Social engineering: Difference between revisions

Latest revision as of 21:31, 20 December 2016

Antud artikkel on kirjutatud aine "Operatsioonisüsteemide administreerimine ja sidumine" raames. Artikkel peaks andma põgusa ülevaate social engineering'ust ning mõndadest olulistemast rünnetest selles vallas.

Üldiselt võib öelda, et social engineering on inimese psüühikaga manipuleerimine selleks, et panna teda tegema seda, mida manipuleerija tahab. Kui igapäevaelus võib see hõlmata ka lihtsalt seda, et üks "veenab" teist koeraga jalutama minema, siis IT-maailmas on see rohkem seotud konfidentsiaalse informatsiooni kättesaamisega, ettevõtete ja teiste ohvrite pilgu läbi turvalisuse rikkumise ja infokaoga ^[1].

Social engineering on suures osas alternatiiv häkkerile, kes käsitsi süsteemi sisse murrab ja selle konfidentsiaalse info enda valdusesse võtab. Selle asemel, et sissemurdmist ise teostada, "veenab" ta pigem kedagi, kes antud infole ligipääsu omab, seda jagama. Selline viis on tunduvalt kiirem, kui ise kõigepealt sisse murda, siis see info kätte saada ja alles siis kättesaadut rakendama hakata^[2].

Social engineering on väga vähesel määral seotud arvutis kasutatava tarkvaraga, kuna enamikel juhtudel on "nõrgimaks lüliks" inimene ja mitte tarkvaravead. Nagu Digital Guardian oma artiklis ära märgib, siis umbes ainult 3% pahavarast on seotud tarkvaranõrkuste ärakasutamisega. Tervelt 97% juhtudel aga kasutatakse ära inimese enda "nõrkust" infot kergekäeliselt ära anda ^[3].

Autor

Gert Sikk A21 2015/2016

Esitamise kuupäev 6.12.2015

Täiendatud: Triinu Tamm A21 2016/2017

Esitamise kuupäev 7.12.2016

Eesmärk

Social engineering on inimeste psüühiline manipuleerimine konfidentsiaalse informatsiooni kättesaamiseks, olgu need siis kasutajanimed, paroolid, pangaandmed vms. Kuigi enamasti on eesmärgiks saada kätte petta saava inimese hallatav(ad) informatsioon(id), siis tihti on prioriteediks ka saada ligi inimese arvutile, et salaja installida sinna pahavara (lisaks isiklikele andmetele saadakse ka kontroll kasutaja arvuti üle). "Kriminaalid" eelistavad tihtipeale just sellist lähenemist, sest inimeste usalduse võitmine on tunduvalt lihtsam, kui ise hakata sisse murdma süsteemidesse ^[4]. Social engineering'u erinevad tehnikad ja nende rakendamine on enamasti väike osa suuremast petuskeemist kriminaalile vajaliku infomatsiooni kättesaamiseks.

Social engineering töötabki inimese manipuleerimise baasil. Tihti mängitakse inimese emotsioonidega, harv ei ole olukord, kus ründaja, mängides kedagi, kes ta ei ole (nt sõber, töökaaslane), kirjutab emailis, et ta läks reisile, teda rööviti-rünnati, ja tal ei ole enam rahagi, et koju tagasi saada. Sellises olukorras on rünnatava inimese usaldus juba võidetud (sest tegemist on ju siiski "vana hea sõbraga") ning inimene ei hakkagi mõtlema, et tegu võiks olla mõne pahatahtliku inimesega, kelle ainuke eesmärk on hoopis ohvrit rahast lagedaks teha^[5].

Tehnikad

Social engineering'us on väga palju erinevaid tehnikaid, mis loodud selle järgi, kuidas inimene otsuseid langetab. Väga tihti on üks osa tehnikast kas e-mail või mõni muu kiirsuhtluseks loodud vahend, mis eeldab kiiret reageerimist ja vastust (näiteks telefon) ^[6]. Kasutades tehnikat, mis hõlmab endas e-maili kasutamist, on häkkeri poolt tavaliselt kirja sisse pandud mõni link või manus, mis viitab kas nakatunud lehele või lahtipakitavale viirusele. N-ö inimese poolt tehtud "ekslikke otsuselangetusi" kutsutakse ka kui "bugs in the human hardware" ehk inimese tarkvaras esinevaid vigu.

See, millist tehnikat millises olukorras kasutatakse, oleneb suuresti sellest, mis on ründaja eesmärk ja kes on ohver. Seetõttu on ka erinevaid tehnikaid üpris mitu, mõned enimkasutatavamad on siinkohal välja toodud.

Phishing

Phishing (tuleneb sõnadest "password" ja "fishing") on tõenäoliselt kõige populaarsem social engineering'u tehnikatest (umbes 91% kõikidest informatsiooni väljapetmistest on phishing-tüüpi)^[7].

Phishing 'ule peamised iseloomulikud jooned on isikliku informatsiooni kättesaamine (nimed, aadressid, isikukoodid) ja lühendatud või omakorda teise lingi sisse peidetud lingid, mis viitavad nakatunud lehekülgedele. Et ohver kindlasti klikiks lingile, siis on e-mailis ära mainitud, et antud lingile klikades on võimalik saada rohkemat informatsiooni vms. Samuti on phishing 'u juures olulisel kohal ohvrile teada andmine, et kogu olukorraga on kiire ning ohver kindlasti ei tohiks asja edasi lükata, vaid kohe saadetud lingiga tegelema hakata^[8]

Spear phishing

Spear phishing erineb tavapärasest phishing'ust selle võrra, et esimene juht on suunatud mingile konkreetsele ettevõttele või organisatsioonile. Phishing-tüüpi meetodi puhul viitavad saadetud lingid tavaliselt hästituntud saitidele ja ettevõtetele (näiteks PayPal või eBay), samas kui spear phishing-meetodiga kasutatakse rünnatava ettevõtte/organisatsiooni enda kodulehekülge ja tihtipeale viidatakse ka ettevõttesisestele juhtivatel kohtadel olevatele inimestele, et kiiremini võita ohvri usaldust ründaja suhtes^[9].

