Sebuah berita baru-baru ini membuat saya menyadari bagaimana emosi dan pikiran manusia dapat (atau, apakah) digunakan untuk kepentingan orang lain. Hampir setiap orang mengenal Edward Snowden, whistleblower NSA yang mengintai dunia. Reuters melaporkan bahwa ia mendapat sekitar 20-25 orang NSA untuk menyerahkan kata sandi mereka kepadanya untuk memulihkan beberapa data yang dia bocorkan nanti [1]. Bayangkan betapa rapuhnya jaringan perusahaan Anda, bahkan dengan perangkat lunak keamanan terkuat dan terbaik!
Apa itu Rekayasa Sosial
Kelemahan manusia, rasa ingin tahu, emosi, dan karakteristik lain sering digunakan dalam mengekstraksi data secara ilegal - baik itu industri apa pun. Industri TI telah, bagaimanapun, memberikannya nama rekayasa sosial. Saya mendefinisikan rekayasa sosial sebagai:
“The method whereby an external person gains control over one or more employees of any organization by any means with intention to obtain the organization’s data illegally”
Ini adalah baris lain dari berita yang sama [1] yang saya ingin kutip - “Agen keamanan mengalami kesulitan dengan gagasan bahwa orang di bilik berikutnya mungkin tidak dapat diandalkan“Saya memodifikasi sedikit pernyataan agar sesuai dengan konteks di sini. Anda dapat membaca berita lengkap menggunakan tautan di bagian Referensi.
Dengan kata lain, Anda tidak memiliki kontrol penuh atas keamanan organisasi Anda dengan rekayasa sosial yang berkembang jauh lebih cepat daripada teknik untuk mengatasinya. Teknik sosial dapat berupa apa pun seperti memanggil seseorang yang mengatakan bahwa Anda adalah dukungan teknis dan meminta mereka untuk memasukkan kredensial masuk mereka. Anda pasti telah menerima email phising tentang lotre, orang-orang kaya di Timur Tengah dan Afrika yang menginginkan mitra bisnis, dan tawaran pekerjaan untuk menanyakan detail Anda.
Tidak seperti serangan phishing, manipulasi psikologis adalah interaksi langsung orang-ke-orang. Yang pertama (phishing) mempekerjakan umpan - yaitu, orang-orang "memancing" menawarkan Anda sesuatu yang berharap bahwa Anda akan jatuh untuk itu. Teknik sosial lebih tentang memenangkan kepercayaan karyawan internal sehingga mereka mengungkapkan detail perusahaan yang Anda butuhkan.
Baca baca: Metode Teknik Sosial populer.
Teknik Teknik Sosial yang Dikenal
Ada banyak, dan semuanya menggunakan kecenderungan manusia dasar untuk masuk ke dalam database organisasi mana pun. Teknik rekayasa sosial yang paling lama (mungkin sudah ketinggalan zaman) adalah menelepon dan bertemu orang-orang dan membuat mereka percaya bahwa mereka berasal dari dukungan teknis yang perlu memeriksa komputer Anda. Mereka juga dapat membuat kartu identitas palsu untuk membangun kepercayaan diri. Dalam beberapa kasus, pelakunya bertindak sebagai pejabat negara.
Teknik terkenal lainnya adalah mempekerjakan orang Anda sebagai karyawan di organisasi sasaran. Sekarang, karena penipu ini adalah kolega Anda, Anda dapat memercayainya dengan detail perusahaan. Karyawan eksternal mungkin membantu Anda dengan sesuatu, sehingga Anda merasa berkewajiban, dan itu adalah ketika mereka dapat membuat maksimal.
Saya juga membaca beberapa laporan tentang orang-orang yang menggunakan hadiah elektronik. Stik USB mewah yang dikirimkan kepada Anda di alamat perusahaan Anda atau drive pena yang ada di mobil Anda dapat membuktikan bencana. Dalam kasus, seseorang meninggalkan beberapa drive USB sengaja di tempat parkir sebagai umpan [2].
Jika jaringan perusahaan Anda memiliki langkah-langkah keamanan yang baik di setiap simpul, Anda diberkati. Jika tidak, node ini memberikan jalan yang mudah bagi malware - dalam hadiah itu atau drive pen “terlupakan” - ke sistem pusat.
Karena itu kami tidak dapat memberikan daftar lengkap metode rekayasa sosial. Ini adalah ilmu di inti, dikombinasikan dengan seni di atas. Dan Anda tahu bahwa tak satu pun dari mereka memiliki batas. Orang-orang rekayasa sosial terus menjadi kreatif saat mengembangkan perangkat lunak yang juga dapat menyalahgunakan perangkat nirkabel yang mendapatkan akses ke Wi-Fi perusahaan.
Baca baca: Apa itu Malware yang Direkayasa Secara Sosial.
Cegah Teknik Sosial
Secara pribadi, saya tidak berpikir ada teorema yang dapat digunakan admin untuk mencegah peretasan teknik sosial. Teknik-teknik rekayasa sosial terus berubah, dan karenanya menjadi sulit bagi admin TI untuk melacak apa yang terjadi.
Tentu saja, ada kebutuhan untuk menjaga tab pada berita rekayasa sosial sehingga seseorang cukup mendapat informasi untuk mengambil langkah-langkah keamanan yang sesuai. Misalnya, dalam kasus perangkat USB, admin dapat memblokir drive USB pada node individu yang memungkinkan mereka hanya di server yang memiliki sistem keamanan yang lebih baik. Demikian juga, Wi-Fi akan membutuhkan enkripsi yang lebih baik daripada sebagian besar ISP lokal.
Melatih karyawan dan melakukan tes acak pada berbagai kelompok karyawan dapat membantu mengidentifikasi titik lemah dalam organisasi. Akan mudah melatih dan memperingatkan individu yang lebih lemah. Waspada adalah pertahanan terbaik. Stres seharusnya adalah informasi login tidak boleh dibagikan bahkan dengan pemimpin tim - terlepas dari tekanan. Jika seorang pemimpin tim perlu mengakses login anggota, dia dapat menggunakan kata sandi utama. Itu hanya satu saran untuk tetap aman dan menghindari hacks rekayasa sosial.
Intinya adalah, terlepas dari malware dan peretas online, orang-orang TI juga harus memperhatikan rekayasa sosial. Saat mengidentifikasi metode pelanggaran data (seperti menulis kata sandi dll.), Admin juga harus memastikan staf mereka cukup cerdas untuk mengidentifikasi teknik rekayasa sosial untuk menghindarinya sama sekali. Menurut Anda, apa metode terbaik untuk mencegah rekayasa sosial? Jika Anda menemukan kasus yang menarik, silakan berbagi dengan kami.
Unduh ebook ini di Social Engineering Attacks yang dirilis oleh Microsoft dan pelajari bagaimana Anda dapat mendeteksi dan mencegah serangan tersebut di organisasi Anda.
Referensi
[1] Reuters, Snowden Memujuk Karyawan NSA untuk Memperoleh Info Login Mereka
[2] Boing Net, Pen Drives Digunakan untuk Menyebarkan Malware.
