[ This article was originally published here ]
Bu yazının içeriği tamamen yazarın sorumluluğundadır. AT&T, yazar tarafından bu makalede sağlanan görüşlerin, konumların veya bilgilerin hiçbirini benimsemez veya desteklemez.
Her sektördeki kuruluşlar dijital veri depolamaya, dijital çalışma platformlarına ve dijital iletişime giderek daha fazla güvenmeye başladıkça, siber saldırılar giderek daha yaygın hale geliyor. Girişimci siber saldırganlar, endüstrilerdeki yaygın dijital dönüşümle birlikte çok sayıda fırsat görüyor. Sosyal mühendislik siber saldırıları, kuruluşlar için özellikle güçlü bir tehdit oluşturuyor.
Bu makalede, işinizi korumanın anahtarı olarak çalışanlarınızı eğitmenin neden önemli olduğuna bir göz atacağız. Sosyal mühendislik saldırılarının en yaygın biçimlerini keşfedeceğiz. Son olarak, çalışanlarınızı toplum mühendisliği şemalarına karşı eğitmeye ve savunmaya yardımcı olacak, eyleme geçirilebilir temel tavsiyeleri de paylaşacağız.
Siber güvenlik farkındalığı neden önemlidir?
Çoğu zaman, herhangi bir kuruluşun siber güvenlik savunma sistemindeki en savunmasız unsur, habersiz bir çalışandır. Birisi sosyal mühendislik siber saldırısının ortak özelliklerini bilmediğinde, en yaygın siber saldırı planlarına bile kolayca kanabilir.
Çalışanları, gizli bir siber saldırı girişimine işaret edebilecek işaretler konusunda eğitmek ve çalışanları güvenlik politikaları ve uygun yanıtlar konusunda eğitmek, şirket çapında dirençli bir siber güvenlik politikası oluşturmak için çok önemlidir.
Üç yaygın sosyal mühendislik saldırısı türü
Sosyal mühendislik siber saldırılarının nasıl belirleneceğini, izleneceğini ve bunlara yanıt verileceğini anlamak için sosyal mühendislik saldırılarının en yaygın biçimlerini bilmek önemlidir.
Bir sosyal mühendislik saldırısı, kötü bir kişinin hassas bilgileri (kredi kartı bilgileri veya tıbbi kayıtlar gibi) sağlaması veya belirli bir eylemi tamamlaması (kirli bir bağlantıya tıklamak veya bir hizmete kaydolmak gibi) için onları kandırmaya çalıştığı zaman gerçekleşir.
Sosyal mühendislik saldırıları telefonla veya e-posta, metin mesajı veya doğrudan sosyal medya mesajı yoluyla gerçekleştirilebilir. En yaygın üç sosyal mühendislik siber saldırısı türüne bir göz atalım:
Kimlik avı, kötü aktörlerin kurbanlardan banka hesap bilgileri veya parolalar gibi meşru ve çoğu zaman tanıdık kişilermiş gibi davrandığı bir tür sosyal mühendislik saldırısıdır.
Kimlik avı saldırıları, bir devlet kurumu, kullandığınız yazılım şirketi veya akrabanız gibi meşru kaynaklardan geldiği iddia edilen e-postalar şeklinde gelebilir. Kötü niyetli kişiler, birinin meşru hesabını hackleyerek iletişimi daha inandırıcı gösterebilir veya resmi bir kuruluşun logosunu ve içerik stilini kopyalayarak kimliğine bürünebilir.
Pretexting saldırıları, masum bir kurbanın güvenini kazanmak için yapılır. Kötü oyuncu daha sonra bu güveni, kurbanı hassas verileri paylaşması, bir eylemi tamamlaması veya başka bir şekilde yanlışlıkla kendisine veya bağlı kuruluşlarına zarar vermesi için kandırmak veya ikna etmek için kullanır.
Kötü aktörler, bir kişiyi kötü amaçlı yazılım veya güvenliği ihlal edilmiş yazılım indirmesi, para göndermesi veya finansal ayrıntılar dahil olmak üzere özel bilgiler sağlaması için manipüle etmek için bahane kullanabilir.