Pretexting

Pretexting on valetamise ja stsenaariumi väljamõtlemise teel salastatud informatsiooni kättesaamine, kus häkker räägib end olevat kellegina, kes ta tegelikult ei ole, seda enamasti telefoni teel (tihtipeale nimetatakse seda ka identideedivarguseks). See meetod nõuab ründajalt väga laialdast eelinformatsiooni kogumist (nii ohvri- kui ka ettevõttepoolset), et võita ohvri täielik usaldus nii, et tal ei tekiks ühtegi kahtlust, kui ründaja püüab salajast informatsiooni kätte saada^[10].

Tihtipeale ründaja teeskleb, et ta on keegi, kel on olemas kõik õigused ja privileegid saamaks teada vastuseid kõigile küsimustele, mis ta küsib. Enamasti alustatakse sellega, et ründaja palub ohvril ennast identifitseerida, et panna ohver tundma, et konkreetses olukorras on tõesti tegemist "legaalse" inimesega ^[11].

Kõige tihedamini teeseldakse, et ollakse kusagilt küsitlusfirmast paludes vastata mõnele lihtsale küsimusele suurema uuringu tarbeks ^[12]. Saades teada piisavalt informatsiooni ohvri kohta, kasutatakse seda ära, esinedes ohvri endana (näiteks eelnevalt küsitakse ohvrilt n-ö kontrollküsimusi tema finantsandmete kohta ning hiljem, teades neid andmeid, helistatakse ohvri panka ja esitatakse seda sama informatsiooni pangale).

Baiting

Baiting on tehnika social engineering'us, kus kasutatakse ära kas inimese ahnust, heatahtlikkust või uudishimu. Ründaja meelitab ohvrit andma ära isiklikku või konfidentsiaalset informatsiooni, saades ise vastutasuks midagi, mida ohver tahab (näiteks saab ta alla laadida muusikat või filmi, millele ohvril muidu ligipääsu ei oleks)^[13].

Kuid inimese lõksutõmbamiseks ei pea tingimata kasutama digitaalset "sööta". Baiting'gu puhul on enimkasutatud hoopis selle füüsiline vorm. Kõige tavapärasem on jätta USB-pulk kuhugile lauale (või mõnda muusse läbikäidavasse ja lihtsasti nähtavasse kohta) ning loota, et inimese loomulik uudishimuinstinkt ja healoomulisus panevad ohvrit vaatama USB sisu. Sellega nad käivitavad USB-pulgal oleva viiruse ning automaatselt laevad selle enda arvutisse alla ^[14]

Scareware

Scareware kasutab ära inimese hirmutunnet. Ründaja paneb ohvri arvama, et ta arvuti on nakatunud pahavaraga ning samal ajal "abistavalt" pakub välja programme pahavara eemaldamiseks. Tegelikkuses on ründaja pakutavates programmides ja linkides peidetud pahavarad, millele klikates ja alla laadides nakatab ohver oma arvuti ^[15].

Seda tehnikat realiseeritakse reeglina kahel viisil - kas e-maili teel või eraldiseisva tarkvarana, mis genereerib brauserisse vastavasisulisi pop-up'e (mis teavitavad süsteemiriketest ja -rünnetest). Enamasti sellisel pop-up'idel on omadus, et kui püüda klikkida "X"-ile või "Cancel"-nupule, siis see on just see, mis aktiveerib pahavara ja hakkab seda arvutisse installima^[16].

Alati pole eesmärgiks ainult ohvri arvutisse pahavara installeerida, vaid ka lihtsal teel neilt raha välja pressida. Kui ohver jääb uskuma, et ta arvuti on nakatunud, siis tihtipeale ollakse kerges paanikas ning valmis tegema kõike, et viirusest lahti saada, samuti ka maksma summasid asja eest, mis väidetavalt peaks probleemid lahendama. Siis enam ei mõelda ega kontrollita seda, kas antud jutt ka tõele vastab, vaid usutakse pimesi.

Tailgating

Tailgating (samuti ka piggybacking) on meetod, kus inimene siseneb ruumi, kuhu tal tegelikult õiguseid ei ole. Selle saavutamiseks vastavate õigusteta inimene enamasti n-ö käib järgi inimesel, kel need õigused on ^[17].

Tihti teeseldakse, et ollakse kas kuller või ettevõttesisene töötaja. Teeseldes kullerit, palutakse kaupa vastuvõtval töötajal hoida ust lahti mingil põhjusel ja nii kaua, kui töötaja ust lahti hoiab, läheb keegi sinna ruumi volitamata sisse. Teine populaarsem viis on teeselda ettevõttesisest töötajat, kes kogemata unustas oma töötajakaardi laua peale ning seetõttu palub "kaastöötajal" hoida ust lahti ning lasta ta sisse niisama^[18].

Vältimine

See on teadatuntud tõde, et lihtsam on rünnakuid vältida selle asemel, et pärast nende tagajärgedega tegeleda. Sama reegel kehtib ka social engineering'u puhul. Kuna social engineering "mängib" inimese psühholoogiaga, seega ennekõike peaks tegelema sellega, et teadvustada inimesi erinevtest rünnakuvõimalustest ja -viisidest, et töötajad (ja ka teised) oskaksid ohumärke ära tunda^[19].

Tähtis on mitte avada e-kirju, mille allikas kindel ei olda, samuti mitte vastu võtta pakkumisi, mis tunduvad kahtlased või liiga head, et tõsi olla. Ka tööarvutid võiksid olla lukustatud, kui inimene ise arvuti järelvalveta jätab, et volitamatad isikud ei saaks lihtsalt andmetele ligi ^[20]

Oluline ka on see, et arvutis oleks olemas korralik viirustõrjeprogramm. Kuigi see ei kaitse absoluutselt kõige eest, aitab see hoida silma peal kahtlastel asjaoludel süsteemis^[21].

