Socijalni inenjeringSeminarski rad

Student: Robert Rui1

UVOD

Socijalni inenjering pripada skupini napada na raunalne sustave, ali i sustave u irem smislu rijei. Radi se o nainu stjecanja informacija i podataka do kojih napada legitimnim putem ne bi mogao doi. Pri tome se ne iskoritavaju propusti implementacija operacijskih sustava, protokola i aplikacija, nego se napad usmjerava na najslabiju kariku cjelokupnog lanca ljudski faktor.2

Filozofija socijalnog inenjeringa

Velike i ozbiljne organizacije troe gomile novca za nove tehnologije vezane uz raunalnu odnosno mrenu sigurnost. Meutim, rijetko i slabo ulau u ljude koji su jednako tako dio sustava tih organizacija i na kojima isto tako lei veliki dio odgovornosti. Upravo je to injenica koju koriste napadai. Pristup informacijama koje uvaju ljudi mnogo je jednostavniji od pristupa zaporkom zatienim informacijama. Napadai iskoritavaju ljudsku psihologiju i na taj nain uspijevaju u navoenju rtava na ispunjavanje njihovih zahtjeva bez izazivanja nepotrebnih sumnji. Napada koji provodi napad zasnovan na socijalnom inenjeringu mora posjedovati osobine poput dobrog pamenja, snalaenja u razgovorima, odgovarajueg naina razmiljanja i slino, jer mu one donose prednost prilikom izvoenja napada.3

Uvjeravanje Nagovaranje ili uvjeravanje je akcija poduzeta od strane napadaa kojoj je konaan cilj potaknuti rtvu na izvravanje eljenih postupaka. Primjeri iz svakodnevnog ivota su propagandne poruke koje potroae tjeraju na kupovanje neega to im esto i nije potrebno niti su imali namjeru na to potroiti novac.

Sposobnost uvjeravanja jedna je od najvanijih karakteristika koju socijalni inenjer mora posjedovati ili razviti.

4

Lano predstavljanjeOvo je najee koritena metoda napada. Predstavljanje u svojstvu nadreene osobe najuestaliji je odabir lanog predstavljenog socijalnog inenjera. Napada poziva djelatnika i nadreenim mu tonom zapovijeda to treba initi.

Napada se moe predstavljati i kao slubenik pa na taj nain doi do informacija od, primjerice, slubenika na istoj razini u nekoj drugoj poslovnici tvrtke. Poznato je da je ljudi, pogotovo kada su u istom poloaju, najee ele pomoi jedan drugome. Meutim, solidarnost u ovom sluaju moe znaiti i obznanu tajnih informacija napadaima. 5

Lano predstavljanje (2)Najopasniji je sluaj kada se napada predstavi kao osoba iz podrke, primjerice tehnike. Slubenicima na taj nain ulije dozu povjerenja i uvjetuje da mu, bez ikakvih sumnji, navode podatke koji inae nisu dostupni javnosti.

Jedan od esto koritenih naina lanog predstavljanja je izigravanje novog zaposlenika. Ljudi su skloni pomoi poetnicima, to socijalni inenjeri esto koriste za saznavanje detalja o radu organizacije koju ele napasti. Nije mogue, a ni dobro, zaposlenicima zabraniti meusobnu pomo, ali je zato prijeko potrebno zaposlenike educirati kako bi znali prepoznati napad i sukladno tome reagirati.6

Stvaranje odgovarajue situacijeOvdje se radi o sposobnosti stvaranja situacije u kojoj je rtva primorana donositi brze i vane odluke pod velikim psiholokim pritiskom s jedne strane, i brojnim zahtjevima napadaa s druge.

Najee su rtve same krive za nastalu situaciju pa je donoenje pogrenih zakljuaka nuan ishod pokuaja ispravljanja postojeeg stanja, odnosno otklanjanja zastoja. Jedan od najboljih naina napadanja je zbliavanje s ljudima koji su dio sustava na koga se eli izvriti napad.

Najei naini stjecanja povjerenja su postupno stvaranje odnosa izmeu napadaa i rtve i navoenje rtve na vjerovanje u buduu korist od napadaa. 7

Stvaranje odgovarajue situacije (2)Jedan od naina zlouporabe stvaranjem odgovarajue situacije je i dokazivanje postojanja boljeg naina za rjeavanje problema u ciljnom sustavu.

Takvim pristupom moe se doi do detalja o djelovanju sustava koga se eli napasti.

