sunyboy
03-07-2015, 10:30 AM
به گزارش خبرگزاری مهر، سازمان‌ها در همه جای دنیا از همه نوع فناوری برای کمک به حفاظت از زیرساخت‌ها و نقاط پایانی در برابر خطرات امنیتی بهره برده‌اند. اما فناوری تنها موردی نیست که باید ایمن‌سازی شود. در گزارش تازه‌ای که شرکت امنیتی اینتل سکیوریتی منتشر کرده و عنوان آن «هک کردن سیستم عامل انسانی» نام دارد، محققان در مورد نقش مهندسی اجتماعی در امنیت سایبری می‌گویند.
در این گزارش، مهندسی اجتماعی این‌گونه تعریف شده است: «کاربرد عامدانه تکنیک‌های فریبکارانه‌ای که طراحی شده‌اند تا افراد را وادار به افشای اطلاعات یا انجام اقداماتی کنند که احتمالاً به انتشار آن اطلاعات منجر شود.»
اینتل سکیوریتی توضیح می‌دهد که دو نوع حمله مهندسی اجتماعی وجود دارد: شکار و کِشت؛ در حملات شکار، مجرمان در صدد کسب اطلاعات و استفاده از کاربران با حداقل تعامل‌اند در حالی که در حملات کشت، مهاجمان ارتباطی با قربانی برقرار و سپس در طول زمان اطلاعات را استخراج می‌کنند.
به گفته راج سامانی، معاون و مسئول ارشد فناوری در اینتل سکیوریتی، ایمیل در تمام انواع مهندسی اجتماعی اصلی‌ترین عامل خطر است.
طبق گزارش سازمان فناوری اطلاعات ایران، اینتل سکیوریتی با آزمون آنلاینی که در ماه مه سال ۲۰۱۴ به اجرا در آورد نشان داد که چقدر راحت می‌توان با ایمیل فیشینگی که برای مهندسی اجتماعی طراحی شده، افراد را به دام انداخت. هدف این آزمون کسب اطلاع از میزان مهارت آزمون‌دهندگان در شناسایی حملات فیشینگ بدافزاری در میان ایمیل‌های کاری بود.
به گفته این متخصص، در میان بیش از ۱۶۰۰۰ شرکت‌کننده این آزمون، ۸۰ درصد لااقل در دام یکی از هفت ایمیل فیشینگ افتادند. علاوه بر این، معلوم شد که کارکنان بخش‌های حسابداری و مالی و منابع انسانی – که حساس‌ترین داده‌های شرکت‌ها را در اختیار دارند- بدتر از سایر بخش‌ها عمل می‌کنند.
بسته به این که حمله مهندسی اجتماعی برای شکار است یا کشت، اینتل سکیوریتی چهار مرحله را برای این حملات شناسایی کرده است؛ نخست تحقیق است که برای برخی از حملات که در واقع هدفی ندارند اختیاری است. دوم به دام انداختن است که شامل درگیر کردن هدف و ایجاد داستانی است که موجب شکل‌گیری تعامل می‌شود.
مرحله سوم چیزی است که اینتل سکیوریتی با عنوان «بازی» از آن یاد می‌کند و این مرحله‌ای از مهندسی اجتماعی است که برای استخراج اطلاعات طراحی شده است. مرحله چهارم و آخر، خروج است که طی آن، هدف مهاجم پایان دادن به تعامل با قربانی است، بدون این‌که قربانی متوجه شود که مورد سوء‌استفاده قرار گرفته است.
در گزارش اینتل سکیوریتی آمده است که افراد، فرایندها، و فناوری برای کاستن از خطر لازم‌اند. فناوری به تنهایی برای محافظت کاربران کافی نیست زیرا مسیرهای تهاجم فراتر از مکانیسم‌های ارتباطات دیجیتالی است.
مسئول ارشد فناوری در اینتل سکیوریتی گفته است: « ایمیل متداول‌ترین روش است اما ارتباط رودررو، تلفن و موارد دیگر را نیز مدنظر قرار دهید. واقعیت این است که تنها مجموعه‌ای از کنترل‌ها می‌تواند بهترین راه مبارزه با این خطر باشد.»
به نظر نمی‌رسد که در سال ۲۰۱۵ و بعد از آن حملات مهندسی اجتماعی کاهشی پیدا کند و احتمال رشد ارزش داده‌های شخصی و تقاضای بازار برای داده‌های سرقتی نیز وجود دارد.