Administreerija seisukohalt peaks firmasiseselt pidevalt tegema n-ö penetration teste, et veenduda, kas ja kuidas töötajad reageerivad, kui social engineering'u rünnak peaks päriselt juhtuma. Samuti on olulisel kohal töötajate pidev informeerimine, et oleksid teada rünnakute tundemärgid ja mida peaks sellisel olukorras tegema.

Suuremad rünnakud

Mõned näited suurematest rünnakutest.

Nigerian Scam

Enamasti rünnatakse väike- ja keskmise suurusega ettevõtteid ja heategevusfonde. Ohvrile saadetakse e-mail, saadetud Nigeeria Keskpanga (või ka Nigeeria valitsuse enda) poolt. Kirjas väidetakse, et Nigeeria Keskpank/valitsus otsib välismaist ettevõtet, kelle pangakontole nad saaksid kanda $10-$60 millionit, mille Nigeeria valitsus olevat liiga palju maksnud mingi tehingu raames.

Petuskeemi eesmärk on panna ohvrit arvama, et just tema on välja valitud sellise "kohustuse" eestvedajaks. Ründaja toob välja kõik "ametliku väljanägemisega" dokumendid, pangaandmed ja kontoväljavõtted. Samuti on korraldatud ka reaalseid kokkusaamisi, et petuskeem näeks eriti autentne välja.

Ründaja jaoks hakkab kasu tulema siis, kui ohver on täiesti lõksu saadud. Kuigi esialgselt lubati lihtsalt pangaülekannet ühest pangast teise, siis mida aeg edasi, seda rohkem hakkab tekkima probleeme, mille ainuke lahendus paistab olevat maksmine. Oluline on fakt, et ründaja lubab ohvrile, et konkreetne makse jääb kindlasti viimaseks. Selline protsess kestab tihti kuid^[22].

RSA SecurID Breach

2011. aastal toimunud rünnak küberkaitsefirma vastu. Kogu rünnak algas social engineering'ust, kus ründaja saatis välja kaks phishing-tüüpi e-maili kahele erinevale töörühmale kahel erineval päeval. Kirjad läksid esialgu rämpsposti, kuid ühe töötaja jaoks tundus pakkumine ahvatlev ja ta võttis kirja rämpsust välja, avades kirjas oleva excel-faili. Konkreetne fail sisaldas endas viirust, mis laadis alla tagaukse läbi Adobe Flashi nõrkuse. Kogu rünnak läks ettevõttele maksma ligi 66 miljonit dollarit. See on omakorda ka üks suuremaid rünnakuid küberkaitsefirma vastu ^[23]

Kokkuvõte

Social engineering põhineb inimese psühholoogial, mis tähendab, et olenemata tarkvarast on seda väga raske vältida. Isiklikult leian, et häkkerid leiavad alati viisi, kuidas kuhugile sisse murda (social engineering on hea näide, et enam ei läheneta tarkvara poole pealt, vaid hakatakse ära kasutama hoopis inimeste nõrkusi). Minu jaoks on social engineering väga huvitav nähtus IT-maailmas, sest esmapilgul ei tundu, et rünnata võiks hoopis sellest küljest, arvestades, et inimesed arvavad tihtipeale, et ainuke viis infokaoks on puudulik viirusetõrjeprogramm või viiruseid täis lingid.

Antud artikkel koostati aine "Operatsioonisüsteemide administreerimine ja sidumine" raames, et lähemalt tutvustada social engineering'ut kui sellist ning tuua välja mõned ohukohad ning asjaolud, mille teadmine oleks ka administreerijale kasulik.

Viited

↑ https://www.webroot.com/us/en/home/resources/tips/online-shopping-banking/secure-what-is-social-engineering
↑ http://sin.thecthulhu.com/library/security/social_engineering/The_Art_of_Human_Hacking.pdf; Peatükk 1 "Overview of Social Engineering", alapeatükk "The Different Types of Social Engineers"
↑ https://digitalguardian.com/blog/social-engineering-attacks-common-techniques-how-prevent-attack; Peatükk "Social engineering attacks"
↑ https://www.webroot.com/us/en/home/resources/tips/online-shopping-banking/secure-what-is-social-engineering
↑ http://searchsecurity.techtarget.com/definition/social-engineering
↑ https://digitalguardian.com/blog/social-engineering-attacks-common-techniques-how-prevent-attack
↑ https://digitalguardian.com/blog/social-engineering-attacks-common-techniques-how-prevent-attack
↑ https://www.tripwire.com/state-of-security/security-awareness/5-social-engineering-attacks-to-watch-out-for/
↑ http://searchsecurity.techtarget.com/definition/spear-phishing
↑ http://www.social-engineer.org/framework/influencing-others/pretexting/
↑ http://searchcio.techtarget.com/definition/pretexting
↑ http://www.scambusters.org/pretexting.html
↑ http://www.datto.com/blog/5-types-of-social-engineering-attacks; Punkt 2. Baiting
↑ https://www.incapsula.com/web-application-security/social-engineering-attack.html; Social engineering attack techniques, Baiting
↑ https://www.incapsula.com/web-application-security/social-engineering-attack.html; Social engineering attack techniques, Scareware
↑ http://whatis.techtarget.com/definition/scareware
↑ http://www.datto.com/blog/5-types-of-social-engineering-attacks;Punkt 5. Piggybacking
↑ https://www.tripwire.com/state-of-security/security-awareness/5-social-engineering-attacks-to-watch-out-for/; Punkt 5. Tailgaiting
↑ https://www.incapsula.com/web-application-security/social-engineering-attack.html; Social engineering prevention
↑ http://www.datto.com/blog/5-types-of-social-engineering-attacks; Viimased lõigud
↑ hhttps://www.tripwire.com/state-of-security/security-awareness/5-social-engineering-attacks-to-watch-out-for/; Recommendations
↑ http://www.social-engineer.org/wiki/archives/ConMen/ConMen-Scam-NigerianFee.html
↑ http://www.darkreading.com/the-7-best-social-engineering-attacks-ever/d/d-id/1319411?image_number=3

