Social engineering vizsgálatok

A social engineering, vagyis a megtévesztés művészete nagyon régi, kimagaslóan hatékony, de a felhasználók, vállalati döntéshozók részéről továbbra is veszélyesen alábecsült támadási forma. Lényege, hogy az emberi tényezőt, mint magas fokú sebezhetőséget használja ki, a megtévesztés és álca eszközeivel. A támadás általában önmagában is kiemelkedő károkat okozhat, de gyakran egy eszköz további támadások elősegítéséhez, megalapozásához. A legfrissebb felmérések alapján, az utóbbi évek biztonsági incidensei az esetek 35%-ban támaszkodtak social engineering támadásokra, valamint további 21%-ban közrejátszott egyéb emberi hiba. (Forrás: Verizon 2019 Data Breach Investigations Report)

Kiemelten fontosnak tartjuk, hogy a szervezetek tisztában legyenek saját munkatársaik felkészültségével, hiszen adott esetben a biztonságtudatos magatartás határozhatja meg a Szervezet veszteségének mértékét. A PR-AUDIT Kft. social engineering vizsgálatai ennek felmérését hivatottak elősegíteni.

Tapasztalatunkat az elmúlt 10 évben lefolytatott vizsgálatok igazolják, amelyeket főként a pénzügyi szektor szereplőinek megbízásából hajtottunk végre, módszertanunkat és eljárásainkat pedig a SANS ajánlásai, mint alkalmazott piaci legjobb gyakorlatok teszik nemzetközi szinten is elismertté.

Vizsgálatok típusai

1. Online tesztjeinket elektronikus üzeneten keresztül végezzük. Felvesszük egy, a felhasználók számára személyes vagy szakmai szempontból érdekelt személy, szervezeti egység vagy szervezet identitását, és a nevükben eljárva próbálunk a felhasználók emberi tulajdonságait kihasználva információt kinyerni. A tesztet az alábbi két megközelítésből végezzük:
   • Phishing: A phishing támadások során az üzenetekhez „kártékony” alkalmazást, dokumentumot vagy linket csatolunk, a levél szövegtörzsében pedig megpróbáljuk rávenni a felhasználókat ezek megnyitására. Az egyes csatolt elemek megnyitása naplózásra kerül.
   • Pharming: Pharming támadásaink során célunk a felhasználók belépési adatainak gyűjtése. Ehhez, az elektronikus üzenethez csatolt link mögött egy általunk készített weboldalt helyezünk el (leggyakrabban egy eredeti oldal másolatát), ahol a beviteli mezőkben naplózzuk a megadott adatokat
2. Telephelyi fizikai vizsgálataink során ellenőrizzük a Megbízó által kijelölt helyszínek fizikai biztonsági védelmi intézkedéseinek megfelelőségét. Felmérjük a helyszínek környezetét, a lehetséges bejutási pontokat, majd az esetlegesen észlelt gyengeségek kihasználásával megpróbálunk bejutni az épületbe, ott ellenőrizetlen mozogni és szenzitív információkat eltulajdonítani.
3. Telefonon keresztül végzett vizsgálataink során megszemélyesítünk egy, a Megbízó érdekeltségébe tartozó személyt, és telefonbeszélgetés során próbáljuk a megszokottól eltérő viselkedésre, bejelentkezési adatok kiadására rávenni a felhasználókat.

Vizsgálatokhoz kapcsolódó képzések

Tekintve, hogy a biztonságtudatosság nem egy állapotot, hanem folyamatot jelent, vállaljuk tudatossági programok összeállítását és menedzselését. Programjaink részét képezik tantermi és e-learning oktatások elkészítése, ütemezése, valamint prezentálása a felhasználók számára. Ezek történhetnek eseti jelleggel, vagy rendszeresítve is.