Tailgating атака что это

5 типов атак социальной инженерии

Все мы знаем о злоумышленнике, который использует свой технический опыт для проникновения в защищенные компьютерные системы и взлома конфиденциальных данных. Этот тип злоумышленников постоянно делает новости, побуждая нас противостоять их подвигам, инвестируя в новые технологии, которые укрепят нашу сетевую защиту.

Однако есть еще один тип злоумышленников, которые используют разные тактики, чтобы обойти наши инструменты и решения. Их называют «социальными инженерами», потому что они используют одну слабость, которая есть в каждой организации: человеческая психология. Используя телефонные звонки и другие средства общения с пользователями, эти злоумышленники вынуждают людей передавать доступ к конфиденциальной информации организации.

Социальная инженерия —термин, который охватывает широкий спектр вредоносных действий. Для целей этой статьи давайте сосредоточимся на пяти наиболее распространенных типах атак, которые используют социальные инженеры.

1. Фишинг

Фишинг является наиболее распространенным типом атаки социальной инженерии, которая происходит сегодня. Но что именно? На высоком уровне большинство фишинг-мошенников пытаются выполнить три вещи:

Получить личную информацию, такую как имена, адреса и номера социального страхования.

Использовать сокращенные или вводящие в заблуждение ссылки, которые перенаправляют пользователей на подозрительные веб-сайты, на которых размещаются фишинговые целевые страницы.

Включить угрозы, страх и чувство срочности в попытке заставить пользователя реагировать как можно быстрее.

Нет двух одинаковых фишинговых писем. На самом деле существует как минимум шесть различных подкатегорий фишинговых атак . Кроме того, мы все знаем, что некоторые из них плохо обработаны, поскольку в них сообщения страдают от орфографических и грамматических ошибок. Тем не менее, эти электронные письма обычно имеют одну и ту же цель — использовать поддельные веб-сайты или формы для кражи учетных данных пользователя и других личных данных.

В недавней фишинг кампании используется скомпрометированная учетная запись электронной почты, чтобы отправить атакующее письмо. В этих сообщениях просили получателей просмотреть предложенный документ, щелкнув встроенный URL-адрес. Этот вредоносный URL-адрес, защищенный URL-адресом Symantec для защиты от кликов, перенаправил получателей на взломанную учетную запись SharePoint, которая доставила второй вредоносный URL-адрес, встроенный в документ OneNote. Этот URL, в свою очередь, перенаправляет пользователей на фишинговую страницу, изображающую портал входа в систему Microsoft Office 365.

2. Предлоги

Предлог — это еще одна форма социальной инженерии, где злоумышленники концентрируются на создании хорошего предлога или сфабрикованного сценария, который они используют, чтобы попытаться украсть личную информацию своих жертв. В этих типах атак мошенник обычно говорит, что им нужно определенное количество информации от своей цели, чтобы подтвердить свою личность. На самом деле они крадут эти данные и используют их для совершения кражи личных данных или проведения вторичных атак.

Более продвинутые атаки иногда пытаются обмануть своих целей, делая что-то, что злоупотребляет цифровыми и / или физическими недостатками организации. Например, злоумышленник может выдать себя за внешнего аудитора ИТ-услуг, чтобы он мог убедить группу физической безопасности целевой компании пустить их в здание.

В то время как фишинговые атаки в основном используют страх и срочность в своих интересах, атаки с предлогом основываются на создании ложного чувства доверия к жертве. Это требует от злоумышленника построить достоверную историю, которая оставляет мало места для сомнений со стороны их цели.

Предлог может принимать и принимает различные формы. Несмотря на это, многие субъекты угроз, принимающие этот тип атаки, решают маскироваться под кадры или сотрудников отдела развития финансов. Эта маскировка позволяет им ориентироваться на руководителей уровня С, как Verizon нашел в своем Отчете о расследованиях нарушений данных за 2019 год (DBIR) .

3. Приманка

Приманка во многом похожа на фишинговые атаки. Однако то, что отличает их от других видов социальной инженерии, — это обещание какого-либо предмета или блага, которые злоумышленники используют для соблазнения жертв. Приманки могут использовать предложение бесплатной загрузки музыки или фильмов, например, чтобы обманом заставить пользователей передать свои учетные данные для входа.

