Разработка методики противодействия социальному инжинирингу на предприятиях БРО ООО «ВДПО» и ООО «Служба Мониторинга – Уфа»

Охранник, осуществляющий пропускной режим в организации, должен быть проинструктирован касательно возможных действий социальных инженеров. Охранник обязан следовать следующим правилам:

• пропускать только сотрудников с пропусками;
• посетителей регистрировать в журнале при наличии документа подтверждающего личность;

позволять проходить в помещение только в сопровождении других сотрудников организации (сопровождение должно производиться от самого входа до места назначения и обратно, не позволяя им самостоятельно ходить по организации).

Отступать от этих правил нельзя ни в коем случае.

Для того чтобы удостовериться, что каждый посетитель представляется охране, вход в организацию должен быть организован так, чтобы посетители должны были идти непосредственно мимо поста охраны так, чтобы предъявить свои пропуска или зарегистрироваться. При этом недопустимо скопление народа перед охранником, которое может затруднить работу охраны.

Пример расположения поста охраны показан на рисунке 10.

Рисунок 10 Планирование поста охраны

Область поста охраны слева позволяет неправомочному посетителю пройти, используя законного служащего как экран. Пример справа требует, чтобы любой посетитель шел мимо охранника. Позиция компьютерного терминала не закрывает взгляд охранника.

Необходимо, чтобы сотрудники охраны просматривали весь проход и не мешали друг другу, когда они проверяют каждого человека.

Для того чтобы классифицировать нападения и определить риски в организации, необходимо использовать матрицу векторов нападения, целей нападения и описаний, изложенных в таблице 10.

Таблица 10 Физические Нападения

Цели нападения	Описание	Цель
Воровство мобильного идентификатора сотрудника	Социальный инженер наблюдает за законным пользователем, набирающим имя и пароль для входа в систему.	Конфиденциальная информация
Воровство домашнего идентификатора сотрудника	Социальный инженер изображает сервис-менеджера для получения доступа к домашнему компьютеру и запрашивает пользовательский идентификатор и пароль, для проверки успешности обновления	Конфиденциальная информация
Прямой сетевой контакт через домашнюю сеть сотрудника	Социальный инженер обращается к сети организации через домашнюю сеть сотрудника, изображая сотрудника технического отдела.	Конфиденциальная информация Деловое доверие Деловая доступность Ресурсы Деньги
Внешний доступ к домашней сети сотрудника	Социальный инженер получает доступ к интернету через необеспеченную домашнюю сеть	Ресурсы
Несопровождаемый доступ к офису организации	Социальный инженер получает доступ под видом авторизованного сотрудника организации	Конфиденциальная информация Деловое доверие Деловая доступность Ресурсы Деньги
Обращение к человеку в офисе организации	Социальный инженер обращается к сотруднику для использования компьютерного оборудования или бумажных ресурсов	Конфиденциальная информация Деловое доверие Деловая доступность Ресурсы Деньги

Работа технического отдела. Администраторы баз данных и локальных сетей, которые работают с программным обеспечением, располагающие технической информацией, обязаны устанавливать личность человека, который обратился к ним за советом или информацией.

Необходимо сменить учетные данные на всех коммутаторах организации, в связи с использованием одинаковой сервисной учетной записи на всех коммутаторах от завода.

Те же самые действия необходимо произвести и с телефонными коммутаторами.

Необходимо использовать утилиту «L0phtcrack4» для проверки «слабых» паролей или аналогичные ей.

Для того чтобы меры по обеспечению безопасности имели смысл – как для администраторов сети, так и для сотрудников, использующих сетевые ресурсы – необходимо определить сетевую политику безопасности, в которой нужно четко описать, что можно и чего нельзя делать в сети.

Для ознакомления сотрудников с политиками обеспечения безопасности компьютеров и сети необходимо использовать следующие документы:

1. Политику сетевых соединений.
2. Процедуры по устранению последствий вторжения.
3. Правила пользования компьютером.

Ознакомление с этими документами должно подтверждаться подписью сотрудников, подобно тому, как это происходит при инструктаже по технике безопасности.

