Искусство обмана - Кристофер Хэднеги

• Обязательно передаем записи клиенту, чтобы тот мог использовать их в образовательных целях.

• Внимательнейшим образом контролируем безопасность хранения, передачи и использования этих записей.

Важно понимать связанные с вашими действиями риски, а также четко продумывать дальнейшее использование собранных данных. В ходе одной операции сотрудница компании, ставшая объектом воздействия в ходе проверки безопасности, ввела свой рабочий ID и пароль в мой компьютер. И поскольку я получил на это разрешение от заказчика, то записал на видео не только ее лицо, но и введенные данные. Однако в последствии, чтобы не ставить ее в неловкое положение перед начальством, изображение ее лица на видео я «размыл». Конечно, клиент имел полное право запросить видео без обработки. Но я решил поступить именно так — и оригиналы видео в итоге никто у меня не попросил. Ведь в конце концов, такие съемки должны служить образовательной цели, а не заставлять человека снова и снова переживать неприятный для себя момент.

В ходе одной проверки я, как обычно, записывал происходящее на камеру, спрятанную в планшете. Старательно избегая столкновения с охраной, пробрался в серверную и вдруг наткнулся на пару, которая занималась… не тем, чем принято заниматься на рабочем месте. (Да, да, сексом, если вы до сих пор не догадались.) Это неожиданное столкновение на секунду выбило меня из роли социального инженера: парочка злобно накричала на меня, и я в смятении выбежал из помещения. Лишь позже я понял, что из-за непрофессионального поведения этих влюбленных в моем распоряжении оказалась почти минутная запись полового акта. Очевидно, такую информацию отправлять клиенту не стоило — так что мне пришлось думать, что теперь с ней делать.

Клиент заплатил мне за проверку безопасности компании, сети и сотрудников немалые деньги, а действо, свидетелем которого я невольно стал, было грубым нарушением политики компании. Причем один из этой парочки мог и вовсе оказаться злоумышленником, использующим соблазнение как метод манипуляции. Значит, я все-таки должен был сообщить руководству об этом инциденте, который потенциально мог привести ко взлому систем.

Итак, решение было принято. В итоге мужчину — участника событий уволили. Почему не его подругу? Оказалось, что она в компании даже не работала: сотрудник просто провел в серверную совершенно постороннюю женщину и предался там с ней забавам, которые уместны дома или в номере отеля — но никак не на рабочем месте.

Только вам решать, какие из добытых записей в итоге удалять, а какие — нет. Обычно я провожу «чистку», когда человек на записи не совершает ничего противозаконного или нарушающего политику компании: он просто попал в социально-инженерную ловушку, не имея при этом злых намерений. Как я уже говорил, целью своей работы я вижу обеспечение безопасности, а не увольнение людей.

Тем не менее если я обнаруживаю сотрудников, которые смотрят на работе порнографию, занимаются сексом, получают несанкционированный доступ к данным или, не дай бог, каким бы то ни было образом нарушают права детей, рассчитывать на снисхождение с моей стороны им не стоит.

Найти «шпионское оборудование» можно в самых разных местах[17]: от Amazon до специализированных магазинов (один из моих любимых — https://spyassociates.com). Выбирай — не хочу. Нужно помнить, что класс оборудования обычно соответствует его цене. Встроенная в пишущую ручку камера за $25 будет давать пикселизованное и дрожащее изображение, а вот имитирующая пуговицу камера, за $600 с функцией записи на DVR, конечно, выдаст совсем иное качество материала.

Поэтому я рекомендую внимательно изучать отзывы и информацию о товаре перед покупкой. Лично я всегда:

• уточняю условия возврата товара, чтобы не пришлось высылать его в другую страну в случае поломки;

• читаю отзывы как о конкретном продукте, так и о компании-производителе, чтобы не зря тратить деньги.

Воплощение этого вектора атаки на практике весьма облегчает грамотное планирование. Помните: взломом помещений и прочим редтимингом социальные инженеры не занимаются, а значит, вам надо заранее сформировать представление о системе обеспечения физической безопасности на объекте.

Каждый СИ-пентестер должен четко представлять себе масштаб действий, необходимых для достижения поставленных клиентом целей. Особенно это касается составления раздела отчета, в котором будут описаны способы решения выявленных проблем. Этот раздел будет полезен клиенту лишь в том случае, если вы поймете и опишете не только «что» сработало, но и «почему».

В последнее время все чаще появляются новости о подрывах системы безопасности с использованием зараженных флешек и специальных устройств. Поэтому профессиональный СИ-пентестер просто обязан освоить имперсонацию и предлагать клиентам этот вектор атаки.

Когда я только начинал свой профессиональный путь социального инженера, мне поступил заказ: протестировать возможность проникновения на семи складах одной компании. Я справился с задачей на 100 %. На один из складов я даже пробрался дважды, в один и тот же день, использовав разные легенды.

Успех меня окрылил. Я собрал все записи и приготовился отчитаться перед клиентом. Руководитель проекта сказал, что нужно написать отчет, и выслал шаблон документа, в котором было несколько заголовков.

Мне кажется, я сидел, уставившись на эти пустые страницы, несколько часов. Потом начал составлять отчет: что-то писал, удалял, снова пытался начать. Я корпел над документом несколько дней, а когда закончил, был уверен, что создал настоящее произведение искусства.

Мне так и представлялись восторги клиента: как его команда прочтет отчет, восхитится и, когда я приду к ним в офис, под ноги мне в знак признательности полетят розовые лепестки. В таком вдохновленном настроении я отправил документ заказчику и стал ждать похвалы.