реферат иб (1). Социальная инженерия

• Название: Социальная инженерия
• Дата: 09.01.2022
• Размер: 33.61 Kb.
• Имя файла: реферат иб (1).docx
• Тип: Реферат; #326312

Федеральное государственное бюджетное образовательное учреждение

высшего образования

«РОССИЙСКАЯ АКАДЕМИЯ НАРОДНОГО ХОЗЯЙСТВА

И ГОСУДАРСТВЕННОЙ СЛУЖБЫ

при ПРЕЗИДЕНТЕ РОССИЙСКОЙ ФЕДЕРАЦИИ»
Алтайский филиал

РЕФЕРАТ

Дисциплина:	Информационная безопасность в юридической деятельности
Тема:	Социальная инженерия

Автор:
обучающийся	группы	7192
очно-заочной	формы обучения
___________/___Бушмакина А.С.___ (подпись)(ФИО)
Преподаватель:
Должность, ученая степень, ученое звание: Доцент кафедры гуманитарных и естественнонаучных дисциплин, к.э.н.
___________/____Вдовкина Е.Г.____ (подпись)(ФИО)
Оценка: _______________________ «____» _______________ 20____ г.

Барнаул 2021 г.

Содержание

Федеральное государственное бюджетное образовательное учреждение 1

высшего образования 1

«РОССИЙСКАЯ АКАДЕМИЯ НАРОДНОГО ХОЗЯЙСТВА 1

И ГОСУДАРСТВЕННОЙ СЛУЖБЫ 1

при ПРЕЗИДЕНТЕ РОССИЙСКОЙ ФЕДЕРАЦИИ» 1

Введение 3

Глава 1. Понятие и виды социальной инженерии 7

1.1 Определение понятия социальная инженерия 7

1.2 Виды социальной инженерии 8

Глава 2. Техники социальной инженерии и защита от них. 12

2.1 Виды техник социальной инженерии 12

2.2 Защита пользователей от социальной инженерии 13

Заключение 16

Список используемой литературы 18

Введение

В современном мире, в котором ключевую роль играет информация, как признак человеческого развития, его жизнедеятельности, интеллектуального развития, как средство достижения тех или иных целей, как инструмент влияния, значимости, управления и власти, значительную роль играют методы, средства, механизмы получения информации и как следствие - механизмы зашиты этой информации. Современный уровень технологий, интенсивное развитие научно-технической базы, регулярное выделение ряда направлений в новые науки, появление совершенно новых теорий и подходов, современное социальное, экономическое и политическое развитие общества, все более увеличивающаяся и усиливающаяся коммерциализация, ведут к появлению перепроизводства, жесткой рыночной конкуренции (в государственном и частном секторе), постоянному поиску новых рынков сбыта с целью получения максимальной прибыли и выгоды для себя. Это может быть, как желание многократно вернуть затраты на новые технологии, разработки и сами исследования, предшествующие этим разработкам, так и создание монополий на те или иные виды товаров и услуг.

В любом случае, сегодня немногие компании занимаются собственным производством, ведут «честные правила» рыночной игры и используют в своей деятельности «белые» схемы ведения финансового учета, т.е. недобросовестная конкуренция, получила новый виток своего развития. Появилось немало компаний, а также независимых специалистов, которые в своей работе используют методы и средства коммерческой разведки, занимаются сами или заказывают «на стороне» информацию, получаемую посредством коммерческого или промышленного шпионажа. Все эти и многие другие факторы, способствуют совершенствованию методов получения, накопления, обработки, передачи и хранения информации, как и её утилизацию. Сегодня, даже самая разрозненная информация о предприятии и её сотрудниках, отдельной взятой личности, или проектах, умело собранная в одном месте «по требованию», может оказаться очень значимой по своему содержанию. Как следствие, увеличивается стоимость и значимость информации.

