En sakstudie i hvordan hackere bruker sosialteknikk - dummies

I denne case-studien delte Ira Winkler, en profesjonell sosialingeniør, nådig en interessant studie om hvordan å hacke med sosialteknikk. Dette er et godt eksempel på hvordan ikke oppmerksomhet kan få deg til å hacket!

Situasjonen

Mr. Winklers klient ville ha en generell måling av organisasjonens bevissthetsnivå. Ira og hans medskyldige gikk for gullgryten og testet organisasjonens følsomhet for sosialteknikk.

For å starte, scoped de ut hovedinngangen til bygningen og fant at resepsjonen og sikkerhetsdisken var midt i en stor lobby og ble bemannet av en resepsjonist. Neste dag gikk de to mennene inn i bygningen i løpet av morgenen, mens de later til å snakke på mobiltelefoner. De bodde minst 15 meter fra ledsageren og ignorert henne da de gikk forbi.

Etter at de var inne i anlegget, fant de et konferanserom for å sette opp butikk. De satte seg for å planlegge resten av dagen og bestemte seg for at et anleggskilt ville være en god start. Mr. Winkler ringte hovedinformasjonsnummeret og ba om kontoret som lager merkene.

Han ble videresendt til resepsjonen / sikkerhetsdisplayet. Ira så ut som å være CIO og fortalte personen på den andre enden av linjen at han ønsket merker for et par underleverandører. Personen svarte: "Send underleverandørene ned til hovedlobbyen. "Da Mr. Winkler og hans medskyldige ankom, spurte en uniformert vakt hva de jobbet med, og de nevnte datamaskiner. Vaktpersonen spurte dem om de trengte tilgang til datarommet! Selvfølgelig sa de: "Det ville hjelpe. “

Innen få minutter hadde de begge merker med tilgang til alle kontorområder og datamaskinens operasjonssenter. De dro til kjelleren og brukte merkene sine til å åpne hoveddørene til datamaskinrommet. De gikk inn og var i stand til å få tilgang til en Windows-server, laste brukeradministrasjonsverktøyet, legge til en ny bruker på domenet, og gjøre brukeren et medlem av administratorgruppen. Så forlot de raskt.

De to mennene hadde tilgang til hele bedriftsnettverket med administrative rettigheter innen to timer. De brukte også merkene til å utføre ettermiddagsturneringer av bygningen. Mens de gjorde det, fant de nøkkelen til konsernsjefens kontor og plantet en mock bug der.

Utfallet

Ingen utenfor laget visste hva de to mennene hadde gjort før de ble fortalt etter det. Etter at ansatte var informert, ringte vaktveilederen Mr.Winkler og ønsket å vite hvem som utstedte merkene. Mr. Winkler informerte ham om at det faktum at sikkerhetskontoret ikke visste hvem som utstedte merkene, var et problem i seg selv, og at han ikke avslører den informasjonen.

Hvordan dette kunne ha blitt forhindret

Ifølge Mr. Winkler bør sikkerhetsdisplayet ligge nærmere inngangen, og selskapet bør ha en formell prosess for utstedelse av merker. Tilgang til spesielle områder som datarommet bør også kreve godkjenning fra en kjent enhet.

Når tilgang er gitt, skal en bekreftelse sendes til godkjenneren. Server-skjermen bør også være låst, og Windows-kontoen skal ikke logges på uten tilsyn. Eventuelle tillegg av en administratornivåkonto bør revideres, og aktuelle parter bør varsles.