Данная публикация изъята из фонда.
Искусство обмана: социальная инженерия в мошеннических схемах
Покупка
Тематика:
Защита информации. Компьютерная безопасность / Психология коммуникации. Психология влияния
Издательство:
Альпина Паблишер
Автор:
Хэднеги Кристофер
Перевод:
Соломина А.
Год издания: 2020
Кол-во страниц: 430
Дополнительно
Бывало ли так, что вам звонил человек, представляющийся сотрудником банка? Или приходило письмо со ссылкой, на которую вы, к счастью, не перешли?
Технологии, при помощи которых злоумышленники пытаются получить доступ к вашим паролям или данным, основаны на социальной инженерии — науке об изощренном и агрессивном манипулировании поведением людей. В ее активе целый арсенал инструментов манипуляции: давление на жалость, умение запудрить мозги или вывести из себя, проявить несвойственную жадность и поставить в неловкое положение, вызвать чувство вины или стыда и многое другое. Становясь жертвами подобного обмана, мы не только подвергаемся риску сами, но и можем сильно подвести своих коллег и близких.
Кристофер Хэднеги, всемирно известный специалист по социальной инженерии, научит вас распознавать манипуляции всех типов и противодействовать мошенникам всех мастей. Больше никто не сможет заставить вас сделать то, что вы делать не планировали — расстаться с деньгами, выдать важную информацию, совершить опасные действия. Все примеры, которые приводит Хэднеги, взяты из его личной и профессиональной практики.
Тематика:
- 0604: Защита информации. Компьютерная безопасность
- 3114: Психология коммуникации. Психология влияния
ББК:
УДК:
ОКСО:
- ВО - Бакалавриат
- 09.03.01: Информатика и вычислительная техника
- 09.03.02: Информационные системы и технологии
- 10.03.01: Информационная безопасность
- 37.03.01: Психология
- 39.03.01: Социология
- ВО - Магистратура
- 09.04.02: Информационные системы и технологии
- 09.04.03: Прикладная информатика
- 10.04.01: Информационная безопасность
- 37.04.01: Психология
- 39.04.01: Социология
- ВО - Специалитет
- 10.05.01: Компьютерная безопасность
- 10.05.02: Информационная безопасность телекоммуникационных систем
- 10.05.03: Информационная безопасность автоматизированных систем
ГРНТИ:
Скопировать запись
Фрагмент текстового слоя документа размещен для индексирующих роботов
Всем, что случилось в моей жизни социального инженера, отца, мужа, начальника, друга, я обязан своей прекрасной жене. Ариса, мою любовь к тебе не выразить словами. Колин, сынок, я наблюдаю, как ты растешь и становишься молодым мужчиной, которого не проведешь. Когда мы вместе работаем, я понимаю, что это не зря. Я тебя люблю. Амайя, свет моей жизни! Ты знаешь, как заставить меня улыбнуться даже в самый мрачный день, ты — радость моего сердца и моя любовь. Нет слов, чтобы выразить мою гордость за то, каким хорошим человеком ты становишься.
Christopher Hadnagy SOCIAL ENGINEERING The Science of Human Hacking
Перевод с английского Москва 2020 СОЦИАЛЬНАЯ ИНЖЕНЕРИЯ В МОШЕННИЧЕСКИХ СХЕМАХ ИСКУССТВО КРИСТОФЕР ХЭДНЕГИ ОБМАНА
УДК 681.3.06 ББК 32.973.26-018.2 Х99 ISBN 978-5-9614-1072-3 (рус.) ISBN 978-1-119-43338-5 (англ.) © 2018 by John Wiley & Sons, Inc., Indianapolis, Indiana All rights reserved. This translation published under license with the original publisher John Wiley & Sons, Inc. © Издание на русском языке, перевод, оформление. ООО «Альпина Паблишер», 2020 УДК 681.3.06 ББК 32.973.26-018.2 Хэднеги К. Искусство обмана: Социальная инженерия в мошеннических схемах / Кристофер Хэднеги ; Пер. с англ. — М.: Альпина Паб лишер, 2020. — 430 с. ISBN 978-5-9614-1072-3 Бывало ли так, что вам звонил человек, представляющийся сотрудником банка? Или приходило письмо со ссылкой, на которую вы, к счастью, не перешли? Технологии, при помощи которых злоумышленники пытаются получить доступ к вашим паролям или данным, основаны на социальной инженерии — науке об изощренном и агрессивном манипулировании поведением людей. В ее активе целый арсенал инструментов манипуляции: давление на жалость, умение запудрить мозги или вывести из себя, проявить несвойственную жадность и поставить в неловкое положение, вызвать чувство вины или стыда и многое другое. Становясь жертвами подобного обмана, мы не только подвергаемся риску сами, но и можем сильно подвести своих коллег и близких. Кристофер Хэднеги, всемирно известный специалист по социальной инженерии, научит вас распознавать манипуляции всех типов и противодействовать мошенникам всех мастей. Больше никто не сможет заставить вас сделать то, что вы делать не планировали — расстаться с деньгами, выдать важную информацию, совершить опасные действия. Все примеры, которые приводит Хэднеги, взяты из его личной и профессиональной практики. Х99 Все права защищены. Никакая часть этой книги не может быть воспроизведена в какой бы то ни было форме и какими бы то ни было средствами, включая размещение в сети интернет и в корпоративных сетях, а также запись в память ЭВМ для частного или публичного использования, без письменного разрешения владельца авторских прав. По вопросу организации доступа к электронной библиотеке издательства обращайтесь по адресу mylib@alpina.ru. Перевод Анастасия Соломина Научный редактор Денис Букин Редакторы Ирина Беличева, Елена Аверина
