Sociālā inženierija

Sociālā inženierija informācijas drošības kontekstā nozīmē cilvēka psiholoģisku manipulēšanu, lai panāktu noteiktu darbību veikšanu vai konfidenciālas informācijas izpaušanu. Tas ir uzticēšanās trika veids ar mērķi savākt informāciju, apkrāpt, vai iegūt piekļuvi sistēmai.

Termins "sociālā inženierija" kā psiholoģiska manipulēšana ir saistīts arī ar sociālajām zinātnēm, taču tas ir izplatīts arī datorspeciālistu un informācijas drošības speciālistu vidū.

Metodes 
Visas sociālās inženierijas metodes balstās uz noteiktām cilvēku lēmumu pieņemšanas īpašībām, pazīstamām kā kognitīvie aizspriedumi. Šie aizspriedumi tiek izmantoti dažādās kombinācijās, lai radītu uzbrukuma metodes, no kurām dažas šeit uzskaitītas. Sociālās inženierijas uzbrukumi var tikt lietoti lai nozagtu uzņēmuma darbinieku slepeno informāciju. Visizplatītākā sociālās inženierijas metode ir lietot telefonu.

Viens no sociālās inženierijas piemēriem ir persona, kas ieiet ēkā un ievieto oficiāla izskata paziņojumu, ka uzņēmuma atbalsta dienesta tālruņa numurs ir mainīts. Kad darbinieki zvana uz atbalsta dienestu, persona noskaidro lietotāju vārdus un paroles, šādi iegūstot piekļuvi privātai informācijai.

Cits piemērs: urķis sazinās ar uzbrukuma mērķi sociālajā tīklā un uzsāk sarunu. Pamazām urķis iegūst uzbrukuma mērķa personas uzticību un tad iegūst piekļuvi tādai sensitīvai informācijai kā paroles vai bankas konta detaļas.

Aizbildināšanās 
Aizbildināšanās ir izdomāta scenārija radīšana un izmantošana par iemeslu, lai iesaistītu uzbrukuma mērķa personu darbībās, kas liek izpaust informāciju, vai veikt darbības, kas netiktu veiktas parastos apstākļos. Safabricēti meli visbiežāk ietver iepriekšēju izpēti vai sagatavošanos un tēlojumu, lai iegūtu mērķa personas uzticību.

Pikšķerēšana 
Pikšķerēšana ir krāpšanas metode privātas informācijas ieguvei. Parasti uzbrucējs sūta epastu, kas izskatās kā saņemts no īsta uzņēmuma, piemēram, no bankas, pieprasot informācijas apstiprināšanu un brīdinot par sekām, ja apstiprinājums netiks saņemts. Epasts parasti satur saiti uz krāpniecisku tīmekļa lapu, kas izskatās īsta, un satur laukus tādas informācijas ievadei kā mājas adrese vai bankas karšu PIN kodi.

Citas metodes 
Plaši izplatītas metodes ietver: pikšķerēšanu pa telefonu; ēsmu izlikšanu; Quid pro quo jeb kaut kas pret kaut ko; sekošanu cilvēkam, kuram ir piekļuve u.c.

Pretpasākumi 
Uzņēmumi var samazināt drošības riskus dažādos veidos, piemēram:
 Apmācot darbiniekus darbam ar sensitīvu informāciju;
 Atpazīstot sensitīvu informāciju un novērtējot informācijas piekļuves riskus;
 Ieviešot drošības procedūras un noteikumus;

Ievērojami sociālie inženieri

Kevins Mitniks 
Vispirms datornoziedznieks un pēc tam datordrošības konsultants Kevins Mitniks norāda, ka ir daudz vieglāk apmuļķot kādu, lai uzzinātu paroli, nekā pūlēties un uzlauzt sistēmu.

Christopher Hadnagy 
Kristofers Hednegijs (Christopher Hadnagy) ir datordrošības profesionālis, kurš uzrakstīja pirmo ietvaru nosakot fiziskus un psiholoģiskus sociālās inženierijas principus. Viņš ir pazīstams kā grāmatu autors un firmas "Social engineer" dibinātājs.

Citi 
Citi sociālie inženieri ir, piemēram, Frenks Abagneils (Frank Abagnale), Deivds Bennons (David Bannon), Pīters Fosters (Peter foster) un Stīvens Džejs Rassels (Steven Jay Russel).

Sociālā inženierija popkultūrā 
 Filmā "Identitātes zagle", galvenā varone izmanto izlikšanos, lai nozagtu cita tēla identitāti.
 Filmā Hackers, galvenais varonis izmanto izlikšanos par svarīgu priekšnieku, lai no apsarga noskaidrotu TV stacijas modema telefona numuru.
 Filmā Live Free or Die Hard, tēls izliekas, ka viņa tēvs mirst, lai panāktu, ka cits tēls iedarbina mašīnu, kura pēc tam tiek nozagta.
 Filmā The Thomas Crown Affair, viens no tēliem izliekas par muzeja apsargu priekšnieku, lai panāktu, ka apsargs pamet savu darba vietu.
 Džeimss Bonds filmā Diamonds Are Forever, iekļūst laboratorijā ar visaugstākā drošības līmeņa sistēmu, izmantojot sekošanu. Viņš pagaida, kamēr cits darbinieks atver durvis, tad, izliekoties par jauniņo, tiek ielaists laboratorijā.

Atsauces 

Kibernoziedzība