Кибер атаката започва на върха на пръстите ни

Социалният инженеринг е залегнал в методите за провокиране на потребителя, казва Вим ван Кампен, вицепрезидент за Северна и Източна Европа в Intel Security/McAfee

Във времето на същински „апокалипсис” в сферата на информационната сигурност говорим за зловреден код, за разпределени атаки, скам, фишинг и всякакви други видове и разновидности на заплахите. Общото между всички тях обаче е принципът на взаимодействието. Без значение дали атаката е насочена към отделна жертва (индивид), или към цяла организация, или към инфраструктура – общото е, че се разчита на възможността един отделен потребител да бъде накаран (най-често – провокиран) да влезе в някакво взаимодействие!

Това взаимодействие отваря пътя на атаката, било то зловреден код или друг вид. Целта на създателя на атаката е да накара който и да е отделен потребител да извърши действие просто и елементарно – като например кликването върху един линк. Така в крайна сметка всяка съвременна кибер-атака започва „на върха на пръстите ни” – в крайната точка (компютъра на отделния потребител). Това е мястото, където компютърните потребители взаимодействат с глобалното информационно море – четат, кликват, въвеждат свои данни.

Подобна реалност налага да гледаме по специфичен начин на информационната сигурност, казва Вим ван Кампен, вицепрезидент за Северна и Източна Европа в Intel Security/McAfee. Висшият мениджър бе лектор на конференция за информационна сигурност, организирана днес от дистрибутора на системи за информационна защита Компютър 2000 България, ИА ЕСМИС и МТИТС.

„Ако дойде служител и ви каже „аз кликнах на един линк, на който май не трябваше да кликвам”, то в никакъв случай не бива да го санкционирате или дори смъмряте”, съветва Вим ван Кампен

Социалният инженеринг е залегнал в методите за провокиране на потребителя. Много ловко пред него се поднасят съобщения и реклами, които изкушават и подвеждат, че дават нещо ценно и полезно – например уникална информация за нечий личен профил, обещание за снимка от лична среща преди дни или предложение за програма против подслушване. Всички тези „горещи оферти” изискват от потребителя някакво взаимодействие. От него се очаква да кликне, уж за да види видео, да свали снимка или да прочете подробности.

Най-често тези схеми за подвеждане използват традиционни психологически механизми. Авторитетът е на първо място сред тях. Ако полицията изисква от гражданина да предостави личните си данни, малцина биха се замислили, преди да го направят; респективно измамник, който се представя за служител на органите на реда, може лесно да „убеди” мнозина да му дадат ЕГН, номер на кредитна карта и други данни.

Харесването е друг често срещан подход, при това добре развит от социалните мрежи. Нещо, което потребителят намира за приятно или полезно за себе си, семейството си и близките си, лесно може да накара човека да кликне, за да прочете повече.

Заплахата е трети подход, използван в социалния инженеринг. Често се среща под формата на привидни съобщения от обслужващата банка, която настоява потребителят да посети даден уеб-адрес и да „обнови” личните си данни там под заплаха, че в противен случай сметките ще бъдат закрити.

Когато сме отговорни за сигурността в големи организации, трябва да сме толерантни към хората, които се подвеждат от такива измами и след това признават какво са направили. „Ако дойде служител и ви каже „аз кликнах на един линк, на който май не трябваше да кликвам”, то в никакъв случай не бива да го санкционирате или дори смъмряте”, съветва Вин ва Кампен. „Направите ли го, този човек никога повече няма да дойде и да ви докладва за други подобни случаи”.

Необходима е цялостна промяна в подхода на мениджърите по ИТ сигурността. Те трябва да възприемат дълбоко в себе си подхода „не обвинявай”. Ако се отнасяш критично към хората в организацията, които са сгрешили и са признали, че са кликнали на „лошо” място, те никога повече няма да докладват погрешните си действия. А именно това е отворената врата към въвеждане на зловредните кодове и действия в инфраструктурата на организацията.