Social Engineering Penetration Testing: Testowanie czynnika ludzkiego

Ten przewodnik zawiera wszystko, co potrzebujesz, aby zrozumieć, zaplanować i przeprowadzić ten rodzaj testów – wraz z praktycznymi wskazówkami, które możesz natychmiast wdrożyć.

Dlaczego Testować Czynnik Ludzki?

Zabezpieczenia technologiczne są tak silne, jak ludzie, którzy z nich korzystają. Inżynieria społeczna – sztuka manipulowania ludźmi w celu podejmowania działań naruszających bezpieczeństwo – odpowiada za znaczący odsetek wektorów początkowego dostępu w naruszeniach danych. Sam phishing jest odpowiedzialny za największą część naruszeń w sektorze opieki zdrowotnej, finansowym i SaaS. Testowanie ludzkich zabezpieczeń jest równie ważne, jak testowanie zabezpieczeń technicznych.

Symulacje Phishingowe

Najczęstszy test inżynierii społecznej symuluje ataki phishingowe oparte na wiadomościach e-mail skierowane do pracowników. Testerzy tworzą realistyczne wiadomości phishingowe – podszywając się pod dostawców, kadrę kierowniczą, wsparcie IT lub usługodawców – i mierzą współczynniki klikalności, współczynniki przesyłania danych uwierzytelniających i współczynniki zgłaszania. Wyniki identyfikują, które działy są najbardziej narażone i gdzie należy skoncentrować szkolenia.

Preteksting i Vishing

Oprócz wiadomości e-mail, testerzy mogą używać pretekstingu telefonicznego (vishingu) do wydobywania informacji lub manipulowania pracownikami w celu wykonywania działań – przesyłania środków, resetowania haseł, udostępniania poświadczeń VPN. Testy te oceniają, czy pracownicy weryfikują tożsamość dzwoniącego i postępują zgodnie z ustalonymi procedurami pod presją.

Fizyczna Inżynieria Społeczna

W przypadku organizacji posiadających lokale fizyczne, testerzy mogą próbować uzyskać nieautoryzowany dostęp do budynku poprzez tailgating, podszywanie się lub preteksting. Testuje to systemy identyfikatorów, procedury dla gości i skłonność pracowników do kwestionowania nieznanych osób.

Integracja z Testami Technicznymi

Najcenniejsze testy inżynierii społecznej są zintegrowane z technicznymi PenTestami. Wiadomość phishingowa dostarcza ładunek; tester używa przechwyconych danych uwierzytelniających, aby uzyskać dostęp do systemów wewnętrznych; techniczny PenTest kontynuowany jest od wewnątrz sieci. Pokazuje to pełny łańcuch ataku, od początkowej inżynierii społecznej, przez techniczne wykorzystanie, po dostęp do danych.