Professional Documents
Culture Documents
Unauthorized Access - Physical Penetration Testing For IT Security Teams Tərcümə Olunmuş Kopyası
Unauthorized Access - Physical Penetration Testing For IT Security Teams Tərcümə Olunmuş Kopyası
Yetkisiz Erişim
BT Güvenlik Ekipleri İçin
Fiziksel Sızma Testi
Allsopp olacak
Bir John Wiley and Sons, Ltd., Yayın
Bu baskı ilk olarak 2009'da yayınlandı
2009, John Wiley & Sons, Ltd.
Kayıt ofisi
John Wiley & Sons Ltd, The Atrium, Southern Gate, Chichester, West Sussex, PO19 8SQ, Birleşik Krallık
Küresel yazı işleri ofislerimizin ayrıntıları, müşteri hizmetleri ve bu kitaptaki telif hakkı malzemesini yeniden kullanma
izni için nasıl başvurulacağı hakkında bilgi için lütfen www.wiley.com adresindeki web sitemize bakın.
Yazarın bu çalışmanın yazarı olarak tanımlanma hakkı Telif Hakkı, Tasarımlar ve Patentler Yasası 1988 uyarınca
ileri sürülmüştür.
Her hakkı saklıdır. Bu yayının hiçbir bölümü, Birleşik Krallık Telif Hakkı, Tasarımlar ve Patentler Yasası 1988'in izin
verdiği durumlar dışında, elektronik, mekanik, fotokopi, kayıt veya başka herhangi bir biçimde veya yöntemle
çoğaltılamaz, bir erişim sisteminde saklanamaz veya iletilemez. yayıncının önceden izni olmadan.
Wiley ayrıca kitaplarını çeşitli elektronik formatlarda yayınlamaktadır. Basılı olarak görünen bazı içerikler elektronik
kitaplarda bulunmayabilir.
Şirketler tarafından ürünlerini ayırt etmek için kullanılan tanımlamalar genellikle ticari marka olarak talep edilir. Bu
kitapta kullanılan tüm marka adları ve ürün adları, ilgili sahiplerinin ticari adları, hizmet markaları, ticari markaları
veya tescilli ticari markalarıdır. Yayıncı, bu kitapta adı geçen herhangi bir ürün veya satıcıyla ilişkili değildir. Bu yayın,
kapsanan konuyla ilgili doğru ve yetkili bilgiler sağlamak için tasarlanmıştır. Yayıncının profesyonel hizmet vermediği
anlayışıyla satılmaktadır. Profesyonel tavsiye veya başka bir uzman yardımı gerekirse, yetkin bir profesyonelin
hizmetleri aranmalıdır.
ISBN 978-0-470-74761-2
Dizin 277
Önsöz
iki yıldan fazla bir süredir tespit edilmeden ağın içinde olduğu bildirilen
bir grup. 47 milyondan fazla hesaba yerleştirilen kredi kartı
numaralarının bugüne kadarki en büyük hırsızlığı olarak hükümet
tarafından lanse edildi. İçeri nasıl girebildiler? Bir yöntem, bir kablosuz
barkod tarayıcıyı kaydırmak ve bir perakende satış yeri içindeki
kablosuz erişim noktasıyla iletişim kurmak için kullanılan şifreleme
anahtarını çıkarmaktı. Dolandırıcılar ayrıca mağazanın yukarısındaki
tarama alanına fiziksel erişim sağladılar, Ethernet'e bağlandılar ve
kendi gizli kablosuz yönlendiricilerini yerleştirdiler. Bu, en küstah
saldırganları tanımlasa da, gelecekte bunun gibi daha fazla hikaye
duymak sizi şaşırtmasın. Bilgisayar güvenliğinin hızla gelişen
teknolojik yönü, bilgisayar korsanları için elektronik izinsiz girişleri
giderek daha zor hale getiriyor; bu nedenle, bu kitapta açıklanan
fiziksel güvenlik saldırı yöntemlerinin teknik bir saldırıyla birlikte daha
fazla uygulandığını göreceğiz.
Birkaç yıl önce, fiziksel güvenlik kontrollerini test etme kapsamını
içeren bir sızma testi yapıyordum. İlk sabah takım elbisemi giydim ve
bağlantımla buluşmak için müşterinin ofisinin lobisine geldim.
Resepsiyon masasında bir kartvizit sergilendiğini fark ederek
ceketimin cebine birkaç tane koydum. Sonraki iki gün arabamda
kaldım, yakına park ettim, sadece binayı izledim ve gelen gidenlerin
davranışlarını gözlemledim. Her gece yaklaşık 8:30'da, ofisleri
temizlemek için ofis kompleksine bir hademe servisi geldi. Bunun
benim 'in' olduğunu biliyordum. İlk sabahki kartvizitleri kuşanıp yine
takım elbisemi giyip kapıya doğru yürüdüm ve camı yumruklamaya
başladım. Birkaç dakika sonra temizlik ekibinden biri kapıyı açmaya
geldi. Ona kartvizitimi verirken anahtarlarımı ofisimde unuttuğumu
anlattım; kenara çekildi ve bana el salladı.
