Testy socjotechniczne
Po wdrożeniu polityki bezpieczeństwa informacji warto sprawdzić, czy pracownicy nie są podatni na ataki socjotechniczne. Czasami zdarza się, że dane z organizacji mogą wydostać się z firmy nie poprzez przełamanie zabezpieczeń systemów IT, ale przez błąd pracownika, który skorzystał np. z załącznika przesłanej wiadomości i uruchamiając go przesłał osobie trzeciej poufne informacje. Nasz zespół w ramach oferowanej usługi oferuje przeprowadzenie kontrolowanego ataku socjotechnicznego polegającego na przekonaniu pracownika aby zrobił dla nas to, czego od niej oczekujemy, a czego domyślnie by nie zrobił bądź nie powinien zrobić np. przekazać hasło do konta, przekazać poufne informacje na temat działalności firmy, wpuścić dane osoby do przedsiębiorstwa.
Testy takie możemy przeprowadzić pośrednio, tj. poprzez :
- zafałszowanie strony Internetowej
- podesłanie wyłudzających informacje wiadomości email oraz SM
- rozmowy wykorzystujące telefony stacjonarne, komórkowe
- podesłanie specjalnie przygotowanych Trojanów poprzez np. nośniki informacji jak: PenDrive, płyty DV
- dostarczenie do organizacji usług i urządzeń zbierających informację (bankomat, sieć WiFi)
lub bezpośrednio np. poprzez:
- przeprowadzanie rozmów bezpośrednio z pracownikami
- próby wejścia do obiektu i do miejsc zastrzeżonych organizacji
- próby zabrania urządzeń, których nie jesteśmy właścicielami
- podsłuchiwanie i podglądanie
Doświadczenie naszego zespołu pozwala podczas testów zastosować wypracowane już scenariusze, najczęściej działających metod zdobywania informacji. Zanim przystąpimy do przeprowadzenia testów ustalamy z Klientem czy test ma dotyczyć sprawdzenia zgodności postępowania z wewnętrznymi procedurami przedsiębiorstwa, czy testy przeprowadzamy niczego wcześniej o niej nie wiedząc (sami zbieramy informacje o firmie i sami domyślamy się, jakie zasoby firmy są dla nas najcenniejsze). Do pozyskania tych informacji wykorzystujemy albo rozmowy z pracownikami Klienta albo kanały komunikacyjne i informacyjne tylko nam znane. Następnie przygotowujemy scenariusze możliwych ataków do przeprowadzenia i dopiero po otrzymaniu zgody Zamawiającego przeprowadzamy testy. W wyniku przeprowadzonych prac Klient otrzymuje raport z informacjami o zastosowanych metodach oraz ich rezultatach, który również zaprezentowany jest na jednym z ostatnich spotkań z Klientem. Do wykonania testów socjotechnicznych wykorzystujemy doświadczenie własne oraz poniżej wskazane metodyki.
- PTES (Penetration Testing Execution Standard)
- OSSTM Manual (Open Source Security Testing Methodology Manual)
- ISSAF (OISSG Penetration Testing Framework)
- Social Engineering Portal (www.social-engineer.org)
Przeprowadzając testy socjotechniczne wykorzystujemy psychologię społeczną, a w szczególności reguły:
- reguła wzajemności (otrzymaliśmy coś za darmo, powinniśmy się odwdzięczyć)
- reguła konsekwencji (kiedyś obiecywałeś, że tak zrobisz w takiej sytuacji)
- reguła sympatii (osoby które znamy, które darzymy zaufaniem)
- wpływ autorytetu (wysokie stanowiska w firmie, w Państwie)
- społeczny dowód słuszności (bo wszyscy tak robią)
- reguła niedostępności (jeżeli coś jest trudno osiągalne, to na pewno jest dobre)
- reguła zaangażowania i konsekwencji (jeżeli coś już tyle czasu robiliśmy, należy do ukończyć)
Doświadczenie naszego zespołu pozwala przeprowadzić prace na najwyższym możliwym poziomie. Nasza wiedza merytoryczna naszych pracowników jest stale uzupełniana doświadczeniami praktycznymi. Zapraszamy więc do skorzystania z usług realizowanych przez nasz zespół.
