Kejuruteraan Sosial Fizikal: Tailgating dan Baiting

Tidak semua serangan berlaku dari jauh. Kejuruteraan sosial fizikal melibatkan manipulasi orang dan pemintasan kawalan keselamatan fizikal untuk mendapatkan akses tanpa kebenaran ke bangunan, bilik pelayan atau kawasan sensitif. Akibatnya boleh menjadi serius: penyerang yang mempunyai akses fizikal kepada pelayan boleh memasang perakam kekunci perkakasan, mencuri pemacu, menyambungkan peranti penyangak ke rangkaian dalaman atau membawa keluar pita sandaran yang tidak disulitkan. Keselamatan fizikal dan logik mesti dipertimbangkan bersama — pertahanan rangkaian yang sempurna menjadi sia-sia kerana pintu pusat data yang tidak berkunci.

Tailgating berlaku apabila individu tanpa kebenaran mengekori Employee yang diberi kebenaran melalui pintu berkunci sebelum pintu itu tertutup, tanpa pengetahuan Employee tersebut. Penyerang mungkin membawa kotak, memakai pakaian seragam atau sekadar kelihatan seperti orang yang sepatutnya berada di situ untuk mengelakkan dipersoalkan. Piggybacking adalah serupa, tetapi orang yang diberi kebenaran menyedarinya dan memberikan persetujuan (yang tersilap) — contohnya, Employee memegang pintu untuk seseorang yang mendakwa dirinya pelawat dan sedang menunggu lencananya diproses. Kedua-duanya memintas kawalan akses fizikal tanpa sebarang eksploit teknikal. Mantrap menghapuskan kedua-dua risiko ini dengan memastikan hanya seorang melaluinya pada satu-satu masa.

Umpan mengeksploitasi rasa ingin tahu manusia dengan meninggalkan media fizikal berniat jahat — pemacu USB, CD atau kad SD — di lokasi yang akan ditemui oleh sasaran. Kajian pada tahun 2016 mendapati bahawa 48% pemacu USB yang diletakkan di tempat letak kereta organisasi telah disambungkan oleh Employee. Pemacu tersebut mungkin dilabel dengan nama yang menarik ('Gaji Suku Ke-4', 'Project X Sulit' atau nama syarikat) untuk meningkatkan rasa ingin tahu. Apabila disambungkan, pemacu itu mungkin menjalankan perisian hasad secara automatik, memaparkan tinjauan palsu yang menangkap kelayakan atau memasang trojan akses jauh secara senyap. Pertahanannya ialah dasar media Removable yang ketat dan melumpuhkan autorun.

Menyelongkar sampah melibatkan pencarian bahan yang dibuang — dokumen kertas, cakera keras, pemacu USB, papan putih dan nota pelekat — untuk mendapatkan maklumat sensitif. Organisasi membuang jumlah maklumat berguna yang sangat banyak: carta organisasi, nombor akaun, rajah rangkaian, cetakan kod sumber dan kata laluan yang ditulis pada nota. Dokumen yang dicincang serta media yang dinyahmagnet dan dimusnahkan menghapuskan risiko ini. Dasar keselamatan mesti merangkumi pelupusan data untuk semua jenis media, dan Employee hendaklah memahami bahawa dokumen fizikal yang mengandungi maklumat sensitif memerlukan pemusnahan, bukan kitar semula.

Mengintai dari belakang bahu melibatkan pemerhatian terhadap skrin atau papan kekunci seseorang untuk mendapatkan maklumat sensitif — kata laluan, PIN dan dokumen sulit — tanpa pengetahuan mereka. Perbuatan ini boleh berlaku secara bersemuka (dengan melihat dari belakang bahu seseorang di ruang menunggu lapangan terbang) atau melalui kamera tersembunyi. Kawasan awam yang sering dikunjungi seperti kedai kopi, lapangan terbang dan pejabat berkonsep terbuka mempunyai risiko mengintai dari belakang bahu yang ketara. Langkah perlindungan termasuk skrin privasi yang mengehadkan sudut pandangan, Policy mengunci skrin (kunci automatik selepas tempoh tidak aktif), memasukkan PIN dengan pantas sambil menutup pad kekunci dengan tangan, serta meletakkan skrin jauh daripada pandangan awam.