Binaya girdikten sonra hedefimin odasını aramaya başladım
(bölmenin yerini daraltmak için önceden biraz araştırma yapıldı).
Bilgisayarın başına oturdum, açtım, CD-ROM sürücüsüne bir Linux
Live CD'si yerleştirdim, birkaç komut girdim ve o makine için Yönetici
parola karmasını aldım. Gökkuşağı tablolarını kullanarak parola
karmasını kırmak sadece birkaç dakika sürdü. Bilgisayara eriştiğimde
sisteme bir Trojan yükledim (belirlenen hedef buydu), sistemi
kapattım, eşyalarımı topladım ve tesisten ayrıldım. Bunların hepsi
yaklaşık yirmi dakika içinde gerçekleşti ve müşteri, raporda ayrıntılar
sağlanana kadar gizliliğinin ihlal edildiğine dair hiçbir fikre sahip
değildi.
Özel bilgilerin güvenliğini sağlamak çok yönlüdür ve artık yalnızca
teknolojiye odaklanarak yaklaşılamaz. Girişin birden çok düzeyde
reddedildiğinden emin olmak için tüm potansiyel erişim noktaları
dikkatlice incelenmelidir. Yetkisiz Erişim: BT Güvenlik Ekipleri İçin
Fiziksel Sızma Testi'nde Allsopp, fiziksel sızma testini gerçekleştirmek
için ilgili ve uygun bir taslakla bu kavramı ele alır.
ÖNSÖZ xix
• planlamacılar;
• operatörler (fiziksel testi fiilen yürütenler);
• destek personeli.
Ekibin yapısı, testin niteliğine bağlı olacaktır. Örneğin, başarılı
bir fiziksel sızmanın ardından bilgisayar erişimini içeren bir
testte, bilgisayar izinsiz girişi konusunda yetenekli en az bir
operatör bulunmalıdır. Sosyal mühendislikte yetenekli olanlar
muhtemelen bir planlama veya destek kapasitesinde
konuşlandırılacaktır.
•Kapsam– genellikle bir kara kutu (sıfır bilgi) yaklaşımı veya bir kristal
kutu (hedef hakkındaki bilgiler müşteri tarafından sağlanır)
yaklaşımına dayalı, üzerinde anlaşmaya varılmış angajman
kuralları;
•Beklenen direnç veya güvenlik duruşu– bir dizi faktöre bağlı olarak
bir operasyon ekibinin karşılaştığı direnç:
• hedefin doğası;
• personel arasında güvenlik bilinci;
• güvenlik personelinin miktarı (ve kalitesi);
• hedefteki potansiyel tehditlere karşı genel hazırlık ve farkındalık.
Güvenlik Açıklıkları
Merkezi hükümet veya ordu için herhangi bir türde sızma testi
gerçekleştirirken, ekip üyelerinin güvenlik izinlerine sahip olması
gerekir. Aşağıdaki bilgiler Birleşik Krallık'a özgüdür, ancak özü,
temizleme prosedürlerinin çok daha sıkı olduğu ve yalan
makinesinden ('yalan dedektörü' testleri) yoğun şekilde yararlanıldığı
Amerika Birleşik Devletleri için aynıdır.
Düşmanı Tanıyın
Özet
2
Fiziksel Sızma Testlerinizi
Planlama
yüz kişi (esas olarak satış, orta düzey yönetim ve destek personeli).
Site aynı zamanda Avrupa, Orta Doğu ve Afrika'ya gönderilen tüm
ürünler için dağıtım deposuna da ev sahipliği yapmaktadır. Birincil
riskleri nedir? Bu casusluk değil: şirketin dünya çapındaki tüm siteleri
gibi ağa bağlı olmasına rağmen sitede hiçbir araştırma ve geliştirme
gerçekleştirilmiyor. Bu şirket, kendi başına tartışmalı bir iş alanı
olmayan kameralar, tarayıcılar ve lensler üretiyor; bu nedenle
gazeteciler ve aktivistler tarafından sızma riski minimumdur. Bu
durumda, en büyük endişe muhtemelen basit hırsızlıktır. Şirket
binlerce dolara mal olan ve bir sırt çantasına sığan cihazlar
ürettiğinden, depo hırsızlar için cazip bir hedef olacaktır. Bu, ofislerin,
personelin ve bilgisayar ağının bir sızma testinde dikkate alınmaması
gerektiği anlamına gelmez, ancak müşterinin iş çıkarlarıyla ilgili
risklerini belirlemeniz gerekir.
Yukarıdakilere rağmen, çoğu zaman hedef varlıkları belirlemek için
fazla girdiniz olmayacak ve ağırlıklı olarak müşterinin test edilmesini
istediği alanlara yönlendirileceksiniz. Bununla birlikte, herhangi bir
senaryonun gerçek dünyada çok az değer sunduğunu
düşündüğünüzü söylemekten ve daha iyi alternatifler önermekten
çekinmemelisiniz. Bir önceki örnekte, bir test ekibi hedef ofislere
girmekte ve fotoğraf çekmekte çok az zorluk çekecek, ancak gerçek
sorunları tamamen göz ardı edecektir. Riskler kuruluşlar arasında
farklılık gösterir ancak Tablo 2.1'deki örnekleri göz önünde
bulundurun.
