Social Engineering
Unter dem BegriffSocial Engineeringversteht man die
bewusste Manipulation von Personen, um Sicherheitsvorkehrungen zu
umgehen. Es handelt sich also um eine Technik, die darin besteht, Informationen
vom User per Telefon, E-Mail, Brief oder direkten Kontakt zu erhalten.
Social Engineering beruht auf der Verwendung von
Überzeugungskungst und der Ausnutzung der Naivität des Users, indem man
sich als Person des Hauses ausgibt, als Techniker, Administrator, etc.
Meist laufen Techniken des Social
Engineering nach folgenden Schema ab :
- Eine Annäherungsphase soll dazu dienen, das Vertrauen des Users zu gewinnen, indem
man sich zum Beispiel als Vorgesetzter, Firmenmitarbeiter,
Person aus dem Umfeld, oder als Kunde, Zulieferer, etc. ausgibt.
- Ein Alarmzustand, um den User zu verunsichern und festzustellen, wie
schnell er reagiert. Es kann sich zum Beispiel um einen
Sicherheitsvorwand oder eine Notsituation handeln ;
- Eine Ablenkung, also eine Phase oder Situation, die dazu dient, den User zu
beruhigen und ihn davon abhält, sich auf den Alarmzustand zu konzentrieren. Dies kann beispielsweise
durch eine Danksagung geschehen, die besagt, dass alles wieder in Ordnung ist, ein
unverfänglicher Satz oder, im Falle von E-Mails oder Websites, eine Weiterleitung auf die
Unternehmenshomepage.
Es gibt mehrere Arten des Social Engineering :
- Per Telefon,
- Per E-Mail,
- Per Post,
- Per Instant Messenger,
- etc.
Wie kann man sich schützen ?
Die beste Art, sich vor Social Engineering-Techniken zu schützen besteht
darin, seinen Hausverstand einzusetzen und an niemanden Informationen weiterzugeben,
die der Sicherheit des Unternehmens schaden könnten. Egal, wonach sich
derjenige erkundigt, es ist empfehlenswert, :
- sich über die Identität des Geschäftspartners zu informieren, indem man nach genauen
Informationen fragt (Name und Nachname, Firma, Telefonnummer) ;
- eventuell die gelieferten Informationen zu überprüfen ;
- sich selbst darüber klar zu werden, wie kritisch die Informationen sind,
nach denen gefragt wird
Deswegen kann es nötig sein, Ausbildungskurse und eine Sensibilisierung der User
in Bezug auf Sicherheitsfragen durchzuführen.
Weitere Informationen
Letzte Änderung am Mittwoch 1 April 2009 à 14:16:21.
