Организационные угрозы информационной безопасности

Организационные угрозы по характеру воздействия разделим на:

• Воздействие на персонал;

• Действия персонала.

Воздействие на персонал может быть:

• Физическим;

• Психологическим.

Как физическое, так и психологическое воздействие на персонал направлено на сотрудников компании с целью:

• Получения информации;

• Нарушения непрерывности ведения бизнеса.

Причинами действий персонала, способных вызвать угрозы информационной безопасности, могут быть:

• Шпионаж (умышленные действия);

• Неумышленные действия.

Угрозы шпионажа могут быть направлены только на получение ценной информации. Угрозы, вызванные неумышленными действиями персонала, могут быть направлены:

• На информацию;

• На непрерывность ведения бизнеса.

Таким образом, классификация угроз информационной безопасности разделяется по характеру угрозы, виды воздействия, причине и объекту угрозы.

Социальная инженерия

Именно человеческий фактор является основополагающим в любой системе безопасности. Понятно, что в первую очередь это волнует крупные компании, особенно — финансового сектора. Однако и рядовым пользователям глобальной сети не стоит ослаблять мер предосторожности. Компьютер с полностью пропатченной операционной системой, без уязвимых приложений может быть заражен с таким же успехом, как и незащищенный, и это является главной проблемой современной информационной безопасности. Самым действенным способом проникновения в подобную систему является метод «социального инжиниринга». Атакующий должен привлечь внимание и, используя интересную для атакуемого тему, заставить его выполнить определенные действия:

• посетить сайт и ввести там какие-либо данные;

• скачать и запустить неизвестное приложение;

• открыть пришедший по электронной почте файл.

Фантазия социальных инженеров не знает границ. Одним из последних интересных примеров является фишинг-атака, в которой от пользователя не требуется посещать поддельный сайт и вводить там свои данные: ему просто направляется бланк письма для заполнения и отправки по факсу! Данный способ выделяется сравнительной новизной, и пользователь, который наверняка слышал о поддельных сайтах и с опаской относится к любым просьбам указать где-нибудь в сети свои персональные данные, может, как это не удивительно, с легкостью отправить их по факсу. Подорванное доверие к онлайн-системам авторизации действительно может привести к большему (и часто неоправданному) доверию к традиционным оффлайновым средствам (телефон и факс). Как видно из приведенного примера, социальные инженеры прекрасно разбираются в психологии пользователей сети и очень тонко чувствуют настроения масс.

В этой связи следует признать, что попытки различных компаний создать браузер, призванный определять «подлинность» посещаемого веб-сайта или защищать учетные данные, хранящиеся на компьютере, не способны решить проблему в полной мере и отстают на шаг от действий злоумышленников.

Третий квартал 2005 года оказался богат на различные природные и техногенные катастрофы. Как это ни прискорбно, но киберпреступность в очередной раз не удержалась от желания использовать чужое горе и человеческое любопытство в своих целях. Август и сентябрь стали самыми активными месяцами года по числу разнообразных спамерских и вирусных рассылок, использовавших темы катастроф. В целом, по некоторым оценкам, масштабы рассылок были сопоставимы с теми, что выдали мошенники в декабре-январе, спекулируя на теме цунами в Юго-Восточной Азии.

Основных тем рассылок в этом квартале было две: взрывы в Лондоне (июль), ураганы Катрина и Рита (август-сентябрь). Буквально через пару дней после взрывов в лондонском метро антивирусные компании зафиксировали несколько рассылок вредоносных программ, эксплуатировавших трагические события. Наибольшее распространение получили следующие вредоносные программы:

• Email-Worm.Win32.Vote;

• Email-Worm.Win32.Chet

• SpamTool.Win32.Delf.h.

Но, конечно, настоящая вакханалия разразилась в конце августа — начале сентября, когда на южное побережье США обрушился один из сильнейших ураганов последних десятилетий Катрина. Уже на следующий день после удара стихии пользователям интернета был нанесен другой удар в виде десятков писем, предлагающих «посмотреть видео», «узнать секретные данные о числе жертв», «прочитать срочное обращение президента» и совершить множество различных действий, преследовавших одну и ту же цель: завлечь пользователя на специально подготовленные сайты с размещенными на них эксплойтами уязвимостей IE (как правило, традиционным Exploit.HTML.Mht, но встречались и новинки в видеExploit.JS.JavaPrxyилиIframeBof). Впрочем, в ряде случаев злоумышленники даже не утруждали себя использованием эксплойтов, просто и незатейливо предлагая скачать файл, на деле оказывавшийся троянским.

Пример спама на тему урагана Катрина

Преступники не ограничивались установкой троянских программ на компьютеры пользователей. Некоторые пытались украсть деньги более прямолинейными способами, например, рассылая письма с просьбами о пожертвовании средств на помощь жертвам урагана, выдавая себя за уполномоченные агентства. Институт SANS провел собственное исследование и зафиксировал стремительный ростчисла доменов, использующих в своем названии слово «Katrina».

И тут фантазия социальных инженеров также проявилась во всей красе: «собирая пожертвования», они не преминули случаем заодно украсть и реквизиты банковских карточек пользователей. Под видом упрощенного варианта сбора средств, на некоторых сайтах предлагалось ввести номера и коды пластиковых карт. Разумеется, эта информация в дальнейшем попадала в руки кардеров.

Все те же самые методы и способы были применены еще раз, когда на США обрушился ураган Рита. К счастью, в этом случае масштабы разрушений и общественный резонанс оказались гораздо меньшими, и как следствие подобных писем и троянцев было зафиксировано также значительно меньше.

Миру была в очередной раз продемонстрирована опасность и темпы развития социальной инженерии. Необходимо постоянное обучение персонала в бизнес-структурах методам распознавания подобных атак, а для домашних пользователей интернета — повышенное внимание и здоровый скептицизм к письмам с любыми просьбами о финансовой помощи, особенно во времена техногенных и природных катастроф.