Информационные технологии перестали жить обособленно своей жизнью, вместе с IT-подразделениями и отдельно взятыми специалистами, и стали в большей степени участвовать в бизнес-процессах каждой компании, повышая эффективность работы компании и используемых средств производства, увеличивая её активы. В свою очередь, это не могло не отразиться на регулярно изменяющихся требованиях, критериях и подходах к защите информации. Нынешние требования перестали быть бессвязными и хаотичными, как это было в начале и середине 90-х. Теперь они диктуемы международными организациями, сообществами, государством, стандартами и сертификатами, отдельно взятыми специалистами по защите информации, IT-специалистами, руководством предприятий и самой насущной необходимостью. В наши дни, понятие risk management не вводит в шок, не является ругательством, перестало быть пугающим, и специалисты, владеющие такими навыками, приобретают высокую рыночную стоимость, а также востребованность на государственном уровне и в частном секторе. Большее число компаний начинает учитывать информационные риски, и осуществляют попытки просчитывать их своими силами или приглашая специализированные компании. Но в отличие от наших западных соседей, наша страна находится в стадии зарождения восприятия и понимания данной проблематики, а также влияние её на увеличение капитализации каждой из компаний.

Впрочем, это ожидаемый результат, как следствие отсутствия необходимой и должной подготовки руководства компаний по вопросам информационной безопасности, а также обширному набору информационных рисков, которому подвергается фактически каждая компания в нашей стране. В силу слабой законодательной и нормативной базы, только-только зарождающихся государственных механизмов в России сегодня, любой компании, независимо от формы собственности и организации, приходится учитывать большее число информационных рисков, нежели на западе. Схемы не столь прозрачны и просты, как могут показаться на первый взгляд. В нормативной базе этот вопрос описан достаточно образно и регулирует в большей степени только ту информацию, которую следует отнести к государственной тайне. Большинство западных стандартов и рекомендаций не могут использоваться в чистом виде по отношению к нашим условиям и требуют серьезной доработки и переработки для любой отечественной компании. Исключением могут быть транснациональные компании, в которых могут распространяться ряд стандартов, рекомендаций и учитываться best practice.

Тема информационных рисков очень сложная и интересная. Социальная инженерия сложна в восприятии и понимании, в силу сложности корректности установления связей, «что может следовать из чего». Это восприятие и понимание ко всему прочему в нас притупляется, как искусственно, так и в силу социальной среды в которой каждый из нас живет. Сами того не желая, с методами социальной инженерии мы сталкивается каждый день, начиная с дома (это реклама по ТВ и масса передач социополитического характера, наши дети), продолжая в магазине и транспорте, и завершая на работе. Требуется целостность подходов к самой организации управления компанией от рядового сотрудника до совета директоров. Обязательно, воспитание мышление каждого из сотрудников компании, прививание им корпоративной культуры. Таким образом, без сбалансированности организации и механизмов управления в компании, замотивированности каждого из сотрудников компании, как на собственный интерес работать в компании, так и на получения общего результата и достижения целей компании, начиная от отдельно взятого подразделения и фактическим результатом компании в целом, вероятность уменьшения риска социальной инженерии мала. Это обусловлено тем, что недостаточно учитывать только технологические угрозы информационной безопасности и прикладные навыки, которые могут использовать в своей повседневной работе стратегические подразделения - IT-служба, подразделение или группа защиты информации, служба безопасности. При этом, мы стараемся привить мнение, что сотрудники данных подразделений имеют хорошую подготовку.

Совершенный уровень телекоммуникаций, высокий уровень развития Интернет технологий и сама его доступность в связи с коммерциализацией данного сервиса, как для отдельно взятого человека из дома, так и любой компании, существование которой сегодня не представляется без этого сервиса, позволяет злоумышленнику с меньшими для себя затратами получить интересующую его информацию. Обилие интернет порталов наводненные различной технической информацией по методам проникновения и взлому систем, масса технического материала и готовых инструментов/ средств (в виде сетевых сканеров, троянских программ, руткитов, программных закладок, и другого зловредного исполняемого кода и приложений) позволяют желающему человеку получить необходимые и достаточные теоретические и практические знания по информационным технологиям. В частности, позволяет: освоить технологию программирования; освоить несколько языков программирования; изучить сетевые технологии; научиться администрированию различных операционных системы и серверные приложения (как платформенно зависимых, так и платформенно независимых от неё); разобраться в ряде современных информационных технологий; научиться выявлять уязвимость систем и программного кода; получить четкое представление о способе организации как проектных групп, так и управления предприятием в целом.