Moda je najzahtjevniji nain napadanja koji obuhvaa stvaranje situacije u kojoj ljudi misle da su u pravu, ali su pri zakljuivanju nainili odreene pogreke.8

Moralna odgovornost

Radi se o ljudskom ponaanju u kojem rtve pokuavaju pomoi napadau jer osjeaju da je to njihova moralna obveza. Dobar primjer ovakvog ponaanja je sluaj u kome je napada iz iste zemlje kao i neki inozemni zaposlenik te on, koristei osjeaj moralne dunosti zaposlenika, dolazi do potencijalno osjetljivih informacija.

Napadai koji se koriste opisanom tehnikom najee su vrlo bistre osobe, a svoje rtve promatraju i upoznaju kroz dulje vrijeme te s njima uspostavljaju blizak osoban odnos.9

elja za pomaganjemKao jednostavan primjer moe posluiti situacija u kojoj napada zatrai pomo od rtve koja mu odbija pomoi jer trai neke nedostupne informacije. Meutim, lijepim razgovorom napada pobudi osjeaj djelomine krivnje i potakne rtvu na razmiljanje kako e i njoj vjerojatno zatrebati pomo kada se nae u jednakoj situaciji kao i on. rtva najee pomisli kako se radi o sitnim informacijama i kako nikomu nee koditi ukoliko pomogne ovjeku i izvan protokola. Napada odlazi zadovoljan jer je dobio to je htio, a rtva ostaje relativno zadovoljna jer je pomogla nekomu.10

Iskoritavanje starih veza i kooperacije

U ovom nainu socijalnog napadanja, napada obnavlja stare ili stvara nove veze sa rtvama. Napada e stvoriti odnos koji je dovoljan za stjecanje povjerenja.

Ovakav pristup kod socijalnog inenjeringa ima vrlo velik stupanj uspjenosti, to je posebno izraeno ukoliko je rtva spremna za ostvarivanje suradnje sa napadaem.

Na taj nain je prijeena poetna barijera i prikupljanje eljenih informacija kree lakim tokom.

11

Naini izvravanja napada

Socijalni inenjering nije uvijek usmjeren izravno na ovjeka. U stvarnosti on moe poprimiti vrlo velik spektar oblika, poevi s uspostavljanjem telefonskog kontakta s potencijalnim rtvama, preko uvjeravanja rtava u potrebu razgovora s odgovornim osobama pa sve do pretraivanja otpada. U ovom poglavlju su navedeni neki od vanijih oblika napada.

12

Telefonski inenjering

Jedan od najeih i najlakih naina izvravanja socijalnog inenjeringa ide u smjeru telefoniranja.

Napadai nazivaju bilo koga iz organizacije koju napadaju, od obinih radnika do administratora. Budui da napada ima izrazito dobre vjetine govora, lako stie povjerenje od strane djelatnika.

iroka rasprostranjenost telefonske mree ini ovu tehniku napada vrlo esto koritenom te umanjuje mogunost otkrivanja napadaevog identiteta.

13

Pretraivanje otpadaU ranim danima socijalnog inenjeringa najlaki nain napada ukljuivao je sakupljanje informacija iz otpadnih materijala osoba ili organizacija koje napada eli napasti.

Ovakav pristup omoguuje pronalaenje materijala kao to su pisana korespondencija, telefonski imenici, detalji razliitih dnevnika, izvorni kodovi i slino.

Koritenjem podataka pohranjenih u njima, napada upoznaje strukturu organizacije, saznaje imena i osobne podatke odgovornih osoba. Ukratko, saznaje mnogo informacija korisnih za izvoenje napada.14

Socijalni inenjering koritenjem InternetaInternet napadaima nudi pregrt mogunosti. Naalost, mnoge osobe nisu upoznate sa sigurnosnim problemima i prijevarama koje se izvode koritenjem Interneta.

Kako bi se dokopali zaporki napadai esto koriste lane poruke (eng. scam) koje oglaavaju razliite krivotvorene ponude i upozorenja. Tako rtvu navode na unos osobnih podataka i zaporke.

est primjer je poruka u kojoj je kao poiljatelj navedena odreena banka. Njena tehnika sluba obraa se klijentu poradi odreenih tehnikih preinaka koje zahtijevaju korisnikove osobne podatke. Njih se prilae koritenjem web obrazaca.15

Socijalni inenjering koritenjem Interneta (2)XY BankaPotovani klijentu XY banke,Tehniki odjel XY banke obavlja predvieno softversko unaprijeenje kvalitete bankarskih servisa.Klikom na link ispod zapoet ete proceduru potvrivanja korisnikih detalja.

http://www.XYbanka.com/wps/portal/contenttype/secure/confirm_context.id

Ove instrukcije su poslane i proslijeene svim klijentima XY banke.Ispriavamo se nenamjernim neugodnostima i zahvaljujemo na vaoj suradnji.