Злоумышленники могут также сосредоточиться на использовании человеческого любопытства с помощью физических средств.

Например, еще в июле 2018 года KrebsOnSecurity сообщил о кампании по нападению на государственные учреждения и органы местного самоуправления в Соединенных Штатах. Операция разослала китайские почтовые маркированные конверты, которые содержали запутанное письмо вместе с компакт-диском (CD). Цель состояла в том, чтобы разбудить любопытство получателей, чтобы они загружали компакт-диск и тем самым непреднамеренно заражали свои компьютеры вредоносным ПО.

Подобно травле, нападения quid pro quo обещают выгоду в обмен на информацию. Эта выгода обычно принимает форму услуги, тогда как травля обычно принимает форму пользы.

Один из наиболее распространенных типов атак «quid pro quo», появившихся в последние годы, — это когда мошенники выдают себя за Администрацию социального обеспечения США (SSA) . Эти поддельные сотрудники SSA связываются со случайными лицами, сообщают им, что с их стороны возникла проблема с компьютером, и просят, чтобы эти лица подтвердили свой номер социального страхования, все это направлено на кражу личных данных. В других случаях, обнаруженных Федеральной торговой комиссией (FTC), злоумышленники создают поддельные веб-сайты SSA, которые говорят, что могут помочь пользователям подать заявку на новые карты социального обеспечения, но вместо этого просто воруют их личную информацию.

Тем не менее, важно отметить, что злоумышленники могут использовать предложения quid pro quo, которые гораздо менее изощренны, чем уловки на тему SSA. Как показали предыдущие атаки, офисные работники более чем готовы отдать свои пароли за дешевую ручку или даже плитку шоколада .

5. Tailgating

Наш последний тип социальной атаки на сегодняшний день известен как «Tailgating». В этих типах атак кто-то без надлежащей аутентификации следует за проверенным сотрудником в ограниченную область. Злоумышленник может выдать себя за водителя службы доставки и подождать снаружи здания, чтобы начать работу. Когда сотрудник получает одобрение службы безопасности и открывает дверь, злоумышленник просит сотрудника придержать дверь, тем самым получая доступ в здание.

Tailgating не работает во всех корпоративных условиях, таких как крупные компании, входы в которые требуют использования карты-ключа. Однако на средних предприятиях злоумышленники могут завязать разговор с сотрудниками и использовать эту демонстрацию знакомства, чтобы обойти стойку регистрации.

Фактически, Колин Гринлесс, консультант по безопасности в Siemens Enterprise Communications, использовал эту тактику, чтобы получить доступ к нескольким этажам и комнате данных в финансовой компании, зарегистрированной на бирже FTSE. Он даже смог открыть магазин в зале заседаний на третьем этаже и работать там в течение нескольких дней .

Рекомендации по социальной инженерии

Злоумышленники, которые участвуют в атаках социальной инженерии, охотятся на человеческую психологию и любопытство, чтобы поставить под угрозу информацию. Помня об этом ориентированном на человека фокусе, организации должны помочь своим сотрудникам противостоять атакам такого типа.

Вот несколько советов, которые организации могут включить в свои обучающие программы по безопасности, которые помогут пользователям избежать схем социальной инженерии:

Не открывайте электронные письма из ненадежных источников. Свяжитесь с другом или членом семьи лично или по телефону, если вы получили от них подозрительное электронное сообщение.

Не верьте предложениям от незнакомых людей. Сомневайтесь! Если предложения кажутся слишком хорошими, чтобы быть правдой, они, вероятно, это мошенничество.

Заблокируйте свой ноутбук, когда вы находитесь покидаете рабочее место.

Купить антивирусное программное обеспечение. Ни одно AV-решение не может защитить от любой угрозы, которая ставит под угрозу информацию пользователей, но они могут помочь защитить от некоторых атак.

Прочитайте политику конфиденциальности вашей компании, чтобы понять, при каких обстоятельствах вы можете или должны впустить незнакомца в здание.

