Angriffe über Social Engineering. David Oruba IT Security Consultant Context Information Security

Transkript

1 Angriffe über Social Engineering David Oruba IT Security Consultant Context Information Security

2 Wer ist Context? Fakten Gegründet technische Sicherheitsexperten Büros in London, Cheltenham, Düsseldorf und Melbourne Kundenbereiche Finanzsektor Hauptdienstleistungen Penetration Testing Security Architecture and Design Assurance Software Engineering Security Assurance Cyber Investigations Regierungen Recht Industrie operational services / IT-Sicherheit Fachtagung /

3 Agenda 1. Definition 2. Techniken 3. Beispiele aus der Praxis 4. Schutzmaßnahmen operational services / IT-Sicherheit Fachtagung /

4 Grundlagen Was ist Social Engineering? Manipulation von Menschen zur Erlangung vertraulicher Informationen Motivation Industriespionage, Finanzielle Gründe, Ruhm und Anerkennung,... Kann effizienter sein als alle rein technischen Angriffe Eine leider immer noch unterschätzte Gefahr operational services / IT-Sicherheit Fachtagung /

5 Risikofaktor Mensch Menschen sind manipulierbar Ausnutzen von Hilfsbereitschaft Einschüchterung durch Immitierung eines Vorgesetzten Vertrauen aufbauen durch firmeninternes Wissen Zeitruck Selbst die sichersten Systeme können von berechtigten Personen umgangen/deaktiviert werden operational services / IT-Sicherheit Fachtagung /

6 Beispiel: Telefonanruf beim IT-Support Anrufer sagt, er habe sein Passwort vergessen Korrekte Nennung des Benutzernamens, richtigen Namens und der Job- Position Support setzt Passwort zurück und nennt Anrufer neues Passwort operational services / IT-Sicherheit Fachtagung /

7 Schwachstelle? Unzureichende Authentifizierung des Anrufers Mögliche Optimierung: Angabe von Benutzername, Name Support ermittelt Rufnummer anhand Mitarbeiterliste Rückruf an Mitarbeiter und Sicherheitsabfrage Korrekte Antwort Rücksetzung des Passworts operational services / IT-Sicherheit Fachtagung /

8 Techniken operational services / IT-Sicherheit Fachtagung /

9 Computer-Based Einsatz technischer Hilfsmittel USB-Sticks, manipulierte Webseiten, s, Keylogger,... Beispiel Phishing-Seite operational services / IT-Sicherheit Fachtagung /

10 Human-Based Nicht-technisch Angreifer erstellt sozialen Kontakt zum Opfer Meist telefonisch Auch persönliches Erscheinen möglich Beispiele Einfaches Fragen nach vertraulichen Daten Beeinflussung zur Ausführung von Aktionen Ändern von Passwörtern Download und Installation von Software operational services / IT-Sicherheit Fachtagung /

11 Reverse Social Engineering Bringt Opfer dazu Information von sich aus preiszugeben Problem wird erzeugt und anschließend Hilfe angeboten Beispiele Angreifer gibt sich Opfer gegenüber als neuer Helpdesk-Mitarbeiter mit entsprechender Rufnummer aus Erzeugung eines Netzwerkproblems im Firmennetz Opfer kontaktiert Angreifer und bittet um Hilfe Aufwändig Erzeugt weniger Verdacht beim Opfer als Computer-, Human-Based operational services / IT-Sicherheit Fachtagung /

12 Reale Angriffe Unterscheidung nicht immer eindeutig Beispiel Telefonanruf - Manipulation zum Besuch einer gefälschten Webseite oder zum Download von Software Praktische Angriffe bilden meist eine Kombination aus unterschiedlichen Techniken operational services / IT-Sicherheit Fachtagung /

13 Vorgehen bei einem Angriff Informationsbeschaffung Identifikation von Zielen Zusammensetzen aller Informationen und Ausarbeitung eines konkreten Angriffsplans operational services / IT-Sicherheit Fachtagung /

