WestFOX

От редакции Нижегородского Информационно Аналитического Еженедельника "Компьютер и не только":


Проблема защиты внутренней корпоративной информации встаёт перед нами иногда очень остро. И мы начинаем уделять ей должное внимание, … но уже поздно. Надеюсь, что эта статья заставит Вас, уважаемый читатель, задуматься об этом серьёзно, пока ещё не поздно, чтобы потом не было мучительно больно за бесцельно потраченные силы, время и деньги.

Главный редактор ИАЕ "Компьютер и не только"
Алексей В. Платов

Введение
Наверное, многие из вас заметили, как много появилось "хакеров" с развитием Интернета. Эти деланные "хакеры" везде показывают свое умение обнаружить "дыру" и взять сервер под свой контроль в Сети. Но все эти "хакеры" прекрасно понимают, что все их умение заключается в нескольких килобайтах кода программы, которую написали вообще другие люди. И умение пользоваться эксплоитом (программой, которая, используя какую-либо "дыру" может предоставить права доступа администратора) не говорит о настоящем умении того или иного индивидуума. Позвольте представить вам технологию, научившись которой вы сможете без проблем получить доступ не просто к какому-либо серверу и управлять им, но и управлять человеком, который стоит за этим сервером. Эта технология называется социальная инженерия.

Краткий обзор
Наверняка вы слышали выражение "социальная инженерия", но вряд ли представляли себе насколько это реально работающая технология, если ей пользоваться умело. "Социальная инженерия" - это одна из частей социальной психологии, направленная лишь на то, чтобы манипулировать людьми или внедрять в их разум новую модель поведения. Она удивительна тем, что включает в себя очень широкий набор различных техник и методик, позаимствованных из нейро-лингвистического программирования, практической психологии, гипноза, и других техник воздействия на бессознательное человека. Каждый в жизни, наверное, сталкивался с тем, что кто-то на него воздействовал методами социальной инженерии, но, скорее всего оба этих человека, и жертва, и охотник не догадывались об этом. Вы можете столкнуться с этим в магазине, когда вам пытаются продать какой-либо товар. Или по телевидению, когда вам рекламируют "замечательный" товар, который на самом деле далеко не "замечательный", и так далее. Но как вы заметили, во всех этих ситуациях, никто не догадывается, о том, как именно происходит воздействие на сознание, как именно вас побуждают совершить то или иное действие (ежесекундно проанализировать ситуацию под силу лишь опытным PR-щикам и маркетологам), просто потому, что обычно этому не учат. Я попытаюсь вам рассказать о профессиональной инженерии, когда все ваши усилия будут направлены на достижение какой-либо цели.

Для более понятного объяснения сути работы этой технологии, я буду прерываться для того, чтобы показать вам примеры работы некого человека, знакомого с этой технологией.

Вот первый пример:


- "Извините, а вы куда?" - зло спросил охранник, видя, что проходят мимо него.

- "В серверную! Вы что, не видите, что я тороплюсь!?" - я сделал недоуменное лицо, показывая, что я не собираюсь тратить свое время на какую-то личинку вроде охранника.

- "Да, конечно, но у вас есть пропуск? Вы кто?" - он нервничал, что не узнает меня. Еще бы, откуда ему меня знать.

- "Как кто? Вы что, не знаете своего начальства? Я - Свиридов. Как ваша фамилия?" - я сделал укоризненный взгляд, показывая, что я раздражен.

- "Моя? Ээ... Привалов, старший охранник Привалов!" - мямля ответил грозный человек, запинаясь и не зная куда смотреть.

- "Привалов? Ну, вы у меня смотрите, сегодня же зайду к вашему начальнику" - сказал я и быстро двинулся дальше.

Охранник поглядел мне в след и подумал "Фу... опять кого-то к нам занесло, ездят тут всякие начальники из Москвы, а нас не предупреждают". Я быстрым шагом прошел по коридору, оглядывая, как тут все смотрится. До этого я видел эту структуру только по топологии сети, украденной с сервера. "Хмм... должно быть это серверная", - подумал я, вспоминая план, и нажал на ручку двери. Она отворилась, и я увидел лысого человека с бородой, нервно курившего и смотревшего в монитор. "Наверняка системный администратор", - мелькнула мысль, и я подошел. "Извините, а вы не могли бы посмотреть, что там у вас на сервере с моим именем?", - сказал я извиняющимся голосом, таким как говорят все пользователи перед грозными администраторами.

