Rekayasa Sosial Fisik: Tailgating dan Baiting

Tidak semua serangan terjadi dari jarak jauh. Rekayasa sosial fisik melibatkan manipulasi manusia dan penerobosan kontrol Security fisik untuk memperoleh akses tanpa wewenang ke gedung, ruang server, atau area sensitif. Konsekuensinya dapat parah: penyerang yang memperoleh akses fisik ke server dapat memasang keylogger perangkat keras, mencuri Drive, menghubungkan perangkat berbahaya ke jaringan internal, atau membawa keluar pita cadangan yang tidak terenkripsi. Security fisik dan logis harus dipertimbangkan bersama—pertahanan jaringan yang sempurna menjadi sia-sia jika pintu pusat data tidak terkunci.

Tailgating terjadi ketika orang tanpa wewenang mengikuti Employee yang berwenang melewati pintu yang diamankan sebelum pintu tersebut tertutup, tanpa sepengetahuan Employee itu. Penyerang mungkin membawa kotak, mengenakan seragam, atau sekadar terlihat seperti orang yang memang seharusnya berada di sana agar tidak ditanyai. Piggybacking serupa, tetapi orang yang berwenang menyadarinya dan memberikan persetujuan (yang keliru)—misalnya, Employee menahan pintu untuk seseorang yang mengaku sebagai pengunjung yang sedang menunggu kartunya diproses. Keduanya melewati kontrol akses fisik tanpa eksploit teknis. Mantrap menghilangkan keduanya dengan memastikan hanya satu orang yang dapat lewat pada satu waktu.

Pemberian umpan mengeksploitasi rasa ingin tahu manusia dengan meninggalkan media fisik berbahaya—Drive USB, CD, atau kartu SD—di lokasi yang memungkinkan target menemukannya. Sebuah studi pada 2016 menemukan bahwa 48% Drive USB yang dijatuhkan di area parkir organisasi dicolokkan oleh Employee. Drive tersebut mungkin diberi label dengan nama yang menggugah rasa ingin tahu (“Gaji Kuartal 4”, “Project X Rahasia”, atau nama perusahaan) untuk meningkatkan ketertarikan. Saat dicolokkan, Drive tersebut dapat menjalankan malware secara otomatis, menampilkan survei palsu yang menangkap kredensial, atau memasang trojan akses jarak jauh secara diam-diam. Pertahanannya adalah Policy media Removable yang ketat dan menonaktifkan autorun.

Dumpster diving melibatkan pencarian bahan yang dibuang—dokumen kertas, hard drive, Drive USB, papan tulis, dan catatan tempel—untuk menemukan informasi sensitif. Organisasi membuang sangat banyak informasi yang berguna: bagan organisasi, nomor akun, diagram jaringan, cetakan kode sumber, dan kata sandi yang ditulis di catatan. Dokumen yang dihancurkan serta media yang di-degauss atau dimusnahkan menghilangkan risiko ini. Policy Security harus mencakup pembuangan data untuk semua jenis media, dan Employee harus memahami bahwa dokumen fisik yang berisi informasi sensitif harus dimusnahkan, bukan didaur ulang.

Shoulder mengintip adalah tindakan mengamati layar atau papan ketik seseorang untuk memperoleh informasi sensitif — kata sandi, PIN, dokumen rahasia — tanpa sepengetahuan mereka. Hal ini dapat terjadi secara langsung (dengan melihat dari balik bahu seseorang di ruang tunggu bandara) atau melalui kamera tersembunyi. Area publik yang ramai seperti kedai kopi, bandara, dan kantor dengan tata ruang terbuka memiliki risiko shoulder surfing yang signifikan. Perlindungannya mencakup layar privasi yang mempersempit sudut pandang, Policy penguncian layar (penguncian otomatis setelah tidak aktif selama jangka waktu tertentu), memasukkan PIN dengan cepat sambil menutupi papan angka dengan tangan, serta menempatkan layar agar tidak terlihat oleh publik.

Rekayasa sosial secara Physical sering menyamar sebagai tokoh berwenang atau personel layanan untuk membenarkan keberadaan mereka di area terbatas. Persona yang umum mencakup teknisi dukungan IT, pekerja pemeliharaan HVAC/lift, pemeriksa keselamatan kebakaran, petugas pengiriman, dan staf pengelola gedung. Atribut seperti seragam, papan jepit, tas perkakas, dan lencana ID (palsu yang tampak asli) secara drastis meningkatkan kredibilitas penyamaran tersebut. Penyerang mengandalkan asumsi bahwa karyawan tidak akan menantang seseorang yang terlihat dan bertindak seolah-olah memang berhak berada di sana, terutama jika orang itu memancarkan kepercayaan diri dan kewibawaan.

