یک خبر اخیر باعث شد متوجه شوم که چگونه می توان از احساسات و افکار انسانی به نفع دیگران استفاده کرد (یا استفاده کرد). تقریباً همه شما ادوارد اسنودن^{(Edward Snowden)} را می شناسید ، افشاگر آژانس امنیت ملی^(NSA) که در سراسر جهان جاسوسی می کند. رویترز گزارش داد که او از حدود 20 تا 25 نفر از افراد NSA خواست تا رمزهای عبور خود را برای بازیابی برخی از اطلاعاتی که بعداً درز کرده بود به او تحویل دهند [1]. تصور^(Imagine) کنید شبکه شرکتی شما حتی با قوی ترین و بهترین نرم افزار امنیتی چقدر می تواند شکننده باشد!

مهندسی اجتماعی چیست؟

ضعف انسانی^(Human) ، کنجکاوی، احساسات، و سایر ویژگی‌ها اغلب در استخراج غیرقانونی داده‌ها استفاده می‌شوند - خواه هر صنعتی باشد. با این حال، صنعت فناوری اطلاعات^{(IT Industry)} نام مهندسی اجتماعی را به آن داده است. من مهندسی اجتماعی را اینگونه تعریف می کنم:

“The method whereby an external person gains control over one or more employees of any organization by any means with intention to obtain the organization’s data illegally”

در اینجا خط دیگری از همان خبر [1] است که می‌خواهم نقل کنم – « سازمان‌های امنیتی با این ایده که ممکن است مردی که در اتاقک بعدی است قابل اعتماد نباشد، مشکل دارند^{(Security agencies are having a hard time with the idea that the guy in the next cubicle may not be reliable)} ». من بیانیه را کمی تغییر دادم تا در متن اینجا قرار گیرد. می توانید متن کامل خبر را با استفاده از لینک موجود در بخش مراجع^(References) مطالعه کنید.

به عبارت دیگر، شما کنترل کاملی بر امنیت سازمان های خود ندارید، زیرا مهندسی اجتماعی بسیار سریعتر از تکنیک های مقابله با آن در حال تکامل است. مهندسی اجتماعی^(Social) می‌تواند چیزی شبیه به تماس گرفتن با فردی باشد که بگوید پشتیبان فنی هستید و از آنها اعتبارنامه ورود به سیستم را بخواهید. حتماً ایمیل‌های فیشینگ در مورد بخت‌آزمایی‌ها، افراد ثروتمند در شرق میانه^{(Mid East)} و آفریقا^(Africa) که شرکای تجاری می‌خواهند، و پیشنهادهای کاری برای پرسیدن جزئیات شما دریافت کرده‌اید.

بر خلاف حملات فیشینگ، مهندسی اجتماعی بیشتر در تعامل مستقیم فرد به فرد است. اولی (فیشینگ) از طعمه استفاده می کند - یعنی افرادی که «ماهیگیری» چیزی را به شما پیشنهاد می کنند به این امید که شما در دام آن بیفتید. مهندسی اجتماعی^(Social) بیشتر در مورد جلب اعتماد کارمندان داخلی است تا آنها جزئیات شرکت مورد نیاز شما را فاش کنند.

بخوانید: ^(Read:) روش های محبوب مهندسی اجتماعی .

تکنیک های مهندسی اجتماعی شناخته شده

تعداد زیادی وجود دارد و همه آنها از تمایلات اولیه انسانی برای ورود به پایگاه داده هر سازمانی استفاده می کنند. پرکاربردترین تکنیک مهندسی اجتماعی (احتمالاً قدیمی) این است که با مردم تماس بگیرید و ملاقات کنید و به آنها فکر کنید که از پشتیبانی فنی هستند که باید رایانه شما را بررسی کنند. آنها همچنین می توانند برای ایجاد اعتماد، کارت شناسایی جعلی ایجاد کنند. در برخی موارد، مقصران به عنوان مقامات دولتی ظاهر می شوند.

یکی دیگر از تکنیک های معروف این است که فرد خود را به عنوان کارمند در سازمان هدف استخدام کنید. اکنون، از آنجایی که این کلاهبردار همکار شماست، ممکن است جزئیات شرکت را به او اعتماد کنید. کارمند خارجی ممکن است در موردی به شما کمک کند، بنابراین شما احساس وظیفه می کنید، و در آن زمان است که آنها می توانند حداکثر را تشخیص دهند.

من همچنین گزارش هایی در مورد استفاده مردم از هدایای الکترونیکی خواندم. یک فلش USB^(USB) فانتزی که در آدرس شرکت شما به شما تحویل داده می شود یا یک درایو خودکار در ماشین شما می تواند فاجعه را ثابت کند. در یک مورد، شخصی برخی از درایوهای USB را به عمد در پارکینگ به عنوان طعمه رها کرد [2].

