Izvedba napada s pomocjo socialnih omrezij

650 views
503 views

Published on

Matej Saksida, mag. var., je na NT konferenci 2011 v predavanju »Izvedba napada s pomočjo socialnih omrežij« prikazal praktični primer uporabe socialnih omrežij za pridobitev zaupnih podatkov, ki so potrebni za izvedbo vdora v informacijski sistem ter predstavil načine, kako se lahko tem napadom učinkovito zoperstavimo tudi s pomočjo uporabe portala SharePoint.

Predavanje si lahko ogledate tukaj
http://vimeo.com/24820726

Published in: Business
0 Comments
1 Like
Statistics
Notes
  • Be the first to comment

No Downloads
Views
Total views
650
On SlideShare
0
From Embeds
0
Number of Embeds
1
Actions
Shares
0
Downloads
2
Comments
0
Likes
1
Embeds 0
No embeds

No notes for slide

Izvedba napada s pomocjo socialnih omrezij

  1. 1. NT konferenca 2011Izvedba napada s pomočjosocialnih omrežij2011mag. Matej Saksida, S&T Slovenija
  2. 2. NT KONFERENCAS&T Slovenija v številkah
  3. 3. NT KONFERENCAVsebina predavanja Social Engineering: Because There Is No Patch To Human Stupidity • Zakaj varnostni sistemi niso (več) učinkoviti? • Kaj je socialni inženiring in kako ga izvesti? • Kako lahko zmanjšamo tveganja? Varnost ?!?
  4. 4. NT KONFERENCAVarnost ni tehnologija TEHNOLOGIJA PROCESI LJUDJE
  5. 5. NT KONFERENCAKriminalce zanimajo ljudje Napad na RSA • pridobljeni podatki o sistemu SecurID • napad je bil izvršen nad zaposlenimi • priponka v e-sporočilu je bila okužena Vir: http://goo.gl/hHPY3
  6. 6. NT KONFERENCAKriminalce zanimajo ljudje Napad na RSA • napad z uporabo socialnega inženiringa • ciljno področje: gospodarstvo • cilj: pridobitev zaupnih informacij • 140 telefonskih klicev in e-sporočil Izkupiček • 135 zaposlenih na telefonu • 90% na e-sporočilih Vir: http://goo.gl/QjbTa
  7. 7. NT KONFERENCAVarovanje informacij je vse bolj odvisno od zaposlenih Statistični podatki o napadih na zaposlene ter trendi • 28% napadov je usmerjenih v zaposlene • napadi na zaposlene naraščajo (+16%) • e-pošta in socialna omrežja • napade je zelo težko odkriti • napadi ostanejo nekaznovani
  8. 8. NT KONFERENCAKaj je socialni inženiring? „…način uporabe znanosti in umetnosti z namenom, da „napadena“ oseba izpolni naše želje…“ Ključni elementi uspeha: • zaupanje • občutek zadovoljstva • dober odnos
  9. 9. NT KONFERENCAKaj je socialni inženiring? Primer iz vsakdanje prakse
  10. 10. NT KONFERENCAKaj je socialni inženiring? Socialni inženiring je lahko … ZLONAMERN DOBRONAMEREN
  11. 11. NT KONFERENCAKaj je socialni inženiring? Socialni inženiring je lahko … • gledanje čez ramo (shoulder surfing) • anketiranje (mail-outs) • neposredni pristop (direct approach) • pomembni uporabnik (important user) • nemočen uporabnik (helpless user) • osebje za tehnično pomoč (technical support) • nasprotni socialni inženiring (rev. social eng.) • elektronska pošta, internet, socialna omrežja…
  12. 12. NT KONFERENCAKaj je socialni inženiring? CATCH ME IF YOU CAN Steven Spielberg, 2002
  13. 13. NT KONFERENCAIzvedba napada s pomočjo socialnih omrežij Zakaj uporabljati socialna omrežja za izvedbo napada? • 600 milijonov uporabnikov (Facebook) • 650 tisoč uporabnikov iz Slovenije • 60% uporabnikov internet • 1/3 dodaja popolne neznane • 1/5 uporabnikov deli svoje geslo
  14. 14. NT KONFERENCAIzvedba napada s pomočjo socialnih omrežij
  15. 15. NT KONFERENCAIzvedba napada s pomočjo socialnih omrežij Priprava na napad • zaščita lastne identitete • „sveža“ namestitev operacijskega sistema • šifriranje trdega diska (TrueCrypt) • uporaba anonimizacije (Tor Browser Bundle) • zbiranje potrebnih informacij (opcijsko) • spletna stran • bivši zaposleni… • priprava plana (kaj želimo doseči)
  16. 16. NT KONFERENCAIzvedba napada s pomočjo socialnih omrežij Lažni elektronski naslov
  17. 17. NT KONFERENCAIzvedba napada s pomočjo socialnih omrežij Lažna identiteta • ženska • 25-35 let • samska • Izobražena • zanimiva
  18. 18. NT KONFERENCAIzvedba napada s pomočjo socialnega omrežjafacebook Izbira žrtve
  19. 19. NT KONFERENCAIzvedba napada s pomočjo socialnih omrežij Zbiranje osnovnih informacij
  20. 20. NT KONFERENCAIzvedba napada s pomočjo socialnih omrežij Pridobivanje njegovih prijateljev
  21. 21. NT KONFERENCAIzvedba napada s pomočjo socialnih omrežij Naj se igra prične
  22. 22. NT KONFERENCAKako prepoznati napad s socialnim inženiringom? • neobičajne zahteve • zahtevanje spoštovanja avtoritete • poudarjanje nujnosti • grožnje z negativnimi posledicami • dajanje pohval in laskanje • zapeljevanje • dajanje informacij po „kapljicah“…
  23. 23. NT KONFERENCAKako zmanjšati tveganja socialnega inženiringa? • natančno definirana pravila igre • politike, procedure, klasifikacija, odziv na incidente… • redno izobraževanje in preverjanje • polletni seminarji, portali, najem zunanjega izvajalca... • uporaba napredne varnostne tehnologije • sistemi SIEM, DLP, šifriranje…
  24. 24. NT KONFERENCAS&T pristop k celoviti varnosti

×