Sosial mühəndislik, kiber piratlar tərəfindən uzun illərdir istifadə edilən və effektlilik baxımından müvəffəqiyyət nisbəti yüksək olan bir hücum növüdür. Sosial mühəndislik hücumları texnika və texniki biliklərdən qeyri asılı olduğuna, birbaşa insan psixologiyasına xitab etməsi səbəbiylə görə digər hücumlar kimi qarşısı heç də asan alına biləcək hücum deyil.
Bu qədər məşhur və müvəffəqiyyət nisbəti yüksək olan bu hücum növü hələ də informasiya təhlükəsizliyi mütəxəssislərinin böyük əksəriyyəti tərəfindən ciddi hücum olaraq qəbul edilməməkdədir.
Bunun təməl səbəbi də sosiyal mühəndislik hücumlarının hər hansı bir texniki məlumata sahib olmağı tələb etməyəcək qədər asan reallaşdırıla bilinməsidir.
Halbuki hər zaman çətin olan deyil, sadə olan və son istifadəçini hədəf alan hücumlar zərər verirlər.
Sosial mühəndislik hücumlarının son illərdə artması sızma testləri əhatəsinə də girməsinə səbəb olmuşdur. Sızma testlərində ümumiyyətlə üç növ sosial mühəndislik testləri reallaşdırılmaqdadır.
Telefon yoluyla reallaşdırılan testlər;
Fiziki testlər;
E-poçt istifadə edərək reallaşdırılan testlər.
Sosial mühəndislik hücumlarında ən sıx seçilən üsul e-poçt istifadəsidir. Minlərlə insanı telefonla axtararaq bir şeyə razı salmaq yerinə minlərlə insana bir dənə cəlbedici e-poçt göndərərək bir linkə tıklatmak, bir məlumat girməsini tələb etmək daha asandır.
2012-ci ildə dünyanın bir sıra araşdırma şirkətləri tərəfindən reallaşdırılan sızma testlərində sosial mühəndislik hücumunun müvəffəqiyyət nisbəti 12-15 faiz ətrafında olmuşdur. Edilən bütün testlərin firmalarının hədəflədiyi düşünülsə, bu nisbətlər olduqca ciddidir.
E-poçt üzərindən sosial mühəndislik hücumunu reallaşdırmaq üçün üç təməl komponentə ehtiyac duyulmaqdadır.
Bunlar:
Hücumda istifadə ediləcək e-poçt ünvanları (korporativ ünvanlar);
Hücumda istifadə ediləcək ssenari;
IT infrastrukturu (saxta ünvanlardan e-poçt göndərilməsi, bənzər domen adlarının alınması və.s);
Korporativ e-poçt ünvanlarını internetdən tapmaq ücün ümumiyyətlə aşağıda sadalanan proqramlar istifadə edilməkdədir:
TheHarvester;
Metasploit Aux;
Maltego.
Theharvester kimi vasitələr Google, Bing, Yahoo və.s axtarış motorlarından istifadə edərək əlaqədar domenlərə aid e-poçtları axtarmaqdadır. Bir çox firmalar məlumat təhlükəsizliyi siyasətinə əsasən işçilərin internetə korporativ e-poçt ünvanı ilə üzv olmalarını qadağan etməkdə və bunu nizamlı olaraq nəzarətdə saxlamaqdadır.
Bu vəziyyətdə internetdən e-poçt ünvanı tapmaq və bu ünvanları hədəfləyən sosial mühəndislik hücumları reallaşdırmaq o qədər də mümkün olmamaqdadır.
Halbuki LinkedIN kimi iş dünyasının ürəyi sayılacaq bir tətbiq ödənişsiz olaraq bir çox təşkilata aid işçilərin məlumatlarını saxlamaqdadır. Orta və böyük biznes təşkilatlarında işləyənlərin təxminən 60 faizi LinkedIN profilinə malikdir. Bu da təxminən 3 000 işçisi olan bir təşkilatın 1 800 işçisinin LinkedIn hesabı olması deməkdir.
LinkedIN interfeysindən bir firmanın işçisinin profil məlumatlarını ödənişsiz olaraq götürmək mümkündür.
Bununla birlikdə LinkedIN ödənişsiz üzvlüklə hər firma üçün 110 adama - əgər üzv xüsusiyyətlərindən gizlədilməmişdirsə - bütün məlumatları uzaqdan təmin etdiyi bir İP ilə götürmək icazəsi verməkdədir. Bu qiymətsiz dəyərdəki məlumatları yazdığınız bir ruby scripti ilə götürməyi sınaqdan keçirsəniz, əmin olacaqsınız ki, internetdə heç vaxt tapa bilməyəcəyiniz qədər korporativ e-poçtu LinkedIN vasitəsi ilə əldə etmək mümkündür.
Qaynar.info