СОДЕРЖАНИЕ К русскому изданию. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9 Об авторе . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 13 О техническом консультанте . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 14 Благодарности . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 15 Предисловие . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 19 Введение . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 21 1. Заглянем вновый мир социальной инженерии . . . . . . . 23 Что изменилось? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 26 Почему эту книгу стоит прочесть? . . . . . . . . . . . . . . . . . . . . . . . . 28 Социальная инженерия: обзор . . . . . . . . . . . . . . . . . . . . . . . . . . . 31 СИ-пирамида . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 38 Что вы найдете вэтой книге?. . . . . . . . . . . . . . . . . . . . . . . . . . . . . 42 Резюме . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 45 2. Видители вы то, что вижу я? . . . . . . . . . . . . . . . . . . . . . . . . . . 49 Сбор данных из открытых источников вреальной практике . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 49 Не связанные сиспользованием технологий методы сбора данных из открытых источников . . . . . . . . . . . . 56 Орудия труда. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .106 Резюме . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .109 3. Профайлинг через общение (или как использовать слова собеседника против него же) . . . . . . . . . . . . . . . . . .111 На подходе. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .115 Вставьте DISC. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .118 Резюме . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .135
4. Как стать кем угодно . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .139 Принципы легендирования . . . . . . . . . . . . . . . . . . . . . . . . . . . . .141 Резюме . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .162 5. Язнаю, как тебе понравиться . . . . . . . . . . . . . . . . . . . . . . . .165 Племенное мышление . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .169 Раппорт всоциальной инженерии . . . . . . . . . . . . . . . . . . . . . . .171 Машина по производству раппорта . . . . . . . . . . . . . . . . . . . . . .194 Резюме . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .195 6. Сила влияния . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .199 Первый принцип: взаимный обмен . . . . . . . . . . . . . . . . . . . . . .202 Второй принцип: обязательства . . . . . . . . . . . . . . . . . . . . . . . . .207 Третий принцип: уступки. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .211 Четвертый принцип: дефицит . . . . . . . . . . . . . . . . . . . . . . . . . . .216 Пятый принцип: авторитет . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .220 Шестой принцип: последовательность . . . . . . . . . . . . . . . . . . .226 Седьмой принцип: симпатия. . . . . . . . . . . . . . . . . . . . . . . . . . . . .231 Восьмой принцип: социальное доказательство . . . . . . . . . . . . . . . . . . . . . . . . . . . . .235 Влияние или манипуляции? . . . . . . . . . . . . . . . . . . . . . . . . . . . . .238 Резюме . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .246 7. Оттачивая мастерство . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .249 Динамические правила фрейминга . . . . . . . . . . . . . . . . . . . . . .251 Извлечение информации . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .263 Резюме . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .285 8. Язнаю, очем ты молчишь. . . . . . . . . . . . . . . . . . . . . . . . . . . .287 Роль невербалики . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .288 Ваша базовая эмоция работает нанас . . . . . . . . . . . . . . . . . .293 Понимание природы невербальных сигналов . . . . . . . . . . . .304 Комфорт идискомфорт . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .307 Резюме . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .333