Глава 1. Понятие и виды социальной инженерии

1.1 Определение понятия социальная инженерия

Социальная инженерия - (англ. engineering, social; нем. Ingenieurwesen, soziales.) совокупность подходов в прикладных социальных науках, ориентированных: на изменение поведения и установок людей; на разрешение социальных проблем; на адаптацию социальных институтов к изменяющимся условиям; на сохранение социальной активности. Социальная инженерия - специфическая отрасль прикладной социологии, представляющая совокупность прикладных социальных методов и практической деятельности, связанной с использованием знаний, полученных в общей социологической теории, прикладных исследованиях, а также в практике производственной и иной деятельности, для решения повседневных и перспективных задач совершенствования управления социальными объектами.¹

Социальную инженерию можно также использовать и в законных целях, и не только для получения информации, а и для совершения действий конкретным человеком. Сегодня социальную инженерию зачастую используют в интернете, для получения закрытой информации, или информации, которая представляет большую ценность.

Злоумышленник получает информацию, например, путем сбора информации о служащих объекта атаки, с помощью обычного телефонного звонка или путем проникновения в организацию под видом ее служащего.

Социальная инженерия — относительно молодая наука, которая является составной частью социологии, и претендует на совокупность тех специфических знаний, которые направляют, приводят в порядок и оптимизируют процесс создания, модернизации и воспроизведения новых («искусственных») социальных реальностей. Определенным образом она «достраивает» социологическую науку, завершает ее на фазе преобразования научных знаний в модели, проекты и конструкции социальных институтов, ценностей, норм, алгоритмов деятельности, отношений, поведения и т. п. Занятия сориентированы на вооружение слушателей прежде всего методологией аналитико-синтетического мышления и знаниями формализованных процедур (технологий) конструкторско-изобретательской деятельности. В характеристике формализованных операций, из которых складывается это последнее, особое внимание обращается на операции сложной комбинаторики. Игнорирование принципа системности в операциях комбинаторики нанесли и продолжают наносить большой ущерб на всех уровнях трансформационных процессов, которые происходят в нашем обществе. Последовательные знания принципиальных требований к указанным операциям дают основания к предотвращению ошибочных извращений в реформационной практике на ее макро-, мезо- и микроуровнях.

Несмотря на то, что понятие социальной инженерии появилось недавно, люди в той или иной форме пользовались ее техниками испокон веков. В той же Древней Греции и Риме в большом почете были люди, могущие навешать на уши любую лапшу и убедить собеседника в «очевидной неправоте». Выступая от имени верхов, они вели дипломатические переговоры, а, подмешивая в свои слова вранье, лесть и выгодные аргументы, нередко решали такие проблемы, которые, в противном случае, невозможно было решить без помощи меча. В среде шпионов социальная инженерия всегда являлась главным оружием. Выдавая себя за кого угодно, агенты КГБ и ЦРУ могли выведать самые страшные государственные тайны.

1.2 Виды социальной инженерии

Социальная инженерия подразделятся на два основных вида:

• Социальная инженерия.

• Обратная социальная инженерия.

У этих двух видов общее только то, что они воздействуют на человека, но при этом их способы воздействия совершенно различны. Социальная инженерия может быть применима в любой обстановке, без предварительной подготовки, а люди, в отношении которых была направлена социальная инженерия, остаются в неведении настоящей ситуации, иногда и личностей. Под «объектом» здесь и далее будит подразумеваться жертва, на которую нацелена социальная инженерная атака. Изначально, всегда формируется цель воздействия на тот или иной объект. Затем собирается информация об объекте, с целью обнаружения наиболее удобных мишеней воздействия. После этого наступает этап, названный психологами аттракцией. Аттракция (от лат. attrahere - привлекать, притягивать) - создание нужных условий для воздействия социального инженера на объект. Принуждение к нужному для социального инженера действию, т.е. навязывание действий, когда объект воспринимает такие действия как свои «собственные» и в последующем, «самостоятельно» принимает решение выполнить необходимые социоинженеру действия, происходящие по факту наступления аттракции. Бывают исключения. В ряде случаев, этот этап аттракции приобретает самостоятельное значение, к примеру, когда принуждение к действию выполняется путем введения в транс, психологическое давление и т.д.²

Социальная инженерия успешно применяется не только для взлома и получения информации, как написано во многих книгах, но и в реальных ситуациях, для извлечения обыкновенной прибыли.

