Czym jest Inżynieria społeczna?
Inżynieria społeczna to klasa technik ataku manipulujących ludzką psychologią — zaufaniem, strachem, pilnością lub chęcią pomocy — aby nakłonić ludzi do ujawnienia poufnych informacji, przyznania nieautoryzowanego dostępu lub wykonania działań kompromitujących bezpieczeństwo.
Znane również jako: social engineering attack, pretexting
Ataki inżynierii społecznej celują w najsłabsze ogniwo każdego systemu bezpieczeństwa: ludzi. Typowe techniki obejmują pretexting (wymyślanie scenariusza w celu zdobycia zaufania), baiting (oferowanie czegoś kuszącego, jak pendrive), tailgating (podążanie za kimś przez zabezpieczone drzwi) i phishing (zwodnicze wiadomości). Ataki te omijają zapory sieciowe, szyfrowanie i kontrole dostępu, wykorzystując ludzi, którzy z nimi pracują.
Najniebezpieczniejsze ataki inżynierii społecznej są wieloetapowe. Atakujący może najpierw zebrać informacje z mediów społecznościowych i publicznych źródeł, a następnie użyć tego kontekstu, aby zadzwonić do pomocy technicznej i przekonać ją do zresetowania hasła. Albo podawać się za nowego pracownika, aby nakłonić współpracownika do udostępnienia poświadczeń Wi-Fi lub dostępu do systemu. Powierzchnia ataku dramatycznie rośnie w organizacjach, gdzie wrażliwe informacje są rutynowo udostępniane przez niezabezpieczone kanały.
Kontrole techniczne mogą zmniejszyć ryzyko inżynierii społecznej — ale nie wyeliminować. Rygorystyczne procedury weryfikacji, zasady minimalnych uprawnień i programy świadomości bezpieczeństwa pomagają. Kluczowe jest minimalizowanie ilości wrażliwych danych istniejących w trwałej, czytelnej postaci (e-maile, dzienniki czatów, udostępnione dokumenty) — to ogranicza to, co inżynier społeczny może wydobyć, nawet jeśli oszuka swój cel.
Jak Vaulted używa Inżynieria społeczna
Vaulted ogranicza promień eksplozji ataków inżynierii społecznej skierowanych na przepływy pracy związane z udostępnianiem sekretów. Ponieważ linki Vaulted niszczą się po skonfigurowanej liczbie wyświetleń, a serwer przechowuje tylko szyfrogram bez możliwości deszyfrowania (architektura zero-knowledge), inżynier społeczny uzyskujący dostęp do kanału komunikacyjnego znajdzie tylko wygasłe linki lub nieczytelne dane. Klucz szyfrujący we fragmencie URL i opcjonalna ochrona passphrase tworzą dodatkowe bariery, których sama inżynieria społeczna nie może pokonać.