Merkezi hükümet veya askeri Terörist saldırı Bir paketin güvenli bir bölgeye kaçırılması.
Şirket merkezi Casusluk Dosyalara veya bilgisayar sistemlerine erişim. Lüks otomobil bayiliği
Hırsızlık Varlıkları Kaldırma.
Şebeke
Takım Lideri
Sosyal Mühendis
Bu rol, başlı başına bir disiplin olan "etik hacker" olarak da adlandırılır.
Bilgisayar izinsiz giriş uzmanı, bilgisayarlara ve ağlara erişim
sağlamaktan sorumludur. Bir fiziksel sızma testi bağlamında, bu
genellikle (ancak münhasıran değil) sahada gerçekleştirilir. Fiziksel
penetrasyon testindeki kilit hedefler genellikle bilgi sistemleridir, bu
nedenle, kaynaklarınız bu tür işleri yapabilecek kişiler içermediği
sürece uzun vadeli başarı elde etmeniz pek olası değildir. Şans eseri,
bilgisayar sızma testi endüstrisi patlama yaşıyor ve bu beceri setini
bulmak zor değil.
Gözetim Uzmanı
Bir ekibin tanımı, bireysel ekip üyelerinin farklı becerilere sahip olacağı
ve doğal olarak belirli rollere yatkın olacağı anlamına gelir. Etik bir
bilgisayar korsanını bir sosyal mühendislik rolüne tahsis etmek,
yalnızca kaynak israfı değil, aynı zamanda iyi bir toplum mühendisini
oluşturan niteliklerin anlaşılmadığını gösterir. Etik bir bilgisayar
korsanının doğasıyla uyumlu olmaları gerekmez. En azından prensip
olarak, herkes etik korsanlık, fotoğrafçılık veya kilit açma konusunda
öğrenebilir ve beceri sahibi olabilir. Sosyal mühendislik belirli bir kişilik
gerektirir: kendine güvenen, dışa dönük ve insanlarla arası genellikle
iyi olan. Bu, kişinin akredite olabileceği bir şey değil. Öte yandan, bir
bilgisayar izinsiz giriş uzmanının yetenekleri, etik bilgisayar korsanlığı
konusunda deneyimsiz biri için hemen anlaşılmayabilir. Bu nedenle,
pratisyenler ya alanda kanıtlanabilir deneyime sahip olmalı ya da
temel akreditasyona sahip olmalıdır (ilki tercih edilir). Güvenlik
akreditasyonu eklerde ele alınmıştır.
Bir ekip oluştururken yalnızca kendi personelinizi dahil etmenizi
şiddetle tavsiye ederim. Operasyonel ve yasal nedenlerle
yüklenicilerin kullanılması önerilmez. Bunu, sizin tanımayabileceğiniz
ve kimlik bilgilerinin doğrulanması daha zor olabilecek üçüncü tarafları
getirmenize itiraz edebilecek müşterinizin bakış açısıyla düşünün.
Almak
Nişanlanmak
Pazarlık Kuralları
Nişan
Tahsis Et
Ön hazırlık
Roller
Rol yapmak
Ön hazırlık
Araştırma
Riski Belirle
Belirlemek
Teçhizat
Tamamlamak
Dokümantasyon Bilgi Uygulamak
Gereksinimleri toplama
AtamaRapor yazmakŞekil
Sosyal
Mühendislik
Rolleri Yeniden
Değerlendirin
PROJE PLANLAMA VE İŞ AKIŞI 17
Şekil 2.1'de kendi proje yönetimi metodolojinize kolayca aktarılabilir.
Planlama aşaması tamamlandığında, her aşamanın kağıt çıktısı, proje
belge setinin bir parçasını oluşturacaktır.
Bir nişan için hazırlanmanın birkaç aşaması vardır. Bazıları
kaçınılmazdır ve bazıları yoruma açıktır. Ancak, kapsamlı olduğu ve
mümkün olduğunca az şansa izin verdiği için aşağıdaki yaklaşımı
benimsiyorum:
Ön Araştırmanın Gerçekleştirilmesi
Risk Belirleme
STRAJİKÖUÇ HATTI
Lithex, İngiltere'nin Thame kentindeki tesislerinde fiziksel bir sızma
testi istiyor. Bu nedenle yerel kaynaklar olan JE ve TS'yi kullanmayı
öneriyorum.
Birkaç şüpheli endüstriyel casusluk olayının ardından (Lithex'in
ayrıntılarını bizimle paylaşmamaya karar verdiği), hem fiziksel hem
de elektronik sınır güvenliğinin yetersiz olduğuna ve potansiyel
olarak tehlikeye düştüğüne dair endişeler var. Sahada bir köstebek
olasılığına ilişkin dahili bir soruşturma müşteri tarafından
yürütülmektedir ve devam etmektedir.
