Social Engineering - Der Mensch als Sicherheitsrisiko in der IT (PDF)

meist neben jedem Telefon, auch in Besprechungsräumen, die vom Social Engineer leicht erreicht werden können, wenn er erst einmal im Gebäude ist.

Durch die Kenntnisnahme von Organigrammen oder Hierarchiestrukturen weiss der Social Engineer, wer nur ein einfacher Mitarbeiter und wer Entscheidungsträger ist. Damit sind unnötige Anrufe bei weniger hilfreichen Personen vermeidbar, was das Risiko einer Entdeckung drastisch reduziert. Auch Raumpläne geben einem Angreifer die Möglichkeit Hierarchien zu ermitteln oder sich mit der technischen Umgebung vertraut zu machen. Somit kann er sich zielsicher und selbstbewusst im Gebäude bewegen und wird vermutlich niemandem weiter auffallen.

Sobald der Social Engineer weiss, mit welchen Dienstleistern und Zulieferern ein Unternehmen zu tun hat, kann er dies als Eintrittskarte für das Firmengelände benutzen oder mithilfe dieser Informationen sogar weitere telefonische Anfragen stellen, die einem Zulieferer, der ja nur seine Arbeit machen will, eher beantwortet werden, als einem unbekannten externen Anrufer. Auch ein Anruf bei einem der Zulieferer oder Dienstleister kann wertvolle Informationen liefern. Dies können Sie leicht verhindern durch die Definition von festen Ansprechpartnern auf beiden Seiten.

Dienst- und Schichtpläne sind ebenfalls hilfreiche Informationsquellen. Wenn z.B. der Social Engineer bereits mit einem Mitarbeiter sprach, der ihm bereitwillig Auskunft gegeben hat, so könnte er anhand der Dienst- und Schichtpläne schnell feststellen, wann dieser Mitarbeiter wieder da ist, um so weitere Informationen zu erhalten. Man kennt sich ja schliesslich und hilft sich gerne untereinander. Auch Schichtwechsel, in denen die Aufmerksamkeit nicht ganz so hoch ist, können dem Social Engineer von Nutzen sein.

Der Informationsgehalt von Memos und Briefen dürfte jeden Social Engineer freuen. Der Social Engineer gewinnt dadurch Informationen über die Art und Weise, wie kommuniziert wird. Er hat die Möglichkeit die „Sprache“ der Firma zu lernen. Eine unschätzbare Fähigkeit, um sich als Insider auszugeben. Des Weiteren erfährt der Social Engineer auch genug über interne Vorgehensweisen, um diese für seine Angriffe zu nutzen.

Mithilfe von Netzplänen, Computernamen und Netzwerkadressen lernt der Social Engineer die Struktur der Firma kennen. Durch diese Informationen könnte sich der Social Engineer z.B. auch als Fachmann der IT ausgeben und so unbedarfte Mitarbeiter verunsichern oder auf einer Ebene mit den Fachleuten aus der IT kommunizieren und sie somit glauben lassen, er wäre einer von Ihnen.

Die Kenntnisse zur Funktionsweise von Zugangskontrollsystemen ist hilfreich um auch hier unerlaubten Zugriff, entweder durch direktes aushebeln der Zugangskontrollsysteme oder durch Manipulation der Sicherheitsleute bzw. Verantwortlichen für das Zugangskontrollsystem, zu erlangen.

Wenn ein Social Engineer weiss, wie die Menschen arbeiten, kann er Schwachstellen in den Prozessen ermitteln und diese als Angriffspunkte benutzen. Dazu versucht er an Arbeitsanweisungen und Policies (bzw. Richtlinien) oder auch Prozessbeschreibungen zu kommen. Die Kenntnisse dieser Dokumente sind hilfreich, um Mitarbeiter der Firma glauben zu lassen, man sei einer von Ihnen, denn woher sollte ein Externer davon wissen?!

Entsorgte Datenträger können für einen Social Engineer zum Heiligen Gral der Informationsbeschaffung werden. Je nach den auf dem Datenträger gespeicherten Informationen kann der Social Engineer mit ein wenig Glück bereits alle oben aufgeführten Informationen ohne viel Aufwand erhalten oder vielleicht sogar die Daten in den Händen halten, die er eigentlich sucht. Eine Entdeckung ist fast ausgeschlossen, da der Datenträger nicht mehr vermisst wird. Der Arbeitsaufwand für die Beschaffung dieser Datenträger dürfte auch nicht besonders gross sein.