Insiden Security mewujudkan peluang unik untuk kejuruteraan sosial. Semasa latihan kebakaran atau kecemasan, pekerja mungkin keluar dengan cepat dan membiarkan pintu terbuka — keadaan yang ideal untuk mengekori masuk. Semasa gangguan besar IT, pekerja mungkin lebih mudah mematuhi arahan 'kakitangan sokongan' yang menawarkan bantuan. Penyerang memantau berita untuk mengetahui krisis organisasi (penggabungan, pemberhentian pekerja dan kebocoran data), lalu mengatur kempen kejuruteraan sosial ketika organisasi terganggu atau berada di bawah tekanan. Prosedur Security mesti dipatuhi dengan ketat walaupun semasa kecemasan yang kelihatan nyata — lebih-lebih lagi kerana kecemasan boleh direka oleh penyerang.

Wardriving melibatkan pemanduan (atau berjalan kaki) melalui sesuatu kawasan sambil mengimbas rangkaian tanpa wayar. Penyerang mencatat nama rangkaian, Settings Security dan corak kekuatan isyarat. Peninjauan ini membantu serangan seterusnya — mengenal pasti rangkaian WEP atau yang terbuka, mengesahkan nama SSID untuk serangan evil twin, atau mencari AP palsu. Variasi moden termasuk warwalking dan warflying (dron dengan penyesuai tanpa wayar). Selain rangkaian tanpa wayar, peninjauan fizikal mungkin merangkumi pengambilan gambar pintu masuk, reka bentuk lencana, lokasi bilik pelayan dan kedudukan kamera Security sebelum cubaan pencerobohan fizikal yang dirancang.

Polisi meja bersih menghendaki pekerja menyimpan semua bahan sensitif dengan selamat apabila meninggalkan ruang kerja — walaupun untuk seketika. Dokumen mesti disimpan dalam laci berkunci, skrin Computer mesti dikunci, papan putih mesti dipadam dan media boleh alih mesti diamankan. Polisi skrin jelas pula memfokuskan khususnya pada penguncian stesen kerja apabila ditinggalkan tanpa pengawasan. Polisi ini mencegah kecurian maklumat secara oportunistik (orang yang lalu-lalang terlihat dokumen sulit) serta peninjauan fizikal yang disasarkan oleh penyerang yang telah menyusup ke pejabat. Pemeriksaan berkala tanpa pemberitahuan digunakan untuk mengaudit pematuhan.

Pengawal Security manusia ialah barisan pertahanan terakhir terhadap tindakan mengekori masuk dan penyamaran. Pengurusan pelawat yang berkesan merangkumi pra-pendaftaran semua pelawat yang dijangka hadir, pengesahan ID bergambar semasa ketibaan, pengeluaran lencana pelawat yang berbeza dengan had masa, serta pengiring wajib oleh seorang pekerja pada setiap masa di kawasan selamat. Semua lawatan hendaklah direkodkan dalam daftar akses. Kontraktor dan vendor pihak ketiga memerlukan pemeriksaan latar belakang dan hanya boleh diberikan akses kepada kawasan serta sistem khusus yang diperlukan untuk kerja mereka; akses hendaklah dibatalkan serta-merta selepas kerja selesai.

Kawalan Security fizikal hendaklah diuji secara berkala melalui latihan pasukan merah dan ujian penembusan fizikal. Penguji penembusan fizikal cuba memasuki kemudahan menggunakan teknik yang sama seperti penyerang — mengekori masuk, penyamaran, membuka kunci secara paksa atau memintas pembaca RFID. Hasilnya sering menunjukkan bahawa pekerja kurang kerap mempersoalkan pelawat berbanding yang dikehendaki oleh Policy, atau pintu keluar sisi dibiarkan terbuka oleh perokok. Dapatan ini mendorong kemas kini latihan, semakan Policy dan penambahbaikan kawalan fizikal. Jangan sesekali mengetepikan ujian Security fizikal apabila menilai kedudukan Security keseluruhan organisasi.

Dalam pelajaran ini, anda telah mempelajari bahawa: mengekori masuk dan menumpang masuk memperoleh akses fizikal dengan mengikuti pengguna yang dibenarkan melalui pintu berkawalan dan dapat dicegah oleh ruang perangkap manusia serta budaya mempersoalkan; umpanan mengeksploitasi rasa ingin tahu melalui pemacu USB Malicious atau media lain dan dapat dikurangkan dengan Disable autorun serta menyekat peranti storan yang tidak dibenarkan; manakala menyelam tong sampah dan mengintai dari belakang bahu mendapatkan maklumat sensitif daripada bahan yang dibuang atau pemerhatian visual — dan dapat dikurangkan melalui pencincangan, polisi meja bersih serta skrin privasi. Seterusnya, kita akan meneroka latihan kesedaran Security dan kawalan anti-Phishing.