Перевод «tailgating» на русский

Palmer said, «We’re tooling up a foam insert that will hold ice for four days,» making the Mach-E a perfect vehicle for tailgating.

Палмер сказал: «Мы устанавливаем пенопластовую вставку, которая будет удерживать лед в течение четырех дней», что делает Mach-E идеальным транспортным средством для задней двери.

Additionally, Keusch has produced conferences/events and tradeshows for Specialty Foods, Sports Collectibles Sports Licensed products, Tailgating, and others.

Кроме того, Keusch организовал конференции/ мероприятия и выставки для специализированных продуктов питания, спортивных коллекционных спортивных товаров, задней двери и других.

That can include eating and tailgating.
Это может включать в себя еды и ласки.
Food and drink are only part of the overall tailgating game.
Продукты питания и напитки — составная часть мира гастрономии.
There did not seem to be any tailgating at the stadium.
Казалось, что на стадионе нет болельщиков.
Just watching my friends’ tailgating party.
Просто смотрю разогревочную вечеринку своего друга.
If someone is tailgating you, it’s probably because you are going too slow.
Если он вдруг утрачивает интерес, это скорее всего объясняется тем, что вы очень медлительны.
Avoid driving alongside them and avoid tailgating.
Не прочь побегать вместе с ними, покатать на санях.

Other events scheduled during this time include several concerts, tailgating parties, a legends luncheon, and others.

Другие мероприятия, запланированные на это время, включают в себя несколько концертов, вечеринки, обед с легендами и другие.

While tailgating is not an illegal practice, it is frowned upon and considered unethical by professionals in the field.

Хотя тейлгейтинг не является незаконной практикой, он не одобряется и в профессиональной среде считается неэтичным.

Yes, also avoid tailgating and to the cost.
А так же предотвращение облысения, цены.
It is advertised as being ideal for camping, tailgating, picnicking, and more.
Он рекламируется как идеальный для кемпинга, наблюдения, пикников и многого другого.
The parking and tailgating policies are designed to ensure your safety and comfort.
Основное предназначение козырьков и навесов — это обеспечить вашу безопасность и комфорт.
Do you love tailgating but hate porta-potties?
Бестселлер Вы любите вязать, но ненавидите изнаночные петли?

Speeding, aggressive driving, tailgating, lane weaving, and relentless texting while driving are all common occurrences on Kuwaiti roads.

Ускорение, агрессивное вождение, задняя дверь, плетение по полосам и неустанные текстовые сообщения во время вождения — всё это обычное явление на кувейтских дорогах.

Our final social engineering attack type of the day is known as tailgating or piggybacking.
Наш последний тип социальной атаки на сегодняшний день известен как «Tailgating».

Which is why less than 5 percent of employees will speak up or report suspicious behaviors, such as unknown individuals tailgating through a secure door.

Вот почему менее 5 процентов сотрудников будут высказываться или сообщать о подозрительных действиях, таких как неизвестные лица, проходящие через безопасную дверь.

In the example of the car tailgating you, you’d try to look for thoughts similar to the second situation.

В примере с автомобилем, идущим за вами, вы попытаетесь найти мысли, похожие на вторую ситуацию.
Okay, he’s, like, tailgating me now.
Так, он едет за нами вплотную.

If you want to add a second battery for any other reason, such as camping or tailgating, then the installation location isn’t important.

Если вы хотите установить второй аккумулятор по каким-то другим причинам, например, для кемпинга или путешествий, то место установки такого доп. аккумулятора не имеет значения.

Возможно неприемлемое содержание

Примеры предназначены только для помощи в переводе искомых слов и выражений в различных контекстах. Мы не выбираем и не утверждаем примеры, и они могут содержать неприемлемые слова или идеи. Пожалуйста, сообщайте нам о примерах, которые, на Ваш взгляд, необходимо исправить или удалить. Грубые или разговорные переводы обычно отмечены красным или оранжевым цветом.

Зарегистрируйтесь, чтобы увидеть больше примеров. Это просто и бесплатно
Ничего не найдено для этого значения.
Предложить пример
Больше примеров Предложить пример

Новое: Reverso для Mac

Переводите текст из любого приложения одним щелчком мыши .

