Социальные и психологические технологии хакеров
При фразе “социальная инженерия”, многие из нас представляют хакера, звонящего в офис и просящего сообщить пользователя свой пароль. Так ли на самом деле примитивны технологии, используемые социальными хакерами? Давайте посмотрим, какие методики доступны для осуществления “социального взлома”.
Начну с описания подобного взлома, взятого из книги Виктора Суворова “Аквариум”:
Постановка задачи перед курсантом (социальным хакером):
“Объект: Мытищинский ракетный завод. Задача: найти подходящего человека и завербовать его. Цель первая: получить практику настоящей вербовки. Цель вторая: выявить возможные пути, которые вражеская разведка может использовать для вербовки наших людей на объектах особой важности.
Ограничения. Первое — во времени: можно использовать для вербовки только свое личное время, выходные дни и отпуска, никакого особого времени на проведение вербовки не отпускается; второе — финансовое: можно расходовать только свои личные деньги, сколько угодно, хоть все, ни копейки государственных денег не выделяется.”
Теория:
“Теория вербовки говорит, что вначале нужно найти заданный объект. Это нетрудно. Мытищи-городок небольшой, а в нем огромный завод. Проволока колючая на роликах. Ночью завод залит морем слепящего света. Псы караульные тявкают за забором. Тут сомнений быть не может. А еще у завода соответствующее имя должно быть. Если на воротах написано, что это завод тракторной электроаппаратуры, то это может означать, что кроме военной продукции завод выпускает что-то и для тракторов, но если название ничего не выражает: «Уралмаш», «Ленинская кузница», «Серп и молот» — тут сомнения отбрасывайте в сторону: военный завод без всяких посторонних примесей. Второе правило вербовки говорит, что через забор лезть не надо. Люди из завода сами выходят. Они идут в библиотеки, в спортзалы, в рестораны, в пивные. Вокруг крупного завода должен быть район, где живут многие рабочие, где есть школы для их детей и детские сады. Где-то есть поликлиника, туристическая база, зона отдыха и т. п. Все это надо найти.
Третий закон вербовки гласит, что не нужно вербовать директора или главного инженера — их секретарши вербуются легче, а знают совсем не меньше, чем их начальники. Но вот беда, условия учебно-боевой вербовки запрещают нам вербовать женщин. За рубежом — пожалуйста, во время тренировок — нет. Нужно найти чертежника, оператора электронной машины, хранителя секретных документов, копировальщика и пр.”
“Фильмы про шпионов показывают офицера разведки в блеске остроумия и красноречия. Доводы шпиона неотразимы, и жертва соглашается на его предложение. Это и есть брехня. В жизни все наоборот. Четвертый закон вербовки говорит, что у каждого человека в голове есть блестящие идеи, и каждый человек страдает в жизни больше всего оттого, что его никто не слушает. Самая большая проблема в жизни для каждого человека — найти себе слушателя. Но это невозможно сделать, так как все остальные люди заняты тем же самым — поиском слушателей для себя, и потому у них просто нет времени слушать чужие бредовые идеи…”
“Пятый закон вербовки — это закон клубники. Я люблю клубнику. Я люблю ловить рыбу. Но если рыбу я буду кормить клубникой, то не поймаю ни одной. Рыбу надо кормить тем, что она любит, — червями. Если ты хочешь стать другом кому-то, — не говори о клубнике, которую ты любишь. Говори о червяках, которых любит он.”
Установление контакта:
“Они шли в библиотеку. Нет, это не секретная библиотека. Секретная внутри завода. Это обычная библиотека. И вход туда всем разрешен. Вот и я с группой затесался. Молоденькой библиотекарше за прилавком подмигнул, она мне улыбнулась, и я уже у книжных полок.
Теперь я роюсь в книгах и внимательно смотрю за тем, кто чем интересуется. Мне нужен контакт. Вот рыжий очкастый перебирает научную фантастику. Хорошо. Подождем его. Вот он отошел к другой полке, к третьей…
— Извините, — шепчу я на ухо, — а где тут научная фантастика?
— Да вон там.
— Да где же?
— Идите сюда, покажу.
Хороший контакт у меня получился только на третий вечер.
— Что-нибудь про космонавтов? Про Циолковского?
— Да это вот тут.
— Где?
