22
конфиденциальной информации. Сопоставляя такой результат в мировых
масштабах, потери всего мира равны порядка $500 млрд. Как считают
аналитики Info Watch, по результатам 2006 г. международные потери
экономики в результате утечки корпаративных данных равны $177 млрд.
Структуры государства не вошли в анализ. В результате, оба вида утечек
обходятся каждый год в $700 млрд. Прогнозируя ситуацию сегодня, беря во
внимание инфляцию, сумма подобных утечек будет расти ежегодно на 20-
25%, эта цифра свыше $1 трлн. Беря во внимание ментальность русских
людей, топ-менеджеры отметят: «это на западе, а не в РФ и будут «ожидать»,
когда подобная проблема коснется их самих и их предприятий.
Найти хорошие, реальные примеры нападений в области социальной
инженерии сложно. Целевые организации либо не хотят признавать, что они
стали жертвами (в конце концов, это может сильно повредить репутации
организации), либо нападение не было хорошо задокументировано. Поэтому
никто не может быть уверен, была ли применена социальная инженерия или
нет.
Рассматривая вопрос, почему организации ориентированы на
социальную инженерию, можно сделать заключение, что это наиболее
простой способ получить незаконный доступ к информации, чем
большинство других приёмов технического взлома.
1.3.1. Финансовые махинации в организациях
Крис Касперский, известный российский автор, приводил в своей
статье факты при которых, можно прийти в редакцию, назваться любым
писателем, кто есть в лист-реестре, и получить за этого автора гонорар.
Некоторые могут получать гонорар дважды, ссылаясь на то, что произошла
ошибка и вместо него пришкл кто-то другой. Всех авторов знать практически
невозможно, поэтому подобная ситуация наблюдается в большинстве
издательств. К тому же, часть из них живет вд других городах. Большая часть
23
вопросов, касающихся финансов, решаются с помощью электронной почты
или телефона, что является недопустимым. Он предложил ввести политику
заключаения авторских договоров, что помогло бы решить описанную
проблему в пользу издательства [20].
Известны случаи, когда подобным образом получают заработную плату
операторы, которые продают товары или услуги, трудящиеся по договору с
компанией дома.
1.3.2. Бесплатное приобретение программных продуктов
Допустим, злоумышленнику нужен некоторый программный пакет или
техническая консультация. Взломать демо-версию или совершить атаку на
локальную сеть компании-разработчика, на сегодняшний день рисковано.
Оптимальный вариант, представиться журналистом, попросить один
экземпляр программы и пообещать сделать ей хорошую рекламу в каком-
нибудь популярном журнале. Практически любая компания пойдет на это
благодаря заманчивому предложению. А злоумышленник вместе с подуктом
получит и квалифицированную техническую поддержку прямо от самих
разработчиков, а не от операторов, которые бывают не очень компетенты при
обслуживание обычных клиентов.
Хакеру будет сложнее, если необходимый ему продукт очень
специфичен или его вообще нет на рынке. Разработка «под ключ» в
большинстве своем стоит дорого, однако если быть находчтвым, то можно
придумать несколькоуловок. На сайте типа www.jobs.ru появляется
объявление о высокооплачиваемой работе по Интернету. Прием персонала,
конечно, идет на конкурсной основе и каждому кандидату дается тестовое
задание, по итогам выполнения которого и судят о его, кандидата,
профессионализме. Конечно, все кандидаты остаются без работы, даже
прекрасно выполнив задание. Плохо, что предъявлять злоумышленнику
гражданский иск нет смысла, так как состава преступления нет.
24
Защитить себя от такого рода обманов довольно сложно, так как,
подобную схему найма персонала активно используют и настоящие
компании. К тому же, далеко не все работодатели хотят оплачивать работу
"котов в мешке". Поиск подходящей работы - это в целом рулетка со своими
разочарованиями.
