Искусство обмана - Кристофер Хэднеги

Не думайте, что запуск программы по обучению сотрудников возымеет мгновенный и повсеместный результат. Могут потребоваться время и серьезные усилия, чтобы персонал в конце концов проникся вашим видением проблемы.

• Управляйте ожиданиями

Звучит знакомо? Все верно. Этот принцип работает не только с раппортом, но и в процессе создания необходимой культуры отношения к безопасности на уровне организации. Если вы сами научились «разоблачать» фишинговые письма, не поддаваться на вишинг и видеть людей, которые пытаются проникнуть куда не следует, это не значит, что каждый сотрудник способен освоить все эти навыки с такой же скоростью.

Будьте терпеливыми и не требуйте слишком многого. Через какое-то время сотрудники окажутся на одной волне с вами.

Хотя поначалу кажется, что это слишком сложно, поверьте мне: вы способны сформировать в своей компании культуру осведомленности в отношении вопросов безопасности. Возможно, вы оцениваете, в какой «форме» компания находится сейчас, и вам кажется, что на это уйдет слишком много времени и сил. Но дело того стоит. Польза, которую такая культура принесет компании, перевешивает все риски.

Как-то Джош прислал мне e-mail, в котором говорились: «Это путешествие на всю жизнь. Не на три месяца, не на полгода. Да, менять привычки сложно. Но ведь все мы постоянно меняемся».

Глупо повторять привычные действия в надежде получить новый результат. Допустив ошибку, старайтесь быстро двигаться дальше. Попробуйте воспользоваться советами, собранными в этой главе, но, если не добьетесь желаемого, найдите другое решение. Если метод не работает, ищите другой.

Джош постоянно трансформирует мою программу. Иногда новые требования приходят раз в неделю, но бывает, что они не меняются более месяца. Вам не обязательно менять все так же часто, но задуматься на этот счет стоит. Моя программа работает так эффективно, потому что раз в неделю я отправляю Джошу отчет о своих успехах. Он учитывает все мои перемещения, еду, активность упражнений и уровень стресса. Вся эта информация помогает ему корректировать общий курс программы. И я уверен: любое его решение основывается на детальном анализе.

Вы можете точно так же подойти к реализации программы информирования сотрудников. Для начала сформируйте подробное представление о том, что происходит в вашей организации: начиная с состояния физических объектов и заканчивая психологическими особенностями сотрудников. Постарайтесь понять, с чем связано испытываемое ими напряжение и как оно будет влиять на их решения. И когда у вас сложится полная картина, вам будет проще планировать реализацию такой программы. Продумайте траекторию развития, запустите программу и внимательно отслеживайте прогресс.

Не буду обещать, что в результате вы непременно создадите непробиваемую защиту от хакеров. Даже предполагаемый процент успеха называть не стану. Тем не менее я могу пообещать вот что: изменения вы увидите. Постепенно вы начнете замечать, как у сотрудников формируются устойчивые представления о типах атак и способах защиты от них.

Как же применить все полученные при прочтении этой книги знания и стать пентестером, владеющим навыками социальной инженерии? Как использовать эту информацию руководству компании, которая хочет защититься от злоумышленников? Обобщающие выводы вы найдете в последней главе. И обещаю, что про Джоша в книге больше не будет ни слова (прости, Джош, твои 15 минут славы подошли к концу).

Восемь-девять лет назад, начиная любимое дело, я даже не предполагал, что оно превратится в успешный бизнес и что я продолжу заниматься им в рамках некоммерческого фонда по защите детей от злоумышленников.

Случившееся за эти годы многому научило, сформировало, помогло стать тем, кем я являюсь на данный момент. Не все шло идеально, да и сейчас у меня еще есть огромные перспективы для роста. Думаю, на этом и хотелось бы сделать упор в последней главе книги.

Не существует волшебной палочки, которая превращала бы простых людей в социальных инженеров. Прочитав эту книгу, не стоит думать, будто рецепт создания идеального социального инженера прост, что стоит смешать немного раппорта, влияния, присыпать невербаликой, сдобрить доверием — и вуаля, дело сделано. Нет, это длительный процесс, требующий титанических усилий, анализа, а потом — еще больших усилий.

Ко мне постоянно обращаются с вопросами о том, как попасть в профессию, как стать настоящим социальным инженером. Ответить в двух словах не получится. Так что в этой главе я подробно расскажу о качествах, которыми просто обязан обладать профессиональный социальный инженер.

Я встречал множество людей, которые отлично владели техникой и технологиями, но с работой социального инженера не справлялись: у них не получалось развиваться. В то же время мне часто попадались неуверенные в своих способностях люди, которые в итоге стали крутыми специалистами.

Я расскажу о четырех основных вещах, которые отличали этих людей. Думаю, эта информация поможет вам, если вы находитесь на этапе планирования своего профессионального развития, а возможно, даже окажется ключевой.

Все специалисты, которым удалось преуспеть в социальной инженерии, по натуре своей скромны. И хотя смирение и мягкость принято считать проявлением слабости, я предлагаю не идти на поводу у стереотипов и задуматься. Вспомните знакомого, которого считаете по-настоящему скромным. Вспомнили? (Кстати, если называете себя — скорее всего, вы не очень правильно понимаете, о чем я тут пишу.)

А теперь, не задумываясь, ответьте: «Как я чувствую себя в обществе этого человека?» Лично я всегда ощущаю радость от того, что меня уважают, что я важен. А социальному инженеру намного полезнее вызывать у людей такие ощущения, чем считаться всезнайкой, которого даже поправить нельзя (нескромным, одним словом).

Когда мне выпала честь лично работать с Полом Экманом, я очень ясно это ощутил. Я думал, что сработаться с таким одаренным человеком будет сложно, что он окажется слишком требовательным. Но Пол показал себя очень скромным и открытым к иным точкам зрения ценителем творческой свободы. Когда меня нужно было в чем-то поправить, он действовал жестко, но при этом проявлял поразительную проницательность и умение направить в нужную сторону.