جعلتني قطعة من الأخبار الحديثة أدرك كيف يمكن (أو ، استخدام) المشاعر والأفكار البشرية لمنفعة الآخرين. يعرف كل واحد منكم تقريبًا إدوارد سنودن^{(Edward Snowden)} ، مخبر وكالة الأمن القومي^(NSA) الذي يتطفل على العالم بأسره. ذكرت وكالة رويترز أنه قام بحمل حوالي 20-25 شخصًا من وكالة الأمن القومي^(NSA) لتسليمه كلمات المرور الخاصة بهم لاستعادة بعض البيانات التي سربها لاحقًا [1]. تخيل^(Imagine) مدى هشاشة شبكة شركتك ، حتى مع أقوى برامج الأمان وأفضلها!

ما هي الهندسة الاجتماعية

غالبًا ما يتم استخدام الضعف البشري^(Human) والفضول والعواطف وغيرها من الخصائص في استخراج البيانات بشكل غير قانوني - سواء كان ذلك في أي صناعة. ومع ذلك ، فقد أعطتها صناعة تكنولوجيا المعلومات^{(IT Industry)} اسم الهندسة الاجتماعية. أعرّف الهندسة الاجتماعية على أنها:

“The method whereby an external person gains control over one or more employees of any organization by any means with intention to obtain the organization’s data illegally”

إليكم سطر آخر من نفس القصة الإخبارية [1] التي أريد أن أقتبس منها - " تواجه وكالات الأمن أوقاتًا عصيبة مع فكرة أن الرجل في المقصورة التالية قد لا يكون موثوقًا به^{(Security agencies are having a hard time with the idea that the guy in the next cubicle may not be reliable)} ". لقد قمت بتعديل العبارة قليلاً لتلائم السياق هنا. يمكنك قراءة الخبر كاملاً باستخدام الرابط الموجود في قسم المراجع^(References) .

بمعنى آخر ، ليس لديك سيطرة كاملة على أمن مؤسساتك مع تطور الهندسة الاجتماعية بشكل أسرع بكثير من تقنيات التعامل معها. يمكن أن تكون الهندسة الاجتماعية^(Social) أي شيء مثل استدعاء شخص ما يقول إنك تقدم الدعم الفني واطلب منه بيانات اعتماد تسجيل الدخول الخاصة به. يجب أن تكون قد تلقيت رسائل بريد إلكتروني للتصيد الاحتيالي حول اليانصيب ، والأثرياء في الشرق الأوسط^{(Mid East)} وأفريقيا يريدون شركاء^(Africa) أعمال ، وعروض عمل ليطلبوا منك التفاصيل الخاصة بك.

على عكس هجمات التصيد الاحتيالي ، فإن الهندسة الاجتماعية هي قدر كبير من التفاعل المباشر بين الأشخاص. يستخدم (التصيد الاحتيالي) السابق طُعمًا - أي أن الأشخاص الذين "يصطادون" يقدمون لك شيئًا على أمل أن تقع في غرامه. تتمحور الهندسة الاجتماعية^(Social) حول كسب ثقة الموظفين الداخليين بحيث يكشفون عن تفاصيل الشركة التي تحتاجها.

قراءة: ^(Read:) الأساليب الشعبية للهندسة الاجتماعية .

تقنيات الهندسة الاجتماعية المعروفة

هناك الكثير ، وكلهم يستخدمون الميول البشرية الأساسية للدخول في قاعدة بيانات أي منظمة. إن أسلوب الهندسة الاجتماعية الأكثر استخدامًا (والذي قد يكون عفا عليه الزمن) هو الاتصال بالناس والالتقاء بهم وجعلهم يعتقدون أنهم من الدعم الفني الذين يحتاجون إلى فحص جهاز الكمبيوتر الخاص بك. يمكنهم أيضًا إنشاء بطاقات هوية مزيفة لبناء الثقة. في بعض الحالات ، يتظاهر الجناة بأنهم مسؤولون في الدولة.

أسلوب مشهور آخر هو توظيف شخصك كموظف في المنظمة المستهدفة. الآن ، نظرًا لأن هذا الخداع هو زميلك ، فقد تثق به فيما يتعلق بتفاصيل الشركة. قد يساعدك الموظف الخارجي في شيء ما ، لذلك تشعر بأنك ملزم ، وهذا هو الوقت الذي يمكنه فيه تحقيق الحد الأقصى.

قرأت أيضًا بعض التقارير حول الأشخاص الذين يستخدمون الهدايا الإلكترونية. يمكن لوحدة USB^(USB) الفاخرة التي يتم تسليمها لك على عنوان شركتك أو محرك أقراص محمول ملقاة في سيارتك أن تثبت وقوع كوارث. في إحدى الحالات ، ترك شخص ما بعض محركات أقراص USB عمدًا في ساحة انتظار السيارات كطُعم [2].