— Идите сюда, покажу.<
/i>”
/i>”
Развитие:
“В библиотеке нельзя говорить громко, да и вообще разговаривать не принято. Поэтому я слушал его на заснеженной поляне в лесу, где мы катались на лыжах. В кинотеатре, в который мы ходили смотреть «Укрощение огня», в маленьком кафе, где мы пили пиво.”
«Взлом»:
“Мы сидим в грязной пивной, и я говорю своему другу о том, что бороводородное топливо никогда применяться не будет. Не знаю почему, но он думает, что я работаю в 4-м цехе завода.
Я ему этого никогда не говорил, да и не мог говорить, ибо не знаю, что такое 4-й цех.
Он долго испытующе смотрит на меня:
— Это у вас там, в четвертом, так думают. Знаю я вас, перестраховщиков. Токсичность и взрывоопасность… Это так. Но какие энергетические возможности! Вы там об этом подумали? Токсичность можно снизить, у нас этим 2-й цех занимается. Поверь мне, будет успех, и тогда перед нами необъятные горизонты…”
Отличная работа разведчика, но это лишь описание из художественной книги, пусть даже основанной на реальных событиях. Какие же сейчас доступны «формализованные» методики, которыми могут воспользоваться современные социальные хакеры? На мой взгляд, их стоит разделить на две группы – ориентированные на использование логики и хитрости и психологические техники.
Первая группа технологий существует давно, но наибольшее развитие, на мой взгляд, получает в настоящее время. Родоначальниками направления являются Сунь Цзы и Николо Макиавелли. Первый описал применение социальных технологий в военном искусстве, второй — в политике. Хорошими современными книгами по данной теме являются:
- “Искусство управленческой борьбы”, Владимир Тарасов;
- “Игры, в которые играют менеджеры”, Игорь Зорин;
- “Стратагемы — стратегии войны, манипуляции, обмана”, А.И. Воеводин.
Основой технологии является разработка некоего управляемого сценария (стратагемы), позволяющего достигнуть своей цели.
Приведу цитату, иллюстрирующий применение стратагемы, из книги Владимира Тарасова “ Искусство управленческой борьбы”
“Специалист по подавлению забастовок
В начале XX века на фабрике, расположенной в маленьком поселке, произошла забастовка. Дело было зимой. Предприниматель оказался в затруднении: все три возможных решения его по той или иной причине не устраивали.
Пойти навстречу требованиям бастующих. Они выйдут на работу, но выполнение их требований обойдется недешево. И где гарантия, что их аппетиты не возрастут и они снова не забастуют?
Не идти на встречу их требованиям.3ахотя т есть — рано или поздно выйдут на работу. Однако убытки от простоя фабрики, штрафы за срыв поставок и потеря в имидже окажутся слишком велики.
Вызвать полицию, чтобы повязали и увезли зачинщиков забастовки. Остальные испугаются и выйдут на работу. Но кто сеет ветер, пожнет бурю. Кто поручится, что его собственный дом вскоре не запылает?!
Вариант со штрейкбрехерами даже не рассматривался: их неоткуда было взять! Предприниматель решил обрати ться за помощью и пригласил специалиста по
подавлению забастовок. Специалист приехал, погулял по поселку, подышал морозным воздухом и посоветовал: «Если рабочие не хотят работа ть, пусть хотя бы фабрика работает! Пошлите с утра пару человек, пусть зажгут свет, затопят котлы, чтобы окна сияли и дым из трубы валил! А то уж больно унылая картина!» Так и сделали. Рабочие не поняли, что же там на фабрике происходит. Кто- то пошел посмотре ть. И исчез. Второй пошел узнать, куда девался первый, и тоже исчез. А что увидел рабочий, когда пришел на фабрику? Ничего особенного. Просто это было, как праздник. Нечто неожиданное и приятное. Прошелся по двору, прошелся по фабрике. И уж, конечно, — к своему рабочему месту. Осмотрел, все ли на месте, все ли в порядке. Погладил рукоятки станка, попробовал включить. Тело сразу все само вспомнило. Почувствовал, как приятно работа ть… Один за другим рабочие потянулись в ворота фабрики и молча приступили к работе. Забастовка окончилась.”