1.3.3. Бесплатный наем рабочей силы
Широко используется практика найма «бесплатной» рабочей силы с
целью выполнить или какой-то заказ по разработке, или написать
собственную систему для организации. Как уже говорилось ранее, это может
быть непосредственно поиск работы по какому-либо сайту и вместо
тестирования менеджер по кадрам высылает по интернету на оговоренный
им срок заказ на разработку какого-то модуля или другого программного
средства. Или же надо закончить уже начатую разработку, или доработать
программный продукт, что сама компания сделать не в состоянии. Однако
никаких договоров и соглашений на разовую работу не оформляется [20].
Вот еще механизм: организация берет на работу по разработке
программного продукта квалифицированный персонал. При этом говорят,
что так как вы новый сотрудник, к вам будут присматриваться в течение двух
месяцев. И по истечение этого времени будет выплачена заработная плата, но
только за один месяц работы, а не за два. Новому сотруднику говорят, что
если он им подойдет, тогда и будет оформляться трудовой договор. Понятно,
что по прошествии этих двух месяцев выплачивается заработная плата вовсе
не та, которая оговаривалась ранее. Менеджер по кадрам при этом лишь
говорит, что сотрудник не подходит. Или же, спустя месяц после начала
работы, человека просят покинуть рабочее место. Таких случаев достаточно
много.
25
1.3.4. Информация о маркетинговых планах организации
Быть впереди своего конкурента, узнав её планы маркетинга – одно из
самых заветных желаний практически всех руководителей. Впрочем, эту
информаацию, при ее получении, можно выгодно слить. Техники социальной
инженерии для доступа к секретной информации - несложный метод
получения подобных данных, к которому всегда прибегает конкурентная
разведка.
Один из хороших методов получения данных о компании от её
представителей - выставочные стенды. Когда посетитель выставочного
мероприятия демонстрирует к товару или услуги интерес, обычно,
представитель компании готов рассказать все, что он знает о товаре, её
дальнейших перспективах на рынке, сильных сторонах продукта и
технологиях. Надо лишь внимательно слушать информацию. Главное – это
не представляться конкурентом этой компании.
В случае, если представатель компании не идет на контакт, не желая
выставить свою компанию в не лучшем свете, надо изменить подход. Если
известны инициалы руководителя компании или кого-нибудь из топ-
менеджмента, можно сделать бейдж с этим именем, подойти к стенду и
спросить, что нового появилось у компании. После ответа представителя,
можно сказать: «Отлично, неважно. Я сам завтра позвоню Петрову и
спрошу». А отдаляясь от стенда, можно невзначай «бубнить» что-то типа:
«непонятно кого поставили на этот стенд, ничего не знают, могли бы
знающего сотрудника поставить». Если представитель у стенда не показал
никакой реакции, можно походить по другим стендам, позадавать вопросы,
взять брошюры. А потом вновь подойти к стенду интересующей вас
компании и задать ключевой вопрос: «Вам что-то известно про это? У ваших
конкурентов это все расписано доходчиво и понятно. Вы будете это
производить или мне можно сразу заключить договор с другой компанией?».
Вследствие того, что представитель уже слышал фамилию руководителя
26
компании, он, скорее всего, расскажет что знает, так как представить свою
компанию в худшем свете на выставке опасается каждый. Таким образом,
злоумышешленник под видом заинтересованного партнера получит все
необходимые сведения.
После получения информации на выставке, интересно провести
интервирование ключевых лиц этой компании. В процессе интервью
возможно получение массы информации о положении дел на предприятии.
Узнать о маркетинговых планах, кто с кем объединяется и дружит, кто кого
обидел, каковы отношения с конкурентами вообще, узнать о некоторых
опасениях компании и т.д. Здесь играет роль один их недостатков
человеческого фактора - чувство собственной значимости и безопасность
уходит на второй, третий план. Поэтому, интервью с удовольствием дают
многие, особенно, если для телевидения. Для социоинженера, это выгодно,
т.к. не нужно стесняться в вопросах и можно ими разнообразить, без риска
вызвать подозрение. В терминах это называется вести скрытый допрос, т.е.
извлекать полезную информацию из разговора с тем, кто не подозревает, что
стал объектом вытягивания информации. Часто такой прием используют в
психологии [37].