إذا كانت شبكة شركتك تتمتع بإجراءات أمنية جيدة في كل عقدة ، فأنت محظوظ. بخلاف ذلك ، توفر هذه العقد ممرًا سهلاً للبرامج الضارة - في تلك الهدية أو محركات القلم "المنسية" - إلى الأنظمة المركزية.

على هذا النحو لا يمكننا تقديم قائمة شاملة بأساليب الهندسة الاجتماعية. إنه علم في جوهره ، مقترنًا بالفن في الأعلى. وأنت تعلم أن أيا منهما ليس له حدود. يواصل رجال الهندسة الاجتماعية^(Social) الإبداع أثناء تطوير البرامج التي يمكنها أيضًا إساءة استخدام الأجهزة اللاسلكية للوصول إلى شبكة Wi-Fi الخاصة^(Wi-Fi) بالشركة .

قراءة: ^(Read:) ما هي البرامج الضارة المهندسة اجتماعيًا .

منع الهندسة الاجتماعية

أنا شخصياً لا أعتقد أن هناك أي نظرية يمكن للمسؤولين استخدامها لمنع اختراق الهندسة الاجتماعية. تستمر تقنيات الهندسة الاجتماعية في التغيير ، وبالتالي يصبح من الصعب على مسؤولي تكنولوجيا المعلومات تتبع ما يحدث.

بالطبع ، هناك حاجة للاحتفاظ بعلامة تبويب لأخبار الهندسة الاجتماعية بحيث يتم إبلاغ الفرد بما يكفي لاتخاذ الإجراءات الأمنية المناسبة. على سبيل المثال ، في حالة أجهزة USB ، يمكن للمسؤولين حظر محركات أقراص USB على العقد الفردية مما يسمح لهم فقط على الخادم الذي يحتوي على نظام أمان أفضل. وبالمثل^(Likewise) ، ستحتاج Wi-Fi إلى تشفير أفضل مما يوفره معظم ^(Wi-Fi)مزودي خدمة الإنترنت^(ISPs) المحليين .

يمكن أن يساعد تدريب الموظفين وإجراء اختبارات عشوائية على مجموعات مختلفة من الموظفين في تحديد نقاط الضعف في المنظمة. سيكون من السهل تدريب الأفراد الأضعف وحذرهم. اليقظة^(Alertness) هي أفضل دفاع. يجب أن يكون التركيز هو أنه لا ينبغي مشاركة معلومات تسجيل الدخول حتى مع قادة الفريق - بغض النظر عن الضغط. إذا احتاج قائد الفريق إلى الوصول إلى تسجيل دخول العضو ، فيمكنه استخدام كلمة مرور رئيسية. هذا مجرد اقتراح واحد للبقاء آمنًا وتجنب اختراق الهندسة الاجتماعية.

خلاصة القول هي ، بصرف النظر عن البرامج الضارة والمتسللين عبر الإنترنت ، يحتاج فريق تكنولوجيا المعلومات إلى الاهتمام بالهندسة الاجتماعية أيضًا. أثناء تحديد طرق اختراق البيانات (مثل كتابة كلمات المرور وما إلى ذلك) ، يجب على المسؤولين التأكد من أن موظفيهم أذكياء بما يكفي لتحديد تقنية الهندسة الاجتماعية لتجنبها تمامًا. ما رأيك هي أفضل الطرق لمنع الهندسة الاجتماعية؟ إذا واجهت أي حالة مثيرة للاهتمام ، فيرجى مشاركتها معنا.

قم بتنزيل هذا الكتاب الإلكتروني حول هجمات الهندسة الاجتماعية الذي أصدرته Microsoft وتعرف على كيفية اكتشاف ومنع مثل هذه الهجمات في مؤسستك.^{(Download this ebook on Social Engineering Attacks released by Microsoft and learn how you can detect and prevent such attacks in your organization.)}

مراجع^(References)

[1] رويترز^(Reuters) ، سنودن^(Snowden) أقنع موظفي وكالة الأمن القومي بالحصول على ^{(NSA Employees Into)}معلومات^(Info) تسجيل الدخول الخاصة بهم

[2] Boing Net ، محركات القلم^(Pen) المستخدمة لنشر البرامج الضارة^{(Spread Malware)} .

Understand Social Engineering - Protection against Human Hacking

A piece of recent news made me realize how human emotions and thoughts сan be (or, are) used for others’ benefit. Almost every one of yоu knows Edward Snowden, the whistleblower of NSA ѕnooрing the world over. Reuters reported that he got around 20-25 NSA people to hand over their passwordѕ to him for recоvering ѕome data he leaked latеr [1]. Imagine how fragile your сorporate network can bе, evеn with the strongest and best of security software!

