Подякувати Студентському архіву довільною сумою
Admin
26.02.2023 12:38
Дякуємо, що користуєтесь нашим архівом!
Алгоритми соціотехнічних атак
Інформація про навчальний заклад
ВУЗ:
Національний авіаційний університет
Інститут:
Не вказано
Факультет:
Не вказано
Кафедра:
Не вказано
Інформація про роботу
Рік:
2024
Тип роботи:
Завдання
Предмет:
Інформаційні технології
Частина тексту файла (без зображень, графіків і формул):
МІНІСТЕРСТВО ОСВІТИ І НАУКИ, МОЛОДІ ТА СПОРТУ УКРАЇНИ НАЦІОНАЛЬНИЙ АВІАЦІЙНИЙ УНІВЕРСИТЕТ
Кафедра безпеки інформаційних технологій
ДОМАШНЄ ЗАВДАННЯ
з дисципліни «Соціотехнічна безпека»
Тема роботи:
«Алгоритми соціотехнічних атак»
Завдання
Розробити алгоритм (у вигляді блок-схеми, відповідно до вимог ДСТУ) реалізації трьох соціотехнічних атак (тину К, Ц та Д).
Виконати опис та повну категоризацію атак відповідно до узагальненої класифікації методів соціоінжинірингу.
Сформулювати диференційовані практичні рекомендації щодо захисту від атак, запропонованих у п. 1.
Хід роботи
Завдання 1
Узагальнений алгоритм соціотехнічної атаки
Визначення моделі атаки.
Аналіз джерел з яких є можливість добути інформацію потрібну на початковому етапі.
Перевірка достатньо добутої інформації для здійснення атаки. Якщо кількість не достатня визначаються кроки для добування більш детальної інформації, а якщо кількість достатня, то відбувається перехід до наступного етапу.
Фінальні атакуючі дії.
Атака К-типу
Етап 1. Мета: доступ до важливої документації компанії.
Етап 2. На сайті компанії знаходимо ім’я директора, телефон приймальні директора компанії і телефон служби підтримки. Зробивши дзвінок в службу підтримки і запропонувавши послуги по наданні інтернету, дізнаємося провайдера, який обслуговує компанію.
Етап 3. Зробивши дзвінок до служби підтримки вдруге, вже від імені провайдера в зв’язку з терміновою справою, дізнаємося номер телефону і ім’я чергового адміністратора
Етап 4. Оскільки компанія велика і рядовий адміністратор може не знати особисто директора, дзвонимо по наданому у службі підтримки телефоні і від імені директора скаржимося на погано продуктивність праці секретарки черговому адміністратору. В результаті просимо заблокувати доступ із комп’ютера секретарки до розважальних сервісів (youtube, соцмережі).
Потім дзвонимо в приймальню директора і від імені мережевого адміністратора, просимо перевірити в секретарки робото спроможність інтернету, перейшовши на сайт youtube.com або vk.com. Оскільки вони заблоковані, повідомляємо, що це якийсь новий вірус, який вразив цілу мережу компанії і потрібно негайно зробити резервну копію цінних документів. Під почуттям відповідальності секретарка погоджується допомагати. Оскільки вірус вразив і засоби віддаленого доступу, поянюємо секретарці де скачати і як встановити TeemViewer. Після цього просимо вказати де знаходиться цінна інформація і через TeemViewer завантажуємо її на доступний нам файлообмінник.
Рис.1. Блок-схема алгоритму атаки К-типу.
Атака Д-типу
Етап 1. Мета: блокування доступу до інформаційної бази 1С:Бухгалтерії.
Етап 2. На сайті компанії знаходимо телефон менеджера компанії. Дзвонимо до менеджера і пропонуємо свої послуги по впровадженні 1С:Бухгалтерії. Дізнаємося, що жертву обслуговує інша компанія. Поміж словом дізнаємося назву цієї компанії.
Етап 3. Після дзвінка до компанії-постачальника послуг1С, під виглядом потенційного користувача, зловмисник дізнається ім’я директора, та те, що за кожним клієнтом закріплений працівник постачальника.
Під час другого дзвінка в компанію-постачальник, кажем, що знайомі («компанія-жертва») порадили їм певного працівника постачальника, який їх обслуговує і вони забули його ім’я, в результаті отримуємо ім’я працівника, що обслуговує жертву.
Етап 4. Під виглядом працівника постачальника, соціотехнік з’являється із метою встановити критичні оновлення конфігурації, які необхідні для нормального функціонування 1С після виявленого багу. При цьому повідомлює, що звичний працівник компанії захвворів. Від головного бухгалтера отримує пароль до ІБ із адміністративними правами. Для оновлення блокує доступ до бази, і ніби-то під час оновлень, змінює у всіх облікових записах бази пароль. Після закінчення повідомляє, що доступ до бази був заблоковано і відновиться через певний час. Після цього соціотехнік спокійно покидає компанію.
Рис.2. Блок-схема алгоритму атаки Д-типу.
Атака Ц-типу
Етап 1. Мета: отримання електронної пошти та паролю менеджера компанії з метою відправлення від його імені листів.
