Secode - Social Engineering

< Lär mer om Social engingeering i Mikrodatorn nr 11, 2006>

Social engineering eller, på svenska, social ingenjörskonst är ett begrepp som innebär att verksamheter utsätts för angripare som olagligt utnyttjar anställda för att komma åt organisationens IT-system eller information.

Hur vanligt är social engineering
Polisen har lite statistik kring social engineering eftersom få fall upptäcks och de fall som upptäcks sällan anmäls. I de fall som brott har anmälts handlar det allt som oftast om inbrottstjuvar som gått in i lokaler under arbetstid, och stulit utrustning, ofta iklädda arbetsoverall.

Hur går en angripare tillväga
Vanligen letar angriparen reda på information om organisationen, namn på personal och andra uppgifter innan han kontaktar anställda på organisationen. Angriparens beteende kan vara alltifrån att vara social, trevlig och uppträda på ett sätt som gör att man tror han hör hemma i organisationen till att ha en auktoritär stil där han utger sig för att vara chef och i akut behov att logga in på sitt konto. Om den anställde tvekar, blir angriparen irriterad och målet är att få den anställde rädd och därmed göra angriparen till viljes. Det är en större tröskel att exponera sig fysiskt för många angripare än att bara agera genom IT-system, men med tanke på hur lätt det är att ta sig in i en organisation och komma över information på det sättet måste problemet tas på allvar.

Varför är det möjligt
- Låg kännedom - Få känner till att social engineering förekommer.
- Vår kultur - Svenskar är ofta hjälpsamma & serviceminded.
- Försiktighet - Ofta vågar vi inte fråga vad någon gör på området, eller varför de vill ha viss information.

Erfarenheter från Secodes uppdrag
Secode arbetar med säkerhetstester som en del i vår tjänsteleverans.
Vi har erfarenhet från uppdrag där tester utförts åt kunder, där vi utan någon förhandsinformation från uppdragsgivaren kommit över känslig information som bl.a inloggningsuppgifter. Vilket sedan resulterat i att vi erhållit access till kundernas IT-system. Det har också varit möjligt att ta sig in hos kunden i deras lokaler rent fysiskt genom att gå in genom entrén på arbetstid, kopplat in laptopar och tagit över system på det interna nätverket. Vår erfarenhet och resultaten från genomförda penetrationstester av olika miljöer visat att 95% av de interna nätverken är mycket osäkra. Med rätt kompetens kan man ta kontroll över nätverket och bereda sig åtkomst till all informationen.

Att genomföra social engineering tester kräver stor omsorg och gedigen kunskap på området. Detta för att minimera risken att anställda tar illa upp eller att de beläggs med skuld från chefer eller liknande tråkiga följdeffekter. Det är primärt organisationens skyldighet att försvåra för denna typ av attacker.

Secode kan hjälpa till med
- Organisation - Hur hanterar organisationen riskerna, hur gör helpdesk och övriga anställda med inkommande samtal och hur hanteras besökare etc.
- Riskeliminering - Hur kan ev organisationen förändras för att minimera risken.
- Utbildning - Utbildning av anställda och säkerhetsansvariga, som antingen sker i form av skriftlig information i utskick eller via genomförande av utbildning.
- Tester - Testa organisationens sårbarhet för social engineering attacker. Vi rekommenderar att man kombinerar social engineering tester med penetrationstester

Läs mer om konsulttjänsten Secode Intrångsanalys