اگر شبکه شرکت شما تدابیر امنیتی خوبی در هر گره دارد، خوشا به حال شما. در غیر این صورت، این گره‌ها یک گذر آسان برای بدافزار - در آن درایوهای قلم هدیه یا "فراموش شده" - به سیستم‌های مرکزی فراهم می‌کنند.

به این ترتیب ما نمی توانیم فهرست جامعی از روش های مهندسی اجتماعی ارائه کنیم. این یک علم در هسته است که با هنر در راس ترکیب شده است. و می دانید که هیچ یک از آنها هیچ مرزی ندارند. افراد مهندسی اجتماعی^(Social) در حین توسعه نرم‌افزاری که می‌تواند از دستگاه‌های بی‌سیم برای دسترسی به Wi-Fi شرکت سوء استفاده کند، همچنان به خلاقیت خود ادامه می‌دهند .

بخوانید: ^(Read:) بدافزار مهندسی اجتماعی چیست ؟

جلوگیری از مهندسی اجتماعی

شخصاً فکر نمی‌کنم قضیه‌ای وجود داشته باشد که مدیران بتوانند از آن برای جلوگیری از هک‌های مهندسی اجتماعی استفاده کنند. تکنیک‌های مهندسی اجتماعی همچنان در حال تغییر هستند، و از این رو پیگیری آنچه اتفاق می‌افتد برای مدیران فناوری اطلاعات دشوار می‌شود.

البته لازم است که اخبار مهندسی اجتماعی را مد نظر داشته باشید تا افراد از آگاهی کافی برای اتخاذ تدابیر امنیتی مناسب برخوردار باشند. به عنوان مثال، در مورد دستگاه‌های USB ، ادمین‌ها می‌توانند درایوهای USB را روی گره‌های جداگانه مسدود کنند و به آنها اجازه دهند فقط روی سروری که سیستم امنیتی بهتری دارد. به همین ترتیب^(Likewise) ، Wi-Fi به رمزگذاری بهتری نسبت به اکثر ISP^(ISPs) های محلی نیاز دارد.

آموزش کارکنان و انجام تست های تصادفی بر روی گروه های مختلف کارکنان می تواند به شناسایی نقاط ضعف در سازمان کمک کند. آموزش دادن و احتیاط دادن به افراد ضعیف تر آسان خواهد بود. هوشیاری^(Alertness) بهترین دفاع است. استرس باید این باشد که اطلاعات ورود حتی با رهبران تیم - صرف نظر از فشار - به اشتراک گذاشته نشود. اگر یک رهبر تیم نیاز به دسترسی به ورود یک عضو داشته باشد، می تواند از رمز عبور اصلی استفاده کند. این تنها یک پیشنهاد برای ایمن ماندن و جلوگیری از هک های مهندسی اجتماعی است.

نتیجه نهایی این است که به غیر از بدافزار و هکرهای آنلاین، افراد فناوری اطلاعات باید از مهندسی اجتماعی نیز مراقبت کنند. هنگام شناسایی روش های نقض داده ها (مانند نوشتن رمز عبور و غیره)، مدیران باید همچنین اطمینان حاصل کنند که کارکنان آنها به اندازه کافی باهوش هستند تا تکنیک مهندسی اجتماعی را شناسایی کنند تا از آن کاملاً جلوگیری کنند. به نظر شما بهترین روش برای جلوگیری از مهندسی اجتماعی چیست؟ اگر به مورد جالبی برخورد کردید، لطفا با ما در میان بگذارید.

این کتاب الکترونیکی درباره حملات مهندسی اجتماعی منتشر شده توسط مایکروسافت را دانلود کنید و یاد بگیرید که چگونه می توانید چنین حملاتی را در سازمان خود شناسایی و از آن جلوگیری کنید.^{(Download this ebook on Social Engineering Attacks released by Microsoft and learn how you can detect and prevent such attacks in your organization.)}

منابع^(References)

[1] رویترز^(Reuters) ، اسنودن ^(Snowden)کارکنان NSA را^{(NSA Employees Into)} متقاعد کردند تا اطلاعات^(Info) ورود خود را به دست آورند

[2] Boing Net ، درایوهای قلمی که برای ^(Pen)انتشار بدافزار^{(Spread Malware)} استفاده می‌شوند .

Understand Social Engineering - Protection against Human Hacking

A pieсе of recent news made me rеаlize how human emotions and thoughts can be (or, are) used for others’ benеfit. Almost every one of you knows Edward Snowden, the whistleblowеr of NSA snooping thе world ovеr. Reuterѕ rеported that he got around 20-25 NSA people to hand over their paѕswords to him for recovering some datа he leaked later [1]. Imagine how fragile your corporate network can be, even with the strongest and best of security software!

What is Social Engineering

Human weakness, curiosity, emotions, and other characteristics have often been used in extracting data illegally – be it any industry. The IT Industry has, however, given it the name of social engineering. I define social engineering as:

“The method whereby an external person gains control over one or more employees of any organization by any means with intention to obtain the organization’s data illegally”

Here is another line from the same news story [1] that I want to quote – “Security agencies are having a hard time with the idea that the guy in the next cubicle may not be reliable“. I modified the statement a bit to fit it into the context here. You can read the full news piece using the link in the References section.