- "Хмм... а вы кто такой? Я вас не узнаю", - спросил бородатый, как все админы подозрительный.

- "А я только вчера устроился, мне сказали, что у меня должна быть учетная запись на сервере. Я попробовал войти, но у меня не получилось, вот я к вам и зашел", - пробубнил я, смотря на него невинными глазами.

- "Хмм... ну сейчас посмотрю. Как ваша фамилия?"

- "Привалов. Привалов Александр Викторович", - сказал я обрадовавшимся голосом пользователя.

- "Ну да, вас не было в базе данных, я добавил. Пароль у вас такой же, как учетная запись, поменяйте при входе в сеть", - сказал админ уже увлекаемый снова в монитор.

- "Хорошо", - сказал я и исчез в двери.

Вышел я из здания довольный, подошел к таксофону и набрал номер телефона серверной.

- "Алло?", - сказал все тот же голос бородатого.

- "Так, Андрей Владимирович, почему у нашего начальства из Москвы, Привалова Александра Викторовича нет доступа к информации для совета директоров?", - сказал я жестко поставленным баритоном.

- "Ну, как так, я не знал, что он из совета директоров, сейчас поставлю права доступа. Я не знал, предупреждать надо", - пробубнил он немного раздраженно.

- "Ну, хорошо, позаботитесь", - сказал я более грубо и положил трубку.

Мой путь от таксофона до дома был налегке. Я пришел, сел за компьютер, набрал номер телефона внутренней корпоративной сети компании X, вошел в сеть под Приваловым и стал с интересом читать документы совета директоров.

В этом примере мы видим, что некий человек, назовем его Икс, получил достаточно высокий уровень доступа к информации компании всего за 20-30 минут. Разберем по порядку все действия, которые он совершил:

1. Он дерзко ответил на вопрос охранника, показывая при этом, насколько его не волнует какое-либо действие, которое может совершить секьюрити. Надо всегда быть уверенным в себе, тогда люди на подсознательном уровне чувствуют вашу правоту. Надо также быть дерзким, с теми людьми, которых вам надо обмануть быстро, и не задумываясь. Но не будьте жестокими, агрессивными или наглыми, это ухудшит ваше положение.

2. Икс укорил охранника за то, что он не знает своего "начальства". Людей надо всегда укорять, если вы заметили что-то, что они якобы нарушают (в данном случае некий абстрактным приказ "всегда знать начальство").

3. Потом Икс сказал свою фамилию без каких-либо пояснений в виде имени-отчества, должности или вообще чего-либо. Этим он показывает, что охранник обязан знать всех по фамилии. Тем более начальство. И сразу же после названия фамилии он берет инициативу на себя и интересуется фамилией работника охраны. Это ставит охранника в положение, что его "могут и побить". В общем надо держать в уздечке вашу жертву.

4. Далее Икс исследует местность. Нужно идти на дело только тогда, когда знаешь все детали того, что тебе предстоит увидеть или с чем ты столкнешься. Нельзя идти в "туман".

5. С администратором сети он применил другую тактику, но не менее эффективную. Тактика "слабого, беззащитного существа перед огромным и сильным монстром". Именно так многие сотрудники ведут себя перед админом. Как бедные кролики. Не расстраивайте администратора, играйте в его игру. Он любит, когда его уважают, и это затуманит его бдительность.

6. Тут также Икс сыграл на том, что компания большая и админ просто не в состоянии знать всех работников. А так как у работников есть "замечательное" свойство постоянно забывать пароли, то на это можно сыграть. В данном случае Икс просто получил доступ, который он позже переведет на более высокую ступень. Никогда не просите сразу многого, если вы сразу админу скажете, что вам нужен полный доступ к информации компании, то он обязательно проверит кто вы такой у своего начальства. Будьте бдительны и не будьте жадными.

7. Далее Икс воплощает в практику, пожалуй, самый популярный метод из социальной инженерии, - он играет в начальников с подчиненными. Админы не в состоянии знать все начальство по голосу. И когда по телефону, очень правдивым и не допускающим возражения, голосом требуют поставить новому начальнику (!) доступ совета директоров, то только параноик поинтересуется, кто этот новый начальник.