Скачать бесплатно
Перевод голосом, функции оффлайн, синонимы, спряжение, обучающие игры

Результатов: 78 . Точных совпадений: 78 . Затраченное время: 77 мс

Помогаем миллионам людей и компаний общаться более эффективно на всех языках.

Самая большая проблема

Социальная инженерия – одна из тех технологий, которые со временем перешли на «тёмную сторону». Порох, изобретенный китайскими учеными с целью создания эликсира бессмертия, стал использоваться для метания ядер и пуль. Динамит изначально помогал горнякам в разработке месторождений и прокладывании транспортных туннелей, однако сегодня чаще применяется в военных действиях. То же произошло и с социальной инженерией – долгое время она находилась в арсенале спецслужб, но в настоящее время этот термин ассоциируется в первую очередь со «взломом человека» хакерами.

ОСНОВНАЯ ОЗАБОЧЕННОСТЬ БАНКОВ

Понятие «социальная инженерия» используется для обозначения широкого спектра злонамеренных действий, совершенных посредством взаимодействия преступника и жертвы. В основе этого метода – психологические манипуляции, заставляющие пользователей пренебрегать правилами безопасности и разглашать конфиденциальную информацию. По различным оценкам, от 30% до 70% всех действий мошенников связаны с социальной инженерией.

Социальная инженерия особенно опасна потому, что основана на человеческих ошибках, а не на уязвимостях в ПО и ОС. Это подтверждают и слова первого заместителя директора департамента информационной безопасности Банка России Артема Сычева: «Наша основная озабоченность сегодня – не технические атаки и вредоносное ПО. Нам понятно, как с этим бороться. Есть технические методы и методы через изменение законодательства. Самая большая проблема – социальная инженерия».

ТИПЫ АТАК

Технология охватывает широкий спектр вредоносных действий, основными из которых являются следующие типы атак.

Приманка (Baiting). Преступники используют ложное обещание, чтобы разжечь жадность или любопытство жертвы. Они заманивают пользователей в ловушку и крадут их личную информацию или наносят вред их системам. Например, злоумышленники оставляют приманку (зараженную вредоносными программами флешку) в заметных местах, где их обязательно увидят потенциальные жертвы (например, лифты, автостоянки компании, комнаты ожидания). Люди берут флешку из любопытства, вставляют ее в рабочий или домашний компьютер, что приводит к автоматической установке вредоносных программ в системе. Онлайновые формы приманки часто имеют форму рекламы, которая ведет на вредоносные сайты или побуждает пользователей загружать зараженное вредоносным ПО приложение.

Scareware. Этот тип атак включает в себя «бомбардировки» жертв ложными тревогами и фиктивными угрозами. Пользователей вводят в заблуждение, сообщая, что их система заражена вредоносным ПО. Это побуждает клиентов устанавливать программное обеспечение, которое не приносит реальной пользы (кроме как для злоумышленника) или представляет собой само вредоносное ПО. Распространенным примером такой программы являются легально выглядящие всплывающие баннеры, которые появляются в браузере во время просмотра веб-страниц с текстом о заражении компьютера. Пользователю предлагается установить инструменты ПО, которое заражено вредоносной программой, или направляет на вредоносный сайт. Scareware также распространяется через спам, который выдает ложные предупреждения или предлагает пользователям купить бесполезные или вредные услуги.

Услуга за услугу (Quid pro quo). Злоумышленник часто притворяется сотрудником службы поддержки организации, в которой работает жертва или продукты которой использует. Стандартный сценарий предполагает, что преступник звонит в компанию по корпоративному номеру и сообщает о технических проблемах в работе системы. В процессе устранения неполадок злоумышленник вынуждает сотрудника совершать действия, позволяющие хакеру запускать команды или устанавливать нужно ему программное обеспечение на компьютере жертвы.