[1] ttps://www.webroot.com/us/en/home/resources/tips/online-shopping-banking/secure-what-is-social-engineering

[2] ttp://sin.thecthulhu.com/library/security/social_engineering/The_Art_of_Human_Hacking.pdf; Peatükk 1 "Overview of Social Engineering", alapeatükk "The Different Types of Social Engineers"

[3] ttps://digitalguardian.com/blog/social-engineering-attacks-common-techniques-how-prevent-attack; Peatükk "Social engineering attacks"

[4] ttps://www.webroot.com/us/en/home/resources/tips/online-shopping-banking/secure-what-is-social-engineering

[5] ttp://searchsecurity.techtarget.com/definition/social-engineering

[6] ttps://digitalguardian.com/blog/social-engineering-attacks-common-techniques-how-prevent-attack

[7] ttps://digitalguardian.com/blog/social-engineering-attacks-common-techniques-how-prevent-attack

[8] ttps://www.tripwire.com/state-of-security/security-awareness/5-social-engineering-attacks-to-watch-out-for/

[9] ttp://searchsecurity.techtarget.com/definition/spear-phishing

[10] ttp://www.social-engineer.org/framework/influencing-others/pretexting/

[11] ttp://searchcio.techtarget.com/definition/pretexting

[12] ttp://www.scambusters.org/pretexting.html

[13] ttp://www.datto.com/blog/5-types-of-social-engineering-attacks; Punkt 2. Baiting

[14] ttps://www.incapsula.com/web-application-security/social-engineering-attack.html; Social engineering attack techniques, Baiting

[15] ttps://www.incapsula.com/web-application-security/social-engineering-attack.html; Social engineering attack techniques, Scareware

[16] ttp://whatis.techtarget.com/definition/scareware

[17] ttp://www.datto.com/blog/5-types-of-social-engineering-attacks;Punkt 5. Piggybacking

[18] ttps://www.tripwire.com/state-of-security/security-awareness/5-social-engineering-attacks-to-watch-out-for/; Punkt 5. Tailgaiting

[19] ttps://www.incapsula.com/web-application-security/social-engineering-attack.html; Social engineering prevention

[20] ttp://www.datto.com/blog/5-types-of-social-engineering-attacks; Viimased lõigud

[21] ttps://www.tripwire.com/state-of-security/security-awareness/5-social-engineering-attacks-to-watch-out-for/; Recommendations

[22] ttp://www.social-engineer.org/wiki/archives/ConMen/ConMen-Scam-NigerianFee.html

[23] ttp://www.darkreading.com/the-7-best-social-engineering-attacks-ever/d/d-id/1319411?image_number=3

[1]

[2]

[3]

[4]

[5]

[6]

[7]

[8]

[9]

[10]

[11]

[12]

[13]

[14]

[15]

[16]

[17]

[18]

[19]

[20]

[21]

[22]

[23]