1. Политика сетевых соединений. Документы этого типа должны содержать перечень устройств, которые разрешается подключать к сети, а также свод требований по обеспечению безопасности – какие функции операционной системы используются, ответственные лица за утверждение подключения к сети новых устройств. Так же должны быть предусмотрены прямые инструкции на случай настройки нового компьютера, коммутатора и даже маршрутизатора – что разрешено делать, а что запрещено. Отдельно должна составляться политика сетевых подключений для брандмауэров – с описанием того, какой тип сетевого трафика пропускается через брандмауэр в сеть и из сети.

При работе сотрудниками через виртуальную частную сеть (Virtual Private Network, VPN), необходимо разработать специальные документы с подробным описанием настройки портативных и настольных компьютеров.

В документации необходимо описать все процедуры получения учетной записи компьютера, а также права и привилегии всех типов, которые могут быть предоставлены учетной записи, сетевые адреса, которые могут быть использованы, и способы их контроля. Необходимо ясно озвучить, что никакие соединения, идущие вразрез с описанными процедурами и политиками безопасности и происходящие без ведома ответственных лиц, не допускаются.

При предоставлении сотрудникам права коммутируемого доступа, сотрудники должны четко понимать, что ни в коем случае нельзя сообщать информацию, необходимую для такого доступа.

Следует запретить сотрудникам работать дома с рабочего компьютера (ноутбука, нетбука и т.д.).

При желании сотрудником получения разрешения на какое-либо послабление установленной политики, от него необходимо требовать письменное заявление с обоснованием своей просьбы. При просьбе установки программы, которая не поддерживается техническим отделом, нельзя давать разрешение на ее установку только по причине острой производственной необходимости. В последнем случае программу необходимо внести в политику сетевых соединений и обучить персонал технического отдела ее использованию. Ни при каких обстоятельствах нельзя разрешать сотрудникам загружать и устанавливать программы из интернета.

Отдельное внимание следует обратить на попытки доступа к данным, не имеющим отношения к служебным обязанностям сотрудника. Такие действия называются «прощупыванием» сети и должны рассматриваться как причина для увольнения. Если сотрудник желает знать, где хранятся данные или приложения, то он должен обсудить этот вопрос с руководством или техническим отделом.

2. Устранение последствий вторжения. В организации должен быть специальный сотрудник или сотрудники, которые должны отвечать за исследование вопросов, имеющих отношение к обеспечению безопасности. Кроме того, наличие документа, в котором расписаны процедуры на случай тех или иных нарушений системы защиты, показывает сотрудникам, насколько важна безопасность сети и насколько тщательно нужно выполнять меры по ее соблюдению.

В документе, который должен содержать описание процедур по устранению последствий вторжения, следует дать определение того, что считается брешью в защите. Это может быть следующее:

• кража аппаратных средств или программного обеспечения;
• подбор или разглашение пароля;
• недопустимая передача кому-либо носителей информации, в том числе дисков, флеш-драйверов и бумажных носителей;
• совместное использование одной учетной записи либо разглашение имени пользователя и пароля;
• просмотр сети без соответствующих полномочий;
• вмешательство в данные или учетную запись другого сотрудника;
• подозрительное проникновение в сеть извне;
• компьютерные вирусы;
• нарушение физического доступа.

Некоторые из этих ситуаций кажутся вполне очевидными. Однако наивно рассчитывать справиться с подобными проблемами без заранее написанных инструкций.

3. Инструкции по использованию компьютера. В инструкции по использованию компьютера должно быть ясно прописано, что все компьютерные программы должны предоставляться исключительно организацией; использование на компьютере, принадлежащем организации, или в корпоративной сети посторонних программ запрещается. Следует убедиться, что все сотрудники понимают это и что организация таким образом защищена от возможных судебных разбирательств.

Так же, в документации необходимо отметить о запрете копирования пользователями принадлежащее организации программное обеспечение и данные, уносить их домой или использовать другим неразрешенным образом.

Необходимо обязать сотрудников сообщать о любых подозрительных действиях или неправомочном использовании компьютерных ресурсов. На сотрудников также должна возлагаться ответственность за принятие необходимых мер по защите данных и программ в пределах их полномочий – в частности, они не должны оставлять рабочую станцию, зарегистрированную для работы в сети, без присмотра на длительное время, (для этого следует пользоваться защищенным паролем хранителем экрана); не должны оставлять на видном месте отчеты и другую конфиденциальную информацию и тому подобное.

