Социальная инженерия в информационной безопасности

Аннотация: В статье рассматривается социальная инженерия в информационной безопасности. Приводятся сущность и подходы к определению социальной инженерии, отмечается её манипулятивная составляющая. Выявляются факторы, обуславливающие распространённость использования социальной инженерии для несанкционированного получения конфиденциальной информации. Приводятся основные методы социальной инженерии и способы противодействия им.

Ключевые слова: конфиденциальная информация, информационная безопасность, социальная инженерия, киберпреступления, манипуляция.

Согласно данным Positive Technologies, в 2023 г. в 45 % успешных кибератак на организации использовались методы социальной инженерии, что свидетельствует о роли этого явления в обеспечении информационной безопасности [1]. С развитием информационных технологий происходит усложнение техник социальной инженерии: злоумышленники активно используют искусственный интеллект для поддержания иллюзии осмысленного диалога с жертвой, генерации поддельных сообщений и дипфейков. Также повышается распространённость многоэтапных атак, в которых злоумышленники добиваются преступной цели за несколько шагов, совместно используя различные методы обмана.

Атаки социальных инженеров включают психологические, физические и технические аспекты, используемые на различных этапах [2]. Даже если атака изначально неудачна, злоумышленник может использовать полученную информацию об индивидуальных и организационных процессах безопасности для будущих атак. Сотрудники компаний, которые не осведомлены о методах социальной инженерии, являются одним из наибольших рисков информационной безопасности в организации.

Целью работы является изучение социальной инженерии в информационной безопасности. Для её достижения были использованы аналитический и синтетический методы исследования материалов по угрозам и методам обеспечения информационной безопасности, применён системно-структурный подход к рассмотрению ключевых аспектов проблемы исследования.

Социальная инженерия – сравнительно молодая наука о преобразовании социальной реальности [3]. Выделяют следующие подходы к определению этого явления:

Все подходы к определению социальной инженерии содержат манипулятивную составляющую, поскольку данное явление сопряжено с вмешательством в социальные структуры и социальное поведение для изменения психологических характеристик индивидов и общества с целью реализации определённых идей, обычно достижения материальной или нематериальной выгоды.

Используя методы социальной инженерии, злоумышленники могут обойти даже самые сложные системы информационной безопасности [4]. Повышение частоты использования социальной инженерии для несанкционированного получения конфиденциальной информации обусловлено следующими факторами:

Социальные инженеры используют психологические методы воздействия на людей, основанные на манипулировании базовыми эмоциями: страхом, ожиданиями, жадностью, любопытством, состраданием, эмпатией [5]. Ключевой целью социальной инженерии является найти подход к конкретному человеку и подтолкнуть его к совершению действий, которые необходимы злоумышленнику. Использование техник социальной инженерии требует не только знаний психологии, но и навыков сбора необходимых данных. В настоящее время злоумышленники могут получать большие объёмы информации о гражданах и компаниях из открытых источников – социальных сетей, поисковых систем, форумов, блогов, файлообменников, сообществ по интересам и профессиональных сообществ, сайтов с частными объявлениями, публичных отчётов государственных и коммерческих организаций, опубликованных данных аэросъёмок и радиомониторинга. Помимо этого, собрать нужные для атаки сведения можно на офлайн-мероприятиях: докладах, конференциях, мастер-классах и прочих.

Процесс применения методов социальной инженерии состоит из нескольких этапов [6, 7]:

Большая часть кибератак сочетает технические и нетехнические векторы [8]. Специалисты по информационной безопасности обычно сфокусированы на технических векторах, поскольку их проще отследить и настроить соответствующие сценарии реагирования. Однако технических средств недостаточно для обнаружения социальной инженерии, поскольку действия реализующих её лиц отличаются непредсказуемостью. К основным техникам социальной инженерии относятся первичная обработка, манипуляции и обман, нейролингвистическое программирование, предлоги, извлечение информации, социальное, юридическое и организационное влияние. Важно учитывать, что ряд атак в рамках социальной инженерии действует на уровне подсознания, запуская предсознательные процессы. Это делает человека на порядки более уязвимым объектом атаки, чем программное обеспечение.

Основной метод борьбы с социальной инженерией – повышение осведомлённости сотрудников компаний о методах, используемых злоумышленниками. В число основных методов входят [9-11]:

Помимо регулярных тренингов и обучения сотрудников, для борьбы с социальной инженерией специалисты по информационной безопасности могут использовать следующие меры [12]:

Таким образом, человек является наиболее слабым звеном в системе защиты информации. Злоумышленники применяют методы социальной инженерии для получения доступа к конфиденциальным данным, используя психологическое воздействие на людей и манипулируя эмоциями. Социальные инженеры могут применять различные тактики в зависимости от обстоятельств и психологических качеств жертвы, поэтому гражданам и организациям важно регулярно совершенствовать компетенции в области распознавания и противостояния таким атакам и информационной безопасности в целом.

Список литературы