Продолжаем изучение
книги Кевина Митника и Вильяма Саймона «Искусство обмана».
Подключение к системе
Принцип
использования такой информации для обмана кого то в государственной или
коммерческой организации тот же: поскольку социальный инженер знает, как
получить доступ к специальным базам данных или приложениям, или узнать имена
серверов компании, жертвы начинают полагать, что он говорит правду. И это ведет
к доверию.
Если социального
инженера есть такие коды, то получение информации для него – легкий процесс. В
этом примере, он мог начать со звонка служащему местного полицейского
управления, и задать вопросы относительно одного из кодов в руководстве –
например, код правонарушения. Он мог, например, говорить «когда я делаю запрос
в NCIC, я получаю ошибку „Системная ошибка“. Вы получаете то же самое, делая
запрос? Вы не могли бы пробовать это для меня?» Или он может сказать, что
попытался найти wpf – на полицейском жаргоне файл на разыскиваемую особу.
Служащий на другом
конце телефона узнает по жаргону, что звонящий знаком с процедурами и командами
запросов в базе данных NCIC. Кто еще кроме служащих может знать такие тонкости?
После того, как
служащий подтвердит, что система работает хорошо, разговор мог быть
приблизительно таким:
«Я мог бы вам
немножко помочь. Что Вы ищете»?
«Мне нужно сделать
запрос про Редрона, Мартина. Дата рождения 10/18/66.»
«Что какой у него
SOSH?» (Служители закона иногда ссылаются на номер социального страхования как
SOSH .)
«700 14 7435.»
После просмотра
листинга, он могла бы сказать, например, «Его номер – 2602.»
Атакующий должен
только посмотреть в базе NCIC, чтобы узнать значение числа: какие преступления
совершил человек.
Анализ обмана
Совершенный
социальный инженер не остановится ни на минуту, чтобы обдумывать пути взлома
базы данных NCIC. А зачем задумываться, когда он просто позвонил в местный
полицейский отдел, спокойно говорил, и звучал убедительно, будто он работает в
компании, – и это все, что потребовалось, чтобы получить нужную ему информацию?
И в следующий раз, он просто позвонит в другой полицейский участок и использует
тот же предлог.
Поучать может каждый, но стоит ли доверять этим поучениям.
Если у вас есть проблема в жизни, и вам нужна помощь, пишите
по адресу rasvopros@mail.ru с пометкой «проблема» в теме
письма.
Все представленные материалы носят ИСКЛЮЧИТЕЛЬНО
ознакомительный (образовательный) характер. Некоторые материалы взяты из
открытых источников в сети или были присланы подписчиками. Если Вы посчитали,
что Ваши авторские права были нарушены - сообщите, и мы вместе постараемся придти
к обоюдоприемлемому решению. Обладатели авторских прав на материалы,
опубликованные в рассылке, выступающие против их дальнейшего размещения и
распространения могут обратиться с просьбой об их удалении.
Copyright Андрей Луда, 2006-2019 г.г. Автор оставляет за
собой право отвечать не на все полученные письма и опубликовывать полностью или
частично, полученные письма без предварительного согласования. В случае, если
Вы желаете свое письмо оставить конфиденциальным, письменно сообщите об этом.
