НовостиСобытияКонференцииФорумыIT@Work
Безопасность:

Блог

Как бороться с социальной инженерией

Валерий Васильев
11.07.2016 11:39:12

Качественная организация и техническое обеспечение современных корпоративных систем ИБ подвигает злоумышленников (это отмечают многие эксперты) активизировать воздействие на самое слабое звено в этих системах — людей. По этой причине методы социальной инженерии стали обязательными в кибератаках, в том числе в сложных и дорогостоящих таргетированных, где они тоже демонстрируют свою эффективность.

Ведь, если вспомнить, в Stuxnet, первой из наделавших много неприятностей и получившей широкую огласку целевых атак, большую роль сыграла «найденная» (а на самом деле подброшенная) и использованная на рабочем месте кем-то из персонала иранского предприятия по обогащению урана красивая и дорогая флешка.

Мы неизбежно распространяем о себе информацию — так устроено существование человека в социуме. И не всегда эта информация попадает только туда, куда должна, куда нам хотелось бы, чтобы она попадала. Ну а эпоху цифровой революции этот процесс многажды усилился.

Понимание этой ситуации у ИБ-специалистов есть. Есть и подходы, рекомендуемые для ее исправления. Руководитель отдела консалтинга ЦИБ  компании «Инфосистемы Джет» Андрей Янкин сообщил, что за прошлый год в «Инфосистемы Джет» отметили существенный рост (и это в непростую кризисную пору!) направления, связанного с ИБ-обучением, начиная с обучения самих ИБ-специалистов, и завершая обучением клиентов компании.

По мнению представителей компании «Инфосистемы Джет», ИБ-обучение, будучи поставленным на периодическую основу, при невысоких (по сравнению со многими другими компонентами построения корпоративной ИБ) демонстрирует высокую эффективность.

Комментариев: 11

Только зарегистрированные и авторизованные пользователи могут добавлять комментарии

11.07.2016 12:03:13

Простите, так как же все же бороться? Или это только реклама уважаемой компании "Инфосистемы Джет"?

11.07.2016 12:31:23

Почему же, ответ на вопрос есть - пройти ИБ-обучение в ИД и подписаться на ее услуги smile:-)

Конечно, обучение персонала важно. Но это нужны и технические средства защиты.

Вспоминаю методы обеспечения безопасности на турбазе "Терскол" в советское время (зимой)
На планерке инструкторам: "Сегодня выглянуло солнце, обратите внимание своих туристов, чтобы были осторожны на выходе из корпуса, там - лед!"
Вместо того, чтобы срубить лед, посыпать песком или вообще не допускать его образования (для этого нужно сделать нормальный водосток с крыши).

Типичный подход - "мы вас предупреждали"...

А почему ИТ-система в Иране позволила пользователю вставить неизвестную флешку в компьютер?

11.07.2016 13:36:15

насчет флешки замечание точное - от этого можно было защититься аппаратно. Но социальная инженерия потому и социальная, что ищет прямых воздействия на субъект. Наверняка у атакующих были и более менее опосредованные способы атаки на персонал. Ну, вроде "лапши" на уши по личным телефонам, подкупа, шантажа... Песочку во все места загодя не насыплешь. Да и цена вопроса всегда главенствует. Путевки-то в Терскол были дешевые, а не как в Альпы. На что оборудовать нормальный водосток?

11.07.2016 13:44:38

Просвещение дополняется технические средства, а не наоборот.


Путевки в Терскол стоили не сильно дешевле.

Я Терсколе работал 15 лет, а катаюсь - более 40. Все эти 40 лет по гололед на крыльце всем известно. Там и сейчас так же.
Проблема не в деньгах, а в общем подходе.
Это называет - "не решать проблему, а снять с себя ответственность".

Я вам таких примеров "советского подхода" могу привести полно. Они - на каждом шагу.
И в посте как раз приведен такой пример - "мы предупреждали".

11.07.2016 14:06:43

а кто сказал, что за ИБ должны отвечать только безопасники? Мы же не перекладываем заботу о здоровье целиком на врачей. Кстати, предупрежден, значит вооружен.

11.07.2016 14:23:00

А разве я упоминал про безопасников? Это безопасники постоянно пытаются делать из себя "пупа Земли", а чуть что - виноваты другие.

Что ж, согласно такой логике, нужно убрать с улиц светофоры, освещение, разметку. И пусть просто все ездят по правилам движения.

11.07.2016 14:40:01

а вот и нет. Это согласно Вашей логике в каждый авто нужно посадит по ГБДДшнику, полицейскому, прокурору, представителю министерства коммунального хозяйства и прочих, кто по Вашей логике должен отвечать за безопасность движения - всех, кроме водителя.
Кстати, правила движения обязательно включают светофоры, разметку, приборы освещения. А вот без специализированной дорожной полиции, насколько мне известно, в некоторых странах обходятся.

11.07.2016 14:41:21

Разве я все это говорил? Перечитал свои комментарии - не увидел.

Donat Lipkovsky
11.07.2016 14:40:07

Подпишусь под каждым словом, как по ИТ-области, так и по горным лыжам smile:)
Безопасность это всегда комплекс организационных и технических мер. Наблюдаю очень часто, в организациях разных размеров, как лекции типа "О вреде курения в артиллерийских погребах" подменяют использование технических средств именно там, где исключительно техническая составляющая, решают конкретную задачу безопасности.

11.07.2016 14:50:17

Если мы говорим о массовых аспектах безопастности, то главная роль отводится технологиям.
Это хорошо видно на тех же г-лыжах. Крепления, подъемники, трассы, ограждения и пр. Правила для людей - это уже сугубо вспомогательная штука.
95% катающихся на лыжах в Альпах о правилах вообще не знают (только на уровне "хорошего тона"). А проблем там (травматизм и пр.) - на порядок ниже, чем в Приэльбрусье, где постоянно проводили "лекции".

То же самое с автомобилями и дорогами. Можно записать в правилах "нужно пристегивать ремни", а можно сделать так, что без застегнутых ремней у вас не будет заводиться авто...

Другое дело - это именно рискованные сферы. Например, альпинизм-скалолазание. Тут как раз важную роль играют знание и выполнение правил. Но это - не массовая сфера, очень специальная.

12.07.2016 13:02:42

Действительно, эффективное противодействие методам социальной инженерии должно вестись по 2 основным направлениям: повешение грамотности пользователей, администраторов и клиентов в области ИБ и технические меры защиты. Подробнее об этом я писал недавно в статье в PCWEEK (http://www.pcweek.ru/security/article/detail.php?ID=183745).
Если рассматривать противодействие именно социальной инженерии, то есть много простых и эффективных приемов, который позволяют отсечь существенную часть типовых атак. Например, сгенерировать список всех доменов, похожих на ваши собственные и домены основных контрагентов, и заблокировать их на межсетевом экране и почтовом сервере. Это позволяет заблокировать очень популярные атаки с доменов вроде cbr.ru.net или megofon.ru.

Только зарегистрированные и авторизованные пользователи могут добавлять комментарии