Ijtimoiy muhandislik nima?
Ijtimoiy muhandislik — bu kiberjinoyatchi texnologiyani emas, balki odamlarni manipulyatsiya qilib, o‘zida bo‘lmasligi kerak bo‘lgan kirish huquqi, ma‘lumot yoki resurslarga ega bo‘lishidir. Hakerlar tizimga ko‘pincha xavfsizlik devorini (firewall) yorib o‘tish yoki murakkab parollarni buzish algoritmidan foydalanish orqali kiradi, deb o‘ylashingiz mumkin, biroq ko‘p hollarda buzilishlar aynan ijtimoiy muhandislik natijasida yuz beradi. Hakerlar texnologik to‘siqlarni nishonga olish o‘rniga, tashkilotingiz xodimlarini manipulyatsiya qilish yo‘lini “ishlab chiqadi” va xodimlarni kompaniyaning xavfsizlikdagi eng zaif bo‘g‘ini deb hisoblaydi. Yomon niyatli shaxslar “ijtimoiy” vaziyatni to‘qib chiqaradi (odatda muammoni hakerning o‘zi yaratadi!) — ijtimoiy muhandislik nomi ham shundan kelib chiqqan. Oddiy qilib aytganda, ijtimoiy muhandis sizni o‘zi uchun biror ishni bajarishga yoki maxfiy ma‘lumotlarga kirish huquqini berishga undash uchun juda ishonarli hikoya to‘qiydi.
U qanday ishlaydi?
Kiberjinoyatchilar ishonchingizni qozonish va keyin uni suiiste‘mol qilish uchun turli psixologik usullardan foydalanadi. Ulardan ba‘zilari quyida keltirilgan.Priming (dastlabki hissiy tayyorlash)
Priming — bu ijtimoiy muhandis suhbatni hissiy jihatdan boyitib, muzni eritishi va ishonchliroq ko‘rinishi uchun qo‘llaydigan usuldir. Bu uning qurbonlari savollariga javob berishga ko‘proq moyil bo‘lishiga olib keladi. Ehtimol, u suhbatni ertalab qanchalik og‘ir o‘tgani haqida gapirib boshlar yoki orqa fonda bolalar yugurib o‘ynayotgan ovoz yozuvini qo‘yib, dadasi/onasi telefonda gaplashayotgani uchun ularga jim bo‘lishni aytayotgandek rol o‘ynar. Bolalar-da, to‘g‘rimi?Framing (ma‘lumotni ma‘lum ko‘rinishda taqdim etish)
Infomarketing roliklarini eslaysizmi (Billy Mays’ni yaxshi ko‘rganimiz uchun OxiClean’ning 20 daqiqalik reklamasini tomosha qilgan paytlarimiz)? Ular mahsulot narxini hech qachon to‘g‘ridan-to‘g‘ri aytmasdi. Buning o‘rniga “Atigi 12,99 dan oson to‘lov!” deyishardi. Bu — framing; ma‘lumot uni qabul qilish usulingizni manipulyatsiya qiladigan tarzda taqdim etiladi. 13 dan oson to‘lov esa deyarli tekinga o‘xshaydi. Kiberjinoyatchilar ham xuddi shunday qiladi: ular sizning munosabatingizni yo‘naltirish uchun mo‘ljallangan ayyor usullar bilan ma‘lumot yoki so‘rovlarni taqdim etadi. Keyingi safar notanish kishidan oilasini boqishga qurbi yetmayotgani va iTunes sovg‘a kartasini yuborishingizni so‘ragan xat olsangiz, o‘zingizdan so‘rang: “Agar u buni menga shunchaki ochiq so‘raganida, men rozi bo‘larmidim?”Loss Aversion (yo‘qotishdan qochish)
Marie Kondo bilan “Tidying Up” ko‘rsatuvi mashhurligining cho‘qqisida tartibga keltirish ishiga kirishib, deyarli hech narsadan ajrala olmaganingizni payqagan bo‘lsangiz, bu holat faqat sizda emas. Insonlar o‘zlariga tegishli narsalardan ajralishga nihoyatda qarshi bo‘ladi. Ijtimoiy muhandislar bundan foydalanib, potensial qurbon oldida nimanidir — ko‘pincha pulni — yo‘qotish xavfini ko‘rsatadi, shu bilan uning mulohaza yuritish qobiliyatini susaytiradi va hamkorlik qilish yoki shaxsiy ma‘lumotlarni oshkor etishga ko‘proq moyil qiladi.Authority Bias (hokimiyatga ishonish tamoyili)
Ota-onangiz har doim ham haq emasligini anglab yetishingiz uchun qancha vaqt kerak bo‘ldi? Odamlar o‘zlari ustidan hokimiyatga ega bo‘lganlarning fikriga beixtiyor ishonishga moyil; shuningdek, hokimiyat egasi so‘raganda o‘z manfaatlariga zid harakat qilish ehtimoli ham ancha yuqori. Ijtimoiy muhandislar potensial qurbonlarni so‘rovlarini sinchiklab tekshirishdan qaytarish uchun ko‘pincha rahbar kabi hokimiyat egasi qiyofasiga kiradi.Familiarity Bias (tanish narsaga ishonish tamoyili)
Siz kafedasiz va gazli ichimlik buyurtma qilyapsiz, ofitsiant esa Coke yoki Dacey Fizz xohlaysizmi, deb so‘raydi. Qaysi birini tanlaysiz? Coke’ni, to‘g‘rimi? Tanlov oldida turganda odamlar eng tanish variantni tanlash (va unga ishonish) ehtimoli ancha yuqori. Ijtimoiy muhandislar bundan foydalanib, bir nechta harakat yo‘nalishini taklif qiladi va siz eng tanishini — ular xohlagan variantni tanlashingizga tayanadi.
