Nima bu Ijtimoiy muhandislik? Diqqat qilish kerak bo'lgan 11 ta misol
Mundarija
Ijtimoiy muhandislik nima degani?
Ijtimoiy muhandislik deganda odamlarning maxfiy ma'lumotlarini olish uchun manipulyatsiya qilish harakati tushuniladi. Jinoyatchilar qidiradigan ma'lumotlar har xil bo'lishi mumkin. Odatda, shaxslar o'zlarining bank rekvizitlari yoki hisob parollari uchun mo'ljallangan. Jinoyatchilar, shuningdek, zararli dasturlarni o'rnatish uchun qurbonning kompyuteriga kirishga harakat qilishadi. Ushbu dastur ularga kerak bo'lgan har qanday ma'lumotni olishda yordam beradi.
Jinoyatchilar ijtimoiy muhandislik taktikalaridan foydalanadilar, chunki ko'pincha odamning ishonchini qozonish va shaxsiy ma'lumotlardan voz kechishga ishontirish orqali uni ekspluatatsiya qilish oson. Bu kimningdir kompyuteriga uning xabarisiz to'g'ridan-to'g'ri kirishdan ko'ra qulayroq usul.
Ijtimoiy muhandislik misollari
Ijtimoiy muhandislik qanday amalga oshirilishi haqida ma'lumotga ega bo'lish orqali o'zingizni yaxshiroq himoya qila olasiz.
1. Baholash
Jinoyatchi muhim vazifani bajarish uchun jabrlanuvchining maxfiy ma'lumotlariga kirishni xohlasa, oldindan aytib berish qo'llaniladi. Buzg'unchi ma'lumotni bir nechta puxta o'ylangan yolg'on orqali olishga harakat qiladi.
Jinoyatchi jabrlanuvchi bilan ishonchni o'rnatishdan boshlaydi. Bu ularning do'stlari, hamkasblari, bank xodimlari, politsiya yoki bunday nozik ma'lumotlarni so'rashi mumkin bo'lgan boshqa organlarga taqlid qilish orqali amalga oshirilishi mumkin. Hujumchi ularga shaxsini tasdiqlash bahonasi bilan bir qator savollar beradi va bu jarayonda shaxsiy ma’lumotlarni to‘playdi.
Ushbu usul shaxsdan barcha turdagi shaxsiy va rasmiy ma'lumotlarni olish uchun ishlatiladi. Bunday ma'lumotlar shaxsiy manzillar, ijtimoiy xavfsizlik raqamlari, telefon raqamlari, telefon yozuvlari, bank rekvizitlari, xodimlarning ta'til kunlari, korxonalar bilan bog'liq xavfsizlik ma'lumotlari va boshqalarni o'z ichiga olishi mumkin.
2. Diversion o'g'irlik
Bu odatda kurerlik va transport kompaniyalariga qaratilgan firibgarlikning bir turi. Jinoyatchi maqsadli kompaniyani aldamoqchi bo'lib, ularni etkazib berish paketini dastlab mo'ljallanganidan boshqa etkazib berish joyiga taqdim etishga majbur qiladi. Ushbu usul pochta orqali etkazib beriladigan qimmatbaho buyumlarni o'g'irlash uchun ishlatiladi.
Ushbu firibgarlik ham oflayn, ham onlayn tarzda amalga oshirilishi mumkin. Paketlarni olib ketayotgan xodimlarga murojaat qilish va etkazib berishni boshqa joyga tushirishga ishonch hosil qilish mumkin. Hujumchilar onlayn yetkazib berish tizimiga ham kirishlari mumkin. Keyin ular etkazib berish jadvalini to'xtatib, unga o'zgartirishlar kiritishlari mumkin.
3. Fishing
Fishing ijtimoiy muhandislikning eng mashhur shakllaridan biridir. Fishing firibgarliklari qurbonlarda qiziqish, qo'rquv yoki shoshilinch tuyg'ularni yaratishi mumkin bo'lgan elektron pochta va matnli xabarlarni o'z ichiga oladi. Matn yoki elektron pochta ularni o'z qurilmalariga zararli dasturlarni o'rnatadigan zararli veb-saytlar yoki qo'shimchalarga olib keladigan havolalarni bosishga undaydi.
Masalan, onlayn xizmat foydalanuvchilari parollarini zudlik bilan o'zgartirishni talab qiluvchi siyosat o'zgarganligi haqida elektron pochta xabarini olishlari mumkin. Xatda asl veb-sayt bilan bir xil bo'lgan noqonuniy veb-saytga havola bo'ladi. Keyin foydalanuvchi o'z hisob ma'lumotlarini qonuniy deb hisoblab, ushbu veb-saytga kiritadi. Ularning ma'lumotlarini taqdim etgandan so'ng, ma'lumotlar jinoyatchiga ochiq bo'ladi.
