Sosyal mühendislik tabanlı saldırılar, siber suçluların 2022’deki saldırıların %98’i için bu tekniği kullandığı popüler bir güvenlik manipülasyonu biçimidir.
Sosyal mühendislik, vishing (telefon), phishing (e-posta) ve smishing (metin) gibi birçok biçimde olabilir. Hepsinin kurumsal ağlara sızmada etkili olduğu kanıtlanmıştır. Sosyal mühendislik saldırıları o kadar etkilidir ki, en iyi siber güvenlik uzmanlarından bazılarını bile alt eder. Daha geçen ay tehdit aktörleri, popülaritesi artan bir penetrasyon testi aracı olan Flipper Zero için sahte Twitter hesapları ve mağazaları oluşturarak güvenlik meraklılarını hedef aldı. Hatta bir Twitter hesabı kullanıcılara yanıt vererek hesabın meşru görünmesini sağladı.
Kuruluşları zaman içinde engellemeye devam eden bir sosyal mühendislik taktiği, siber suçlular için başarılı ve kazançlı bir yol olmaya devam eden telefon tabanlı bir saldırı olan vishing’dir. Bu yöntem genellikle, daha az kıdemli veya yeni bir çalışan aracılığıyla bir ortamda tutunmak için kullanılır; genellikle saldırgan, yardım masası temsilcisi veya başka bir yardımcı dahili kaynak olarak poz verir.
Defansif Güvenlik Seçenekleri
Pek çok kuruluş sosyal mühendislik saldırılarındaki artışı ve bunları önlemek için eğitim ve farkındalığın önemini anlasa da, son trendler daha stratejik bir yaklaşıma ihtiyaç olduğunu gösteriyor. Özellikle sosyal mühendislik saldırıları için tasarlanmış yeni bir savunma amaçlı güvenlik planını başlatmak için bu uygulamaları deneyin.
- Baştan aşağı eğitin. Çok sık olarak, daha yeni çalışanları eğitmeye odaklanan kuruluşlar görüyoruz. Gerçek bir etki yaratmak için kuruluşların güvenlik eğitim programları en baştan başlamalı ve en alta doğru ilerlemelidir.
Bu, üst düzey yöneticilerin, görev süreleri ne olursa olsun, düzenli eğitim, öğretim ve müfredata dahil edilmesi anlamına gelir. Sosyal mühendislik saldırılarının gerçekleşmesini durdurmak tek bir kişinin elinde değil. Bunun yerine, liderliğin devam eden bir zorluk olduğunu kabul etmesi ve sorunu çözmek için önlemler alması gerekir. Kıdemli liderlerin güvenliği tüm işletmede düzenli olarak bir öncelik haline getirmesiyle bu, Tümü çalışanlar, zaman içinde önce güvenlik zihniyetini benimser.
- Çalışanların kötü niyetli bir iletişim biçimiyle karşı karşıya kaldıklarında kullanmaları için bir oyun kitabı oluşturun. Bir çalışan ister kötü niyetli bir metin, arama veya e-posta alsın, durumu yönlendirmek ve durumdan kaçmak için eyleme geçirilebilir bir adımlar listesiyle donatılmalıdır. Muhtemelen bir sosyal mühendislik savunma güvenlik planının en önemli parçası oyun kitabıdır.
Çalışanların, şüpheli iletişim aldıklarında ne yapmaları ve yapmamaları gerektiğini özetleyen özel politikalara erişebilecekleri merkezi bir konum kurun. Kötü niyetli yazışmalar meydana gelirse bir sorunun nasıl üst düzeye taşınacağına ilişkin talimatları ekleyin. Örneğin, telefon üzerinden kötü niyetli bir mesaj gelirse, oyun kitabı, çalışana o kişinin meşru bir çalışan veya yüklenici olduğunu e-posta veya Slack aracılığıyla onaylayana kadar herhangi bir bilgi vermemesi talimatını vererek kişisel ve şirket bilgilerinin verilme olasılığını azaltır. sızdırılıyor.
Böyle bir çerçeve olmadan, parayı başkalarına vermek ve onların çözeceğini ummak gibi bir his uyandırır ve bu, kaçınılmaz olarak bu zayıflıktan yararlanacak olan siber suçlular için kapıları açar.
