Ten przewodnik zawiera wszystko, co potrzebujesz, aby zrozumieć, zaplanować i przeprowadzić ten rodzaj testów – wraz z praktycznymi wskazówkami, które możesz natychmiast wdrożyć.
Dlaczego Testować Czynnik Ludzki?
Zabezpieczenia technologiczne są tak silne, jak ludzie, którzy z nich korzystają. Inżynieria społeczna – sztuka manipulowania ludźmi w celu podejmowania działań naruszających bezpieczeństwo – odpowiada za znaczący odsetek wektorów początkowego dostępu w naruszeniach danych. Sam phishing jest odpowiedzialny za największą część naruszeń w sektorze opieki zdrowotnej, finansowym i SaaS. Testowanie ludzkich zabezpieczeń jest równie ważne, jak testowanie zabezpieczeń technicznych.
Symulacje Phishingowe
Najczęstszy test inżynierii społecznej symuluje ataki phishingowe oparte na wiadomościach e-mail skierowane do pracowników. Testerzy tworzą realistyczne wiadomości phishingowe – podszywając się pod dostawców, kadrę kierowniczą, wsparcie IT lub usługodawców – i mierzą współczynniki klikalności, współczynniki przesyłania danych uwierzytelniających i współczynniki zgłaszania. Wyniki identyfikują, które działy są najbardziej narażone i gdzie należy skoncentrować szkolenia.
Preteksting i Vishing
Oprócz wiadomości e-mail, testerzy mogą używać pretekstingu telefonicznego (vishingu) do wydobywania informacji lub manipulowania pracownikami w celu wykonywania działań – przesyłania środków, resetowania haseł, udostępniania poświadczeń VPN. Testy te oceniają, czy pracownicy weryfikują tożsamość dzwoniącego i postępują zgodnie z ustalonymi procedurami pod presją.
Fizyczna Inżynieria Społeczna
W przypadku organizacji posiadających lokale fizyczne, testerzy mogą próbować uzyskać nieautoryzowany dostęp do budynku poprzez tailgating, podszywanie się lub preteksting. Testuje to systemy identyfikatorów, procedury dla gości i skłonność pracowników do kwestionowania nieznanych osób.
Integracja z Testami Technicznymi
Najcenniejsze testy inżynierii społecznej są zintegrowane z technicznymi PenTestami. Wiadomość phishingowa dostarcza ładunek; tester używa przechwyconych danych uwierzytelniających, aby uzyskać dostęp do systemów wewnętrznych; techniczny PenTest kontynuowany jest od wewnątrz sieci. Pokazuje to pełny łańcuch ataku, od początkowej inżynierii społecznej, przez techniczne wykorzystanie, po dostęp do danych.
Podsumowanie
Zabezpieczenia techniczne chronią systemy. Testy inżynierii społecznej chronią ludzi, którzy korzystają z tych systemów. Najbardziej kompleksowe programy testowania bezpieczeństwa oceniają oba aspekty – ponieważ atakujący na pewno to zrobią.