Sızma testinin tüm yönleriyle görevlendirildik. Etkileşimin etik
bilgisayar korsanlığı unsuru, Washington DC ofisinde LS tarafından
yürütülüyor ve bizim amaçlarımız açısından ayrı bir proje olarak
değerlendirilmelidir. Fiziksel katılım söz konusu olduğunda, müşteri
aşağıdakileri ne kadar kolay yapabileceğimizi bilmekle ilgilenir:
RÖVE
Yerinde herhangi bir işi tamamlamak için beş iş günümüz var (14
Ocak 2010 Pazartesi başlayarak). Ön araştırma çoktan yapıldı.
Atama kara kutu olacak ve hedef farkında değil (yani, CIO ve yerel
görevliler testten haberdar edilmedi). Sonraki tüm iletişim benim
aracılığımla olacaktır. Test başladıktan sonra CEO'nun ofisi resmi
irtibat noktası olacaktır; Şikago'daki Lithex ofisinde mesai
saatlerinde müsait birisini ayarladı. Ofis dışı güvenlik yüksek
olduğundan (müşteri tarafından yüksek olarak kabul edilir) ve
kampüs kilitli olduğundan, testler yalnızca çalışma saatleri ile
sınırlıdır. Zehirli ilaç yan ürünlerinin ana çöplüklere girdiği bilindiği
için çöp kutusuna dalış yapılmamalıdır. Sanırım bunu kendimize
saklayacağız. Geceleri test yapmamıza izin verilmediği ve çöp
bidonlarının belirgin konumu göz önüne alındığında, bunun
uygulanabilir olacağından emin değilim. Sitede birkaç kablosuz ağ
vardır, bunlarla ilgili olarak kendi takdirinize bağlı olarak ilerleyin.
KOLE RİSKS
Tesis kırsal bir bölgededir ve ayrı bir kampüstür; tüm binalar
Lithex'e aittir ve tüm personel Lithex çalışanları veya yüklenicileridir.
Ön araştırmalara göre, güvenlik görevlilerinin (Tangos) hafif bir
varlığı var, ancak bunlar çoğunlukla kampüsün arka tarafındaki
bekçi ofisiyle sınırlı. Gündüzleri nöbet devriyeleri neredeyse yok;
vurgu (söyleyebileceğimiz kadarıyla) kamera beslemelerinin
izlenmesi üzerinde görünüyor. Burası bir İngiliz tesisi olduğu için
röntgen çekmiyor.
TOMKÖZ VEVEQUİPMENT
Ekibi DC ofisinden koordine edeceğim. JE ve TS sahada olacak.
JE, deneyimli bir bilgisayar izinsiz giriş uzmanıdır, ancak fiziksel
test konusunda çok az deneyimi vardır. TS her türlü yüz
çalışmasını, kilit açmayı vb. halleder.
Bu test için ekipman basit olacaktır; standardın ötesinde, aşağıdaki
ekipman önerilir:
başla
Nişanlanmak
Sınır İhlal
(ASTAR VURMAK)
(CORE)
Gizli
Sınır İhlalleri
(CORE)
Açık
Sınır İhlalleri
Uygun Bulun
Ağ Noktası
bulun
toplantı odası
Bitki Böceği
Ayrılmak
Şekil 2.2Taktik kilometre taşları.
PROJE PLANLAMA VE İŞ AKIŞI 25
TAKTİFÖUÇ HATTI
Kilometre taşları Şekil 2.2'de gösterildiği gibidir.
ÖOPERASYONELÖUÇ HATTI
•Sınır Güvenliğini İhlal Et: Prime- Kampüse girmek çok basittir. İlk
güvenlik kontrolü ana binadaki resepsiyondur. Kampüsteki diğer
tüm binalar ağa bağlıdır.
•Sınır Güvenliğini İhlal Et: Temel– (Bu, gizli veya açık sızma
olacaktır; operasyonel bir karar olacaktır.) Yönetim kurulu
odasına giriş, ana binaya girmeyi gerektirecek ve bu da
resepsiyondan geçmeyi veya başka bir giriş noktası bulmayı
gerektirecektir. Ön araştırma birkaç kapı daha gösteriyor ama
kesin bir şey yok. Ağa erişim, önce bir çevresel bina aracılığıyla
sağlanmalıdır.
•Uygun Ağ Erişim Noktasını Bulun– Çevredeki binalar nispeten
güvensiz olacaktır. Dahili ağa erişim elde etmek muhtemelen
buradan zor olmayacaktır.
•Şifre Edin– Burada kendi takdirinize bağlı olarak ilerleyin. Bu J'nin
işi. •Toplantı odasını bulun– Yerini bulmak muhtemelen zor değil
ama yine, asıl mesele sinyal alımını geçebilmektir. Ağ aşamasının
tamamlanmasının ardından, test uzmanlarının yön sormak ve
güvenliği değerlendirmek için resepsiyona uğramalarını öneririm.
Bu, teslim süresini artırmak için test başlamadan önce de yapılabilir.
•Bitki 'Böcek'– Bu kendi adına konuşuyor.
•Ayrılmak– Bunun yaptığı gibi.
