Кевин Митник - Искусство вторжения

Каждый раздел начинается с простого объяснения принципа и наглядного примера.

ВХОЖДЕНИЕ В Р О Л Ь

Социальный инженер обычно демонстрирует несколько характерных признаков той роли, которую он разыгрывает. Большинство из нас самостоятельно награждают исполнителя определенной роли дополнительными характеристиками, после того, как нам продемонстрируют некоторые знаковые элементы: мы видим человека в строгом костюме, рубашке и при галстуке, и автоматически предполагаем, что он умен, надежен и работоспособен.

Пример :когда Урли вошел в комнату наблюдения, он был одет в хороший костюм и говорил уверенным командным голосом, и люди в комнате автоматически стали выполнять его указания. Он успешно совершил перехват роли менеджера казино.

Практически каждая атака социального инженера использует вхождение в роль, так что жертва атаки домысливает другие свойства роли и действует соответственно. Такой ролью может быть ИТ-техник, клиент, новый сотрудник или многие другие, которые лучше соответствуют потребностям атакующего.

Чаще всего вхождение в роль включает упоминание имени начальника «мишени», или имен других известных ему сотрудников, или использование местных терминов и жаргона. Для атаки на конкретного человека атакующий старается выбрать соответствующую одежду, аксессуары (значок компании, браслет, дорогую ручку, перстень с символикой престижной школы), стиль прически — все это способствует вхождению в роль, на которую претендует атакующий.

Сила этого метода заключается в том, что если вы посчитали человека кем-то — начальником, клиентом, обычным сотрудником, вы переносите на него и другие характеристики его образа (начальник всегда энергичен и уверен в себе, разработчик программ очень умен, но в социальном плане может выглядеть не слишком блестяще, сотруднику компании всегда можно доверять).

Сколько же нужно приложить усилий, чтобы люди тебе поверили? Не т а к много.

ДОВЕРИЕ

Установление доверительных отношений — это одна из наиболее распространенных атак социальной инженерии, фундамент всего следующего в дальнейшем.

Пример :Урли вынудил Р и ч а р д а — начальника департамента ИТ — предложить ему пообедать вместе, прекрасно понимая, что все те, кто увидят его вместе с Ричардом, проникнутся к нему доверием.

Доктор Сагарин выделяет три метода, используемых в «Искусстве обмана», которые используют социальные инженеры для создания атмосферы доверия. Один из них заключается в том, что атакующий говорит нечто, что якобы работает против его интересов, как, например, в Главе 8 «Искусства обмана» в истории «Один простой звонок», когда атакующий сказал своей жертве: «Теперь напечатайте ваш пароль, но не называйте мне его. Вы никогда и никому не должны называть свой пароль, даже сотрудникам ИТ-персонала». Подобную фразу наверняка может произнести только честный человек.

Второй метод состоит в том, что жертву предупреждают о событии, которое (о чем не подозревает атакуемый) атакующий сам и создает. Например, в истории «Отказ сети», рассказанной в Главе 5 книги «Искусство обмана», где атакующий объясняет, что сетевое соединение может выйти из строя. Затем обманщик делает что-нибудь, что прерывает сетевое соединение жертвы, заставляя ее поверить в его искренность.

Эта тактика предсказания часто используется в сочетании с третьим методом, когда атакующий «доказывает» жертве, что ему можно доверять, устраняя возникшую проблему. Так и произошло в «Отказе сети», когда атакующий сначала предупредил, что сеть может выйти из строя, затем сделал так, что сетевое соединение прервалось, как он и предсказывал, а потом восстановил соединение, утверждая, что он «устранил проблему», вызвав у жертвы чувство доверия и благодарности.

ЖЕРТВУ ЗАСТАВЛЯЮТ ИГРАТЬ ОПРЕДЕЛЕННУЮ Р О Л Ь

Социальный инженер часто вынуждает свою мишень играть непривычную роль, например, принуждая ее к подчинению своим агрессивным поведением или взывая к жалости.

Пример :Урли в своем разговоре с Ленорой встал в позицию человека, нуждающегося в помощи (только что расставшегося со своей девушкой, переехавшего в другой город и ищущего работу), чтобы поставить ее в роль помощника.

Чаще всего социальные инженеры стремятся, чтобы их мишень играла роль помощника. После того, как человек взял на себя эту роль, ему очень трудно из нее выйти.