1.3.5. Кража клиентских баз
Статистика краж клиентских баз невелика. Но это не значит, что таких
случаев мало. Наоборот, в целях скрытия таких прецедентов компании
стараются умалчивать факт хищения клиентских баз, т.к. это значительно
отразится на репутации организации в целом. Спрос на базы данных всегда
был и остается наиболее значительным.
В основе такого подхода, лежит беспечное отношение сотрудников
компании. Очень часто счета фактуры, иные финансово-платежные
документы лежат стопками на столах сотрудников, которые имеют привычку
27
выходить на 10-30 минут с кабинета, никак не принимая во внимание, что на
их столе может лежать ценная информация о компании. Мусорные корзины в
организациях часто заполнены теми документами, которые должны
уничтожаться только с помощью шредера или сжигаться за счет специально-
организованных выездов для утилизации финансовых документов,
расходных лент с факсимальных аппаратов, магнитных носителей и т.д. В
ряде магазинов (мебельные, где продажей техники и других) не редки
случаи, когда продавец, очень долго оформляет покупку из-за слабых
навыков работы с системой. На просьбу, может ли помочь ввести в 1С
данные или другое программное средство, ведущее собственную базу
данных, откликаются, и позволяют сесть за рабочее место оператора. При
этом могут отлучиться от рабочего места на несколько минут, а проходящий
мимо персонал магазина не особо беспокоится, что на рабочем месте сидит
посторонний человек.
Не редко, под видом обслуживающей фирмы (представителя 1С
например) или технической службы на предприятие проникают посторонние,
уточняя какими базами сейчас пользуются сотрудники и как бы желая
обновить базы, дополнить новыми.
Другая распространенная схема, это трудоустройство менеджером по
продажам на 1-2 месяца (на испытательный срок), после получения копии
базы, не дожидаясь срока истечения уйти из организации, обосновав тем, что
такая работа не подходит, буду пробовать на другой должности.
Самый распространенный случай, это уход ведущего менеджера или
группы менеджеров вместе с базой клиентов. Причем, после этого часто
появляется новая фирма в составе ушедших менеджеров и работающая с
теми же клиентами, что и на предыдущем месте. Учитывая привязанность
многих компаний к конкретному менеджеру, ведущего их фирму, и
желающего работать только с ним (возможно, были какие-то устные
договоренности, устраивающие обоюдно друг друга) ведут к прямым
28
финансовым потерям и выработке негативного отношения на рынке самой
организации, которую покинул этот менеджер или группа менеджеров по
продажам.
В качестве примера, когда вынос клиентской базы может работать не
основой для становления своего бизнеса, а всего лишь, как средство
получения разовой прибыли. Российские спецслужбы в 2014 г. раскрыли
цепочку противоправных нарушений, начавшуюся с продажи диска с базой
данных абонентов одного из московских интернет-провайдеров. Покупатель,
некий народный умелец, ставший обладателем этой конфиденциальной
информации, нашел себе «спонсоров» среди клиентов этого провайдера и
произвел ряд перекрестных транзакций, тем самым лишив возможности
провайдера восстановить состояние счетов. Компания вынуждена была
начислить пострадавшим клиентам компенсацию, в результате её
собственный ущерб составил несколько десятков тысяч рублей [11].
Таким образом, на основании рассмотренного теоритеческого
материала по изучению понятий и целей социальной инженерии, а также
применение социального инжиниринга в современном обществе было
установлено, что социальная инженерия является самым быстрым и
доступным путем к нарушению информационной безопасности. Атаки,
которые совершаются по средству социального инжиниринга крайне тяжело
обнаружить. Цели, которые преследуют социальные инженеры, направлены
на получения доступа к конфиденциальной информации, либо на
злонамеренные действия, которые повлекут ущерб компании.
29
ГЛАВА 2. АНАЛИЗ СОСТОЯНИЯ ИЗУЧАЕМОЙ
ПРОБЛЕМЫ В ООО «ТРАНСВЕРТИКАЛЬ»
2.1. Анализ деятельности организации
ООО «Трансвертикаль» - коммерческое учреждение, занимающееся
продажей программного обеспечения, компьютерного оборудования,
бухгалтерских программ, сервисом, внедрением ИТ и т.д. юридическим и
физическим лицам.