Читая эту статью, постоянно спрашивайте себя:

· Как и где я могу это применить?
· Что хорошего даст мне применение этого принципа, идеи, модели или упражнения?
· Могу ли я сделать этот навык еще более совершенным?
· Какой подход лучше всего?
· Что мне нужно для того, чтобы применить этот пример на практике?

Технологии достижения цели
Планирование и постановка целей, вероятно, всегда будут занимать одно из первых мест в списке наших приоритетов. Многие рассматривают планирование как своеобразную инвестицию: время и силы, потраченные на него, обычно крупно вознаграждаются. Прежде чем сделать телефонный звонок или назначить встречу, потратьте хотя бы полминуты на размышление о том, что же вы хотите от этого получить и как лучше всего добиться желаемого результата, и это непременно скажется на эффективности вашей деятельности. Ваша способность добиваться "своего" может заметно возрасти. В случае же реализации крупных проектов хорошее планирование может означать не только экономию времени, денег и ресурсов, но и успешность всего предприятия. Полезно записывать свои планы на листе бумаги или блокноте. Вероятнее всего, что если вы решите получить доступ ко всей сети Пентагона за короткий промежуток времени, не потратив никаких ресурсов, у вас нечего не получится. Это не значит, что такой доступ получить невозможно, просто надо иметь реальные позиции по отношению к цели вашего социального инжиниринга.

Еще один поворот проблемы постановки и достижения целей касается способов реакции нейропсихологической системы человека, причем зачастую неосознанной реакции, на внутренние цели. Главное здесь заключается в том, чтобы довериться своей способности добиваться того результата, который вы можете ясно себе представить. Важно то, что, ясно представляя себе свою цель, вы делаете все автоматически, что и оказывается самым важным для ее реализации. Главное - настолько глубоко поверить в реальность поставленной вами цели, что вы просто не сможете ее не достичь. Также очень важно пообещать себе, что раз вы начали воплощать какой-либо проект, то вы ни за что не отвергнете его на полпути. Но не следует забывать, что у каждого человека свой подход и свой стиль работы.

Конкретна ли ваша цель? Некоторые цели больше похожи на мечты. Ваша цель высшего уровня должна быть подкреплена и уточнена в целях нижележащих уровней, это очень важно для успеха дела. Задайте себе вопрос: что именно мне нужно?

Чем более конкретно сформулирована цель, тем больше вероятность, что вы сможете увидеть, услышать, или как-либо иначе почувствовать, что добились желаемого результата. Иметь подобное, чувственно фиксируемое свидетельство успеха, очень важно.

Правильная оценка сложности достижения цели также необычайно важна. Если вы недооцените сложность какой-либо задачи, она вряд ли подвигнет вас на то, чтобы оставить ради нее другие менее важные дела. Если же вы, наоборот, существенно переоцените сложность задачи, она может оттолкнуть, испугать вас, и тогда вы не сможете добиться желаемого результата в полной мере, хотя, возможно, что-то и удастся сделать.

У каждого из нас свой оптимальный уровень успешности. Например, многим необходимо периодически оказываться в ситуациях, связанных с определенной долей риска, для того, чтобы работать с наибольшей отдачей. В подобных случаях мы ощущаем прилив энергии, продуктивность нашей деятельности резко увеличивается и кажется, что абсолютно все нам по плечу. Именно в таком состоянии мы попадаем в зону мастерства, где все дается необычайно легко, без усилий. Как правило, тот или иной проект или задание можно разбить на несколько подзадач. Время, отведенное на выполнение долгосрочного проекта, можно разделить на несколько временных интервалов так, чтобы задачи, находящиеся в каждом из этих интервалов, были реально выполнимыми. В то же время - требовали напряжения всех сил и использования всех способностей.

Обладаете ли вы необходимыми ресурсами? Предположим, что все - в ваших руках. Но обладаете ли вы всеми необходимыми ресурсами для успешного управления этими ресурсами? Если вам для выполнения задуманного требуется 1500 долларов, сначала поставьте перед собой задачу раздобыть или накопить необходимую сумму. Если на сегодняшний день вы не располагайте необходимым для этого временем, отложите решение задачи на некоторый срок. Но это не значит, что все задачи, которые требуют траты вашего капитала, следует отложить на неопределенный срок. Надо просто включить эту задачу (заработать денег) в некоторую подцель, которую требуется выполнить для достижения Цели.