Insiden Security menciptakan peluang unik untuk rekayasa sosial. Selama latihan kebakaran atau keadaan darurat, karyawan dapat keluar dengan cepat dan membiarkan pintu terbuka dengan pengganjal — waktu yang ideal untuk tailgating. Selama gangguan besar pada IT, karyawan mungkin sangat mudah mengikuti arahan 'staf dukungan' yang menawarkan bantuan. Penyerang memantau berita untuk mengetahui krisis organisasi (merger, PHK, kebocoran data) dan mengatur waktu kampanye rekayasa sosial ketika organisasi sedang terdistraksi atau berada di bawah tekanan. Prosedur Security harus tetap dijalankan secara ketat bahkan selama keadaan darurat yang tampak nyata — terutama karena keadaan darurat dapat dibuat oleh penyerang.

Wardriving adalah tindakan berkendara (atau berjalan kaki) melintasi suatu area sambil memindai jaringan nirkabel. Penyerang mencatat nama jaringan, Settings Security, dan pola kekuatan sinyal. Pengintaian ini menjadi dasar bagi serangan berikutnya — mengidentifikasi jaringan WEP atau jaringan terbuka, mengonfirmasi nama SSID untuk serangan evil twin, atau menemukan AP liar. Variasi modernnya mencakup warwalking dan warflying (drone dengan adaptor nirkabel). Selain jaringan nirkabel, pengintaian Physical dapat mencakup pemotretan titik masuk, desain lencana, lokasi ruang server, dan penempatan kamera Security sebelum upaya pembobolan Physical yang direncanakan.

Policy meja Clean mewajibkan karyawan mengamankan semua materi sensitif saat meninggalkan ruang kerja — bahkan untuk waktu singkat. Dokumen harus disimpan di laci terkunci, layar Computer harus dikunci, papan tulis harus dihapus, dan media yang dapat dilepas harus diamankan. Policy layar bersih berfokus khusus pada penguncian workstation saat ditinggalkan. Policy ini mencegah pencurian informasi secara oportunistis (orang yang lewat melihat dokumen rahasia) maupun pengintaian Physical yang ditargetkan oleh penyerang yang telah menyusup ke kantor. Pemeriksaan rutin tanpa pemberitahuan mengaudit kepatuhan.

Penjaga Security manusia adalah garis pertahanan terakhir terhadap tailgating dan peniruan identitas. Pengelolaan pengunjung yang efektif mencakup pra-pendaftaran semua pengunjung yang diharapkan, verifikasi ID foto saat kedatangan, penerbitan lencana pengunjung khusus dengan batas waktu, serta pendampingan wajib oleh karyawan setiap saat di area aman. Semua kunjungan harus dicatat dalam daftar akses. Kontraktor dan vendor pihak ketiga memerlukan pemeriksaan latar belakang dan hanya boleh diberi akses ke area serta sistem tertentu yang diperlukan untuk pekerjaan mereka, dengan akses dicabut segera setelah pekerjaan selesai.

Kontrol Security Physical harus diuji secara rutin melalui latihan tim merah dan pengujian penetrasi Physical. Penguji penetrasi Physical berupaya memasuki fasilitas menggunakan teknik yang sama seperti penyerang — tailgating, peniruan identitas, membuka kunci secara paksa, atau melewati pembaca RFID. Hasilnya sering menunjukkan bahwa karyawan lebih jarang menantang pengunjung daripada yang diwajibkan Policy, atau pintu keluar samping dibiarkan terbuka dengan pengganjal oleh perokok. Temuan tersebut mendorong pembaruan Training, revisi Policy, dan peningkatan kontrol Physical. Jangan pernah melewatkan pengujian Security Physical saat menilai postur Security keseluruhan organisasi.

Uji pemahaman Anda tentang konsep CompTIA Security+ (SY0-701) dari pelajaran ini.

Dalam pelajaran ini Anda mempelajari bahwa: tailgating dan piggybacking memperoleh akses Physical dengan mengikuti pengguna berwenang melewati pintu yang diamankan dan dapat dicegah dengan mantrap serta budaya saling menantang, baiting mengeksploitasi rasa ingin tahu melalui drive USB Malicious atau media lain dan dapat dikurangi dengan menonaktifkan autorun serta memblokir perangkat penyimpanan yang tidak berwenang, sedangkan dumpster diving dan Shoulder mengintip mengambil informasi sensitif dari materi yang dibuang atau melalui pengamatan visual — pencegahannya mencakup penghancuran dokumen, Policy meja Clean, dan layar privasi. Selanjutnya kita akan membahas Training kesadaran Security dan kontrol anti-Phishing.