Етап 2. На сайті компанії знаходимо телефон служби підтримки. Дзвонимо в службу підтримки і пропонуємо свої послуги по певному питанню, які ніби-то є дуже вигідними. Нам пропонують зв’язатися із їхнім менеджером. Ми отримуємо електронну пошту менеджера, щоб надіслати йому всі умови надання послуги.
Етап 3. За отриманою електронною адресою робиться пошук акаунтів жертви на різноманітних соцмережах. По вмісту інформації в акантах виділяються основні звички чи вподобання жертви.
Етап 4. Жертві на електронну пошту приходить лист, в якому ідеться про розробку супер сучасного браузера, який інтегрований із безліччю функцій, в залежності від уподобань жертви із, (наприклад, інтегрована панель для прослуховування улюбленої радіостанції, чи інтеграція із соцмережами). Пропонується взяти участь у тестуванні бета-версії браузера і отримати абсолютно безкоштовну ліцензію. Авторизація браузера проходить по електронній адресі, в результаті чого в процесі установки буде запит на введення паролю. Після того, як пароль введено, він передається по інтернету ловмиснику, а встановлення браузера закінчується помилкою. Після цього, як правило, користувач забуває про інцидент.
Рис.3. Блок-схема алгоритму атаки Ц-типу
Завдання 2
Класифікація атаки 1:
За взаємодією з політикою безпеки – постполітизаційна;
За дистанційністю – ТМ-віддалена;
За ініціалізацією – аверсна;
За способом маніпулювання – маніпулювання ВП-типу (відповідальнісна);
За порушенням режиму безпеки порушення К-типу;
За реляційними ознаками – поліпонічна;
За ступенем важкості – складна;
За типом атакованого джерела – КН-джерельна;
За типом доступу до інформації – В-доступ.
Класифікація атаки 2:
За взаємодією з політикою безпеки – постполітизаційна;
За дистанційністю – локальна;
За ініціалізацією – реверсна;
За способом маніпулювання – маніпулювання СЦ-типу (соціальністна);
За порушенням режиму безпеки порушення Д-типу;
За реляційними ознаками – монополічна;
За ступенем важкості – складна;
За типом атакованого джерела – КН-джерельна;
За типом доступу до інформації – ВК-доступ.
Класифікація атаки 3:
За взаємодією з політикою безпеки – постполітизаційна;
За дистанційністю – М-віддалена (На етапі 2 Т-віддалена);
За ініціалізацією – аверсна;
За способом маніпулювання – Маніпулювання ОБ-типу (обмежувальнісна);
За порушенням режиму безпеки порушення Ц-типу;
За реляційними ознаками - монополічна;
За ступенем важкості – складна;
За типом атакованого джерела – ЕК-джерельна;
За типом доступу до інформації – В-доступ.
Завдання 3
Захист від атак К-типу
Бухгалтери, секретарки, та інший рядовий персонал не повинен мати повноважень на встановлення будь-якого ПЗ на своїх робочих місцях.
Чітка регламентація дій при виявленні несправностей в ПК або мережі.
Чітка організація ієрархічної моделі видання наказів (директор -> керівник відділу-> працівник).
Створення чітких правил по роботі із цінними для організації документами.
Рекомендації щодо захисту від запропонованої атаки Д-типу
При певних, наперед не повідомлених змінах в обслуговуванні, цікавитися про їх легітимність в керівництва компанії, яка надає певні послуги.
Після виконання технічного обслуговування, вимагати продемонструвати працездатність системи.
При роботі працівника технічного обслуговування, обов’язково слідкувати за його діями.
Цікавитися легальністю встановлюваного оновлення.
Рекомендації щодо захисту від запропонованої атаки Ц-типу
Ніколи не встановлювати ПЗ з ненадійних джерел.
Не вводити ніякі авторизаційні дані, коли не підтверджено надійність ресурсу, чи ПЗ.
Для робочих і особистих потреб мати дві різні електронні адреси.
При виникненні інциденту, або при найменшій підозрі на можливість інциденту потрібно одразу змінити пароль до електронної пошти.
Висновки
Соціальний інжиніринг - метод переконання користувачів у виконання певних дій на користь соціотехніка, неавторизованої сторони, що використовує методи соц. інжинірингу, а також як набір заходів для збирання відомостей про інформаційну систему (без технічних подробиць її реалізації), що засновано на людському факторі. Застосування соціотехніки є дуже підступним засобом, адже від нього ніколи не можна побудувати стовідсотковий захист, тому що усім людям властиво помилятися. З точки зору зловмисника – соціальний інжиніринг, інколи часто дешевший і простіший спосіб здобуття інформації, ніж за допомогою технічних засобів.
Одним із найдієвіших засобів захисту від соціотехнічних атак є добре розроблена політика безпеки. Також, потрібно проводити із потенційно вразливим персоналом тренінги, в яких пояснюється як діяти в незвичних ситуаціях і не піддаватися психологічному впливу.
23.03.2012 11:03-
Ділись своїми роботами та отримуй миттєві бонуси!
0%
Оголошення від адміністратора