4. Spear Phishing
Bu ma'lum bir shaxs yoki tashkilotga qaratilgan firibgarlikning bir turi. Buzg'unchi o'z xabarlarini ish o'rinlari, xususiyatlari va jabrlanuvchi bilan bog'liq shartnomalar asosida moslashtiradi, shunda ular haqiqiyroq ko'rinishi mumkin. Spear fishing jinoyatchidan ko'proq harakat talab qiladi va oddiy fishingga qaraganda ancha ko'proq vaqt talab qilishi mumkin. Biroq, ularni aniqlash qiyinroq va muvaffaqiyat darajasi yaxshi.
Misol uchun, tashkilotga nayza bilan fishing qilishga urinayotgan tajovuzkor firmaning IT-maslahatchisi nomini olgan xodimga elektron pochta xabarini yuboradi. E-pochta xati maslahatchi buni qanday bajaradiganiga o'xshash tarzda tuziladi. Bu qabul qiluvchini aldash uchun etarlicha haqiqiy ko'rinadi. Elektron pochta xodimdan o'z ma'lumotlarini yozib oladigan va tajovuzkorga yuboradigan zararli veb-sahifaga havolani taqdim etish orqali o'z parolini o'zgartirishni taklif qiladi.
5. Suv quyish
Ko'pchilik tomonidan muntazam ravishda tashrif buyuriladigan ishonchli veb-saytlardan foydalanish uchun firibgarlik yordam beradi. Jinoyatchi qaysi veb-saytlarga tez-tez tashrif buyurishini aniqlash uchun maqsadli odamlar guruhi haqida ma'lumot to'playdi. Keyin ushbu veb-saytlar zaifliklar uchun sinovdan o'tkaziladi. Vaqt o'tishi bilan ushbu guruhning bir yoki bir nechta a'zolari infektsiyalanadi. Keyin tajovuzkor ushbu zararlangan foydalanuvchilarning xavfsiz tizimiga kira oladi.
Bu nom hayvonlarning chanqaganlarida ishonchli joylariga to'planib suv ichishlari o'xshashligidan kelib chiqqan. Ular ehtiyot choralarini ko'rish haqida ikki marta o'ylamaydilar. Yirtqichlar buni bilishadi, shuning uchun ular yaqin joyda kutishadi va qo'riqchilar ishdan bo'shatilganda ularga hujum qilishga tayyor. Raqamli landshaftdagi suv teshigi bir vaqtning o'zida zaif foydalanuvchilar guruhiga eng halokatli hujumlarni amalga oshirish uchun ishlatilishi mumkin.
6. O'lja qilish
Nomidan ko'rinib turibdiki, o'lja qurbonning qiziqishi yoki ochko'zligini qo'zg'atish uchun yolg'on va'dalardan foydalanishni o'z ichiga oladi. Jabrlanuvchi jinoyatchiga shaxsiy ma'lumotlarini o'g'irlash yoki tizimlariga zararli dasturlarni o'rnatishga yordam beradigan raqamli tuzoqqa tushadi.
Baiting ham onlayn, ham oflayn vositalar orqali amalga oshirilishi mumkin. Oflayn misol sifatida, jinoyatchi o'ljani ko'zga ko'rinadigan joylarda zararli dastur bilan zararlangan flesh-disk shaklida qoldirishi mumkin. Bu maqsadli kompaniyaning lifti, hammomi, to'xtash joyi va boshqalar bo'lishi mumkin. Fleshli disk haqiqiy ko'rinishga ega bo'lib, jabrlanuvchi uni olib, ish yoki uy kompyuteriga joylashtiradi. Keyin flesh-disk zararli dasturlarni tizimga avtomatik ravishda eksport qiladi.
O'lja qilishning onlayn shakllari jozibali va jozibali reklama shaklida bo'lishi mumkin, bu esa qurbonlarni bosishga undaydi. Havola zararli dasturlarni yuklab olishi mumkin, bu esa ularning kompyuteriga zararli dasturlarni yuqtirishi mumkin.
7. Quid Pro Quo
Quid pro quo hujumi "biror narsa uchun" hujumni anglatadi. Bu o'lja texnikasining o'zgarishi. Quid pro-kvo hujumi qurbonlarni foyda va'dasi bilan o'lja qilish o'rniga, agar ma'lum bir harakat bajarilgan bo'lsa, xizmatni va'da qiladi. Hujumchi jabrlanuvchiga kirish yoki ma'lumot evaziga soxta foyda taklif qiladi.