ООО «Трансвертикаль» представляет собою объединение юридических
лиц и предпринимателей на основе общих ценностей, стратегии развития и
управления. Группа Компаний является общим маркетинговым, рекламным
именем - брендом. ГК - это поставщик продуктов и решений в области
информационных технологий. Официальная дата основания
«Трансвертикаль», отмечаемая как день рождения – 27 июня 1996 года.
Компания состоит из шести бизнес – центров.
Архитектура аппаратного и программного обеспечения ООО
«Трансвертикаль» (рисунок 4) имеет 4-уровневую архитектуру.
На первом уровне выполнена организация рабочих мест сотрудников,
где установлено локальное программное и аппаратное обеспечение для
организации рабочих мест и используется клиент-серверная архитектура.
На втором уровне для обеспечения потоков данных по различным
бизнес процессам, планирования деятельности в ООО «Трансвертикаль»
применяются ERP-системы, СУБД (системы управления базами данных),
система электронного документооборота, веб-портал и бизнес приложения.
Третий уровень включает в свой состав программное и аппаратное
обеспечение для обеспечения интеграционных решений, IP-телефонии,
беспроводный Интернет Wi-Fi, средства для обеспечения
видеоконференцсвязи и бесперебойной работы локальной сети LAN.
Последний уровень представляет собой систему защиты данных
организованный на уровнях обеспечения физической безопасности,
30
диспетчеризации, инженерной инфраструктуры, пожарной системы и
поддержки обеспечивающих систем.
В качестве ERP-системы применяется Microsoft Dynamics AX (ранее
Microsoft Axapta), многофункциональная система управления ресурсами
предприятия (ERP II) для средних и крупных компаний.
В 2016 году руководством компании было принято решение по
переходу с Microsoft Dynamics AX на 1С.
Рабочие места
Документооборот
СУБД
ERP-система Почта
Бизнес-приложения
Wi-Fi
LAN
IP-телефония
Интеграционные решения
Диспетчеризация
Система
Физической
безопасности
Структурированная
кабельная система
Отопление
Пожарная система
Водоснабжение
Инженерная инфраструктура
Рисунок 4 - Архитектура аппаратного и программного обеспечения
Серверная находится в отдельной комнате, там находится сервер типа
ML 110 G5, доступ к которому имеет только администратор сети. Сервер
обеспечен системой защиты Cisco 1605. Через маршрутизаторы Cisco 2500
информация поступает на сервер отдела технического обслуживания типа
31
ML 110 G5 и рабочие станции, установленные у сотрудников ООО
«Трансвертикаль».
Для выхода в сеть Интернет и поддержки связи с удаленными
сотрудниками или другими организациями используются модем-роутер D-
Link DSL-2500U/BRU/D.
Для автоматизации работы отделов ООО «Трансвертикаль»
установлены персональные компьютеры. Техническая архитектура компании
показана на рисунке 5.
Internet
Серверная комната
28 U
3 U
Дисковый массив
(ZyXEL NSA220, 3000)
2 U Патч панель
1 U ИБП (Powerware 9155)
2 U Маршрутизатор
3 U
Сервер
(ML110G5)
Маршрутизатор
(Cisco 2500)
Модем-Роутер
D-Link DSL-
2500U/ BRU/ D
Система защиты
(Cisco 1605)
Сотрудники сервисного центра
МФУ
CANON i-
SENSYS
MF8030
Рабочие станции
(Dell PrecisionTM
T3500)
Отдел технического обслуживания
Сервер
(ML110G5)
WiFi точка доступа
D-Link DAP-1150
Маршрутизатор
(Cisco2500)
Система защиты
(Cisco 1605)
Удалённые сотрудники
ADSL
Удалённые сотрудники
Рисунок 5 - Техническая архитектура ООО «Трансвертикаль»
2.2. Анализ уязвимостей компании «Трансвертикаль» и оценка
рисков
С целью выявить уязвимости в компании, надо определить, какого рода
информация обрабатывается. Это могут быть данные следующего типа:
‒ Личные сведения собственников и руководящего состава социально-