Tehniki sluba XY banke

16

Socijalni inenjering koritenjem Interneta (3)Osim elektronike pote prikladan medij za izvoenje prethodno opisanih zlouporaba predstavljaju i trenutne poruke (eng. Instant Messaging). U posljednje vrijeme one se sve vie koriste jer omoguuju komuniciranje korisnika u realnom vremenu. U skupinu programa koji nude ovu uslugu pripadaju klijenti MSN (eng. Microsoft Network), ICQ (eng. I Seek You), IRC (eng. Internet Relayed Chat) te neki manje poznati.

Usprkos svemu, paljivijim je koritenjem mogue uvelike ublaiti kako mogunost samo zlouporabe, tako i posljedice njenog eventualnog uspjeha.17

ZavirivanjeZavirivanje je jednostavan tip socijalnog inenjeringa u kojem napadai pokuavaju vidjeti pokrete rtava kako bi dobili eljene podatke.

Tipini primjeri ove tehnike je gledanje preko ramena osobe koja upisuje primjerice PIN na bankomatu i praenje pokreta ruke osobe kod upisa zaporke prilikom prijavljivanja na sustav.18

Forenzika analiza

Do korisnih informacija moe se doi analizom odbaene opreme poput starih raunala, razliitih medija (CD, DVD, floppy), USB memorijskih kartica i sline opreme.19

Reverzni socijalni inenjeringObrat socijalnog inenjeringa jedna je od najopasnijih metoda zlouporabe. Napada-reverzni socijalni inenjer stvara situaciju u kojoj se prikazuje izvorom informacija za osobe kojima su one potrebne.

Kako bi ovakva prijevara uspjela potrebno je puno predznanja i strpljenja u izvedbi. Napadau je cilj stvoriti situaciju koju nitko u organizaciji, osim njega, ne moe rijeiti. Prilikom rjeavanja kreiranog problema dolazi do eljenih informacija, nakon ega rtvi vraa popravljen ureaj bez ikakvih tragova o napadu.20

Zatita od socijalnog inenjeringaIz prijanjih poglavlja je razvidan nedostatak odgovarajuih tehnika automatske detekcije, biljeenja i suprotstavljanja opisanim napadima. U biti, jedinom mogunosti djelovanja pokazuje se ljudska intervencija.

Stoga je vrlo vano posvetiti dovoljnu panju kreiranju odgovarajuih sigurnosnih protokola kojih se svi lanovi neke organizacije trebaju pridravati.21

Sigurnosna politikaU svakoj od organizacija je jedan od najvanijih koraka postizanja sigurnosti stvaranje sigurnosnih pravila (eng. Security policy). Naalost, organizacije troe mnogo novca u sigurnost sklopovlja (eng. hardware) i programske potpore (eng. software), ali ne obraaju u dovoljnoj mjeri pozornost na ljudski imbenik.

Kako bi problem sigurnosti bio rijeen, odgovorna osoba mora razumjeti vanost razvijanja i primjene kvalitetnih sigurnosnih pravila, smjernica i procedura. Efikasnost sigurnosnih pravila podrazumijeva potpunu podrku svih lanova organizacije.22

Edukacija zaposlenikaPri zapoljavanju osoba ne bi trebalo u obzir uzimati samo akademsko obrazovanje ve i kriminalnu prolost kandidata. Oni bi trebali biti upueni u tajnost posla te u svoja prava privatnosti.

Iskustvo je pokazalo da je edukacija najbolji nain obrane od veine sigurnosnih prijetnji. Korisnici i upravitelji moraju biti upoznati s vrstama napada, a tijekom kolovanja zaposlenicima treba dati do znanja kako ne smiju odavati zaporke ili bilo kakve druge osjetljive informacije.23

Prijava incidenataDobra reakcija na napad obuhvaa vrlo jasne protokole prijave sumnjivih ponaanja. Jednako je vano i postojanje nedvosmislene i svestrane podrke prijavi, kako bi zaposlenici to inili bez dvojbe i odgode. Ako podrka nije dovoljno dobra tada se zaposlenici mogu obeshrabriti i nedovoljno ozbiljno shvatiti veliinu prijetnje.

