مهندسی اجتماعی (علوم سیاسی)

مهندسی اجتماعی سوء استفاده زیرکانه از تمایل طبیعی انسان به اعتماد کردن است، که به کمک مجموعه‌ای از تکنیک‌ها، فرد را به فاش کردن اطلاعات یا انجام کارهایی خاص متقاعد می‌کند.

مهاجم به جای استفاده از روش‌های معمول و مستقیم نفوذ جمع‌آوری اطلاعات و عبور از دیواره آتش برای دسترسی به سیستم‌های سازمان و پایگاه داده‌های آن، از مسیر انسان‌هایی که به این اطلاعات دسترسی دارند و با استفاده از تکنیک‌های فریفتن آنها، به جمع‌آوری اطلاعات در راستای دستیابی به خواسته‌های خود اقدام می‌کند.

منشأ حمله‌های مهندسی اجتماعی

حمله‌های مهندسی اجتماعی از دو ناحیه سرچشمه می‌گیرند:

• داخلی
• خارجی

چرخه حملات مهندسی اجتماعی

سارا گارتنر در مقاله‌ای راجع به روش‌های دفاع در مقابل حملات مهندسی اجتماعی، اذعان کرد هر جرمی دارای الگوی متداولی می‌باشد. برای مهندسی اجتماعی نیز الگویی وجود دارد، که قابل تشخیص و قابل جلوگیری می‌باشد. این الگو به صورت چرخه‌ای در شکل نشان داده شده‌است. این چرخه شامل چهار مرحله، جمع‌آوری اطلاعات، برقراری ارتباطات بهره‌کشی و عمل و اجرا است، که مانند تکه‌های پازل به هم مرتبط و وابسته‌اند.

1. جمع‌آوری اطلاعات
2. برقراری ارتباطات
3. بهره‌کشی
4. عمل و اجرا

انگیزه‌ها

• بهره‌برداری مالی: به دلایل گوناگون، افراد تحت تأثیر دستیابی به پول و ثروت می‌باشند. به عنوان مثال فرد ممکن است، باور داشته باشد که وی سزاوار دستمزد بیشتری است و یا نیاز به پول بیشتری برای عادات خارج از کنترلی چون قمار دارد.
• نفع شخصی: مهاجم ممکن است خواستار دسترسی و ویرایش اطلاعات مربوط به خود، اعضای خانواده و دوستان باشد.
• انتقام: بنابر دلایل قابل درک تنها توسط فرد مهاجم، وی ممکن است دوست، همکار، سازمان و یا مجموعه‌ای از افراد را برای ارضا کردن احساسات و شهوات خود در جهت انتقام یا کینه‌توزی مورد هدف قرار دهد.
• فشارهای خارجی: مهاجم ممکن است از سمت دوستان، خانواده یا سندیکایی سازمان یافته، به دلایلی از قبیل بهره‌برداری مالی، منفعت شخصی و یا انتقام تحت فشار و تهدیدهای جانی و مالی بوده و چنین کاری را انجام دهد.
• حس کنجکاوی: با توجه به خصایص انسانی به ذات این حس در دورن همه افراد وجود دارد.

تکنیک‌ها

تکنیک‌های مبتنی بر کامپیوتر

• پنجره‌های Pop-Up
• پیوست نامه‌های الکترونیکی
• هرزنامه‌های زنجیره‌ای و فریب آمیز
• وب‌گاه‌ها
• بازیابی و تجزیه و تحلیل ابزارهای مستعمل
• Phishing یا فیشینگ

تکنیک‌های مبتنی بر انسان

• رویکرد مستقیم
• جستجو در زباله‌ها
• جعل هویت
• سوءاستفاده از کاربران مهم
• کارکنان پشتیبان فنی
• کاربر درمانده
• Shoulder Surfing
• شایعه پراکنی
• جاسوسی و استراق سمع

جستارهای وابسته

• دفاع در برابر مهندسی اجتماعی
• امنیت اطلاعات
• امنیت
• مهندسی فناوری اطلاعات

منابع

• «Social Engineering». Wikipedia
• Mikael Hermansson & Robert Ravne, “Fighting Social Engineering’’, March ۲۰۰۵ URL:www. dsv. su. se/en/seclab/pages/pdf-files/۲۰۰۵-x-۲۸۱.pdf
• Malcolm Allen, “The use of “Social Engineering” as a means of violating compute systems”,June۲۰۰۶ URL:http://www.sans.org/rr/paper.php?id=529
• Wendy Arthurs, “A proactive defense to Social Engineering”, SANS Institute ۲۰۰۱ URL:http://www.sans.org/rr/paper.php?id=511
• Tims, Rick “Social Engineering: Policies and Education a Must” SANS Institute, February۱۶٬۲۰۰۱ URL:http://www.sans.org/infosecFAQ/social/policies.htm
• David Gragg, “A multi-level defense against Social Engineering”, December ۲۰۰۲ URL: http://www. sans. org/rr/papers/۵۱/۹۲۰.pdf
• NISCC Briefing “Social engineering against information systems: what is it and how do you protect yourself?, ۰۲ June ۲۰۰۶ URL:www.cpni.gouk/docs/SocialEngineering۰۸a۰۶.pdf
• Radha Gulati, “The Threat of Social Engineering and Your Defence Against It”, SANSInstitute۲۰۰۳ URL:http://www.sans.org/rr/papers/index. php?id=۱۲۳۲
• Granger, Sarah. “Social Engineering Fundamentals, Part I: Hacker Tactics”, December ۸، ۲۰۰۱ URL:http://www.securityfocus.com/infocus/1527
• Granger, Sarah. “Social Engineering Fundamentals, Part II: Combat Strategies”. January ۹٬۲۰۰۲ URL:http://www.securityfocus.com/infocus/1533
• Sara Gartner “There Are No Secrets: Social Engineering and Privacy” URL:http://www.gartner.com/gc/webletter/security/issue1/index.html
• Michael Bruck, “A Little-Known Security Threat” URL:http://www.entrepreneur.com/article/0,4621,309221,00.html
• Lemos, Robert. “Mitnick teaches ‘Social Engineering’. ” July ۱۷، ۲۰۰۰. ZDNet News. URL:http://zdnet.com.com/2100522261. html?legacy=zdnn
• McDowell, Mindi. “Avoiding Social Engineering and Phishing Attacks”, US-CERT Cyber Security TipST۰۴–۰۱۴. URL:http://www.us-cert. gov/cas/tips/ST۰۴–۰۱۴.html
• Jason Hiner, “Change your company’s culture to combat Social Engineering attacks”, May ۳۰، ۲۰۰۲ URL:http://archive.is/20130102151420/http://articles.techrepublic.com.com/5100-1035_11-1047991.html