Инструкции по использованию компьютера могут включать много нюансов. При ее составлении необходимо учесть следующие моменты:

• недовольство пользователей (в лучшем случае пользователи не станут выполнять слишком строгую инструкцию, которая создает серьезные неудобства, – особенно если им непонятно, насколько эти меры оправданы, в худшем – возможно нарастание скрытой агрессии и открытый конфликт);
• наказания (если правило подразумевает принятие некоторых болезненных мер, то оно всегда должно выполняться с максимальной значительностью и строгостью, в идеале такие меры должны приниматься один раз);
• сотрудники (в любом документе, который содержит инструкции по использованию сети, должно подчеркиваться, что сотрудники, находясь в сети, обязаны вести себя этично);
• внешние соединения (еще одной областью, которой часто уделяется недостаточно внимания, являются сотрудники, которые приходят в организацию и получают временный доступ к сети. Для сотрудника, который нанят по контракту для выполнения определенных работ, обязательно должны быть разработаны правила использования компьютера – такие сотрудники должны прочесть эти правила и подписью подтвердить факт ознакомления с ними).

В инструкциях так же должно быть сказано, что сотрудник не имеет права обсуждать с кем-либо не только информацию, к которой он имеет доступ, но даже и тип этой информации.

Работа отдела кадров. Очень часто, когда речь заходит о безопасности организации, в том числе, когда дело касается социального инжиниринга, нельзя забывать о том, что опасность может быть внутри организации. Связано это с тем, что у сотрудников могут быть свои пороки. Типами сотрудников являются:

1. Упрямые сотрудники (они упрямы и уверены, что делают что-либо правильно и это не может подлежать никакому критическому обсуждению).
2. Недобросовестные сотрудники (они демонстрируют деловую активность пока за ними наблюдаешь, как только наблюдение прекращается – они перестают работать).
3. Расхитители (по данным Национальной Американской Ассоциации от «50 до 70% убытков организации приходится на кражи, которые совершают сотрудники» []). К расхитителям можно отнести и тех сотрудников, которые наняты конкурентами.

Согласно статистике, представленной на рисунке 11, «процент честных сотрудников равен 10, 65% готовы нарушить закон в том случае, если они будут уверены в своей безнаказанности. Оставшиеся 25% готовы нарушить закон при любых обстоятельствах» [].

Рисунок 11 Статистика честности сотрудников

Отделу кадров рекомендуется наблюдать за сотрудниками на всех стадиях их развития в организации.

Любой сотрудник в организации всегда проходит три стадии развития:

1. Устройство на работу.
2. Этап работы.
3. Увольнение.

При приеме сотрудника на работу необходимо собрать о нем как можно больше сведений, с целью прогноза поведения в каких-либо ситуациях. Как правило, такие проверки проще проводить с помощью стандартных психологических тестов. Так же следует определить, не принадлежит ли кандидат на должность к одной из категорий «неудобных сотрудников», классификацию и описание которых приведена ниже.

Нельзя допускать в своей организации существования алкогольно-сексуальных групп (речь идет о стиле поведения людей, входящих в эту группу) [28, стр. 186].

Лояльность сотрудников – это означает, что сотрудник доволен работой в организации, как моральном, так и в материальном плане. Всех сотрудников можно разделить на четыре группы:

1. Сотрудники, которые довольны работой в организации, как в моральном, так и в материальном плане.
2. Сотрудники, которые довольны работой в организации в моральном плане, но в материальном плане они не получают достойного вознаграждения за свой труд, при этом относятся к этому снисходительно, т.к. считают, что другой такой же интересной работы они не найдут, а на неинтересной работе они работать не могут.
3. Сотрудники, которые работают только за зарплату, которая их пока устраивает, а к любой работе они относятся только как к обязанности, которую нужно выполнить, чтобы получить деньги (эта группа является опасной, т.к. такого сотрудника можно подкупить).
4. Сотрудники, которые не довольны работой в организации ни в моральном, ни в материальном плане (эта группа сотрудников является самой опасной, т.к. если в организации большинство сотрудников принадлежит именно к этой группе, то такая организация разрушит сама себя.