Inżynieria społeczna w świecie fizycznym: tailgating i baiting

Nie wszystkie ataki odbywają się zdalnie. Fizyczna inżynieria społeczna polega na manipulowaniu ludźmi i omijaniu fizycznych zabezpieczeń w celu uzyskania nieuprawnionego dostępu do budynków, serwerowni lub obszarów chronionych. Konsekwencje mogą być poważne: napastnik mający fizyczny dostęp do serwera może zainstalować sprzętowy keylogger, ukraść dyski, podłączyć nieautoryzowane urządzenie do sieci wewnętrznej lub wynieść niezaszyfrowane taśmy z kopiami zapasowymi. Bezpieczeństwo fizyczne i logiczne należy rozpatrywać łącznie — doskonałą ochronę sieci niweczy niezamknięte drzwi do centrum danych.

Tailgating ma miejsce, gdy osoba nieupoważniona podąża za upoważnionym pracownikiem przez zabezpieczone drzwi, zanim te się zamkną, bez wiedzy pracownika. Napastnik może nieść pudła, mieć na sobie uniform albo po prostu wyglądać jak ktoś, kto powinien tam być, aby uniknąć zwrócenia na siebie uwagi. Piggybacking jest podobny, ale odbywa się za wiedzą i (błędną) zgodą osoby upoważnionej — na przykład pracownik przytrzymuje drzwi osobie twierdzącej, że jest gościem oczekującym na wydanie identyfikatora. Obie techniki omijają fizyczne mechanizmy kontroli dostępu bez wykorzystywania technicznych luk. Śluzy bezpieczeństwa eliminują oba zagrożenia, zapewniając przejście tylko jednej osoby naraz.

Baiting wykorzystuje ludzką ciekawość, polegając na pozostawianiu złośliwych nośników fizycznych — pamięci USB, płyt CD lub kart SD — w miejscach, w których znajdą je potencjalne cele. Badanie z 2016 roku wykazało, że pracownicy podłączyli 48% pamięci USB pozostawionych na parkingach organizacji. Nośniki mogą być oznaczone kuszącymi nazwami („Wynagrodzenia Q4”, „Projekt X — poufne” albo nazwą firmy), aby zwiększyć ciekawość. Po podłączeniu mogą automatycznie uruchomić malware, wyświetlić fałszywą ankietę wyłudzającą dane uwierzytelniające albo po cichu zainstalować trojana zdalnego dostępu. Obrona polega na stosowaniu rygorystycznych zasad dotyczących nośników wymiennych i wyłączeniu funkcji autorun.

Przeszukiwanie śmieci polega na szukaniu poufnych informacji w wyrzuconych materiałach — dokumentach papierowych, dyskach twardych, pamięciach USB, tablicach suchościeralnych i karteczkach samoprzylepnych. Organizacje wyrzucają ogromne ilości przydatnych informacji: schematy organizacyjne, numery kont, schematy sieci, wydruki kodu źródłowego i hasła zapisane na kartkach. Niszczenie dokumentów oraz rozmagnesowywanie lub fizyczne niszczenie nośników eliminuje to ryzyko. Zasady bezpieczeństwa muszą obejmować utylizację danych na wszystkich typach nośników, a pracownicy powinni rozumieć, że dokumenty fizyczne zawierające poufne informacje wymagają zniszczenia, a nie recyklingu.

Podglądanie przez ramię polega na obserwowaniu ekranu lub klawiatury innej osoby w celu przechwycenia poufnych informacji — haseł, kodów PIN, poufnych dokumentów — bez jej wiedzy. Może odbywać się bezpośrednio, na przykład przez zaglądanie komuś przez ramię w poczekalni na lotnisku, albo za pomocą ukrytych kamer. Miejsca publiczne o dużym natężeniu ruchu, takie jak kawiarnie, lotniska i biura typu open space, stwarzają znaczne ryzyko podglądania przez ramię. Środki ochrony obejmują filtry prywatyzujące ograniczające kąt widzenia, zasady blokowania ekranu (automatyczna blokada po okresie bezczynności), szybkie wprowadzanie kodów PIN przy zasłanianiu klawiatury dłonią oraz ustawianie ekranów w sposób uniemożliwiający ich obserwowanie przez osoby postronne.

Stosujący socjotechnikę w świecie fizycznym często podszywają się pod osoby sprawujące władzę lub pracowników serwisowych, aby uzasadnić swoją obecność w strefach o ograniczonym dostępie. Do typowych ról należą technicy wsparcia IT, pracownicy zajmujący się konserwacją systemów HVAC lub wind, inspektorzy ochrony przeciwpożarowej, kurierzy oraz pracownicy administracji budynku. Rekwizyty takie jak uniformy, podkładki z dokumentami, torby z narzędziami i identyfikatory (podrobione tak, by wyglądały na prawdziwe) znacznie zwiększają wiarygodność podszywania się. Atakujący liczy na to, że pracownicy nie zakwestionują obecności osoby, która wygląda i zachowuje się tak, jakby miała prawo tu przebywać, zwłaszcza gdy emanuje pewnością siebie i autorytetem.