Qanday misollar bor?
Hakerlar tizimga ko‘pincha xavfsizlik devorini (firewall) yorib o‘tish yoki murakkab parollarni buzish algoritmidan foydalanish orqali kiradi, deb o‘ylashingiz mumkin, biroq ko‘p hollarda buzilishlar aynan ijtimoiy muhandislik natijasida yuz beradi.Phishing
Phishing — ijtimoiy muhandislikning eng keng tarqalgan shakli bo‘lib, uning eng mashhur turi elektron pochta orqali amalga oshiriladigan firibgarliklardir. Bunday xatlar sizni maxfiy ma‘lumotlarni oshkor qilishga, havolani bosishga yoki qurilmangizni zararli dastur (malware) bilan zararlaydigan ilovani ochishga undaydi. Phishing haqida keyingi oyda batafsilroq gaplashamiz. Smishing va Vishing — phishingning mos ravishda matnli xabar va ovozli qo‘ng‘iroq orqali amalga oshiriladigan turlaridir. Ular qo‘ng‘iroq qiluvchi identifikatorida (caller ID) istalgan nomni ko‘rsata oladi, shuning uchun ular o‘zini siz ishonadigan shaxs sifatida ko‘rsatib, yangi raqam olganini aytishi yoki sizdan o‘zi uchun biror ishni bajarishni so‘rashi mumkin. MISOL: Siz boshqa filialdan Janet tomonidan qoldirilgan “shoshilinch” ovozli xabarni olasiz: uning ma‘lumotlar bazasi ishlamayapti va unga muayyan mijoz haqidagi hisob ma‘lumotlari zudlik bilan kerak. “Janet”ga qayta qo‘ng‘iroq qilganingizda, siz phisherga shaxsiy ma‘lumotlarni oshkor qilasiz, u esa bu ma‘lumotlardan shu mijozning bank hisobini buzish uchun foydalanadi.Jismoniy buzilishlar
Ijtimoiy muhandislar ba‘zan binoga kirish uchun xodim yoki yetkazib beruvchi haydovchi kabi do‘stona qiyofadagi odamlar sifatida ko‘rinadi, so‘ng ichkarida nazoratsiz qolganda kompyuterlarni buzadi yoki maxfiy hujjatlarni titkilaydi. MISOL: Pochtachi formasidagi kishi qo‘lida bir uyum posilkalarni tutgan holda orqangizdan yaqinlashadi. Siz ofisingizga kirayotib, muloyimlik bilan eshikni ushlab turasiz, biroq pochtachi niqoblangan kiberjinoyatchi bo‘lib chiqadi. Posilkalarda nima bor? Hakerlik qurilmalari, ular kompaniya kompyuterlari va serverlariga ulanib, tarmog‘ingizni buzadi.Bilim — kuch!
Ijtimoiy muhandislar mohir manipulyatorlar, biroq ular ongni boshqarmaydi. Albatta, hakerlar sizni aldashga urinadi, lekin tashkilotingizni yaxshiroq himoya qilish kuchi sizning qo‘lingizda. Ijtimoiy muhandislik usullari haqida ko‘proq bilib, siz yomon niyatli shaxslarni aniqlash uchun zarur bilimlar bilan qurollanasiz. O‘z ta‘siringizdan faxrlaning va yangi bilimlaringizni hamkasblaringiz (va yaqinlaringiz) bilan ulashing, shunda hamma xavfsiz bo‘ladi.