Предлог (Pretexting). Этот метод похож на quid pro quo. Единственное исключение состоит в том, что преступник обычно устанавливает доверия со своей жертвой, выдавая себя за известного жертве человека – коллега, авторитетная фигура в организации, сотрудник полиции, банка, налоговых органов или других лиц, которые могут знать конфиденциальную информацию. Преступник задает вопросы, которые якобы необходимы для подтверждения личности жертвы, посредством чего собирает важные личные данные.

Фишинг (Phishing). Один из самых популярных типов атак социальной инженерии. Главное отличие – использование скомпрометированной учетной записи электронной почты. 91% всех успешных атак начинаются как фишинговые письма.

Согласно отчету Proofpoint, в 2018 году 83% специалистов по ИБ подвергались фишинговым атакам, что на 76% больше, чем в 2017 году. Центр жалоб на интернет-преступления ФБР сообщает, что компрометация деловой электронной почты (Business Email Compromise, BEC) привела к убыткам в размере более 1,2 миллиарда долларов только в 2018 году.

На почту отправляется текстовое сообщение, вызывающее у жертв чувство срочности, любопытства или страха. Данное письмо подталкивает их к раскрытию конфиденциальной информации, переходу по ссылкам на вредоносные веб-сайты или открытию вложений, содержащих вредоносные программы.

Примером может служить электронное письмо с предупреждением о нарушении политики безопасности и требованием немедленных действий со стороны сотрудника, например, изменение пароля. Письмо содержит ссылку на незаконный веб-сайт — по внешнему виду почти идентичный «правильной» версии сайта. Ничего не подозревающий пользователь вводит свои текущие учетные данные и новый пароль. После заполнения формы информация отправляется злоумышленнику.

Целевой фишинг (Spear phishing). Это более целенаправленная версия фишинг-атаки, при которой злоумышленник выбирает конкретных людей или предприятия. Если целью является высокопоставленный руководитель, эту атаку часто называют «китобойным промыслом».

Хакеры обычно разбиваются на отдельных пользователей, например, администраторов. Затем они настраивают свои сообщения на основе характеристик, рабочих мест и контактов, принадлежащих их жертвам, чтобы сделать атаку менее заметной.

Используя высоко персонализированные электронные письма или сообщения в социальных сетях, хакеры получают их идентификаторы и пароли, которые обычно имеют высокий уровень доступа к конфиденциальной информации. Поддельный фишинг требует гораздо больших усилий со стороны злоумышленника и может занять несколько недель или месяцев. Их гораздо сложнее обнаружить, поэтому они имеют более высокие показатели успеха.

Так, например, жертвой такой атаки стали администрация округа Кабаррус (Северная Каролина, США), которой пришло оповещение о том, что реквизиты строительного подрядчика якобы изменились. Как итог – платеж на сумму 2,5 млн долл. администрация перевела киберпреступникам. Аналогичная атака была организована на компанию Toyota Boshoku Corporation, которая потеряла 37,5 млн долл. США. По данным Центра жалоб на киберпреступления ФБР (Internet Crime Complaint Center, IC3), в мире убытки от BEC-мошенничества за последние 3 года составили более 26 млрд долл.

Вишинг (Vishing). Этот метод аналогичен фишингу, за исключением того, что способ атаки осуществляется через поддельную копию IVR-системы (Interactive Voice Response) компании. Обычно речь идет о мошенниках, звонящих клиентам по телефону под предлогом, что что-то плохое уже произошло. Преступники используют сложные поведенческие сценарии, направленные установление доверительных отношений с жертвой. В такой ситуации клиенты охотно раскрывают конфиденциальную информацию (PIN-коды, пароли). При вишинге мошенники часто апеллируют к человеческим страхам.

Задняя дверь (Tailgating), метод также известен как «контрейлерная передача». Злоумышленник получает несанкционированный физический доступ к защищенной области в организации, следуя за человеком, который получает доступ посредством надлежащей проверки. Здесь могут использоваться различные приемы: от клонирования бейджей до бесплатных подарков со встроенными беспроводными приемниками, которые могут прослушивать беспроводной трафик Bluetooth.

ЧТО МОЖЕТ ПОМОЧЬ?