In other words, you do not have complete control over the security of your organizations with social engineering evolving much faster than techniques to cope with it. Social engineering can be anything like calling up someone saying you are tech support and ask them for their login credentials. You must have been receiving phishing emails about lotteries, rich people in Mid East and Africa wanting business partners, and job offers to ask you your details.

Unlike phishing attacks, social engineering is much of direct person-to-person interaction. The former (phishing) employs a bait – that is, the people “fishing” is offering you something hoping that you will fall for it. Social engineering is more about winning the confidence of internal employees so that they divulge the company details you need.

Read: Popular methods of Social Engineering.

Known Social Engineering Techniques

There are many, and all of them use basic human tendencies for getting into the database of any organization. The most used (probably outdated) social engineering technique is to call and meet people and making them believe they are from technical support who need to check your computer. They can also create fake ID cards to establish confidence. In some cases, the culprits pose as state officials.

Another famous technique is to employ your person as an employee in the target organization. Now, since this con is your colleague, you might trust him with company details. The external employee might help you with something, so you feel obliged, and that is when they can make out the maximum.

I also read some reports about people using electronic gifts. A fancy USB stick delivered to you at your company address or a pen drive lying in your car can prove disasters. In a case, someone left some USB drives deliberately in the parking lot as baits [2].

If your company network has good security measures at each node, you are blessed. Otherwise, these nodes provide an easy passage for malware – in that gift or “forgotten” pen drives – to the central systems.

As such we cannot provide a comprehensive list of social engineering methods. It is a science at the core, combined with art on the top. And you know that neither of them has any boundaries. Social engineering guys keep on getting creative while developing software that can also misuse wireless devices gaining access to company Wi-Fi.

Read: What is Socially Engineered Malware.

Prevent Social Engineering

Personally, I do not think there is any theorem that admins can use to prevent social engineering hacks. The social engineering techniques keep on changing, and hence it becomes difficult for IT admins to keep track on what is happens.

Of course, there is a need to keep a tab on social engineering news so that one is informed enough to take appropriate security measures. For example, in the case of USB devices, admins can block USB drives on individual nodes allowing them only on the server that has a better security system. Likewise, Wi-Fi would need better encryption than most of the local ISPs provide.

Training employees and conducting random tests on different employee groups can help identify weak points in the organization. It would be easy to train and caution the weaker individuals. Alertness is the best defense. The stress should be that login information should not be shared even with the team leaders – irrespective of the pressure. If a team leader needs to access a member’s login, s/he can use a master password. That is just one suggestion to stay safe and avoid social engineering hacks.

The bottom line is, apart from the malware and online hackers, the IT people need to take care of social engineering too. While identifying methods of a data breach (like writing down passwords etc.), the admins should also ensure their staff is smart enough to identify a social engineering technique to avoid it altogether. What do you think are the best methods to prevent social engineering? If you have come across any interesting case, please share with us.

Download this ebook on Social Engineering Attacks released by Microsoft and learn how you can detect and prevent such attacks in your organization.

References

[1] Reuters, Snowden Persuaded NSA Employees Into Obtaining Their Login Info

[2] Boing Net, Pen Drives Used to Spread Malware.

Related posts

• Internet and Social Networking Sites addiction

• وب سایت های Fake News: یک مشکل رو به رشد و آنچه در جهان امروز به معنی آن است

• چگونه به راه اندازی، ضبط، ویرایش، انتشار Instagram Reels

• نحوه فعال کردن احراز هویت دو عامل برای Reddit account

• با Windows Club ارتباط برقرار کنید

• چگونه به Instagram Carousel در Photoshop: آموزش مبتدی پسند

• چگونه برای تبدیل شدن به Pinterest Influencer

• Phubbing چیست و به چه معناست برای روابط شخصی

• Revoke دسترسی به شخص ثالث از Facebook، Google، Microsoft، Microsoft، Twitter

• Best رایگان Canva قالب برای Instagram

• نحوه مدیریت Facebook Ad Preferences و انتخاب Ad Tracking

• 5 Best Social Media apps برای Windows 10 موجود در Microsoft Store

• چگونه به جستجو Reddit در ترین راه کارآمد

• StalkFace and StalkScan به شما کمک می کند تا دوستان Facebook را بهتر درک کنید

• چگونه برای دانلود آهنگ از SoundCloud

• Cold Turkey Distraction Blocker بلوک Online Distractions

• چگونه به Delete Online Accounts، Presence & Identity

• خطرات و پیامدهای Social Media Oversharing در

• نحوه استفاده از Facebook برای تبدیل شدن به یک Media Influencer اجتماعی

• بهترین Yammer Tips and Tricks برای power user