@@ Line 1: / Line 1: @@
-Antud artikkel on kirjutatud aine "Operatsioonisüsteemide administreerimine ja sidumine" raames. Artikkel peaks andma põgusa ülevaate '''social engineering'''-ust ning mõndadest olulistemast rünnetest selles vallas.
+Antud artikkel on kirjutatud aine "Operatsioonisüsteemide administreerimine ja sidumine" raames. Artikkel peaks andma põgusa ülevaate ''social engineering'''ust ning mõndadest olulistemast rünnetest selles vallas.
-Üldiselt võib öelda, et '''social engineering''' on inimese psüühikaga manipuleerimine selleks, et panna teda tegema seda, mida manipuleerija tahab. Kui igapäevaelus võib see hõlmata ka lihtsalt seda, et üks "veenab" teist koeraga jalutama minema, siis IT-maailmas on see rohkem seotud konfidentsiaalse informatsiooni kättesaamisega, ettevõtete ja teiste ohvrite pilgu läbi turvalisuse rikkumise ja infokaoga. '''Social engineering''' on suures osas alternatiiv häkkerile, kes käsitsi süsteemi sisse murrab ja selle konfidentsiaalse info enda valdusesse võtab. Selle asemel, et seda sissemurdmist ise teostada, "veenab" ta pigem kedagi, kes antud infot omab, seda jagama.
+Üldiselt võib öelda, et ''social engineering'' on inimese psüühikaga manipuleerimine selleks, et panna teda tegema seda, mida manipuleerija tahab. Kui igapäevaelus võib see hõlmata ka lihtsalt seda, et üks "veenab" teist koeraga jalutama minema, siis IT-maailmas on see rohkem seotud konfidentsiaalse informatsiooni kättesaamisega, ettevõtete ja teiste ohvrite pilgu läbi turvalisuse rikkumise ja infokaoga <ref>https://www.webroot.com/us/en/home/resources/tips/online-shopping-banking/secure-what-is-social-engineering</ref>.
+''Social engineering'' on suures osas alternatiiv häkkerile, kes käsitsi süsteemi sisse murrab ja selle konfidentsiaalse info enda valdusesse võtab. Selle asemel, et sissemurdmist ise teostada, "veenab" ta pigem kedagi, kes antud infole ligipääsu omab, seda jagama. Selline viis on tunduvalt kiirem, kui ise kõigepealt sisse murda, siis see info kätte saada ja alles siis kättesaadut rakendama hakata<ref>http://sin.thecthulhu.com/library/security/social_engineering/The_Art_of_Human_Hacking.pdf; Peatükk 1 "Overview of Social Engineering", alapeatükk "The Different Types of Social Engineers"</ref>.
-==EESMÄRK==
+''Social engineering'' on väga vähesel määral seotud arvutis kasutatava tarkvaraga, kuna enamikel juhtudel on "nõrgimaks lüliks" inimene ja mitte tarkvaravead. Nagu ''Digital Guardian'' oma artiklis ära märgib, siis umbes ainult 3% pahavarast on seotud tarkvaranõrkuste ärakasutamisega. Tervelt 97% juhtudel aga kasutatakse ära inimese enda "nõrkust" infot kergekäeliselt ära anda <ref>https://digitalguardian.com/blog/social-engineering-attacks-common-techniques-how-prevent-attack; Peatükk "Social engineering attacks"</ref>.
-'''Social engineering''' on inimeste psüühiline manipuleerimine konfidentsiaalse informatsiooni kättesaamiseks, olgu need siis kasutajanimed, paroolid, pangaandmed jne. Kuigi enamasti on eesmärgiks saada kätte petta saava inimese hallatav(ad) informatsioon(id), siis tihti on prioriteediks ka saada ligi inimese arvutile, et salaja installida sinna pahavara (lisaks isiklikele andmetele saadakse ka kontroll kasutaja arvuti üle)<ref>https://www.webroot.com/us/en/home/resources/tips/online-shopping-banking/secure-what-is-social-engineering</ref>. "Kriminaalid" eelistavad tihtipeale just sellist lähenemist, sest inimeste usalduse võitmine on tunduvalt lihtsam, kui ise hakata sisse murdma süsteemidesse. See erineb tavalisest pettusest selle võrra, et see meetod on enamasti ainult üks osa suurest skeemist, mille jaoks informatsiooni vajatakse.<ref>http://searchsecurity.techtarget.com/definition/social-engineering</ref>
-"Social engineering" töötabki inimese manipuleerimise baasil. Tihti mängitakse inimese emotsioonidega, harv ei ole olukord, kus ründaja, mängides kedagi, kes ta ei ole (nt sõber, töökaaslane), kirjutab emailis, et ta läks reisile, teda rööviti-rünnati, ja tal ei ole enam rahagi, et koju tagasi saada. Sellises olukorras on rünnatava inimese usaldus juba võidetud (sest tegemist on ju siiski "vana hea sõbraga") ning inimene ei hakkagi mõtlema, et tegu võiks olla mõne pahatahtliku inimesega, kelle ainuke eesmärk on hoopis ohvrit rahast lagedaks teha.
 ==Autor==
@@ Line 18: / Line 16: @@
 Esitamise kuupäev 7.12.2016
+==Eesmärk==
+''Social engineering'' on inimeste psüühiline manipuleerimine konfidentsiaalse informatsiooni kättesaamiseks, olgu need siis kasutajanimed, paroolid, pangaandmed vms. Kuigi enamasti on eesmärgiks saada kätte petta saava inimese hallatav(ad) informatsioon(id), siis tihti on prioriteediks ka saada ligi inimese arvutile, et salaja installida sinna pahavara (lisaks isiklikele andmetele saadakse ka kontroll kasutaja arvuti üle). "Kriminaalid" eelistavad tihtipeale just sellist lähenemist, sest inimeste usalduse võitmine on tunduvalt lihtsam, kui ise hakata sisse murdma süsteemidesse <ref>https://www.webroot.com/us/en/home/resources/tips/online-shopping-banking/secure-what-is-social-engineering</ref>. ''Social engineering'''u erinevad tehnikad ja nende rakendamine on enamasti väike osa suuremast petuskeemist kriminaalile vajaliku infomatsiooni kättesaamiseks.