What is Social Engineering

Human weakness, curiosity, emotions, and other characteristics have often been used in extracting data illegally – be it any industry. The IT Industry has, however, given it the name of social engineering. I define social engineering as:

“The method whereby an external person gains control over one or more employees of any organization by any means with intention to obtain the organization’s data illegally”

Here is another line from the same news story [1] that I want to quote – “Security agencies are having a hard time with the idea that the guy in the next cubicle may not be reliable“. I modified the statement a bit to fit it into the context here. You can read the full news piece using the link in the References section.

In other words, you do not have complete control over the security of your organizations with social engineering evolving much faster than techniques to cope with it. Social engineering can be anything like calling up someone saying you are tech support and ask them for their login credentials. You must have been receiving phishing emails about lotteries, rich people in Mid East and Africa wanting business partners, and job offers to ask you your details.

Unlike phishing attacks, social engineering is much of direct person-to-person interaction. The former (phishing) employs a bait – that is, the people “fishing” is offering you something hoping that you will fall for it. Social engineering is more about winning the confidence of internal employees so that they divulge the company details you need.

Read: Popular methods of Social Engineering.

Known Social Engineering Techniques

There are many, and all of them use basic human tendencies for getting into the database of any organization. The most used (probably outdated) social engineering technique is to call and meet people and making them believe they are from technical support who need to check your computer. They can also create fake ID cards to establish confidence. In some cases, the culprits pose as state officials.

Another famous technique is to employ your person as an employee in the target organization. Now, since this con is your colleague, you might trust him with company details. The external employee might help you with something, so you feel obliged, and that is when they can make out the maximum.

I also read some reports about people using electronic gifts. A fancy USB stick delivered to you at your company address or a pen drive lying in your car can prove disasters. In a case, someone left some USB drives deliberately in the parking lot as baits [2].

If your company network has good security measures at each node, you are blessed. Otherwise, these nodes provide an easy passage for malware – in that gift or “forgotten” pen drives – to the central systems.

As such we cannot provide a comprehensive list of social engineering methods. It is a science at the core, combined with art on the top. And you know that neither of them has any boundaries. Social engineering guys keep on getting creative while developing software that can also misuse wireless devices gaining access to company Wi-Fi.

Read: What is Socially Engineered Malware.

Prevent Social Engineering

Personally, I do not think there is any theorem that admins can use to prevent social engineering hacks. The social engineering techniques keep on changing, and hence it becomes difficult for IT admins to keep track on what is happens.

Of course, there is a need to keep a tab on social engineering news so that one is informed enough to take appropriate security measures. For example, in the case of USB devices, admins can block USB drives on individual nodes allowing them only on the server that has a better security system. Likewise, Wi-Fi would need better encryption than most of the local ISPs provide.

Training employees and conducting random tests on different employee groups can help identify weak points in the organization. It would be easy to train and caution the weaker individuals. Alertness is the best defense. The stress should be that login information should not be shared even with the team leaders – irrespective of the pressure. If a team leader needs to access a member’s login, s/he can use a master password. That is just one suggestion to stay safe and avoid social engineering hacks.

The bottom line is, apart from the malware and online hackers, the IT people need to take care of social engineering too. While identifying methods of a data breach (like writing down passwords etc.), the admins should also ensure their staff is smart enough to identify a social engineering technique to avoid it altogether. What do you think are the best methods to prevent social engineering? If you have come across any interesting case, please share with us.

Download this ebook on Social Engineering Attacks released by Microsoft and learn how you can detect and prevent such attacks in your organization.

References

[1] Reuters, Snowden Persuaded NSA Employees Into Obtaining Their Login Info

[2] Boing Net, Pen Drives Used to Spread Malware.

Related posts

• Internet and Social Networking Sites addiction

• مواقع الويب Fake News: مشكلة متنامية وما يعنيه في عالم اليوم

• كيفية الإعداد، سجل، تحرير، نشر Instagram Reels

• كيفية تمكين مصادقة عاملين ل Reddit account

• تواصل مع Windows Club

• كيفية تحميل الأغاني من SoundCloud

• Revoke الوصول إلى طرف ثالث من Facebook، Google، Microsoft، Twitter

• كيفية كتم الصوت والكشف عن المستخدمين Instagram على Windows PC

• كيف تصبح LinkedIn influencer

• أفضل Yammer Tips and Tricks لpower user

• ما هو phubbing وما يعنيه العلاقات الشخصية

• كيفية تنزيل قصص Instagram بجهاز الكمبيوتر أو الهاتف المحمول

• قائمة غيرها من share or post إلى Facebook or Social Media

• كيف يمكنك البحث في الرسائل المتعلقة ب Instagram؟

• Yammer Features & Where يمكنك استخدامه

• كيفية البحث Reddit بطريقة الأكثر كفاءة

• Block Instagram إعلانات ومحتوى برعاية باستخدام Filtergram

• كيفية حذف أو تعطيل مؤقتا بشكل دائم Instagram account

• كيف تصبح Pinterest Influencer

• كيفية حفظ Instagram Reels في Draft and Edit لاحقا