• ROE;
• test planı;
• imzalanan sözleşmeler;
• 'hapisten bedava çık' kartlarının kopyaları;
• operasyon ekibi üyelerinin resmi kimliğinin taranması (pasaport,
ehliyet);
26 FİZİKSEL SIZMA TESTLERİNİZİ PLANLAMAK
Hedef personel Tango A güvenlik görevlisi, özel güvenlik personeli. X-Ray Silahlı bir
güvenlik görevlisi.
Konu Koordineli bir gözetim operasyonunun konusu.
Pasif Güvenlik dışı personel, personel.
Status All Go Sızma testi başlatıldı ve atanan tüm ekip üyeleri konuşlandırıldı.
Sarılmış Test başarıyla sonuçlandırıldı.
Yapılan Bir ekip üyesinin güvenliği ihlal edildi.
Toplam kayıp Test, hedefe nüfuz etmeden önce iptal edildi
öngörülemeyen koşullar nedeniyle veya dış
kısıtlamalar.
Göz küresi Görsel onay.
Tesisle ilgili Omega Target organizasyonu.
Omega prime Target tesisi, dış sınır güvenliği (örn. araba
park).
Omega çekirdek Hedef tesisi, sınır güvenliği içinde.
Futbol Varlığı
Bu bağlamda "giriş" ifadesinin,
Giriş 1, 2, 3, vb.
testi yapan kişi için potansiyel bir
Girişler, genellikle önceden
giriş anlamına geldiğini
belirlenir. Örneğin, ana giriş (ana
unutmayın. Örneğin, bir yangın
giriş), sigara içen giriş (sigara
çıkışı potansiyel bir giriş
içenlerin toplandığı bir kapı) vb.
noktasıdır.
şeklinde kategorize edilebilirler.
28 FİZİKSEL SIZMA TESTLERİNİZİ PLANLAMAK
Özet
3
Testleri Yürütme
Herkesin tahmin ettiği sırlardan daha iyi saklanan sır yoktur. George
Bernard Shaw
Gizli test, açık teste benzer, ancak operatörler daha çok kurnazlığa
güvenir ve yetkili kişilerle temastan kaçınır. Gizli bir testçi, geçiş kartı,
rozet veya diğer erişim belirteçleri gibi güvenilir sahte kimlik bilgileri
olmadan ön kapılardan girmeyecektir. Bir yan kapıdan içeri sızmayı
veya arkadan gelen saldırılardan yararlanmayı tercih ediyor. Bu test
biçimi en yaygın olarak uygulanan test türüdür. Başka bir örnek,
çevrede rakipsiz dolaşmak veya çöp bidonlarına erişmek için işçi
kılığına girmektir.
En esnek ve teorik olarak en az riskli olduğu için gizli test en yaygın
yaklaşımdır. Giriş elde etmek için kullanımının (klasik) bir örneği, bir
sigara içen grubuna katılmak ve onları takip etmektir.
Bazen her şey resepsiyonla ilgili gibi görünüyor. Alımın amacı güvenlik
değildir; bu daha çok ikincil bir işlevdir. Resepsiyonun ana işlevi,
ziyaretçileri karşılamak ve binaya bir yüz sağlamaktır. Bu yüzü kimin
gördüğü tamamen şirketin doğasına bağlıdır, ancak genellikle
müşterileri, satıcıları, müteahhitleri ve teslimatçıları içerir. Bu grupların
çok farklı şekillerde ele alındığını söylemeye gerek yok.
Deneyimlerime göre, bir şirket için karşılama ve selamlama işlevini
güvenlikle birleştirmekten daha tehlikeli bir şey yoktur. Tamamen farklı
şeylerdir ve karşılıklı olarak uyumlu değildirler. Örneğin, resepsiyonun
bir VIP konuğu gücendirmekten (inandıkları şey) korktuğu birçok
durumda güvenlik protokollerinin ihmal edildiğini gördüm. Bu,
resepsiyonun misafirlerle oturum açmaması veya geçici rozetler
vermemesi gerektiği anlamına gelmez, ancak bir şirkete gelen tüm
ziyaretçiler güvenlik tarafından önceden bilinmeli ve varışta kimlik
(pasaport veya ehliyet) doğrulanmalıdır. Listede olmayan ziyaretçilerin
içeri alınmasına izin verilmemelidir.
Güvenliği resepsiyon etrafında merkezileştirmenin diğer tehlikesi,
başka giriş noktası olmadığı yanılsamasını yaratmasıdır. Daha önce
gördüğümüz gibi, durum böyle değil.
penetrasyon testi fiziksel bir şey değil, bir bireye erişimdir. Bunun gibi
testler, hoşnutsuz kişilerin fiziksel saldırılarından ofislerinin gazeteciler
veya şirket casusları tarafından dinlenmeye alınmasına kadar
değişebilen dış tehditlere yönetimin maruz kaldığını belirlemek için
yapılır.
Geceleri, bu ofislere genellikle klasik kilit açma teknikleriyle erişilebilir.
Gün boyunca kilitli olmaları pek olası değildir; Açıkçası, eğer hedef
varlık bir birey ise, bu önemsizdir.