Что же касается психологических техник, подходящих для использования социальными хакерами, то в их главе стоит нейро-лингвистическое программирование (NLP). Включает в себя массу приемов, мастерское
владение которыми, позволит получить любую информацию от практически любого человека. В основе лежит эриксоновский гипноз. Хорошее описание NLP можно найти в различных книгах Сергея Горина. Также интересные психологические приемы можно найти в книгах по социальной психологии и транзактному анализу.
владение которыми, позволит получить любую информацию от практически любого человека. В основе лежит эриксоновский гипноз. Хорошее описание NLP можно найти в различных книгах Сергея Горина. Также интересные психологические приемы можно найти в книгах по социальной психологии и транзактному анализу.
Враждебное применение социальных технологий и психологических приемов в отношении людей, имеющих доступ к важной информации и рычагам управления в компании, может привести к серьезным последствиям для бизнеса. От таких приемов нельзя защититься с помощью программного или аппаратного обеспечения — необходимо повышать осведомленность наших сотрудников в данном вопросе. На мой взгляд, более менее серьезная программа повышения осведомленности в области информационной безопасности должна предусматривать и проведение соответствующего обучения, по крайней мере, для руководства компании.
Эх))) социалка — самая веселая тема в нашей работе…))от себя добавлю, что проведение эпизодических соц. тестирований крайне полезно для компании и не только для менеджмента, но и для ИТ/ИБ отделов (а что? зачем мне девочка с рецепшена, когда я под женским ником буду слезно просить кавалера из отдела ИБ разобраться в проблемах запуска чего-то… и ведь он поможет:)). Ну а полезность заключается в том, что человеку свойственно не попадаться на те же грабли… ну а так, НЛП с красивым сценарием и сплоитом трехмесячной давности к локальным уязвимостям — очень эффективная смесь:)
Спасибо за пост, очень понравился, так как сам увлекаюсь подобными вещами. Из книг могу еще порекомендовать Роберт Грин "33 Стратегии Войны".А как часто в Вашей работе применяются соц. технологии?
Эксплоит не понадобится — юзеры сами пароль расскажут 🙂
to Sonique: тестирование с использованием методов социальной инженерии, как правило, включается в полноценный тест на проникновение. И, как правило, приносит свои плоды. :)to Денис: мы же аудиторы, это взломщикам хватит одной уязвимости для получения данных, а перед аудитором стоит задача найти максимальное количество уязвимостей, так что и обычные эксплойты нужны.
to Александр Дорофеев: То есть схема выглядит примерно так: звонок любому сотруднику фирмы -> выманивание у него пароля -> ну а дальше все необходимые манипуляции? Или это выглядит все по-другому?
to Sonique: это самый простой вариант. Еще можно провести фишинг-атаку. Например, у компании есть Web-портал для удаленной работы с документами. Поднимаем у себя сервер со страничкой смены пароля (подразумевающего ввод действующего пароля). Вычисляем e-mail'ы сотрудников (в этом нам помогут социальные сети и корпоративный стандарт по именованию имен почтовых ящиков) и отправляем письмо от ИТ с просьбой пройти по ссылке. Можно просто сделать внутреннюю рассылку от администратора с просьбой сообщить пароль. Можно задействовать вариант, описанный Дмитрием, когда на ИТ-специалиста выходит через социальную сеть аудитор с красивой женской фотографией в профайле и т.д.В общем сплошной креатив, который согласуется с клиентом до начала тестирования.
to sonique:вариантов проведения социалки очень много:- рассылка сообщений по электронной почте (от уровня обычного спама (с сылкой или исполняемым файлом), до уровня специально подготовленного письма под интересы конкретного человека);- тоже с использованием систем мгновенных сообщений, соц. сетей и пр.;- распространение носителей информации, содержащих провоцирующие данные;- завязывание с сотрудниками знакомств с целью получения определенных данных или для побуждения выполнения некоторых действий;И т.д. и т.п.
Вот что меня всегда удивляло: ну ладно юзеры, но ведь и ИТшники (админы) часто разводятся и говорят пасс по телефону :)))А еще приколько тестить физическую охрану здания- у безопасников реально шок бывает при виде результатов.
Могу порекомендовать на эту тему Расторгуева "Философия информационной войны". Для людей (информационных самообучающихся систем) существует неразрешимая проблема невидимости. И основная наша задача состоит в там как перевести угрозы из разряда скрытых в явные для людей.