Vídeo: CPQuito1 - Client-side attacks. Ingeniería social (De novembre 2024)
Quant de temps trigaria un atacant a entrar en un negoci? Entrar a la xarxa corporativa com a usuari autenticat? Si creieu que passareu uns dies o fins i tot algunes hores, esteu pendents.
Proveu 20 minuts.
David Jacoby, investigador de seguretat superior amb l'equip de recerca i anàlisi global del Kaspersky Lab, va trigar tres minuts a entrar a l'edifici, quatre minuts per obtenir accés a la xarxa, cinc minuts per obtenir accés autenticat a la xarxa i deu minuts per instal·lar-se. una porta posterior a la xarxa corporativa. Va poder descarregar-se i allunyar-se de "gigabytes de dades" de la companyia, va dir als assistents a la Cimera de l'Analista de Seguretat de la Seguretat Kaspersky de la setmana passada.
Jacoby va ser convidada per una companyia a venir i va provar les seves defenses. Per això, no va necessitar cap fantàstic o zero dies per passar-s’hi. Tot era enginyeria social.
"Es van gastar tants diners, i encara hi vaig entrar", va dir Jacoby.
Ser agradable a Tailgaters
L’empresa requeria que els empleats utilitzessin una insígnia per entrar i sortir de l’edifici. Jacoby va esperar que hi poguessin entrar altres treballadors i només es va precipitar després. La majoria de la gent vol ser educada i mantindrà la porta oberta si algú entra alhora, cosa que la majoria dels fanàtics aprofiten. Jacoby va anar un pas més, en cas que l’empleat pensés demanar veure la insígnia. Es va vestir una mica per mirar-se una mica directiu i va mantenir un mòbil fins a l’orella com si tingués una conversa amb algú. Mentre passava per la porta, va dir: "Estic just al vestíbul. Em posaré d'aquí a un minut."
Ningú no interromprà una trucada telefònica i, si no creus que ets algú important que es dirigeix a la trobada amb algú important, la majoria de la gent no s’aturarà a preguntar-te, va dir Jacoby.
Sempre hi ha un hub
Segurament, entrar a la xarxa havia de ser una mica més difícil, oi? Va resultar que Jacoby no es va molestar a intentar accedir a les empreses sense fils. En canvi, va anar directament a la sala de la impressora, on hi ha invariablement un concentrador de xarxa per a la impressora. Va connectar el seu ordinador portàtil al concentrador i tan fàcil com estava a la xarxa.
Posar-se a la xarxa com a usuari vàlid va costar més parlar que pirateria. Jacoby va trobar un empleat assegut al costat de la impressora i va explicar que tenia problemes amb la xarxa. Li va preguntar si podia demanar prestat l’ordinador de l’empleat. Quan es va asseure, l’empleat encara estava registrat, cosa que significava que podia fer tot el que volgués a la xarxa.
En aquest moment, va instal·lar una porta posterior a la xarxa, donant-li el control complet. Ja no necessitava l'ordinador ni les credencials de l'empleat.
Cada pas importa
És molt difícil defensar-se de l’enginyeria social perquè és naturalesa humana voler ser agradable i servicial. Volem donar el benefici del dubte a la gent i no suposar que tothom està causat perjudici, però és precisament aquesta emoció humana la que ens fa fallir a la seguretat. Tot i que és important recordar-los repetidament als usuaris que han de sortir de la sessió abans de deixar que algú altre utilitzi l’ordinador i que tingui senyals que demanin als empleats que no deixin que les persones s’adapten a l’oficina, la gent serà senzilla i servicial.
També és important recordar que les petites empreses no són immunes. De fet, poden ser encara més susceptibles a aquests atacs, si l’empleat creu que la persona és un contractista informàtic o electricista.
Per això és tan important utilitzar la tecnologia per protegir la xarxa. En lloc de deixar que qualsevol dispositiu connectat al concentrador es posi a la xarxa, els administradors poden habilitar les restriccions d'adreces MAC, de manera que només els dispositius coneguts reben una adreça IP vàlida. Després d’accedir a la xarxa, Jacoby va comprovar que la xarxa estava segmentada incorrectament, de manera que els sistemes sensibles eren fàcilment accessibles. Va trobar un programari obsolet i vulnerable. També va trobar 300 comptes d’usuari amb contrasenyes configurades per no caducar mai. Totes aquestes coses facilitaven la seva feina, com a atacant.
Pensa com un atacant. Us sorprendrà el grau de vulnerabilitat de la vostra organització.