В обычной жизни мы не взламываем ежедневно компьютеры и сервисы, но почти ежедневно тратим деньги, которые нужно как-то зарабатывать.

Социальная инженерия применяется не только для обмана, но и в качестве способа ведения статистики.

Социальная инженерия очень часто используются в целях повышения уровня доверия посетителя, причем повсеместно.

Социальные инженеры сегодня отдают больше предпочтений обратной социальной инженерии. Она позволяет максимально скрыть злонамеренный характер своих действий и фактически дает 98% результат, но требует более тщательной подготовки.³ Суть ОСИ состоит в том, что социальный инженер человека напрямую ни к чему не принуждаете, а создаете такие условия, что он сам обратится за помощью к социальному инженеру без какого-либо подозрения. Объект воздействия считает социального инженера человеком, которому можно доверять, поэтому не видит причин не давать ему требуемую информацию. Даже если объект воздействия окажется опытным человеком, информированном о методах социальной инженерии, и не только о них, далеко не всегда он сможет эти методы распознать. Учитывая и тот факт, что в этот отрезок времени его голова будет занята проблемой, требующей срочного решения. При успешном решении (созданной) социальным инженером «проблемы», объект может неоднократно обращаться к социальному инженеру, как за помощью, так и для поддержания дружеских отношения. Это желанный результат любого социального инженера. Условно атака ОСИ состоит из трех частей:

Диверсия - это первый этап ОСИ, на котором инженер создает неполадку в атакуемой системе, такую, чтобы объект не мог с ней работать. Это может быть изменение какого-либо параметра (установки монитора, принтера, параметров файла и даже переключение регистров клавиатуры), создание аппаратных неполадок, запуск вредоносных программ и программ-имитаторов. При этом неполадки должны быть легко устранимыми, поскольку инженеру предстоит решить «досадную проблему» «в одно мгновение». Реклама - это второй этап ОСИ, на котором социоинженер должен донести до объекта информацию о собственной способности решить возникшую проблему «в любое время суток. Объект сам должен найти информацию о социоинженере в доступном месте. Тогда у него возникнет иллюзия свободного выбора. Помощь - общение инженера с объектом, при котором последний получает решение проблемы, а первый - необходимую ему информацию. Следует отметить, что данный метод получил широкое распространение среди нарушителей, называемыми «инсайдерами».⁴ Причем, им может выступать, как специалист с профессиональными навыками владения информационными технологиями, так и сотрудник компании, вошедший в сговор с заказчиком информации за вознаграждение со стороны. Причем заказ на информацию может быть разный, от клиентских баз до регулярных отчетов о деятельности компании и её отдельных должностных лиц. Что активно используется в коммерческом шпионаже.

Глава 2. Техники социальной инженерии и защита от них.

2.1 Виды техник социальной инженерии

Все техники социальной инженерии основаны на особенностях принятия решений людьми, называемых когнитивным базисом. Они также могут быть названы особенностью принятия решения человеческой и социальной психологий, основанной на том, что человек должен кому-либо доверять в социальной среде воспитания.

Претекстинг — это действие, отработанное по заранее составленному сценарию (претексту). В результате цель должна выдать определённую информацию или совершить определённое действие. Этот вид атак применяется обычно по телефону. Чаще эта техника включает в себя больше, чем просто ложь, и требует каких-либо предварительных исследований (например, персонализации: дата рождения, сумма последнего счёта и др.), с тем, чтобы обеспечить доверие цели. К этому же виду относятся атаки и по онлайн-мессенджерам.

Фишинг — техника, направленная на жульническое получение конфиденциальной информации. Обычно злоумышленник посылает цели e-mail, подделанный под официальное письмо — от банка или платёжной системы — требующее «проверки» определённой информации или совершения определённых действий. Это письмо обычно содержит ссылку на фальшивую веб-страницу, имитирующую официальную, с корпоративным логотипом и контентом, и содержащую форму, требующую ввести конфиденциальную информацию — от домашнего адреса до пин-кода банковской карты.

Троянский конь. Эта техника эксплуатирует любопытство, либо алчность цели. Злоумышленник отправляет e-mail, содержащий скрин-сейвер, важный апгрейд антивируса или даже свежий компромат на сотрудника. Такая техника остаётся эффективной, пока пользователи будут слепо кликать по любым вложениям.