14 Informationsbeschaffung operational services / IT-Sicherheit Fachtagung /

15 Informationsbeschaffung Trashing und Dumpster Diving Durchsuchen von Müll CDs, DVDs, Kontoauszüge, Kreditkartenabrechnungen, Akten, notierte Zugangsdaten Unterschiedliche Gesetzeslage Nicht verboten in den USA Mit Bußgeld geahndet in Deutschland operational services / IT-Sicherheit Fachtagung /

16 Angriff über das Telefon Anruf beim IT-Support, Help Desk etc. Angreifer optimal vorbereitet Rechnet mit Rückfragen Kann auf Gegenfragen, Einwände reagieren Meist mehrere Anrufe nötig, um stückchenweise Informationen von verschiedenen Quellen zu erhalten operational services / IT-Sicherheit Fachtagung /

17 Angriff in Person Physischer Zugang Anschluss von Laptop Benutzen eines freien Arbeitsplatzes Liegenlassen von USB-Sticks etc. Wie erlangt ein Angreifer Zugang? Tailgating, Piggybacking Angriffe Folgen eines Mitarbeiter durch die Tür operational services / IT-Sicherheit Fachtagung /

18 SET Social Engineer Toolkit Toolkit für automatisierte SE-Angriffe Bereitstellung unterschiedlicher Methoden Aktive Weiterentwicklung operational services / IT-Sicherheit Fachtagung /

19 SET Klone Webseite 1) Wähle vorgefertigtes Web Template operational services / IT-Sicherheit Fachtagung /

20 SET Klone Webseite 2) Erzeuge gefälschtes Gmail operational services / IT-Sicherheit Fachtagung /

21 SET Starte Angriff Starte Webserver mit gefälschtem Gmail auf Port 80 operational services / IT-Sicherheit Fachtagung /

22 SET Gefälschtes Gmail operational services / IT-Sicherheit Fachtagung /

23 SET Login-Information Protokollierung aller eingegebenen Zugangsdaten operational services / IT-Sicherheit Fachtagung /

24 SET Automatische Weiterleitung operational services / IT-Sicherheit Fachtagung /

25 Beispiele aus der Praxis operational services / IT-Sicherheit Fachtagung /

26 Kevin Mitnick Zahlreiche Einbrüche ins Pentagon, NSA etc. War eine der meistgesuchten Personen der USA Der bislang wohl bekannteste Social Engineer operational services / IT-Sicherheit Fachtagung /

27 Thomas Ryan Erfand im Dezember 2009 die Kunstfigur Robin Sage, um über soziale Netzwerke Kontakte zu US-Armee, Geheimdienst, Politikern etc. herzustellen Veröffentlichte Ergebnisse auf der Hackerkonferenz "Black Hat" in Las Vegas. Titel: "Getting in bed with Robin Sage" Kunstfigur Robin Sage operational services / IT-Sicherheit Fachtagung /

28 Stuxnet Im Jahre 2010 entdeckter Computerwurm, der wahrscheinlich zur Sabotierung iranischer Atomanlagen programmiert wurde Insider sprechen von gezielter Verbreitung über USB-Sticks. Zitat: "Es zeigte sich, dass es immer einen Idioten gibt, der nicht allzu viel über den Speicherstick in seiner Hand nachdenkt." operational services / IT-Sicherheit Fachtagung /

29 Social Engineering Projekt Überblick Context wurde kürzlich beauftragt einen SE-Sicherheitstest durchzuführen Dauer: 5 Tage Ziel Erlangung von vertraulichen firmeninternen Daten mittels SE-Angriffen Keine Hilfestellung seitens des Auftraggebers operational services / IT-Sicherheit Fachtagung /

30 Schritt 1: Informationsgewinnung Homepage des Unternehmens Google Soziale Netzwerke Ermittlung von ca. 100 Mitarbeitern auf LinkedIn Namen, Kontaktdetails, etc. operational services / IT-Sicherheit Fachtagung /