Koruma direkleri, odalar veya kabinler, korkusuz test cihazı için ilginç
bir hedef olabilir. Güvenlik belirteçleri ve personel bilgileri için
mükemmel kaynaklardır. Güvenlik politikası, güvenlik odasının kilitli
olmadıkça asla boş bırakılmayacağını belirtir, ancak bu kurallara ne
sıklıkla uyulmadığını görünce şaşıracaksınız. Ofis kapısı kilitli olsa
bile, genellikle güvenlik penceresinden anahtarlara, geçiş kartlarına
vs. kesintisiz erişim Bir sitenin güvenliğinin özüne yönelik pratik
saldırıların gösterilmesi, aydınlatıcıdır ve mükemmel bir rapor
oluşturur.
34 TESTLERİN YAPILMASI
Büyüleyici Görünüm
İşadamı İnce çizgili takım elbise, canlı görünüm, deri evrak çantası veya dizüstü bilgisayar
çantası Pizza kuryesi Küçük düşürücü kıyafet, moped, büyük karton kutu Kurye Bisiklet ve
ilgili teçhizat, kurye çantası Su dağıtım elemanı Mavi tulum, su soğutucu şişesi
İşçi Yüksek görünürlüklü giysi, koruyucu baret
Bu karakterlerin her biri, kurumsal bir tesise giriş elde etmek için nasıl
kullanılabilir? Kurye, özellikle Londra'da çalışırken favorilerimden biri.
Kuryeler neredeyse görünmezdir; şehir ofislerine her zaman gelip
giderler; kimse onlara ikinci kez bakmıyor. Bunun da ötesinde,
personel ikinci bir düşünce olmadan onları kapılardan geçirmeye
alışkındır. Birçok yönden mükemmel bir kılık değiştirmedir. Bunu bir
takım elbise ve kuryenizin çantasına gizlenmiş sahte bir rozet ve hızlı
bir tuvalet gezisi ile birleştirin. Neredeyse herhangi bir kurumsal tesisin
ana anahtarı gibidir.
Bu kıyafetleri mükemmelleştirmek için ihtiyaç duyabileceğiniz herhangi
bir kıyafet, çevrimiçi olarak kolayca edinilebilir. Logolar bir bilgisayarda
yapılabilir, transfer kağıdına basılabilir ve kumaştan plastiğe hemen
hemen her yüzeye ütülenebilir.
Büyük bir şirkette işe yarayan bir numara, "var olmayan çalışan"
hilesidir. Öncül, çalışan devir hızının genellikle oldukça yüksek olması
ve insanların işletme içinde de hareket etmesidir. Sonuç olarak,
personel veritabanları ve telefon listeleri hiçbir zaman tamamen
güncel değildir. Resepsiyonda veya bekçi ofisinde olmayan bir çalışanı
sorarsanız (nerede olduğunuza bağlı olarak), belirtilen kaynaklarda
bulunmayacağı açıktır. Bunun şüphe uyandıracağını düşünebilirsiniz,
ancak aslında daha önce belirtilen nedenlerden dolayı değil.
Resepsiyondaki personel genellikle
36 TESTLERİN YAPILMASI
• gardiyanlar;
• kameralar;
• fiziksel erişim kontrolleri.
Rozetler
Üretim Pasoları
Genel olarak, ziyaretçi kartları basılı kart veya plastik bir keseye
yerleştirilmiş kağıttır, oysa personel yaka kartları plastikten yapılır ve
sert plastik bir kılıf içine yerleştirilir (bkz. Şekil 3.1, 3.2). Genellikle
toplu halde olmasına rağmen, geçiş kartları için uygun tutucuları
çevrimiçi olarak kolayca edinebilirsiniz. Bu, hangi rotayı izleyeceğinize
karar vermenizi sağlar. Ziyaretçi geçişlerinin taklit edilmesi daha
kolaydır ancak personel geçişleri daha fazla özgürlük sağlar ve daha
az soru sormaya teşvik eder. Modern görüntü işleme yazılımları ve
yazıcıları ile her türden sahte kimlik oluşturmak oldukça kolaydır (bkz.
Şekil 3.3). Bir laminatör de çok kullanışlıdır.
"Anahtarlık yakınlığı" ile ilgili hızlı bir Google araması, Siemens web
sitesinden (http://buildingtechnologies.siemens. com/products
systems/electronic security/access control file/cards ve) Şekil 3.5'te
gösterilen sayfayı döndürür.
etiketler klasörü/proximity.htm). Bu sayfa size satıcıyı ve hangi
okuyucuların bu belirteçlerle çalıştığını söyler. Bu bir Siemens SiPass
yakınlık anahtarı etiketidir (seri numarası ABR5100-TG) ve SiPass
serisindeki (ACS3110, AR633X-CP, AR618X-RX ve AR6473-RX)
birkaç okuyucuyla çalışır.
Web sitesine göre, bu anahtarlıklar SiPass yakınlık kartlarının tüm
işlevlerine sahip. Tam bir ürün broşürü http:// adresinde mevcuttur.
42 TESTLERİN YAPILMASI
www.siemens.cz/siemjetstorage/files/32721 BR$SiPass$Bağımsız$tr.
pdf. Okumanızı öneririm.