Поиск и сбор информации
Перед началом какого-либо проекта, всегда найдите всю информацию, которая может вам помочь. Никогда не пренебрегайте информацией, даже самая мелкая деталь о человеке, процессе или компании может быть полезна. Поэтому, в планировании своего дела, уделите большёе внимание сбору информации.

В начале разумно воспользоваться общеизвестной информацией о предмете вашего интереса. Как правило, именно в общеизвестной информации содержится большая доля того, что вам потребуется.

В случае с компанией, такой информацией может быть веб-сайт этой компании, где всегда можно найти адрес, телефон, имена, е-майлы многих людей, с которыми вам придется "работать". Веб-мастера часто бывают настолько наивными, что кладут на сайт столько всякой информации, которая никому не потребуется, кроме социального инженера. Они сами вам ее дают. Имя, фамилия, должность, e-mail (или телефон, если это человек, который не работает в Интернет) - вот все, что нужно знать социальному инженеру о том человеке, которого он будет обрабатывать.

Кроме веб-сайтов это могут быть пресс-релизы, реклама, телефоны "Справочных". В конце концов, всегда можно придти в отдел кадров, якобы в попытке устроиться и там, у глупой и наивной работницы выяснить все, что может потребоваться.

Вывод: не нужно пренебрегать какой-либо информацией, и стоит воспользоваться всем, что видно снаружи. Любая строчка на сайте может дать полный доступ к сознанию человека, для проникновения в это сознание и для получения полного контроля над этим сознанием.

И пример по теме разговора:

Была очень интересная компания, которая мне очень не нравилась. Я зашел на их сайт и прочитал, все, что там было написано. Я узнал: e-мail, имя и фамилию их веб-админа. Этого оказалось достаточно. Я по е-майлу представился как начинающий, но прогрессивный веб-дизайнер\веб-программист и указал на некоторые ошибки в их сайте (неправильные скрипты, кое какие дизайнерские недочеты). И указал им URL сайта, где была информация о том, как не допускать таких ошибок и парочка программ, которые помогали исправить эти ошибки. Конечно же, сайт был сделан фиктивный. Он был специально для этого изготовлен мною, причем очень натурально, не хуже какого-нить www.download.ru, и программы, которые там лежали действительно работали, исправляли ошибки, выдавали tips и все такое. Просто они выполняли еще кое-что, ну просто то, что мне было необходимо. И, конечно же, мой сайт лежал не на tripod.com, а на хорошем домене www.[имя сайта].com, ведь нечего не стоит купить его на пару месяцев. Главное, чтобы все выглядело натурально и чтобы все, что там лежали было правдой, и работало.
Кстати, забыл упомянуть, что программы, которые он скачал, были написаны мною, и исправили ошибки на его сайте, так что он даже обрадовался, что ему действительно дали реальную ссылку. Что потом произошло уже не важно, главное, что я добился своего - я получил доступ к web-сайту.

Эффективное общение или магия контакта
"Смысл общения - в его результате", это общеизвестно. Общение имеет свои задачи: информировать, склонить, отговорить, предупредить, напугать, обмануть и т.п. Поэтому все, что мы теперь знаем о целях - как сделать их более четкими, осязаемыми, - относится также и к общению. Одним из основных условий любого общения, независимо от его конкретных целей и содержания, является психологический контакт. Социальная инженерия также занимается тем, что разрабатывает способы установления и поддержания полноценного, а главное эффективного, контакта между людьми. Здесь мы остановимся на некоторых конкретных приемах и техниках, освоение которых поможет вам научиться устанавливать контакт с людьми, что является залогом эффективного общения. Приобретение этого навыка будет способствовать развитию у вас чувства общности с людьми и достижению ваших целей. Каждый акт общения имеет определенный результат, который зависит от людей, с которыми вы общайтесь, и от обстоятельств общения.

Сосредоточьтесь на том, чего вы хотите. Задайте себе следующие вопросы:

· Чего именно я хочу добиться?
· Существуют ли какие-то цели, противоречащие данной?
· Как лучше всего организовать общение?
· Каким образом я могу установить и поддерживать контакт с партнером?
· Как воспримут это сообщение мои собеседники?

Одним из самых важных принципов установления контакта с собеседником - это быть таким, как он. Точнее говоря, думать, как он, и, используя аналогию, приобщитесь к его "картам реальности". Подобный подход в