Дорожное яблоко. Этот метод атаки представляет собой адаптацию троянского коня и состоит в использовании физических носителей. Злоумышленник может подбросить инфицированный CD или флэш в месте, где носитель может быть легко найден (туалет, лифт, парковка). Носитель подделывается под официальный и сопровождается подписью, призванной вызвать любопытство.

Кви про кво. Злоумышленник может позвонить по случайному номеру в компанию и представиться сотрудником техподдержки, опрашивающим, есть ли какие-либо технические проблемы. В случае, если они есть, в процессе их «решения» цель вводит команды, которые позволяют хакеру запустить вредоносное программное обеспечение.

2.2 Защита пользователей от социальной инженерии

Нужно не только знать, как нападать, нужно знать и как защищаться. Во всех крупных компаниях регулярно проводятся тесты на проникновение с использованием социальной инженерии.

Действия сотрудников обычно носят не умышленный характер, но очень опасны для информационной безопасности. От опасности из вне можно защититься, а от опасности изнутри, практически невозможно.

С целью повышения безопасности проводятся специальные тренинги, постоянно контролируется уровень знаний и конечно же совершаются внутренние диверсии, которые позволяют выявить уровень подготовленности сотрудников в реальных условиях. Как правило, это электронные письма различного содержания, сервисы общения и социальные сети.⁵

Тестирование помогает не только блокировать доступ нарушителя, но позволяет проверить реакцию сотрудников на попытки нарушения, проверить их честность.

Для защиты пользователей от социальной инженерии можно применять как технические, так и антропогенные средства. Простейшими методами антропогенной защиты можно назвать:

• Привлечение внимания людей к вопросам безопасности.

• Осознание пользователями всей серьезности проблемы и принятие политики безопасности системы.

• Изучение и внедрение необходимых методов и действий для повышения защиты информационного обеспечения.

Данные средства имеют один общий недостаток: они пассивны. Огромный процент пользователей не обращает внимания на предупреждения, даже написанные самым заметным шрифтом.

К технической защите можно отнести средства, мешающие заполучить информацию и средства, мешающие воспользоваться полученной информацией.

Наибольшую распространенность среди атак в информационном пространстве социальных сетей с использованием слабостей человеческого фактора получили атаки при помощи электронных писем, как-то: e-mail и внутренняя почта сети. Именно к таким атакам можно с наибольшей эффективностью применять оба метода технической защиты. Помешать злоумышленнику получить запрашиваемую информацию можно, анализируя как текст входящих писем (предположительно, злоумышленника), так и исходящих (предположительно, цели атаки) по ключевым словам. К недостаткам данного метода можно отнести очень большую нагрузку на сервер и невозможность предусмотреть все варианты написания слов.

Средства, мешающие воспользоваться полученной информацией, можно разделить на те, которые полностью блокируют использование данных, где бы то ни было, кроме рабочего места пользователя (привязка аутентификационных данных к серийным номерам и электронным подписям комплектующих компьютера, ip и физическому адресам), так и те, которые делают невозможным(или труднореализуемым) автоматическое использование полученных ресурсов.⁶

Таким образом, даже имея все данные, выданные ничего не подозревающим пользователем, например, с целью массово разослать рекламное сообщение (спам), злоумышленнику придется на этапе каждой итерации самостоятельно вводить полученные реквизиты.

Заключение

Разговор о секретах социальной инженерии можно продолжать бесконечно, но это все равно не защитит вас от злоумышленников и мошенников всех мастей. Среди них нередко попадаются весьма талантливые люди, проворачивающие на редкость изощренные комбинации. Поэтому, типовых противодействий социальным инженерам не существует и не может существовать. Каждая ситуация требует индивидуального подхода и всестороннего рассмотрения.

Социальным инженерам особенно сложно противодействовать, поскольку они используют особенности человеческой натуры – любопытство, уважение к властям, желание помочь другу. Но есть ряд советов о том, как обнаружить их атаки. Социальные инженеры часто используют иллюзию срочности в расчете на то, что жертва не будет особо задумываться о происходящем. Всего минута размышлений может помочь вам выявить и предотвратить атаку.