به گفته سامانی «این روش کار اکثر گروه‌های مجرمان سایبری و نیز گروه‌های هکتیویست است. واقعیت این است که حملات اجتماع‌بنیاد در آینده قابل‌پیش‌بینی همچنان ادامه خواهد داشت.»
http://pnu-club.com/imported/2015/02/30.gif
در این گزارش، مهندسی اجتماعی این‌گونه تعریف شده است: «کاربرد عامدانه تکنیک‌های فریبکارانه‌ای که طراحی شده‌اند تا افراد را وادار به افشای اطلاعات یا انجام اقداماتی کنند که احتمالاً به انتشار آن اطلاعات منجر شود.»
اینتل سکیوریتی توضیح می‌دهد که دو نوع حمله مهندسی اجتماعی وجود دارد: شکار و کِشت؛ در حملات شکار، مجرمان در صدد کسب اطلاعات و استفاده از کاربران با حداقل تعامل‌اند در حالی که در حملات کشت، مهاجمان ارتباطی با قربانی برقرار و سپس در طول زمان اطلاعات را استخراج می‌کنند.
به گفته راج سامانی، معاون و مسئول ارشد فناوری در اینتل سکیوریتی، ایمیل در تمام انواع مهندسی اجتماعی اصلی‌ترین عامل خطر است.
طبق گزارش سازمان فناوری اطلاعات ایران، اینتل سکیوریتی با آزمون آنلاینی که در ماه مه سال ۲۰۱۴ به اجرا در آورد نشان داد که چقدر راحت می‌توان با ایمیل فیشینگی که برای مهندسی اجتماعی طراحی شده، افراد را به دام انداخت. هدف این آزمون کسب اطلاع از میزان مهارت آزمون‌دهندگان در شناسایی حملات فیشینگ بدافزاری در میان ایمیل‌های کاری بود.
به گفته این متخصص، در میان بیش از ۱۶۰۰۰ شرکت‌کننده این آزمون، ۸۰ درصد لااقل در دام یکی از هفت ایمیل فیشینگ افتادند. علاوه بر این، معلوم شد که کارکنان بخش‌های حسابداری و مالی و منابع انسانی – که حساس‌ترین داده‌های شرکت‌ها را در اختیار دارند- بدتر از سایر بخش‌ها عمل می‌کنند.
بسته به این که حمله مهندسی اجتماعی برای شکار است یا کشت، اینتل سکیوریتی چهار مرحله را برای این حملات شناسایی کرده است؛ نخست تحقیق است که برای برخی از حملات که در واقع هدفی ندارند اختیاری است. دوم به دام انداختن است که شامل درگیر کردن هدف و ایجاد داستانی است که موجب شکل‌گیری تعامل می‌شود.
مرحله سوم چیزی است که اینتل سکیوریتی با عنوان «بازی» از آن یاد می‌کند و این مرحله‌ای از مهندسی اجتماعی است که برای استخراج اطلاعات طراحی شده است. مرحله چهارم و آخر، خروج است که طی آن، هدف مهاجم پایان دادن به تعامل با قربانی است، بدون این‌که قربانی متوجه شود که مورد سوء‌استفاده قرار گرفته است.
در گزارش اینتل سکیوریتی آمده است که افراد، فرایندها، و فناوری برای کاستن از خطر لازم‌اند. فناوری به تنهایی برای محافظت کاربران کافی نیست زیرا مسیرهای تهاجم فراتر از مکانیسم‌های ارتباطات دیجیتالی است.
مسئول ارشد فناوری در اینتل سکیوریتی گفته است: « ایمیل متداول‌ترین روش است اما ارتباط رودررو، تلفن و موارد دیگر را نیز مدنظر قرار دهید. واقعیت این است که تنها مجموعه‌ای از کنترل‌ها می‌تواند بهترین راه مبارزه با این خطر باشد.»
به نظر نمی‌رسد که در سال ۲۰۱۵ و بعد از آن حملات مهندسی اجتماعی کاهشی پیدا کند و احتمال رشد ارزش داده‌های شخصی و تقاضای بازار برای داده‌های سرقتی نیز وجود دارد.
به گفته سامانی «این روش کار اکثر گروه‌های مجرمان سایبری و نیز گروه‌های هکتیویست است. واقعیت این است که حملات اجتماع‌بنیاد در آینده قابل‌پیش‌بینی همچنان ادامه خواهد داشت.»
http://pnu-club.com/imported/2015/02/30.gif