9. Взлом сознания. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .337 Перед социальной инженерией все равны . . . . . . . . . . . . . . .338 Принципы пентестинга . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .340 Фишинг. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .346 Вишинг . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .352 SMiSHing . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .360 Имперсонация . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .362 Планирование имперсонации . . . . . . . . . . . . . . . . . . . . . . . . . . .363 Составление отчета . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .370 Вопросы СИ-пентестеру . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .376 Резюме . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .383 10. Естьли увас ПЛАН? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .385 Шаг 1: научиться выявлять СИ-атаки . . . . . . . . . . . . . . . . . . . . .388 Шаг 2: разработать реализуемые иреалистичные правила для сотрудников . . . . . . . . . . . . . . .391 Шаг 3: проводить регулярные проверки . . . . . . . . . . . . . . . . .396 Шаг 4: реализовывать программы информирования сотрудников по вопросам безопасности . . . . . . . . . . . . . . . . .400 Соединяем все вместе . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .402 Обновляйтесь . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .403 Учитесь наошибках коллег. . . . . . . . . . . . . . . . . . . . . . . . . . . . . .404 Создайте культуру бдительности. . . . . . . . . . . . . . . . . . . . . . . . .407 Резюме . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .412 11. Что теперь? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .415 Социальные навыки . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .416 Технические навыки . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .420 Образование . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .422 Профессиональные перспективы. . . . . . . . . . . . . . . . . . . . . . . .423 Будущее социальной инженерии . . . . . . . . . . . . . . . . . . . . . . . .426
К РУССКОМУ ИЗДАНИЮ О чем эта книга, кратко можно сформулировать так: она об аналитической силе простых средств. Информация доступна, и с ее помощью можно сделать все что угодно. Доступность информации в сочетании с несложными манипулятивными приемами открывает любые двери. В 1947 году, когда начиналась холодная война, основатель аналитической разведки Шерман Кент заявил, что в мирное время 80% данных для политических решений можно добыть в открытых источниках*. Уже выйдя на пенсию, бывший директор Разведуправления Министерства обороны США скорректировал эту оценку: 90% открытых источников и лишь 10% — агентурных операций**. Раньше пользовались газетами, журналами, ведомственными брошюрами, проспектами с выставок и телефонными справочниками. Сейчас все стало еще легче: к перечисленному добавились корпоративные сайты и социальные сети; смартфоны сопровождают фотографии геотегами, а для сбора данных о контактах любого человека достаточно просмотреть список его друзей. Открытые источники дают огромную власть и одновременно делают вас крайне уязвимым. Информации из открытых источников достаточно, чтобы узнать об актив * Allen W. Dulles. Memorandum Respecting Section 202 (Central Intelligence Agency) of the Bill to Provide for a National Defense Establishment, April 25, 1947, p. 525. ** Donna O’Harren, “Opportunity Knocking: Open Source Intelligence For the War on Terrorism,” Thesis, Naval Postgraduate School, December 2006, p. 9.
ИСКУССТВО ОБМАНА ном человеке почти все. Как? Однажды я потерял контакт с коллегой, с которым долго сотрудничал. Он удалил свою почту, профиль в Facebook и даже счет на PayPal. Но, когда потребовалось, я нашел его… по списку любимых книг. Можно сменить фамилию, переехать в другую страну и устроиться в международную организацию, но нельзя отказать себе в удовольствии отметиться под книгой, над которой работал. Сочетание русских и английских книг выдавало переводчика, а потом обнаружилось подтверждение — комментарий, в котором проскользнуло настоящее имя владельца аккаунта. Мы снова сотрудничаем, но мой коллега заволновался: только ли я смог проследить его связи со старой жизнью? Информация под руками, и все вполне законно — нужно лишь комбинировать данные. В другом случае открытые данные пришлось сочетать с импровизацией. Моего приятеля, пожилого уже человека, обманули при покупке в интернете. Он перевел деньги по номеру телефона, после чего продавец попросту перестал отвечать на звонки. Мы перевели один рубль по тому же телефону, и через интерфейс онлайн-банка узнали его имя, отчество и первую букву фамилии. Затем я позвонил на тот же телефон через Skype: — Иван Иванович, здравствуйте. Вас выбрали присяжным на процесс по делу о коррупции. Вы сможете явиться в Тверской городской суд послезавтра? Повестку мы пришлем. — Но я живу в Туле. — Вы ведь Иванов? — Нет, я Петров. — Простите, вечно у нас всё путают. Мы нашли «Петрова» в соцсети, со всеми родственниками. Приятель по-стариковски обратился к его отцу. Тот оказался человеком понимающим, извинился, а через 15 минут извинялся сам незадачливый обманщик. Да, мы имели дело с неопытным мелким мошенником, который не умел прятаться, но,