+''Social engineering'' töötabki inimese manipuleerimise baasil. Tihti mängitakse inimese emotsioonidega, harv ei ole olukord, kus ründaja, mängides kedagi, kes ta ei ole (nt sõber, töökaaslane), kirjutab emailis, et ta läks reisile, teda rööviti-rünnati, ja tal ei ole enam rahagi, et koju tagasi saada. Sellises olukorras on rünnatava inimese usaldus juba võidetud (sest tegemist on ju siiski "vana hea sõbraga") ning inimene ei hakkagi mõtlema, et tegu võiks olla mõne pahatahtliku inimesega, kelle ainuke eesmärk on hoopis ohvrit rahast lagedaks teha<ref>http://searchsecurity.techtarget.com/definition/social-engineering</ref>.
 ==Tehnikad==
-Social engineeringus on väga palju erinevaid nippe, mis on loodud arvestades inimese otsuse tegemist. Neid on ka kutsutud, kui "bugs in the human hardware" ehk inimese tarkvaras esinevaid vigu. Kõige tavapärasem on telefoni teel läbiviidud pettused. <ref>Jaco, K: "CSEPS Course Workbook" (2004); Peatükk 3 Jacob Security Publishing</ref>
+''Social engineering'''us on väga palju erinevaid tehnikaid, mis loodud selle järgi, kuidas inimene otsuseid langetab. Väga tihti on üks osa tehnikast kas e-mail või mõni muu kiirsuhtluseks loodud vahend, mis eeldab kiiret reageerimist ja vastust (näiteks telefon) <ref>https://digitalguardian.com/blog/social-engineering-attacks-common-techniques-how-prevent-attack</ref>. Kasutades tehnikat, mis hõlmab endas e-maili kasutamist, on häkkeri poolt tavaliselt kirja sisse pandud mõni link või manus, mis viitab kas nakatunud lehele või lahtipakitavale viirusele. N-ö inimese poolt tehtud "ekslikke otsuselangetusi" kutsutakse ka kui "bugs in the human hardware" ehk inimese tarkvaras esinevaid vigu.
-Tehnikaid, mida ''social engineering'''us kasutatakse, on erinevad. See, millist tehnikat millises olukorras kasutatakse, oleneb suuresti sellest, mis on ründaja eesmärk ja kes on ohver.
+See, millist tehnikat millises olukorras kasutatakse, oleneb suuresti sellest, mis on ründaja eesmärk ja kes on ohver. Seetõttu on ka erinevaid tehnikaid üpris mitu, mõned enimkasutatavamad on siinkohal välja toodud.
 ===Phishing===
-''Phishing'' (tuleneb sõnadest "password" ja "fishing") on tõenäoliselt kõige populaarsem social engineeringu tehnikatest (umbes 91% kõikidest informatsiooni väljapetmistest on ''phishing''-tüüpi)<ref>https://digitalguardian.com/blog/social-engineering-attacks-common-techniques-how-prevent-attack</ref>.
+''Phishing'' (tuleneb sõnadest "password" ja "fishing") on tõenäoliselt kõige populaarsem ''social engineering'''u tehnikatest (umbes 91% kõikidest informatsiooni väljapetmistest on ''phishing''-tüüpi)<ref>https://digitalguardian.com/blog/social-engineering-attacks-common-techniques-how-prevent-attack</ref>.
-Phishing on siis meetod, kus saadetake e-mail ning nähakse usutava firmana olgu selleks siis pank ja nii edasi. E-mailis on olemas link, mis viib lehele, mis näeb välja nagu selle firma enda koduleht koos logodega. Ainuke vahe on nendel lehtedel URL aadressid, mida tuleks jälgida. Sellel lehel soovitakse tavaliselt saada teie panga andmeid, näiteks sisestage oma PIN-kood siia lahtsisse.<ref>https://www.microsoft.com/security/online-privacy/phishing-symptoms.aspx</ref>
+''Phishing'' 'ule peamised iseloomulikud jooned on isikliku informatsiooni kättesaamine (nimed, aadressid, isikukoodid) ja lühendatud või omakorda teise lingi sisse peidetud lingid, mis viitavad nakatunud lehekülgedele. Et ohver kindlasti klikiks lingile, siis on e-mailis ära mainitud, et antud lingile klikades on võimalik saada rohkemat informatsiooni vms. Samuti on ''phishing'' 'u juures olulisel kohal ohvrile teada andmine, et kogu olukorraga on kiire ning ohver kindlasti ei tohiks asja edasi lükata, vaid kohe saadetud lingiga tegelema hakata<ref> https://www.tripwire.com/state-of-security/security-awareness/5-social-engineering-attacks-to-watch-out-for/</ref>
+=====Spear phishing=====
+''Spear phishing'' erineb tavapärasest ''phishing'''ust selle võrra, et esimene juht on suunatud mingile konkreetsele ettevõttele või organisatsioonile. ''Phishing''-tüüpi meetodi puhul viitavad saadetud lingid tavaliselt hästituntud saitidele ja ettevõtetele (näiteks PayPal või eBay), samas kui ''spear phishing''-meetodiga kasutatakse rünnatava ettevõtte/organisatsiooni enda kodulehekülge ja tihtipeale viidatakse ka ettevõttesisestele juhtivatel kohtadel olevatele inimestele, et kiiremini võita ohvri usaldust ründaja suhtes<ref> http://searchsecurity.techtarget.com/definition/spear-phishing</ref>.
 ===Pretexting===
-Pretexting on pettus läbi välja mõeldud sündmuste, et võita sihtmärgi usaldust, mis tõttu temal oleks suurem võimalus paljastada salastatud infot. Selleks on vaja ettevalmistust ja infot koguda, et jutt oleks võimalikult usutav sihtmärgile. Selleks kasutatakse tavaliselt isiklike andmeid, mida keegi peale peale inimese ise ja selle firma/isiku ei peaks teadma, kellena esinetakse.<ref>http://www.social-engineer.org/framework/influencing-others/pretexting/</ref>
+''Pretexting'' on valetamise ja stsenaariumi väljamõtlemise teel salastatud informatsiooni kättesaamine, kus häkker räägib end olevat kellegina, kes ta tegelikult ei ole, seda enamasti telefoni teel (tihtipeale nimetatakse seda ka identideedivarguseks). See meetod nõuab ründajalt väga laialdast eelinformatsiooni kogumist (nii ohvri- kui ka ettevõttepoolset), et võita ohvri täielik usaldus nii, et tal ei tekiks ühtegi kahtlust, kui ründaja püüab salajast informatsiooni kätte saada<ref> http://www.social-engineer.org/framework/influencing-others/pretexting/</ref>.