U suprotnoj situaciji, kada nadreeni pozitivno reagiraju na prijavu incidenta, zaposlenik je ohrabren i potaknut na paljiviji posao i nove prijave bez okolianja.24

Kontrola pristupaDvije su metode koje se koriste kod odreivanja kontrole pristupa. Prva ukljuuje omoguavanje pristupa svemu i postavljanje eksplicitne zabrane samo na odreene resurse, dok je druga obratna i podrazumijeva postavljanje zabrane na sve i omoguavanje pristupa samo odreenim resursima. Druga metoda je sigurnija, jer nema opasnosti da se zaboravi postaviti ogranienje pristupa na neki potencijalno osjetljiv resurs. Meutim, tom se metodom ograniava pristup resursima sve dok ga se eksplicitno ne omogui, to u odreenim situacijama moe predstavljati ogranienje. Optimizacija korisnosti esto podrazumijeva pronalaenje odgovarajueg odnosa izmeu dviju opisanih metoda zabrane pristupa.25

Fizika sigurnostBudui da napadai esto informacije pribavljaju iz otpadnih materijala tvrtki, a to su najee razni spisi, potrebno je obratiti znaajnu pozornost na odlaganje otpada. Ve su poznati i esto koriteni ureaji poput rezaa papira.

Zabrane pristupa i ulaska u prostorije s vanom opremom moraju biti strogo potivane, a pristup dozvoljen samo osobama od povjerenja. Iako opisane mjere zatite ne garantiraju apsolutnu sigurnost, svakako su bolja opcija od nekontroliranog pristupa.26

Provjera sigurnosti

Jedna od efikasnih metoda zatite je angairanje organizacija koje se bave testiranjem ranjivosti. Openito, pametnije je provaliti u vlastiti sustav nego isto omoguiti zlonamjernom napadau.

Ispitivanja se mogu obavljati pod pretpostavkom potpunog nepoznavanja, djelominog ili opsenog poznavanja napadanog sustava.27

Vierazinska obranaMotiv izgradnje zatitnog sustava u vie razina polazi od spoznavanja napadaevih ogranienja. Naime, napada koji je u doticaju samo s jednom razinom zatite, teko moe upoznati funkcionalnost slijedee. Tako, ako i uspije zaobii jedan sloj zatite, prije nego zaobie slijedei mora proi odreeno vrijeme koje se moe iskoristiti za detekciju provale i poduzimanje odgovarajuih protumjera. Pri tome strategija mora biti usmjerena prema brzom prepoznavanju napada, jer se, u protivnom, napadau ostavlja velik prostor mogunosti, a time i velika vjerojatnost da e zlouporaba uspjeti.28

Temeljna razina sigurnosna pravilaOkosnica informacijske sigurnosti su sigurnosna pravila (eng. security policy). Ona postavljaju standarde i razinu sigurnosti koju e sustav posjedovati te ga postavljaju u konzistentno stanje koje se moe postavljati i nadograivati po volji. Temeljna sigurnosna pravila poprimaju jo veu vanost kada tite sustav od napada temeljenih na socijalnom inenjeringu.

Pravila moraju imati ugraenu disciplinu te, povrh svega, moraju biti potivana od strane svih zaposlenika. Najvanija njena znaajka je izbjegavanje osobne odgovornosti zaposlenika za otkrivanje potencijalno osjetljivih i ostalih informacija.29

Razina mjerila sigurnosna osvijetenost zaposlenikaSvjesnost o vanosti spreavanja socijalnog inenjeringa obuhvaa mnogo vie od spoznaje zaposlenika o rizinosti odavanja vlastitih zaporki.

Zaposlenici moraju biti upoznati s vrstama informacija koje su svrhovite napadaima i razgovorima koje je potrebno smatrati sumnjivima. Moraju moi razluiti povjerljive informacije od javnih i moraju shvatiti svoju odgovornost kod njihove zatite.30

Razina utvrde otpor kljunog osobljaNije dovoljno samo osvijestiti zaposlenike u pogledu informacijske sigurnosti, nego je potrebno i educirati kljuno osoblje u pogledu razvijanja otpora prema napadima. Kljuno osoblje obuhvaa osoblje dostupno za pomo korisnicima (eng. help-desk personnel), prodavae, poslovne pomonike, tajnike i recepcionare te sistemske administratore odnosno inenjere.

