Sociální testy

Cílem služby je zjistit, jaké jsou návyky uživatelů Vašeho informačního systému a je-li možné případným útočníkem např. vylákat citlivé informace – v rámci telefonického hovoru nebo osobním jednání.

Je možné připravit libovolný projekt na míru Vašim potřebám. Modelovým příkladem může být např. test uživatelů jehož cílem je zjistit, jak reagují uživatelé informačního systému na situaci, kdy jim je zaslána e-mailová zpráva s přílohou.

Ačkoli existuje určité povědomí o skutečnosti, že spouštění příloh e-mailu může být potenciálně nebezpečné, především je-li e-mail zaslán osobou, kterou uživatel nezná, jsou praktické zkušenosti s dodržováním této zásady mnohdy velmi tristní.

V rámci testu z oblasti sociálního inženýrství, navrhujeme např. naprogramování kódu, který bude sbírat dle Vašich požadavků např. následují informace:

  • zjištění jména pracovní stanice
  • zjištění jména přihlášeného uživatele
  • datum a čas spuštění programu
  • monitorovat stisky kláves uživatele po určitou dobu (a následně uživatelem napsaný text odešle)
  • vyhledávání specifických souborů na lokálních nebo síťových discích a jejich následné odeslání

Vlastní program může v podstatě vykonávat libovolnou činnost, je možné naprogramovat rutiny, které zajistí, že spuštěný program bude na síti vyhledávat zranitelné počítače, na které se bude dále kopírovat atd.

Funkčnost a chování programu by byla specifikována v úvodu projektu a před vlastní realizací testu by byly předloženy ke kontrole zdrojové kódy programu.

Vlastní program by pak byl odeslán na e-mailové adresy vybraných uživatelů vnitřní sítě e-mailovou poštou. Jako odesilatel zprávy pak může být uveden buď interní uživatel (tj. v hlavičce „Od:“ bude uvedeno jméno Vašeho pracovníka a korektní e-mailová adresa uzivatel@vase_domena.cz) nebo uživatel „cizí“, tj. např. s e-mailovou adresou uzivatel@atlas.cz nebo libovolnou jinou.

Text e-mailu by byl volen tak, aby uživatele nabádal k otevření přílohy e-mailu. Jedna z možností (použitých při obdobném projektu) může být např. následující:

Chcete být úspěšní?
Máte na to?
Vyzkoušejte si náš vstupní test a ověřte si svoje znalosti. V testu je celkem 22 otázek. Vyberte vždy jednu ze tří nabízených odpovědí a stiskněte tlačítko pro další. Po zodpovězení všech 22 otázek bude Váš test vyhodnocen.
V případě úspěšnosti nad 80% zvažte, zda nemáte zájem se připojit k naší společnosti.
Máte-li další otázky nebo se chcete stát členy kontaktujte mě na uvedeném emailu.

Text e-mailu může být samozřejmě libovolný a bude specifikován v úvodní části projektu. V úvahu připadá např. „vtip“ s nedokončenou pointou (skrývající se v příloze) nebo jiné řešení.

Po odeslání e-mailů je spuštěno monitorování jeho spuštění. Vzhledem k tomu, že se bude jednat o nový, na míru vytvořený program, tento nebude zachycen antivirovým systémem. Spustí-li uživatel program, tento vykoná, co bude deklarováno (tj. např. zobrazí test, spustí video atd., tak aby uživatel nepojal podezření) a současně provede akce, které budou definovány na počátku projektu, tj. např. zaznamená čas spuštění, jméno pracovní stanice, jméno přihlášeného uživatele atd. Tyto informace budou následně odeslány.
Odeslání může být provedeno na stroj, umístěný v internetu nebo na vyhrazený stroj ve Vaší vnitřní síti.

Po odeslání e-mailu doporučujeme vyčkat cca jeden týden a po tuto dobu monitorovat, kolikrát a z jakých stanic byl soubor spuštěn.

Nasbírané informace jsou následně vyhodnoceny a je vytvořen kompletní přehled o jednotlivých uživatelích, čase spuštění kódu apod.

Realizací tohoto projektu můžete zjistit skutečný stav o bezpečnostním povědomí Vašich uživatelů. Výsledky mohou posloužit jako dobrý „odrazový můstek“ pro následné školení Vašich uživatelů o rizicích používání elektronické pošty i pro demonstraci možných dopadů.

IT - Security s.r.o., Klatovská třída 7, 301 00 Plzeň - tel.: +420 377 320 571 / fax: +420 377 310 920