+Tihtipeale ründaja teeskleb, et ta on keegi, kel on olemas kõik õigused ja privileegid saamaks teada vastuseid kõigile küsimustele, mis ta küsib. Enamasti alustatakse sellega, et ründaja palub ohvril ennast identifitseerida, et panna ohver tundma, et konkreetses olukorras on tõesti tegemist "legaalse" inimesega <ref> http://searchcio.techtarget.com/definition/pretexting</ref>.
-===Diversion theft===
+Kõige tihedamini teeseldakse, et ollakse kusagilt küsitlusfirmast paludes vastata mõnele lihtsale küsimusele suurema uuringu tarbeks <ref> http://www.scambusters.org/pretexting.html</ref>. Saades teada piisavalt informatsiooni ohvri kohta, kasutatakse seda ära, esinedes ohvri endana (näiteks eelnevalt küsitakse ohvrilt n-ö kontrollküsimusi tema finantsandmete kohta ning hiljem, teades neid andmeid, helistatakse ohvri panka ja esitatakse seda sama informatsiooni pangale).
-Diversion theft on transpordi ja kuller teenuste vastu suunatud pettus. Inimene, kes on vastutav kohale viimise eest, räägitakse ära, et see saadetis peab jõudma hoopis teise asukohta.<ref>http://www.symantec.com/connect/blogs/what-social-engineering</ref>
 ===Baiting===
-Baiting on selline meetod, kus kasutatakse ära heatahtlikust või uudishimu. Selle meetodi puhul jäetakse firmasse nähtavasse kohte USB mälupulk, millel on viirus peal ehk, kui keegi selle arvutisse sisestab, siis see automaatselt nakatab võrgu, mille kaudu on võimalik süsteemidesse sisse saada.<ref>http://www.symantec.com/connect/blogs/what-social-engineering</ref>
+''Baiting'' on tehnika ''social engineering'''us, kus kasutatakse ära kas inimese ahnust, heatahtlikkust või uudishimu. Ründaja meelitab ohvrit andma ära isiklikku või konfidentsiaalset informatsiooni, saades ise vastutasuks midagi, mida ohver tahab (näiteks saab ta alla laadida muusikat või filmi, millele ohvril muidu ligipääsu ei oleks)<ref>http://www.datto.com/blog/5-types-of-social-engineering-attacks; Punkt 2. Baiting</ref>.
+Kuid inimese lõksutõmbamiseks ei pea tingimata kasutama digitaalset "sööta". ''Baiting'''gu puhul on enimkasutatud hoopis selle füüsiline vorm. Kõige tavapärasem on jätta USB-pulk kuhugile lauale (või mõnda muusse läbikäidavasse ja lihtsasti nähtavasse kohta) ning loota, et inimese loomulik uudishimuinstinkt ja healoomulisus panevad ohvrit vaatama USB sisu. Sellega nad käivitavad USB-pulgal oleva viiruse ning automaatselt laevad selle enda arvutisse alla <ref>https://www.incapsula.com/web-application-security/social-engineering-attack.html; Social engineering attack techniques, Baiting</ref>
+===Scareware===
+''Scareware'' kasutab ära inimese hirmutunnet. Ründaja paneb ohvri arvama, et ta arvuti on nakatunud pahavaraga ning samal ajal "abistavalt" pakub välja programme pahavara eemaldamiseks. Tegelikkuses on ründaja pakutavates programmides ja linkides peidetud pahavarad, millele klikates ja alla laadides nakatab ohver oma arvuti <ref>https://www.incapsula.com/web-application-security/social-engineering-attack.html; Social engineering attack techniques, Scareware</ref>.
+Seda tehnikat realiseeritakse reeglina kahel viisil - kas e-maili teel või eraldiseisva tarkvarana, mis genereerib brauserisse vastavasisulisi pop-up'e (mis teavitavad süsteemiriketest ja -rünnetest). Enamasti sellisel pop-up'idel on omadus, et kui püüda klikkida "X"-ile või "Cancel"-nupule, siis see on just see, mis aktiveerib pahavara ja hakkab seda arvutisse installima<ref>http://whatis.techtarget.com/definition/scareware</ref>.
+Alati pole eesmärgiks ainult ohvri arvutisse pahavara installeerida, vaid ka lihtsal teel neilt raha välja pressida. Kui ohver jääb uskuma, et ta arvuti on nakatunud, siis tihtipeale ollakse kerges paanikas ning valmis tegema kõike, et viirusest lahti saada, samuti ka maksma summasid asja eest, mis väidetavalt peaks probleemid lahendama. Siis enam ei mõelda ega kontrollita seda, kas antud jutt ka tõele vastab, vaid usutakse pimesi.
 ===Tailgating===
-Tailgatingu puhul on tegemist lihtsalt ootamisega, et saada pääs läbi uste kasutades valveta jäetud uksi, minnes inimese järgi, kellel on pääs ja nii edasi.
+''Tailgating'' (samuti ka ''piggybacking'') on meetod, kus inimene siseneb ruumi, kuhu tal tegelikult õiguseid ei ole. Selle saavutamiseks vastavate õigusteta inimene enamasti n-ö käib järgi inimesel, kel need õigused on <ref>http://www.datto.com/blog/5-types-of-social-engineering-attacks;Punkt 5. Piggybacking</ref>.
-<ref>http://www.symantec.com/connect/blogs/what-social-engineering</ref>
-==Näited==
+Tihti teeseldakse, et ollakse kas kuller või ettevõttesisene töötaja. Teeseldes kullerit, palutakse kaupa vastuvõtval töötajal hoida ust lahti mingil põhjusel ja nii kaua, kui töötaja ust lahti hoiab, läheb keegi sinna ruumi volitamata sisse. Teine populaarsem viis on teeselda ettevõttesisest töötajat, kes kogemata unustas oma töötajakaardi laua peale ning seetõttu palub "kaastöötajal" hoida ust lahti ning lasta ta sisse niisama<ref>https://www.tripwire.com/state-of-security/security-awareness/5-social-engineering-attacks-to-watch-out-for/; Punkt 5. Tailgaiting</ref>.
-===RSA SecurID Breach===
-Ründajad saatsid välja 2 Phishing e-maili, kahel erineval päeval ja kahele erinevale töörühmale. Selle e-maili pealkiri oli "2011 Recruitment Plan" ehk 2011 aasta värbamise plaan. See e-mail oli nii hästi koostatud, et üks töötaja võttis selle oma räpsmailist ja laadis alla .xls faili. Selles olnud viirus lõi firma süsteemi tagaukse läbi Adobe Flashi. Selline väike apsakas läks firmale maksma 66 miljonit dollrait. See on üks suuremaid rünnakuid küberkaitse firmade vastu.<ref>http://www.darkreading.com/the-7-best-social-engineering-attacks-ever/d/d-id/1319411?image_number=3</ref>