U program obuke treba ukljuiti sve zaposlenike kojima je posao pomagati drugima. Kvalitetna obuka u ovom kontekstu spreava zaposlenike od mogunosti poputanja pritisku napadaa i od nesvjesnog davanja pristupa informacijama.31

Razina ustrajnosti - podsjetniciNakon obuke je svijest o vanosti i opasnosti od napada podignuta na viu razinu. Meutim, pokazalo se da ta svijest ima svoj rok trajanja. To znai da je razinu samosvijesti potrebno s vremena na vrijeme povratiti na poetnu vrijednost. Vrlo dobar primjer potrebe za navedenim je tipina policijska taktika. U redovnim vremenskim razmacima svim se zaposlenicima daju izvjea o poginulim zaposlenicima kako bi ih se podsjetilo na opasnost posla i usadio u njih neprekidan osjeaj bivanja u pripravnosti.

Na slian nain zaposlenici trebaju biti neprekidno svjesni mogunosti pojave napadaa koji preko njih pokuava pristupiti nedozvoljenim informacijama.32

Razina hvatanja napadaa "minsko polje"Stupice su vrlo mono sredstvo u borbi protiv napadaa, odnosno u prikupljanju podataka o zlonamjernim korisnicima. Mehanizam je logiki istovjetan ideji nagaznih mina (eng. land mines), a cilj mu je razotkriti napadaa i onemoguiti daljnje napredovanje napada. Mehanizam upozorava rtvu da je napad u tijeku i da bi razinu obrane trebalo podii na vei stupanj.

Neke ideje kojima se spomenuto moe ostvariti:

Osoba koja poznaje sve zaposlenike zaposlena osoba se bavi iskljuivo prepoznavanjem drugih osoba koje su zaposlene u odreenom dijelu organizacije ili u itavoj organizaciji i njihova zaduenja te uz dovoljan stupanj obrazovanja predstavlja odlinu zatitu u borbi protiv napadaa koji se ne usteu od fizikog pristupa mjestu napada.

33

Razina hvatanja napadaa "minsko polje (2)Sredinji sigurnosni dnevnik Ukoliko se vodi dnevnik o potencijalnim dogaajima vezanim uz naruavanje informacijske sigurnosti organizacije, mogue je sprijeiti daljnje napade socijalnih inenjera. Zaposlenik bi trebao svaki put kada se od njega trai neka potencijalno osjetljiva informacija ili kada primi sumnjiv telefonski poziv taj dogaaj zapisati u dnevnik.

Kljuna pitanja za autentikaciju korisnika koji potrauje potencijalno osjetljiv podatak mogu se koristiti unaprijed dogovorena kljuna pitanja. Na taj nain se nedvojbeno moe odrediti identitet takvog korisnika. Za legitimnog korisnika davanje odgovora na ta pitanja je trivijalno, ali za nekoga tko nije upoznat davanje tonih odgovora je nemogue.

Pravilo odgaanja odgovora ovjeka je mogue nagovoriti na izvravanje nekog nedozvoljenog postupka. Nain za borbu protiv ovakvog napada je uvoenje pravila koje tvrdi da za svaki sumnjiv poziv ili zahtjev za osjetljivim informacijama, zaposlenik treba sugovornika ostaviti na ekanju.34

Razina protunapadaPosljednja razina obrane od napada socijalnog inenjeringa je prijava incidenta. Ovaj postupak je kljuan budui da spreava istog napadaa u daljnjim napadima. im osoba uoi da je napad u tijeku, mora preuzeti inicijativu i u to veoj mjeri razotkriti napadaa. Kako bi to bilo izvedivo organizacija mora definirati pravila koja e zaposlenik primijeniti.

Ukoliko nije mogue razotkriti napadaa, pravila u najmanju ruku moraju osigurati upozorenje drugih zaposlenika o napadu i potencijalnom napadau.35

ZAKLJUAKNapadi temeljeni na socijalnom inenjeringu prisutni su u svim sferama ljudskog ivota, a osobito u podruju raunalne sigurnosti. Brojni su sluajevi u kojima su napadai laganjem, od legitimnih zaposlenika razliitih organizacija otkrivali sigurnosno osjetljive informacije. Naalost, brojne organizacije ne prepoznaju u dovoljnoj mjeri vanost ljudskog faktora za ukupnu sigurnost svojih organizacija te svu sigurnost temelje samo na razliitim sklopovskim i programskim rjeenjima. Suprotno uobiajenom razmiljanju, socijalni inenjering nije iskljuivo vezan uz raunalne sustave. On je prisutan u svim sferama osiguranja.36

**