ve optik medya da parçalanabilir. Hatta bazı şirketler bunu reddediyorlar ve güvenlik izlemesini sağlayacak şekilde alıyorlar. Atacağınız parçalanmamış evrakları (takvimler, makbuzlar, faturalar ve hatta kişisel notlar) düşünün ve ardından bu bilgilerin size karşı kullanılıp kullanılamayacağını düşünün.

Hırsızlık düşüncesi özellikle hoş bir şey değil, ama eğer dizüstü bilgisayarınız çalındıysa, Avını Çalınan Çalınan Dizüstü Bilgisayarınızı Kurtarın ve Kurtarın Avını Çalınan Çalınan Dizüstü Bilgisayarınızı Kurtarın Yarın ile yeterince kilitlenir mi? Dizüstü bilgisayarlara, akıllı telefonlara ve kişisel bilgilerinize, e-posta ve sosyal ağ hesaplarınıza erişen diğer aygıtlar her zaman güvenli şifrelerle korunmalıdır. Unutmayacağınız Güçlü bir Parola Oluşturma Unutmayacağınız Güçlü bir Parola Oluşturma İyi bir şifre oluşturmak ve hatırlamak için? Tüm çevrimiçi hesaplarınız için güçlü ve ayrı şifreler bulundurmanız için bazı ipuçları ve püf noktaları. ve kodlar. Hırsızlığa karşı gerçekten paranoyaksanız, TrueCrypt gibi bir şey kullanarak sabit diskinizdeki verileri bile şifrelemek isteyebilirsiniz. Şifrelenmiş Klasörleri Nasıl Yapabilirsiniz Diğerleri Truecrypt ile Görüntüleyemez 7 Şifreli Klasörleri Nasıl Yapabilir Diğerleri Truecrypt ile Görüntüleyemez 7 veya BitLocker.

Unutmayın - bir hırsızın çıkartabileceği herhangi bir bilgi, gelecek saldırılarda, olaydan aylar veya yıllar sonra kullanılabilir..

Bağlama - kolayca bulabileceğiniz tehlikeye sokulmuş USB bellek gibi kötü amaçlı bir cihaz bırakmak, merakınızın sizi daha iyi hale getirmesine izin vermeyerek kolayca önlenir. Sundurma üzerinde bir USB bellek bulursanız, en yüksek şüphe ile kullanın. USB çubuklar, bilgileri çıkarmak ve çok gerçek bir tehdit oluşturmak için keylogger, trojan ve diğer istenmeyen yazılımları kurmak için kullanılabilir.

Psikolojik Saldırıları Önlemek

Neredeyse tüm sosyal mühendislik saldırıları, tanımları gereği psikolojiktir, ancak önceden bilgi gerektiren preteksinin aksine, bazı saldırılar tamamen psikolojiktir. Bu tür saldırılara karşı korunma, birçok şirket için şu anda büyük bir önceliktir ve bu, eğitim, dikkat ve sıklıkla bir saldırgan gibi düşünmeyi gerektirir..

Şirketler şimdi her seviyedeki personeli eğitmeye başlıyor, çünkü çoğu saldırı kapıdaki güvenlik görevlisi veya resepsiyondaki resepsiyon görevlisi ile başlıyor. Bu genellikle çalışanlara şüpheli taleplerden, zorlayıcı bireylerden veya yeni bir şey eklemediklerinden sakınmalarını söylemeyi içerir. Bu dikkat günlük hayatınıza kolayca aktarılabilir ancak gizli bilgi taleplerini belirleme yeteneğinize bağlıdır.

E-posta yoluyla çevrimiçi saldırılar ve anlık mesajlaşma giderek daha sık görülürken, telefonla yapılan sosyal mühendislik saldırıları (ve kaynağı izlemeyi zorlaştıran VoIP) hala gerçek bir tehdittir. Bir saldırıdan kaçınmanın en basit yolu, bir şeyden şüphelendiğiniz anda aramayı sonlandırmaktır..

Bankanızın sizi araması mümkündür, ancak nadiren şifrenizi veya diğer bilgileri doğrudan talep etmeleri istenir. Böyle bir arama yapılırsa bankanın telefon numarasını isteyin, iki kez kontrol edin ve tekrar arayın. Fazladan beş dakika sürebilir, ancak fonlarınız ve kişisel bilgileriniz güvende ve bankada irade anlama. Benzer şekilde, bir güvenlik şirketinin sizi, bilgisayarınızdaki sorunlardan uyarmak için araması pek olası değildir. Tüm aramaları bir aldatmaca olarak kabul edin, şüpheli olun ve PC'nizden ödün vermeyin Cold Calling Computer Technicians: Buna Bir Dolandırıcılık Yapmayın [Scam Alert!] Cold Calling Computer Teknisyenleri: Buna Benzer bir Dolandırıcılık Yapmayın [ Dolandırıcılık Uyarısı!] Muhtemelen "Bir dolandırıcıyı dolandırıcılık yapmayın" terimini duymuşsunuzdur, ancak kendimi hep "teknoloji yazarı aldatma" diye merak ediyorum. Yanılmaz olduğumuzu söylemiyorum, ama dolandırıcılığınız Internet'i içeriyorsa, bir Windows… veya sattıklarını satın alın!

Eğitim en iyi savunmadır, bu nedenle güvenlik teknikleri ve haberleri takip etmek olası bir saldırıyı tespit etmenize yardımcı olacaktır. Social-Engineer.org gibi kaynaklar, insanları sosyal mühendisler tarafından kullanılan teknikler konusunda eğitmeye çalışır ve çok fazla bilgi vardır..

Hatırlamanız Gereken Birkaç Şey

Güven bir sosyal mühendisin ana taktiğidir ve fiziksel konumlara, gizli bilgilere ve daha büyük ölçekte hassas şirket verilerine erişmek için kullanılacaktır. Bir sistem sadece en zayıf savunması kadar güçlüdür ve sosyal mühendislik söz konusu olduğunda bu, kullanılan tehdit ve tekniklerin farkında olmayan bireyler anlamına gelir..

Sonuç

Dünyanın en büyük güvenlik konferansında dolaşmayı başaran, sınırsız ve denetlenmeyen Kevin Mitnick'i alıntılamak için (RSA 2001): “RSA Konferansı'ndaki her katılımcı, konuşmacı ve sponsordan bir servet satın alma teknolojisi ve hizmetleri harcayabilirsiniz ve ağ altyapınız eski moda manipülasyona karşı hala savunmasız kalabilir”. Bu, kapılarınızdaki kilitler ve evinizdeki alarm için geçerlidir, bu nedenle işte ve evde sosyal mühendislik taktiklerini göz önünde bulundurun.

Böyle bir saldırı yaşadınız mı? Çalışanları tehlikeler hakkında eğitmeye yeni başlayan bir şirket için mi çalışıyorsunuz? Aşağıdaki yorumlarda ne düşündüğünüzü bize bildirin.

Resim Kredileri: Koyun Giyiminde (Shutterstock) Kağıt Öğütücü (Chris Scheufele), Sabit Disk (jon_a_ross), Masada Telefon (Radio.Guy), Mozilla Resepsiyonu (Niall Kennedy),