Телефон предполагает уникальный способ нападения. В настоящее время взлом телефонной связи по IP-протоколу (Voice over IP, VoIP) является главной угрозой. VoIP-имитация становится таким же широко распространенным явлением, как электронная почта и 1М-имитация.
Есть три главных типа атак, направленных на офисные АТС, во время которых:
• просят информацию, обычно имитируя законного пользователя, чтобы обратиться к телефонной системе непосредственно или получить удаленный доступ к компьютерным системам;
• получают доступ к «свободному» использованию телефона;
• получают доступ к системе коммуникаций.
Эти методики получили название фрикинга (phreaking). Самый обычный прием хакера — имитация роли телефонного инженера (см. рис. 5).
Запросы об информации или доступе по телефону — малорискованная форма нападения. Если адресат начинает что-то подозревать или отказывается исполнять запрос, хакер может просто положить трубку. Но такие нападения более сложны, чем атака хакера, просто звонящего в компанию и интересующегося пользовательским идентификатором и паролем. Обычно используется сценарий, когда просят или предлагают справку прежде, чем почти машинально происходит запрос о личной или деловой информации.
Внутренняя телефонная система организации — самая важная часть защиты, которую вы должны оговорить в политике безопасности.
Служба поддержки
Иногда энтузиазм сотрудников технической поддержки заставляет их забыть о необходимости выполнять процедуру безопасности. Если же службе поддержки предписывают строгие стандарты безопасности, требуя проверки правомерности запроса пользователя, то появляются помехи в работе. Персонал, чувствующий, что ИТ-отдел не обеспечивает их немедленным обслуживанием, склонен жаловаться и доказывать, что их запросы важнее, чем вопросы безопасности.
Служба поддержки должна балансировать между безопасностью и деловой эффективностью, а политика и процедуры безопасности должны способствовать этому. Требование аутентификации обратившегося за помощью не является избыточным, поскольку каждый сотрудник знает свои данные. Но это не дает гарантии безопасности, потому что хакер также может их знать. Труднее защитить аналитика службы поддержки против внутреннего взлома. У внутреннего хакера больше исходных данных для имитации легитимного обращения. Процедуры защиты должны обеспечить двойную роль в этой ситуации:
• аналитик службы поддержки должен иметь гарантии аудита всех действий, сервисная служба должна вести журнал всех действий так, чтобы быстро исправить или ограничить любой ущерб в случае атаки.
• аналитик службы поддержки должен иметь структурированную процедуру обработки запросов пользователей.
Аудит всех процедур — самый ценный инструмент в предотвращении инцидента и последующем его расследовании.
Анализ мусора
Мусор — источник информации для хакеров. Деловые бумажные отходы неоценимы для тех, кто использует социальную инженерию.
Плохо, когда в компании нет правил управления отходами включая цифровые носители информации, (на этих отходах можно найти все виды данных). В этом случае политика безопасности компании должна содержать положение об управлении их жизненным циклом, в том числе процедуры разрушения или стирания.
Ваши сотрудники должны понимать: выбрасывание носителя в корзину для отходов не есть его уничтожение. Анализ мусора нельзя считать правонарушением, поэтому вы должны быть уверены, что персонал знает, как выбрасывать ненужные материалы. Необходимо разработать процедуры уничтожения мусора и разместить отходы внутри защищаемого периметра, чтобы они были недоступны.
Политика безопасности часто не принимает во внимание эту проблему, поскольку предполагается, как правило, что любой, кто получает доступ к ресурсам компании, должен заслуживать доверия.
Одна из самых эффективных мер при работе с мусором — классификация данных. Вы назначаете различные категории информации и определяете, как персонал должен с ними обращаться.
Личностные подходы
Для хакера самый простой путь получения информации — попросить об этом непосредственно. Такой прием может показаться грубым, но это основа мошенничества. В руководстве Microsoft [1] особо выделяется четыре его разновидности:
• Запугивание. Обычно используется имитация полномочий, чтобы принудить адресата исполнить запрос.
• Убеждение. Как правило, при этом используется лесть.
• Использование доверительных отношений. Этот подход требует длительного периода вхождения в доверие к адресату.
• Помощь. Хакер предлагает адресату помощь, в рамках которой необходимо обнародовать личную информацию.
Нападения путем предложения «помощи» могут быть минимизированы, если вы имеете эффективную службу сервисной поддержки. Обращения к неформальному помощнику — часто результат потери доверия к ее услугам. Для предотвращения таких атак необходимо:
• определить в вашей политике безопасности, что служба поддержки — единственное место, куда нужно сообщать о проблемах;
• гарантировать, что служба поддержки имеет стандартизованный процесс реагирования в пределах установленного уровня обслуживания;
• проверять выполнение сервисных работ регулярно, чтобы удостовериться, что пользователи получают ИТ-услуги адекватного уровня.
Нельзя недооценивать важность службы поддержки в обеспечении защиты первого уровня против нападений социальной инженерии.
Услуги ИТ должны отвечать следующим правилам:
• каждое действие технической поддержки должно быть запланировано;
• подрядчики и внутренний персонал, которые осуществляют локальное обслуживание или инсталляцию, должны иметь документы, идентифицирующие личность;
• при проведении работ пользователь должен перезвонить в отдел поддержки, чтобы сообщить время прибытия инженера поддержки и время его ухода.
• каждая работа должна иметь наряд, подписываемый пользователем.
• пользователь никогда не должен обращаться к информации или регистрации на компьютере, чтобы обеспечить доступ инженера (если инженер не имеет достаточных прав доступа, чтобы завершить задачу, он должен войти в контакт с сервисной службой).
Защита помещений
Подавляющее число больших компаний используют инфраструктуры защиты помещений. Компании среднего размера могут быть менее осведомлены о правилах контроля посетителей. Ситуация, в которой посторонний человек следует за кем-то, проходя в офис, является очень простым примером нападения с использованием социальной инженерии. Этот прием нельзя осуществить в большой компании, где каждый человек должен использовать электронный пропуск для прохода через турникет, или в маленькой компании, где каждый знает каждого. Однако это очень просто осуществить в компании с тысячей служащих, которые практически не знают друг друга.
Компания должна организовать вход таким образом, чтобы посетители проходили непосредственно мимо охранника, предъявляя свои пропуска или регистрируясь. Недопустимо скопление посетителей перед охранником, которое может затруднить его работу.