En casestudie i hvordan hackere bruger social engineering - dummies

I denne case studie delte Ira Winkler, en professionel social ingeniør, nådigt en interessant undersøgelse af, hvordan man kan hacke med social engineering. Dette er et glimrende eksempel på, hvordan ikke opmærksomhed kan få dig til at hackede!

Situationen

Hr. Winklers klient ønskede en generel måling af organisationens sikkerhedsbevidsthedsniveau. Ira og hans medskyldige gik til guldgryden og testede organisationens modtagelighed for samfundsteknologi.

For at starte, scoped de hovedindgangen til bygningen og fandt ud af, at receptionen og sikkerhedsskranken var midt i en stor lobby og blev bemandet af en receptionist. Næste dag gik de to mænd ind i bygningen i løbet af morgenen, mens de foregav at tale om mobiltelefoner. De blev mindst 15 meter fra ledsageren og ignoreret hende, da de gik forbi.

Efter at de var inde i anlægget, fandt de et konferencerum til at oprette butik i. De satte sig for at planlægge resten af ​​dagen og besluttede, at en facilitets badge ville være en god start. Mr. Winkler ringede til hovedinformationsnummeret og bad om det kontor, der gør mærkerne.

Han blev videresendt til receptionen / sikkerhedsbureauet. Ira lod så at være CIO og fortalte personen på den anden ende af linjen, at han ønskede badges til et par underleverandører. Personen svarede: "Send underleverandører ned til hovedlobbyen. "Da Lars Winkler og hans medskyldige ankom, spurgte en uniformeret vagt, hvad de arbejdede på, og de nævnte computere. Vagten spurgte dem derefter, hvis de havde brug for adgang til computerrummet! Selvfølgelig sagde de: "Det ville hjælpe. ”

Inden for få minutter havde de begge badges med adgang til alle kontorområder og computerens operationscenter. De gik til kælderen og brugte deres badges til at åbne hovedcomputerrumsdøren. De gik ind og kunne få adgang til en Windows-server, indlæse brugeradministrationsværktøjet, tilføje en ny bruger til domænet og gøre brugeren til medlem af administratorkoncernen. Så forlod de hurtigt.

De to mænd havde adgang til hele virksomhedsnetværket med administrative rettigheder inden for to timer. De brugte også mærkerne til at udføre efterfølgende timeture gennem bygningen. Mens de gjorde det, fandt de nøglen til administrerende direktørens kontor og plantede en mock bug der.

Resultatet

Ingen udenfor holdet vidste hvad de to mænd havde gjort, før de blev fortalt efter det. Efter at medarbejderne blev informeret, kaldte vagtvejlederen hr.Winkler og ønskede at vide, hvem der udstedte mærkerne. Mr. Winkler meddelte ham, at det faktum, at sikkerhedskontoret ikke vidste, hvem der udstedte mærkerne, var et problem i sig selv, og at han ikke afslører disse oplysninger.

Hvordan dette kunne have været forhindret

Ifølge Mr. Winkler bør sikkerhedsbureauet være placeret tættere på indgangen, og virksomheden bør have en formel proces til udstedelse af badges. Adgang til særlige områder som computerrummet skal også kræve godkendelse fra en kendt enhed.

Når adgang er givet, skal der sendes en bekræftelse til godkendelsen. Server-skærmen skal også være låst, og Windows-kontoen må ikke logges uovervåget. Enhver tilføjelse af en administrator-niveau-konto skal revideres, og relevante parter bør advares.