+==Vältimine==
+See on teadatuntud tõde, et lihtsam on rünnakuid vältida selle asemel, et pärast nende tagajärgedega tegeleda. Sama reegel kehtib ka ''social engineering'''u puhul. Kuna ''social engineering'' "mängib" inimese psühholoogiaga, seega ennekõike peaks tegelema sellega, et teadvustada inimesi erinevtest rünnakuvõimalustest ja -viisidest, et töötajad (ja ka teised) oskaksid ohumärke ära tunda<ref>https://www.incapsula.com/web-application-security/social-engineering-attack.html; Social engineering prevention</ref>.
+Tähtis on mitte avada e-kirju, mille allikas kindel ei olda, samuti mitte vastu võtta pakkumisi, mis tunduvad kahtlased või liiga head, et tõsi olla. Ka tööarvutid võiksid olla lukustatud, kui inimene ise arvuti järelvalveta jätab, et volitamatad isikud ei saaks lihtsalt andmetele ligi <ref>http://www.datto.com/blog/5-types-of-social-engineering-attacks; Viimased lõigud</ref>
+Oluline ka on see, et arvutis oleks olemas korralik viirustõrjeprogramm. Kuigi see ei kaitse absoluutselt kõige eest, aitab see hoida silma peal kahtlastel asjaoludel süsteemis<ref>hhttps://www.tripwire.com/state-of-security/security-awareness/5-social-engineering-attacks-to-watch-out-for/; Recommendations</ref>.
+Administreerija seisukohalt peaks firmasiseselt pidevalt tegema n-ö ''penetration teste'', et veenduda, kas ja kuidas töötajad reageerivad, kui ''social engineering'''u rünnak peaks päriselt juhtuma. Samuti on olulisel kohal töötajate pidev informeerimine, et oleksid teada rünnakute tundemärgid ja mida peaks sellisel olukorras tegema.
+==Suuremad rünnakud==
+Mõned näited suurematest rünnakutest.
+===Nigerian Scam===
+Enamasti rünnatakse väike- ja keskmise suurusega ettevõtteid ja heategevusfonde. Ohvrile saadetakse e-mail, saadetud Nigeeria Keskpanga (või ka Nigeeria valitsuse enda) poolt. Kirjas väidetakse, et Nigeeria Keskpank/valitsus otsib välismaist ettevõtet, kelle pangakontole nad saaksid kanda $10-$60 millionit, mille Nigeeria valitsus olevat liiga palju maksnud mingi tehingu raames.
+Petuskeemi eesmärk on panna ohvrit arvama, et just tema on välja valitud sellise "kohustuse" eestvedajaks. Ründaja toob välja kõik "ametliku väljanägemisega" dokumendid, pangaandmed ja kontoväljavõtted. Samuti on korraldatud ka reaalseid kokkusaamisi, et petuskeem näeks eriti autentne välja.
-===Suur teemanti rööv===
+Ründaja jaoks hakkab kasu tulema siis, kui ohver on täiesti lõksu saadud. Kuigi esialgselt lubati lihtsalt pangaülekannet ühest pangast teise, siis mida aeg edasi, seda rohkem hakkab tekkima probleeme, mille ainuke lahendus paistab olevat maksmine. Oluline on fakt, et ründaja lubab ohvrile, et konkreetne makse jääb kindlasti viimaseks. Selline protsess kestab tihti kuid<ref>http://www.social-engineer.org/wiki/archives/ConMen/ConMen-Scam-NigerianFee.html</ref>.
-Üks mees suutis varastada 21 milljoni dollari väärtuses teemanteid, keset tööaega ning kaduda igaveseks. Tema ainuke relv oli tema sharm. Ta viis telleritele kingitusi ning suutis mingi aja jooksul saada võtme, et teha koopia ning sai infot, kus teemantid asuvad.<ref>http://www.darkreading.com/the-7-best-social-engineering-attacks-ever/d/d-id/1319411?image_number=5</ref>
-===Lisa lugemine===
+===RSA SecurID Breach===
-Huvi korral saate lugeda tervet [http://www.darkreading.com/the-7-best-social-engineering-attacks-ever/d/d-id/1319411 artiklit] ülal toodud näidete kohta lähemalt ja täpsemalt.
+. aastal toimunud rünnak küberkaitsefirma vastu. Kogu rünnak algas ''social engineering'''ust, kus ründaja saatis välja kaks ''phishing''-tüüpi e-maili kahele erinevale töörühmale kahel erineval päeval. Kirjad läksid esialgu rämpsposti, kuid ühe töötaja jaoks tundus pakkumine ahvatlev ja ta võttis kirja rämpsust välja, avades kirjas oleva excel-faili. Konkreetne fail sisaldas endas viirust, mis laadis alla tagaukse läbi Adobe Flashi nõrkuse. Kogu rünnak läks ettevõttele maksma ligi 66 miljonit dollarit. See on omakorda ka üks suuremaid rünnakuid küberkaitsefirma vastu <ref>http://www.darkreading.com/the-7-best-social-engineering-attacks-ever/d/d-id/1319411?image_number=3</ref>
 ==Kokkuvõte==
-Social engineering on manipuleerimine inimestega, et saada infot või füüsilist ligipääsu kohtadele, kust oleks võimalik saada salastatud informatsiooni firmade kohta.
+''Social engineering'' põhineb inimese psühholoogial, mis tähendab, et olenemata tarkvarast on seda väga raske vältida. Isiklikult leian, et häkkerid leiavad alati viisi, kuidas kuhugile sisse murda (''social engineering'' on hea näide, et enam ei läheneta tarkvara poole pealt, vaid hakatakse ära kasutama hoopis inimeste nõrkusi). Minu jaoks on ''social engineering'' väga huvitav nähtus IT-maailmas, sest esmapilgul ei tundu, et rünnata võiks hoopis sellest küljest, arvestades, et inimesed arvavad tihtipeale, et ainuke viis infokaoks on puudulik viirusetõrjeprogramm või viiruseid täis lingid.
-Selleks kasutatakse palju erinevaid meetodeid, millest, üleval pool pikemalt räägiti. Minu arvates on väga kavalad nipid välja mõeldud, et saada infot.
-See on ka ilmselt parim võimalik viis saada tänapäeval infot, kui väga palju turvaauke on parandatud ja küberturve nii hästi arenenud, et rünnetele vastu saada.
+Antud artikkel koostati aine "Operatsioonisüsteemide administreerimine ja sidumine" raames, et lähemalt tutvustada ''social engineering'''ut kui sellist ning tuua välja mõned ohukohad ning asjaolud, mille teadmine oleks ka administreerijale kasulik.
 ==Viited==