Sistem şöyle işliyor. Her belirteç, anahtarlıkta saklanan ayrı bir sayısal
kimliğe sahiptir (aynı zamanda anahtarlığın dış tarafında da basılıdır).
Kayıt sırasında bu numara bir kişiye atanır ve erişim düzeyi
bilgisayara girilir. Unutulmaması gereken bir başka yararlı nokta da
alarm yeteneğine sahip olmasıdır, yani örneğin SiPass sistemi bir
yangın alarmı algıladığında güvenlik sistemini devre dışı bırakır ve
kapıların kilidini açar. Karmaşık kart klonlama tekniklerine girmeden,
zaten iki saldırı yolunuz var. İlki, sahip olduğunuz bir jetonun
numarasını eklemek için kart veritabanı yöneticisine yönelik bir sosyal
mühendislik saldırısıdır ve ikincisi çok daha basittir - bir yangın alarmı.
Siemens'in kaybolan jetonları değiştirmeyeceğini unutmayın. Yeni bir
numarayı etkinleştirmek ve eskisini sona erdirmek gerekir. Sitede
kullanılanlarla aynı anahtarlığa veya prox imity kartına sahip olmak
(etkinleştirilmemiş olsalar bile) arkadan saldırı saldırılarındaki
başarınızı büyük ölçüde artıracaktır.
Sahte geçişlerle hangi yolu seçerseniz seçin, büyük olasılıkla
elektronik bileşenleri olmayan bir rozetiniz olacak ve bu nedenle
yakınlık kilitlerini açamayacaksınız. Bu durumda, başkalarının sizin
için kapıları açmasını sağlamak için bir tür toplum mühendisliğine
başvurmalısınız.
FİZİKİ GÜVENLİK MEKANİZMALARI 43
MIFARE Sisteminin Zayıf Yönleri
Kameralarla Uğraşmak
Kameralar genellikle her derde deva bir güvenlik ilacı olarak ele alınır,
ancak gerçekte çoğu zaman sadece caydırıcıdırlar. Bunun elbette
istisnaları var. Güvenlik çevresinde birisini tanımlamak için bir kamera
kullanılabilir veya bir turnikeyi izleyerek yerinde sabitlenebilir. Ancak,
bir kez bir hedef içinde
FİZİKİ GÜVENLİK MEKANİZMALARI 45
• Bir kişi, örneğin yanlış kıyafet veya saç stilini giyerek "yerinde değil"
görünüyor.
• Kişi amaçsız görünüyor, kaybolmuş görünüyor veya başıboş
dolaşıyor. • Bir kişinin rozeti eksik veya yanlış.
• Bir kişi bir yerde çok uzun süre kalıyor veya 'gizleniyor' gibi
görünüyor.
• Bir kişi genel olarak şüpheli davranışlar sergiliyor, izleme personeli
tarafından not ediliyor veya onlara bildiriliyor. Burası işlerin biraz
bulanıklaştığı yer. Bazı davranışlar açıkça şüphelidir - örneğin bir
kilit açarken yakalanmak (belki bir çilingir kılığına girmiyorsanız).
Bununla birlikte, genel olarak, bu, izleme personelinin alması
beklenen daha çok içgüdüsel bir içgüdüdür.
Halka açık bir alanda bariyerleri aşarak sınır güvenliğini aşmak mutlak
son çare olmalıdır. Muhtemelen yakalanacak ve gerçekten çok aptal
görüneceksiniz. Her zaman daha iyi, daha akıllı bir yaklaşım vardır;
henüz bulamadınız.
Özet
4
Sosyal Mühendislik Tekniklerine
Giriş
Bu bölüm sosyal mühendisliğe bir giriş sağlar. Bu çok büyük bir konu
olduğu için, genel bir bakıştan fazlasını sunmaya başlayamıyorum.
Sosyal Mühendislik (ayrıca 'ıslak yazılım' hackleme veya daha açık bir
şekilde yalan söyleme ve aldatma olarak da anılır), gizli veya
ayrıcalıklı bilgileri, bu bilgilerin meşru kaynaklarını veya sahiplerini
manipüle ederek elde etmek anlamına gelir. Bu genellikle parolalar
veya personel, şirket varlıkları vb. hakkındaki bilgiler gibi erişim kontrol
bilgilerini içerir. Daha da ileri götürüldüğünde, sosyal mühendislik,
fiziksel olarak kaynaklara veya tesislere erişim izni vermek gibi,
insanların bir bütün olarak güvenliği tehlikeye atan şeyler yapmasına
neden olmak için kullanılabilir. yapmamalıydın. Bu her zaman bir
dereceye kadar aldatma gerektirir. Bu nedenle, Bölüm 3'te tartışılan
tekniklerin çoğu, birçok kişi tarafından toplum mühendisliği olarak
kabul edilecektir.
Pek çok kitap sosyal mühendisliği ayrıntılı olarak ele alır. Wiley
tarafından Kevin Mitnick'in Aldatma Sanatı'nı (ISBN-13:
978-0764542800) öneririm.
• güven;
• cehalet;
• saflık;
• açgözlülük;
• yardım etme arzusu;
• beğenilme arzusu.