Kandırma, bahane oluşturmaya benzer bir sosyal mühendislik saldırısı türüdür. Bir bahane saldırısında kötü aktör, kurbanı bir eylemi tamamlaması veya bilgi sağlaması için kandırmak için zorlayıcı bir anlatımla, kandırıcı bir saldırıyla kurbanı sahte bir güvenlik duygusuna kaptırır.
Yemleme esasen kötü bir aktörün kurbanlar için tuzak kurmasını içerir. Bu tuzak, ilk başta yasal gibi görünen ancak kötü amaçlı yazılım içeren sosyal medya mesajlaşma yoluyla gönderilen bir e-posta eki veya dosyası olabilir. Mağdurlar, bir tuzağa düştüklerinin farkında bile olmayabilirler çünkü kötü amaçlı yazılım, onların haberi olmadan cihazlarına indirilebilir. Kötü aktörler ayrıca kurbanlardan gelen yem veya diğer kişisel verileri kullanabilir.
Çalışanları sosyal mühendislik saldırılarını tanımaları için nasıl eğitebiliriz?
Her çalışan, sosyal mühendislik saldırı girişimlerini yeterince tanıyabilmeli ve bunlara yanıt verebilmelidir; her çalışan bunu nasıl yapacağını bildiğinde, kuruluşunuz siber ihlallere karşı onu koruyan sağlam bir insan güvenliği düzeyine sahip olacaktır.
- Düzenli güvenlik farkındalığı eğitimi düzenleyin
Çalışan eğitimi için siber güvenliğin bir öncelik olduğundan emin olun. Çalışanlarınıza siber güvenliğin önemi ne kadar çok hatırlatılırsa, bir saldırı girişimi durumunda yapılacak doğru eylemi hatırlama olasılıkları o kadar yüksek olacaktır. Ofisinizin duvarlarına, çalışanların hareket halindeyken bu bilgilere erişmesi için multimedya ve daha güvenli bir yol sağlamaya çalışabileceğiniz siber güvenlik bilgi posterleri ekleyin.
Çalışanları en son siber güvenlik protokollerini ve saldırı yöntemlerini okumaya teşvik edin. Ayrıca, çalışanları siber saldırılara karşı nasıl tetikte olacakları ve gerçekleştiğinde şüpheli etkinlikleri nereye bildirecekleri konusunda tazelemek için düzenli zorunlu siber güvenlik eğitimleri planlayın.
- Çok Faktörlü Kimlik Doğrulamayı Kullanın
Şirket ağlarınıza ve dosyalarınıza her erişim denemesine karşı Çok Faktörlü Kimlik Doğrulama veya MFA. Çok faktörlü kimlik doğrulama, çalışanların güvenlik sorularını yanıtlamasını, e-postalarına veya telefon numaralarına gönderilen tek seferlik bir kodu sağlamasını veya kimliklerini ve erişim haklarını doğrulayan başka bir yöntemi kullanarak güvenli kısıtlı erişim dijital ağ geçitlerinden geçmesini gerektirebilir. dijital alan.
Çok faktörlü kimlik doğrulama uygulandığında, bir çalışanın telefon numarasına, oturum açma bilgilerine veya e-posta adresine başarıyla erişen bilgisayar korsanları yine de tüm kuruluşun güvenliğini tehlikeye atamaz.
Şirket KPI’larını takip edin
Kuruluşunuz, şüpheli (veya başarılı) bir siber güvenlik ihlali durumunda çalışanların başvurabileceği ve başvurabileceği bir paylaşılan kontrol listesi oluşturmalıdır.
Bu belge, ölçülebilir ölçümler sağlayan tüm ilgili güvenlik KPI’larını veya temel performans göstergelerini içermelidir. Çalışanlar, bu bireysel ölçümlerin uygun düzeyde performans gösterip göstermediğine bağlı olarak kuruluşunuzun güvenlik sisteminin sağlamlığını izleyebilecek ve değerlendirebilecektir.
- Güçlü parola gereksinimleri uygulayın
Her çalışanın olduğundan emin olun. Her çalışan, hem büyük hem de küçük harf seviyeleri dahil olmak üzere benzersiz bir harf, sayı ve sembol kombinasyonu kullanmalıdır.