Incydenty bezpieczeństwa stwarzają wyjątkowe możliwości wykorzystania socjotechniki. Podczas próbnej ewakuacji pożarowej lub sytuacji awaryjnej pracownicy szybko opuszczają budynek i zostawiają otwarte drzwi — to idealny moment na tailgating. Podczas poważnej awarii IT pracownicy mogą być szczególnie skłonni do współpracy z „personelem wsparcia”, który oferuje pomoc. Atakujący śledzą wiadomości w poszukiwaniu kryzysów w organizacjach (fuzji, zwolnień, naruszeń danych) i planują kampanie socjotechniczne na czas, gdy organizacja jest rozproszona lub działa pod presją. Procedur bezpieczeństwa należy rygorystycznie przestrzegać nawet podczas pozornych sytuacji awaryjnych — zwłaszcza że atakujący mogą sami je wywołać.

Wardriving polega na przemieszczaniu się samochodem (lub pieszo) po określonym obszarze przy jednoczesnym skanowaniu sieci bezprzewodowych. Atakujący odnotowuje nazwy sieci, ustawienia zabezpieczeń oraz charakterystykę siły sygnału. Takie rozpoznanie pomaga w przeprowadzeniu kolejnych ataków — pozwala zidentyfikować sieci WEP lub otwarte, potwierdzić nazwy SSID na potrzeby ataków evil twin albo zlokalizować nieautoryzowane punkty dostępowe (rogue AP). Współczesne odmiany obejmują warwalking i warflying (wykorzystujące drony z adapterami bezprzewodowymi). Poza sieciami bezprzewodowymi rozpoznanie fizyczne może obejmować fotografowanie wejść, wzorów identyfikatorów, lokalizacji serwerowni i rozmieszczenia kamer bezpieczeństwa przed planowaną próbą włamania do obiektu.

Zasada czystego biurka wymaga od pracowników zabezpieczenia wszystkich poufnych materiałów przed opuszczeniem stanowiska — nawet na krótko. Dokumenty należy przechowywać w zamkniętych szufladach, ekrany komputerów muszą być zablokowane, tablice należy wymazać, a nośniki wymienne zabezpieczyć. Zasada czystego ekranu koncentruje się konkretnie na blokowaniu stacji roboczych pozostawionych bez nadzoru. Zasady te zapobiegają zarówno przypadkowej kradzieży informacji (na przykład dostrzeżeniu poufnego dokumentu przez przechodnia), jak i ukierunkowanemu rozpoznaniu fizycznemu prowadzonemu przez atakującego, który przedostał się do biura. Zgodność z zasadami jest kontrolowana podczas regularnych, niezapowiedzianych obchodów.

Pracownicy ochrony są ostatnią linią obrony przed tailgatingiem i podszywaniem się. Skuteczne zarządzanie ruchem gości obejmuje wstępną rejestrację wszystkich oczekiwanych gości, weryfikację dokumentu tożsamości ze zdjęciem po przybyciu, wydanie wyraźnie odróżniającego się identyfikatora gościa z ograniczeniem czasowym oraz obowiązkową eskortę pracownika przez cały czas pobytu w strefach chronionych. Wszystkie wizyty należy odnotowywać w rejestrze wejść. Wobec wykonawców i dostawców zewnętrznych należy przeprowadzać weryfikację przeszłości, a dostęp przyznawać im wyłącznie do konkretnych obszarów i systemów wymaganych do wykonania pracy; dostęp ten należy natychmiast odebrać po jej zakończeniu.

Zabezpieczenia fizyczne należy regularnie testować za pomocą ćwiczeń red team oraz fizycznych testów penetracyjnych. Testerzy fizycznych testów penetracyjnych próbują wejść do obiektów, stosując te same techniki co atakujący — tailgating, podszywanie się, otwieranie zamków bez klucza lub omijanie czytników RFID. Wyniki często ujawniają, że pracownicy rzadziej niż wymagają tego zasady sprawdzają osoby odwiedzające obiekt albo że boczne wyjścia są blokowane w pozycji otwartej przez osoby palące. Wnioski służą do aktualizacji szkoleń, zmiany zasad i ulepszania zabezpieczeń fizycznych. Podczas oceny ogólnego poziomu bezpieczeństwa organizacji nigdy nie należy pomijać testów zabezpieczeń fizycznych.

Sprawdź swoją wiedzę na temat zagadnień z egzaminu CompTIA Security+ (SY0-701) omówionych w tej lekcji.

W tej lekcji dowiedzieli się Państwo, że: tailgating i piggybacking umożliwiają uzyskanie fizycznego dostępu przez podążanie za uprawnionymi użytkownikami przez zabezpieczone drzwi, a zapobiegają im śluzy bezpieczeństwa i kultura reagowania na naruszenia; baiting wykorzystuje ciekawość za pomocą złośliwych dysków USB lub innych nośników, a ogranicza się go przez wyłączenie autorun i blokowanie nieautoryzowanych urządzeń pamięci masowej; natomiast dumpster diving i podglądanie przez ramię umożliwiają pozyskanie poufnych informacji z wyrzuconych materiałów lub poprzez obserwację wzrokową — przeciwdziała się im przez niszczenie dokumentów w niszczarkach, zasady czystego biurka i filtry prywatyzujące. Następnie omówimy szkolenia z zakresu świadomości bezpieczeństwa oraz zabezpieczenia przeciw phishingowi.