54 SOSYAL MÜHENDİSLİK TEKNİKLERİNE GİRİŞ
Güveni Sömürmek
telefon. Bu kadar çok insanın annesinin kızlık soyadı gibi daha az gizli
(ve daha kolay belirlenebilir) bilgilere güvenmesi şaşırtıcı. daha
fazlasını düşünebilir misiniz?
Özetlemek gerekirse, çoğu insan, geçmişte kötü bir deneyim yaşamış
olmak, kökleşmiş paranoya ya da sadece durumu yeterince düşünmek
için yeterli zamana sahip olmak gibi, güvenmemek için herhangi bir
nedenleri olmadığı sürece genellikle güvenir. İyi bir toplum mühendisi,
hedeflerinin zihinlerine herhangi bir doğal şüphe girmeye başlamadan
çok önce konuşmayı bitirecektir.
Akılda tutulması gereken bir başka nokta da, güvenin (veya güvene
dayalı itaatin), otoriteye karşı sorumluluğun algılanan azalması veya
ertelenmesi ile arttığıdır. Bu, kurumsal bir ortamda tipik bir tutumdur;
Eğer söz konusu olan boynunuz değilse, tipik olarak bir hata
yapmanın sonuçlarına karşı daha az ihtiyatlı olursunuz. İyi bir toplum
mühendisi, adını bırakarak (kurbanını etkilemek için önemli
insanlardan gelişigüzel bahsetme uygulaması) herhangi bir endişeyi
hafifleterek bu tür duyguları geliştirir. Daha sonra bunun hakkında
daha fazla bilgi.
Cehaleti Sömürmek
Cehalet hiçbir şekilde zeka eksikliği ile aynı şey değildir. Bir sosyal
mühendislik saldırısının kurbanları aptal değildir. Cehaletten
bahsettiğimde, insanların bilgili oldukları ve bilgisiz oldukları alanları
fark etmelerini kastediyorum. İnsanlar, yetersiz hissettikleri durumlarda
başkalarının otoritesine boyun eğme konusunda doğal bir eğilime
sahiptir. Bu örnekte, iktidar konumunda olan biri yerine teknik otorite
anlamına gelen Kropotkin'in "otorite" tanımını kullanıyoruz.
BT sistemleri, çoğu insanın, özellikle sahip olduklarından daha fazla
bilgiye sahip olan veya sahip olduğu algılanan biriyle konuşurken, az
ya da çok cahil hissettiği bir alandır. İnsanların BT sistemleri
konusundaki cehaletini kullanmak, insanların cahil hissetmekten
hoşlanmadıkları gerçeğiyle birleştiğinde güçlü bir sosyal mühendislik
aracıdır. "Tabii ki ne yaptığımı biliyorum, sadece bana ne yapacağımı
söyle!" tavrı, her zaman tehlikeli bir kombinasyon olan insanların
gururu ve cehaletinin ince bir manipülasyonudur.
Modern masaüstü iş istasyonlarının kullanımı çok kolaydır ve aslında
çoğu insan bunları iş ortamlarında kullanmak zorunda kalır, ancak bir
şeyi kullanmak ve nasıl çalıştığını bilmek tamamen farklı iki şeydir.
Teknik talimatları bir kurbana iletmek çok kolaydır, ancak bu,
yaptıklarının sonuçlarını anladıkları anlamına gelmez. Örneğin, bir iş
istasyonuna kullanıcı eklemek, Windows'ta tek satırlık bir komuttur ve
hileli veya düşmanca yazılımların yüklenmesi sadece birkaç tık
ötededir. Bir hedef kuruluştaki herkes birkaç alanda cahildir, bu
nedenle saldırı noktanızı ve kaldıraç alanınızı dikkatli bir şekilde seçin.
56 SOSYAL MÜHENDİSLİK TEKNİKLERİNE GİRİŞ
Bu gerçekten saflık mı? Bir Hıristiyan veya bir Müslüman yüce bir
varlığa inandığı için saf mı? Hmm, bu, bu kitabın kapsamını biraz aşan
bir soru ve inancın bir tür grup aklı saflığı oluşturup oluşturmadığı,
filozoflara bırakacağım bir soru.
Bizim amaçlarımız açısından saflık, bir uçta banal veya dünyevi olana
derin şüphe ("şüpheci" kişilik) ve diğer uçta sıra dışı veya tuhaf olanı
aşırı kabul eden ("kişotvari" kişilik) bir ölçekte derecelendirilebilir.
diğeri Elbette çoğu insan arada bir yerdedir, ancak dış uyaranlara
veya teşviklere bağlı olarak ölçek boyunca ileri geri hareket ettirilebilir.
Açıkça saf bir insan, bir toplum mühendisi için en faydalı olandır. Bir
kişinin saflığını arttırmanın ilginç bir yolu, açgözlülüğünü kullanmaktır.
Açgözlülük ve saflık el ele gider ve açgözlülüklerinin sınırlarını
zorlarsanız insanlar bazı gerçekten, gerçekten saçma yalanlara
inanmaya hazır görünürler. Gelen kutumdaki bu mücevheri düşünün.
Gelen Kutumdan