Çalışanlar birden fazla hesap için asla aynı şifreyi kullanmamalı ve bilgisayar korsanlarının kolayca tahmin edebileceği kelime öbekleri veya kelimeler kullanmaktan kaçınmalıdır. Doğum günleri, yıldönümleri, evcil hayvan isimleri ve şarkı sözleri asla şifre olarak kullanılmamalıdır.
- Şirket çapında siber güvenlik politikaları oluşturun
Kuruluşunuzun beklentileri ve standartları hakkındaki kafa karışıklığı, daha fazla zayıf noktaya, savunmasız noktalara ve girişimci siber saldırganların yararlanabileceği açıklıklara yol açabilir. Her çalışanın siber güvenliği çevreleyen şirket politikaları hakkında net bir anlayışa sahip olduğundan emin olun.
Örneğin, serbest çalışanları işe alan kuruluşların ekstra yüksek alarmda olması gerekecek. Şirketinizin birlikte çalıştığı serbest çalışanlar veya bağımsız yükleniciler, tam zamanlı çalışanların bağlı olduğu temel güvenlik yönergelerine ve beklentilerine her zaman uymayabilir.
Bunu önlemek için, serbest çalışan sözleşmesinde siber güvenlik politikalarını belirleyerek profesyonel çalışma ilişkisinin başından itibaren net siber güvenlik beklentileri oluşturun. Esnek özelleştirme seçenekleriyle gelenlere bakın, böylece serbest çalışanlar ve yükleniciler için siber güvenlik politikası sözleşmeleriyle ilgili bölümü eklediğinizden emin olabilirsiniz.
Kulağa bariz gelebilir, ancak bir teklifin veya talebin meşru görünüp görünmediğini tekrar kontrol etmek için bir önseziyi takip etmek, sosyal mühendislik dolandırıcılıklarına karşı savunma yapmanın harika bir yoludur. Örneğin, şüpheli görünen bir e-posta alırsanız, ister bir meslektaş, ister bir arkadaş veya bir şirket olsun, asıl gönderen kişiyle iletişime geçmeyi deneyin. Onlarla iletişim kurmak için başka bir yöntem kullanın ve gerçekten sizinle iletişim kurmaya çalışan kişilerin onlar olup olmadığını bir kez daha kontrol edin.
Bir istek şüpheli görünüyorsa, bunun bir dolandırıcılık olma ihtimali yüksektir. Kötü bir oyuncu sizi dolandırmaya çalışıyorsa, doğrulamak için fazladan zaman ayırmak, mali zararlar ve itibar kaybı bir yana, sizi saatlerce temizlikten kurtarabilir. Çalışanlar, şüpheli telefon aramalarını veya metin mesajlarını doğrudan faili takip edebilecek ve erişimini kısıtlayabilecek telefon operatörlerine bildirebilir. Veya çalışanlar şikayette bulunabilirler.
Son düşünceler
Sofistike sosyal mühendislik saldırılarına karşı savunma yapmak, herhangi bir kuruluş için göz korkutucu bir zorluk olabilir. Hassas verileri korumanın ve kısıtlı kuruluş ağlarına istenmeyen erişimi önlemenin en iyi yöntemi, siber güvenliğe çok katmanlı bir yaklaşım uygulamaktır.
Her çalışana kazara bireysel siber güvenlik hatalarını ortadan kaldıracak bir şey sağlayın ve daha sağlam, çok yönlü ve dinamik bir siber güvenlik savunma sistemine sahip olun.
Sağduyudan yararlanın, çalışanları şüpheli etkinlikleri bildirmeye teşvik edin, sık sık çalışan güvenlik eğitimi oturumları düzenleyin, paylaşılan kontrol listeleriyle KPI’ları takip edin ve şirket çapında net güvenlik politikaları oluşturun. Her çalışanın güvenli parola oluşturmayı bildiğinden emin olun ve çok faktörlü kimlik doğrulama prosedürleri ayarlayın.
Son derece bilinçli bir iş gücü ile kuruluşunuz, kimlik avı, bahane, tuzaklar ve diğer sosyal mühendislik siber saldırılarını önlemek için daha donanımlı olacaktır.
reklam