Ushbu hujumning eng keng tarqalgan shakli jinoyatchi kompaniyaning IT-xodimlarini taqlid qilishidir. Shundan so‘ng jinoyatchi kompaniya xodimlari bilan bog‘lanib, ularga yangi dasturiy ta’minot yoki tizimni yangilashni taklif qiladi. Keyin xodimdan antivirus dasturini o'chirib qo'yish yoki yangilanishni xohlasa, zararli dasturlarni o'rnatish so'raladi.
8. Orqaga o'tish
Quyma hujumi piggybacking deb ham ataladi. Bu tegishli autentifikatsiya choralariga ega bo'lmagan cheklangan joyga kirishga intilayotgan jinoyatchini o'z ichiga oladi. Jinoyatchi hududga kirish huquqiga ega bo'lgan boshqa shaxs orqasidan o'tib kirishi mumkin.
Misol tariqasida, jinoyatchi qo'llari paketlarga to'la bo'lgan etkazib berish haydovchisining o'zini tutishi mumkin. U vakolatli xodim eshikdan kirishini kutadi. So'ngra soxta etkazib beruvchi xodimdan eshikni ushlab turishini so'raydi va shu bilan unga ruxsatisiz kirishga ruxsat beradi.
9. Asal tuzog'i
Bu hiyla jinoyatchining internetda jozibali odam bo'lib ko'rinishini o'z ichiga oladi. Odam o'z maqsadlari bilan do'stlashadi va ular bilan onlayn munosabatlarni soxtalashtiradi. Keyin jinoyatchi bu munosabatlardan o'z qurbonlarining shaxsiy ma'lumotlarini olish, ulardan qarz olish yoki kompyuterlariga zararli dasturlarni o'rnatish uchun foydalanadi.
"Asal tuzog'i" nomi qadimgi josuslik taktikasidan kelib chiqqan, bu erda ayollar erkaklarni nishonga olish uchun ishlatilgan.
10. Firibgar
Noqonuniy dasturiy ta'minot noto'g'ri zararli dasturlarga qarshi, noto'g'ri skaner, noto'g'ri qo'rqinchli dastur, josuslarga qarshi dastur va boshqalar ko'rinishida paydo bo'lishi mumkin. Ushbu turdagi kompyuter zararli dasturlari foydalanuvchilarni zararli dasturlarni olib tashlashni va'da qilgan simulyatsiya qilingan yoki soxta dasturiy ta'minot uchun to'lashga undaydi. So'nggi yillarda noto'g'ri xavfsizlik dasturlari tobora ortib borayotgan tashvishga aylandi. Ko'p miqdorda mavjud bo'lgan bunday dasturiy ta'minotning o'ziga ishonchsiz foydalanuvchi osongina o'lja bo'lishi mumkin.
11. Zararli dastur
Zararli dasturiy ta'minot hujumining maqsadi qurbonni o'z tizimlariga zararli dasturlarni o'rnatishga majbur qilishdir. Tajovuzkor jabrlanuvchiga zararli dasturlarni kompyuterlariga kirishiga ruxsat berish uchun insonning his-tuyg'ularini boshqaradi. Ushbu usul fishing xabarlarini yuborish uchun tezkor xabarlar, matnli xabarlar, ijtimoiy tarmoqlar, elektron pochta va boshqalardan foydalanishni o'z ichiga oladi. Ushbu xabarlar qurbonni aldab, zararli dasturni o'z ichiga olgan veb-saytni ochadigan havolani bosadi.
Xabarlar uchun ko'pincha qo'rqitish taktikasi qo'llaniladi. Ular sizning hisobingizda biror narsa noto'g'ri ekanligini va hisobingizga kirish uchun darhol taqdim etilgan havolani bosishingiz kerakligini aytishlari mumkin. Keyin havola sizni zararli dastur kompyuteringizga o'rnatiladigan faylni yuklab olishga majbur qiladi.
Ogoh bo'ling, xavfsiz bo'ling
O'zingizni xabardor qilish o'zingizni himoya qilish yo'lidagi birinchi qadamdir ijtimoiy muhandislik hujumlari. Asosiy maslahat parolingiz yoki moliyaviy ma'lumotlaringizni so'ragan har qanday xabarlarga e'tibor bermaslikdir. Bunday xatlarni belgilash uchun siz elektron pochta xizmatlari bilan birga kelgan spam filtrlaridan foydalanishingiz mumkin. Ishonchli antivirus dasturini olish tizimingizni yanada xavfsizroq qilishga yordam beradi.