Вследствие применяемой персонализации и интеллекта несанкционированный доступ с помощью инструментов социальной инженерии трудно предотвратить привычными методами ИБ. Вот некоторые меры, которые могут помочь:

основные средства защиты, такие как спам-ловушки, которые идентифицируют спамеров для упреждающей блокировки электронных писем от них, «песочницы» электронной почты для проверки достоверности каждой нажатой ссылки и мониторинга сети на наличие необычных всплесков трафика;
многофакторная аутентификация (MFA) является одним из наиболее эффективных способов блокировать такие атаки, поскольку она не ограничивает аутентификацию приложения только паролем, а объединяет ее с токеном и/или другими формами идентификации. Поскольку схемы социальной инженерии в первую очередь нацелены на учетные данные пользователя, MFA блокирует их. Многофакторная аутентификация не способна обеспечить 100-процентную защиту. Однако преступники чаще предпочитают не иметь дело с MFAи выбирают более доступные цели;
обучение сотрудников также может оказаться мощным способом предотвращения атак. Необходимо регулярно проводить тренинги по кибербезопасности и симуляции фишинга, отправлять по электронной почте оповещения и информационные бюллетени, чтобы сотрудники знали о последних схемах социальной инженерии и типах вредоносных программ.

ОДНАКО…

Однако опрос, проведенный Spanning в США, показал, что 64% опрошенных сотрудников не определили подозрительные ссылки. Почти 55% признались, что нажимали на ссылки, которые они не распознавали, а 49% загрузили веб-расширение на свое рабочее устройство. Если добавить к этому настойчивость хакеров и изобретательность социальных инженеров, лучшая защита организации – быть готовым к худшему.

Иногда внутренние бизнес-процессы организации оказывают «медвежью услугу» в борьбе с атаками. Например, эффективность работы сотрудников справочных служб часто оценивают по скорости решения проблем. Это приводит к тому, что специалисты вынуждены слишком быстро реагировать на запросы, не проверяя их на безопасность.

ДО И ПОСЛЕ АТАКИ

Также каждая компания должна иметь план восстановления работоспособности после успешной атаки. Методы, которые могут оказаться полезными, – планирование непрерывности бизнеса и аварийного восстановления. Последний метод предусматривает наличие превентивных мер в организации (резервное копирование данных в облаке, детективные меры).

Планирование непрерывности бизнеса относится к более комплексному процессу, который включает аварийное восстановление, оценку всех рабочих процессов бизнеса, установку приемлемых Целей времени восстановления (RTO) и Точек восстановления (RPO) для различных функций.

Методы социальной инженерии, или атаки на человеческий фактор

QA-инженеры проводят тестирование защищенности программного продукта для выявления уязвимостей и дефектов безопасности. Тем не менее, даже систему, обладающую высокой степенью защиты, можно взломать просто потому, что ею управляет человек.

сбора сведений о цели;
получения конфиденциальной информации;
прямого доступа к системе;
получения данных, которые иначе достать невозможно.

Закажите бесплатную консультацию специалистов «Точки качества» и узнайте, какие угрозы актуальны для вашего программного продукта и что следует протестировать в вашем случае.

Не требуют значительных затрат;
Не требуют специальных знаний;
Могут продолжаться на протяжении длительного срока;
Сложно отслеживаются.

Сбор информации о жертве (зачастую через социальные сети);
Установление доверительных отношений;
Эксплуатация;
Сокрытие следов пребывания.

Любовь
Сочувствие и жалость
Жадность и желание быстрых результатов
Страх перед начальством
Неопытность
Лень

Социальная инженерия: рекомендации по защите

не используйте один и тот же пароль для доступа к внешним и корпоративным ресурсам;
не открывайте письма, полученные из ненадежных источников;
блокируйте компьютер, когда не находитесь на рабочем месте;
установите антивирус;
ознакомьтесь с политикой конфиденциальности вашей компании. Все сотрудники должны быть проинструктированы о том, как вести себя с посетителями и что делать при обнаружении незаконного проникновения;
обсуждайте по телефону и в личном разговоре только необходимую информацию;
необходимо удалять все конфиденциальные документы с портативных устройств.