- E-posta güvenlik teknolojilerine yatırım yapın, ancak yalnızca onlara güvenmeyin. Yakın zamanda yapılan bir araştırma, dünya çapındaki tüm e-postaların %36’sının spam olduğunu buldu. Posta filtrelerini uygulamak, yapılandırmak ve stres testi yapmak, çoğu zaman kötü niyetli bir e-postanın bir çalışanın gelen kutusuna girmesini önleyebildikleri için, gelen sosyal mühendislik saldırılarına karşı büyük bir ilk engel olabilir. Ancak, tek savunma mekanizması olamazlar ve kesinlikle yanılmaz değildirler. Posta filtrelerinin tek savunma hattı değil, daha bütünsel, kapsamlı bir güvenlik stratejisinin parçası olması gerekir.
Tehdit vektörü olarak kullanılan bir posta filtresinin gerçek hayattan bir örneğini paylaşacağım. Yakın zamanda, işletmeler için popüler bir bulut tabanlı e-posta koruma yazılımı olan Mimecast içindeki bir güvenlik açığını açıkladım. Hibrit bir ihlal ve saldırı simülasyonu ve sosyal mühendislik sızma testi sırasında, Mimecast Hedefli Tehdit Koruması (TTP) içindeki URL ve dosya inceleme özelliklerini atlamanın bir yolunu keşfettim. Bu kusur keşfedilmeden bırakılırsa, yazılım zaten güvenli olduğunu kabul ettikten sonra bir rakibin kötü amaçlı bir dosya veya URL sunmasına izin verebilirdi. Bu, derinlemesine savunmanın hayati öneminin büyük bir hatırlatıcısıdır. Ön hat teknik kontrolleri başarısız olursa veya başarısız olursa, kuruluşların rakipleri yavaşlatmak ve olay artışını önlemek için bir yedeği olmalıdır.
- Her şeyi ekranlayın. Tüm gelen aramaları tarayın! Ofis içi için 1 numaralı kural budur Ve ofis dışı ayarları. Bir telefon görüşmesinin kötü niyetli olduğundan veya numaranın tanınmaz olduğundan şüpheleniyorsanız, arayın. Bu çağrılardan birini aldıktan sonra, sesli mesaj bırakıp bırakmadıklarına bakın ve daha sonra numaranın bir iş arkadaşına veya satıcıya bağlı olup olmadığını şirket rehberinde arayın. Arayan kimliği sahte olsa bile saldırgan bunu yapamaz. almak kimliğine bürünmüş numarayı arar.
Bu durumlarda, bir çalışanın panik moduna girmesi ve kişisel veya şirket bilgileriyle açık sözlü olması kolaydır. Doğru şirket politikaları, çerçevesi ve planı uygulandığında, çalışanlar geri adım atmak, iletişim yoluyla düşünmek ve durumun kontrolünü yeniden kazanmak konusunda kendilerini daha rahat hissedeceklerdir.
Çerçevenizi Test Edin
Yukarıdakilerin hepsini birleştirmek, popüler sosyal mühendislik tabanlı saldırılara karşı daha güçlü bir savunmaya yol açacak olsa da, son ve önemli bir adım, bir çerçevenin ne kadar başarılı olduğunu test etmektir. Bu, bir kalem test cihazının bir kuruluşa girmesini ve çalışanların nasıl tepki verdiğini görmek için yaygın sosyal mühendislik saldırı yöntemlerini gerçekleştirmesini gerektirebilir. Çerçeveyi eylem halinde kullanan çalışanları ölçmek ve görmek, eğitim programının ne kadar başarılı olduğunu kanıtlayacak ve gelişim ve iyileştirme yollarını ortaya çıkaracaktır.
Tüm kuruluşun bir siber saldırıya kurban gitmesi için tek gereken, bir çalışanın hassas bilgileri vermesidir. İşletmeler, eğitim programlarının sonuçlarını proaktif olarak izleyerek ve sosyal mühendislik saldırılarının neden olduğunu anlayarak kendilerini ve çalışanlarını başarıya hazırlayacaktır.