Не спешите сообщать данные по телефону или переходить по ссылке. Лучше перезвоните по официальному номеру или перейдите на официальный сайт. Используйте другой способ связи, чтобы проверить благонадежность источника. Например, если друг в электронном письме просит перечислить ему деньги, напишите или позвоните ему по телефону, чтобы убедиться, что письмо действительно от него. Задумайтесь о вашем присутствии в Сети. Публикуя много личной информации в интернете (например, в социальных сетях), вы помогаете злоумышленникам. Например, в качестве проверочного слова многие сервисы предлагают использовать кличку вашего первого питомца. Кроме того, некоторые социальные инженеры входят в доверие, упоминая недавние события, которыми человек поделился в социальных сетях.
Советуем сдержаннее рассказывать о себе и сделать ваши публикации доступными только для друзей. Не нужно паранойи, просто будьте аккуратны.

Задумайтесь, какими еще аспектами своей жизни вы делитесь онлайн. Если, например, вы разместили в Сети свое резюме, стоит удалить оттуда свой адрес, номер телефона, дату рождения – любую полезную информацию, которой может воспользоваться преступник. Некоторые социальные инженеры очень тщательно готовятся к атаке, собирая все возможные данные о жертве, чтобы поймать ее на крючок. Не давайте им такой возможности.

Атаки с использованием социальной инженерии крайне опасны, поскольку происходят в совершенно обыденных ситуациях. Однако, полностью понимая их механизм и принимая элементарные меры предосторожности, вы гораздо меньше рискуете стать их жертвой.

Список используемой литературы

1. 
   Бабаш, А.В. Информационная безопасность. Лабораторный практикум: Учебное пособие / А.В. Бабаш, Е.К. Баранова, Ю.Н. Мельников. — М.: КноРус, 2016. — 136 c.
   
2. 
   Запечников, С.В. Информационная безопасность открытых систем. В 2-х т. Т.2 — Средства защиты в сетях / С.В. Запечников, Н.Г. Милославская, А.И. Толстой, Д.В. Ушаков. — М.: ГЛТ, 2018. — 558 c.
   
3. 
   Малинина, Т. Г. Массовое жилище как объект творчества. Роль социальной инженерии и художественных идей в проектировании жилой среды. Опыт ХХ и проблемы ХХI века / Малинина Татьяна Глебовна. - М.: БуксМарт, 2015. - 817 c.
   
4. 
   Малюк, А.А. Информационная безопасность: концептуальные и методологические основы защиты информации / А.А. Малюк. — М.: ГЛТ, 2016. — 280 c.
   
5. 
   Мандиа К., Просик К. Защита от вторжений. Расследование компьютерных преступлений// М.: «ЛОРИ», 2017, - 345с.
   
6. 
   Скиба В.Ю., Курбатов В.А. Руководство по защите от внутренних угроз информационной безопасности. – СПб.: Питер, 2012, - 683с.
   
7. 
   Кузнецов М.В., Симдянов И.В. Социальная инженерия и социальные хакеры. – СПб.: БХВ-Петербург, 2016, 514 с.
   

1^ Малинина, Т. Г. Массовое жилище как объект творчества. Роль социальной инженерии и художественных идей в проектировании жилой среды. Опыт ХХ и проблемы ХХI века / Малинина Татьяна Глебовна. - М.: БуксМарт, 2015. - 817 c.

2^ Малюк, А.А. Информационная безопасность: концептуальные и методологические основы защиты информации / А.А. Малюк. — М.: ГЛТ, 2016. — 280 c.

3^ Бабаш, А.В. Информационная безопасность. Лабораторный практикум: Учебное пособие / А.В. Бабаш, Е.К. Баранова, Ю.Н. Мельников. — М.: КноРус, 2016. — 136 c.

4^ Малинина, Т. Г. Массовое жилище как объект творчества. Роль социальной инженерии и художественных идей в проектировании жилой среды. Опыт ХХ и проблемы ХХI века / Малинина Татьяна Глебовна. - М.: БуксМарт, 2015. - 817 c.

5^ Бабаш, А.В. Информационная безопасность. Лабораторный практикум: Учебное пособие / А.В. Бабаш, Е.К. Баранова, Ю.Н. Мельников. — М.: КноРус, 2016. — 136 c.

6^ Бабаш, А.В. Информационная безопасность. Лабораторный практикум: Учебное пособие / А.В. Бабаш, Е.К. Баранова, Ю.Н. Мельников. — М.: КноРус, 2016. — 136 c.