31 Schritt 2: Gefälschte Schreiben einer Grundsätzlich: Korrekte Rechtschreibung! Empfänger: Identifizierte Mitarbeiter Betreff: Änderung des Remote-Zugangs Sender? Name des IT-Managers operational services / IT-Sicherheit Fachtagung /

32 Schritt 2: Permutationen Lokal Domäne volkswagen.de vw-ag.de vw_ag.de volks-wagen.de vwag.de operational services / IT-Sicherheit Fachtagung /

33 Schritt 2: Inhalt der Neues Verfahren für Remote-Zugang Ablauf bis Ende des Monats Registrierung erforderlich Benutzername und Passwort Domäne operational services / IT-Sicherheit Fachtagung /

34 Schritt 3: Aufsetzen des Webservers Gefälschte Login-Seite Klonen der Unternehmens-Webseite Zufügen eines Formular für Registrierung Bemerkung Benutzer sollten sich mit Domän-Zugangsdaten für neuen Remote-Zugang registrieren operational services / IT-Sicherheit Fachtagung /

35 Schritt 3: Festlegen der Domäne Link zur Webseite wurde in beigefügt Adresse des Webservers? operational services / IT-Sicherheit Fachtagung /

36 Schritt 3: Manipulierter Link operational services / IT-Sicherheit Fachtagung /

37 Schritt 4: Abwarten 15 Mitarbeiter befolgten die Anweisung Eingabe von gültigen Domän-Zugangsdaten Domäne Benutzername Passwort operational services / IT-Sicherheit Fachtagung /

38 Randnotizen Es wurden nur Mitarbeiter ausgewählt, die nicht in der IT oder in einer leitenden Position tätig waren Vermeidung von möglichen Mitwissern des SE-Tests Ein motivierter Mitarbeiter leitete jedoch die intern weiter Folge: Zugangsdaten von 2 Geschäftsführern Angriffskosten: 5 Arbeitstage Hosting der gefälschten Webseite inkl. Domäne (in etwa 30 Euro) operational services / IT-Sicherheit Fachtagung /

39 Schutzmaßnahmen operational services / IT-Sicherheit Fachtagung /

40 Schutzmaßnahmen Sicherheitsbewusstsein schaffen Jeder ist angreifbar Schutz dient dem Unternehmen und nicht nur sich selber Technologien schützen nicht vor SE-Anriffen Training schon Sensibilisierungs- und Trainingsprogramme Diskussionen Rollenspiele Richtlinien und Prozeduren operational services / IT-Sicherheit Fachtagung /

41 Welche Information ist vertraulich? Mitarbeitern fällt es oft schwer zwischen vertraulichen und nichtvertraulichen Daten zu unterscheiden Beispiele Adressen Interne Rufnummern Job-Positionen Klare Richtlinie erforderlich! operational services / IT-Sicherheit Fachtagung /

42 Entwurf eines Trainingsprogramms Inhalte Techniken des SE Erkennung von SE-Angriffen Prozedur im Umgang mit SE-Angriffen Wichtigkeit zur Authentifizierung der Person Hartnäckigkeit nicht nachzugeben Wege zur Prüfung der Identität Prozedur zur Weitergabe von sensiblen Informationen Richtlinien im Umgang mit Daten, Datenträgern, als auch deren Entsorgung operational services / IT-Sicherheit Fachtagung /

43 Zusammenfassung Es gibt kein Patentrezept Anzahl der Angriffspunkte steigt mit Unternehmensgröße Schutzmaßnahmen müssen ständig aktualisiert werden Regelmäßige Tests erforderlich operational services / IT-Sicherheit Fachtagung /

44 Fragen? Context Information Security Adersstr Düsseldorf T +49 (0) F +49 (0) operational services / IT-Sicherheit Fachtagung /