Successfully reported this slideshow.
We use your LinkedIn profile and activity data to personalize ads and to show you more relevant ads. You can change your ad preferences anytime.

Izvedba napada s pomocjo socialnih omrezij

717 views

Published on

Matej Saksida, mag. var., je na NT konferenci 2011 v predavanju »Izvedba napada s pomočjo socialnih omrežij« prikazal praktični primer uporabe socialnih omrežij za pridobitev zaupnih podatkov, ki so potrebni za izvedbo vdora v informacijski sistem ter predstavil načine, kako se lahko tem napadom učinkovito zoperstavimo tudi s pomočjo uporabe portala SharePoint.

Predavanje si lahko ogledate tukaj
http://vimeo.com/24820726

Published in: Business
  • Be the first to comment

Izvedba napada s pomocjo socialnih omrezij

  1. 1. NT konferenca 2011Izvedba napada s pomočjosocialnih omrežij2011mag. Matej Saksida, S&T Slovenija
  2. 2. NT KONFERENCAS&T Slovenija v številkah
  3. 3. NT KONFERENCAVsebina predavanja Social Engineering: Because There Is No Patch To Human Stupidity • Zakaj varnostni sistemi niso (več) učinkoviti? • Kaj je socialni inženiring in kako ga izvesti? • Kako lahko zmanjšamo tveganja? Varnost ?!?
  4. 4. NT KONFERENCAVarnost ni tehnologija TEHNOLOGIJA PROCESI LJUDJE
  5. 5. NT KONFERENCAKriminalce zanimajo ljudje Napad na RSA • pridobljeni podatki o sistemu SecurID • napad je bil izvršen nad zaposlenimi • priponka v e-sporočilu je bila okužena Vir: http://goo.gl/hHPY3
  6. 6. NT KONFERENCAKriminalce zanimajo ljudje Napad na RSA • napad z uporabo socialnega inženiringa • ciljno področje: gospodarstvo • cilj: pridobitev zaupnih informacij • 140 telefonskih klicev in e-sporočil Izkupiček • 135 zaposlenih na telefonu • 90% na e-sporočilih Vir: http://goo.gl/QjbTa
  7. 7. NT KONFERENCAVarovanje informacij je vse bolj odvisno od zaposlenih Statistični podatki o napadih na zaposlene ter trendi • 28% napadov je usmerjenih v zaposlene • napadi na zaposlene naraščajo (+16%) • e-pošta in socialna omrežja • napade je zelo težko odkriti • napadi ostanejo nekaznovani
  8. 8. NT KONFERENCAKaj je socialni inženiring? „…način uporabe znanosti in umetnosti z namenom, da „napadena“ oseba izpolni naše želje…“ Ključni elementi uspeha: • zaupanje • občutek zadovoljstva • dober odnos
  9. 9. NT KONFERENCAKaj je socialni inženiring? Primer iz vsakdanje prakse
  10. 10. NT KONFERENCAKaj je socialni inženiring? Socialni inženiring je lahko … ZLONAMERN DOBRONAMEREN
  11. 11. NT KONFERENCAKaj je socialni inženiring? Socialni inženiring je lahko … • gledanje čez ramo (shoulder surfing) • anketiranje (mail-outs) • neposredni pristop (direct approach) • pomembni uporabnik (important user) • nemočen uporabnik (helpless user) • osebje za tehnično pomoč (technical support) • nasprotni socialni inženiring (rev. social eng.) • elektronska pošta, internet, socialna omrežja…
  12. 12. NT KONFERENCAKaj je socialni inženiring? CATCH ME IF YOU CAN Steven Spielberg, 2002
  13. 13. NT KONFERENCAIzvedba napada s pomočjo socialnih omrežij Zakaj uporabljati socialna omrežja za izvedbo napada? • 600 milijonov uporabnikov (Facebook) • 650 tisoč uporabnikov iz Slovenije • 60% uporabnikov internet • 1/3 dodaja popolne neznane • 1/5 uporabnikov deli svoje geslo
  14. 14. NT KONFERENCAIzvedba napada s pomočjo socialnih omrežij
  15. 15. NT KONFERENCAIzvedba napada s pomočjo socialnih omrežij Priprava na napad • zaščita lastne identitete • „sveža“ namestitev operacijskega sistema • šifriranje trdega diska (TrueCrypt) • uporaba anonimizacije (Tor Browser Bundle) • zbiranje potrebnih informacij (opcijsko) • spletna stran • bivši zaposleni… • priprava plana (kaj želimo doseči)
  16. 16. NT KONFERENCAIzvedba napada s pomočjo socialnih omrežij Lažni elektronski naslov
  17. 17. NT KONFERENCAIzvedba napada s pomočjo socialnih omrežij Lažna identiteta • ženska • 25-35 let • samska • Izobražena • zanimiva
  18. 18. NT KONFERENCAIzvedba napada s pomočjo socialnega omrežjafacebook Izbira žrtve
  19. 19. NT KONFERENCAIzvedba napada s pomočjo socialnih omrežij Zbiranje osnovnih informacij
  20. 20. NT KONFERENCAIzvedba napada s pomočjo socialnih omrežij Pridobivanje njegovih prijateljev
  21. 21. NT KONFERENCAIzvedba napada s pomočjo socialnih omrežij Naj se igra prične
  22. 22. NT KONFERENCAKako prepoznati napad s socialnim inženiringom? • neobičajne zahteve • zahtevanje spoštovanja avtoritete • poudarjanje nujnosti • grožnje z negativnimi posledicami • dajanje pohval in laskanje • zapeljevanje • dajanje informacij po „kapljicah“…
  23. 23. NT KONFERENCAKako zmanjšati tveganja socialnega inženiringa? • natančno definirana pravila igre • politike, procedure, klasifikacija, odziv na incidente… • redno izobraževanje in preverjanje • polletni seminarji, portali, najem zunanjega izvajalca... • uporaba napredne varnostne tehnologije • sistemi SIEM, DLP, šifriranje…
  24. 24. NT KONFERENCAS&T pristop k celoviti varnosti

×