Social Engineering: metoder, eksempler og funn. Christian Jacobsen.

Transkript

1 Social Engineering: metoder, eksempler og funn Christian Jacobsen

2 Secode i siffror # 1 inom IT-säkerhet i Norden (Test, Konsulting, MSS) 2 SOCar i Norden med verksamhet 24/7 27 års erfarenhet av IT-säkerhet 100+ dedikerade säkerhetsexperter 1/3 av organisationerna på Stockholms- och Oslobörsen som kunder 7 orter Stockholm, Göteborg, Oslo, Arendal, Maastricth, Helsingfors, Köpenhamn Del av Integralis Group och NTT Communication Slide 2

3 First contact Local execution Establish presence Malicious activity Physical access Exploit Download malware Propagation Unsolicited message Escalate privilege Bot activities Social Engineering Adware & scareware Malicious website Persist on system Identity & fiancial fraud Network access Configuration error Self preservation Tampering How the attacker first crosses path with target How the attacker gets code running first time on target machine How attacker persists code on system, to survive reboot and stay hidden The business logic, what the attacker wants to accomplish McAfee /

4 Zero-day exploits get all the sexy headlines, but social engineering gets most of the results Soc Eng Myke mål Lav deteksjonsrate Høy kompleksitet

5 Troverdighet handler om planlegging og å tilfredsstille forventninger Kompetanse handler om teknikk, erfaring, metodebruk og tilpasningsdyktighet

6 Tillit

7 Tillit hva gjør tillit med sikkerhet?

8 Tillit kan tillit svekke sikkerhet?

9 Metodene er åpne og kjente Basert på kjente, og forutsigbare, reaksjonsmønstre Deltagelse i internasjonalt fagmiljø

10 Hva kan det brukes til?

11 Noen eksempler på funn fra tester vi har gjort

12

13 Resultater: alle resultater er verdifulle Must Can None

14 Sikkerhet og sårbarhet 2011

15 Passord er enkle å høste Gave their password Did not give password Exposed the test

16 Så passordene er ikke så trygge?

17 Så passordene er ikke så trygge? Nei.

18 Så passordene er ikke så trygge? Nei. men:

19 Så passordene er ikke så trygge? En social engineering-test vil gi din virksomhet muligheten til å måle sikkerhet. Testen vil identifisere høyrisikoområder, hjelpe å planlegge relevant sikkerhetsopplæring og etableringen av preventive, detekterende og korrigerende tiltak.

20 Så passordene er ikke så trygge? Husk:

21 Så passordene er ikke så trygge? Å gjennomføre en social engineering-test uten at det foreligger planer om å følge opp resultatene med konstruktive, holdningsskapende prosjekter er som å gjennomføre en pentest uten å være villig til å patche i etterkant.

22 Case study Erfaringer fra repeterende tester Norsk bedrift ~ 400 ansatte Unikt merkenavn Primært to verdier: store, lett omsettelige verdier tyveri eller sabotasje av kildekode

23 100% Passordhøsting 90% 80% 70% 60% 50% Eksempel: passordhøsting Passord Passord 40% 30% 20% 10% 0%

24 100% Passordhøsting 90% 80% 70% Shipping 60% Finans IT Passord 50% 40% IT Finans Andre tester 30% 20% Offentlig forvaltning 10% 0%

25 100% Passordhøsting 90% 80% 70% 60% 50% 40% Passord Andre tester Avsløringer 30% 20% 10% 0%

26 100% % 80% 70% 60% Passord 50% 40% Avsløringer 30% 20% 10% 0%

27 Det vil alltid være mulig å høste passord. Jeg tror det er urealistisk å forvente at samtlige ansatte i en ordinær virksomhet av en viss størrelse til enhver tid forstår og etterlever sikkerhetspolicy.

28 Kompensér!

29 Ved å ha kunnskap om social engineering og ved å gjennomføre øvelser, øker sannsynligheten for deteksjon og påfølgende korrigerende tiltak. Dette vil gjøre risiko uakseptabel for angriperen; han vil risikere å bli avslørt allerede ved første henvendelse, og vil ikke oppnå noe.

30 Vi har... Fått tilgang til firmabil Fått nøkkelen til hvelv Hatt fri adgang til personalmapper Blitt så godt kjent at vaktselskapet ga oss nøkler til bygget Høstet brukernavn og passord fra 100% av de ansatte som ble testet Blitt ringt tilbake i kjølvannet av webmailtester for ytterligere supportbistand Fått tilgang til servere, printere, kablingsrom og klientmaskiner Funnet uautorisert webserver med webkamera fra kontormiljøet rett ut på internett Gjennomført DNS-endringer Fått tilgang til personsensitive dokumenter markert Unntatt offentligheten Blitt ansatt!... og mye mer

31 Helhetsgrepp på säkerheten med Secode Vill du veta hur vi kan hjälpa just dig? Träffa oss i Secodes monter! Säkerhetstester Rådgivning IT och informationssäkerhet Övervaknings- och analystjänster 24/7 Slide 31

32 Takk for meg!-- spørsmål? Questions Discussion Next steps