Искусство обмана - Кристофер Хэднеги

Все знакомые мне специалисты в области социальной инженерии, с которыми, кстати, было приятно работать, оказывались скромными людьми и всегда рады были выслушать конструктивную критику.

К работе можно относиться как к «обязаловке»: хоть это и помогает добиться поставленных целей, но тогда о своих рабочих обязанностях с радостью забываешь по окончании трудового дня. Если вы хотели найти именно такое занятие, то социальная инженерия вряд ли вам подойдет. Потому что эта профессия изменит вас — как профессионала и как личность. Причем необходимые для этого вида деятельности навыки не возникают сами по себе, а значит, чтобы сохранять конкурентоспособность, вам понадобится мотивация для роста и саморазвития.

Стоп-стоп. Прежде чем бросать книгу в шредер с криками «О нет!!! Я же интроверт!», пожалуйста, прислушайтесь ко мне: я не утверждаю, что вам обязательно нужно меняться. Я просто считаю, что это важное для социального инженера качество и нужно научиться «включать» его на работе.

Помните, в третьей главе, посвященной профайлингу, я писал о директивном D-типе. Обычно такие люди рассказывают, что нужно делать другим, не приглашая их к обсуждению. И я часто веду себя именно так. Но чем больше я выступал и обучал других, тем больше понимал, что общение по I-типу больше подходит для преподавателя. Я решил освоить новую для себя манеру взаимодействия и «опробовал» ее на учениках. В результате я не так уставал от преподавания, а посетители еще больше полюбили мои программы.

Предлагаю вам отрабатывать один навык за раз, до тех пор пока он не превратится в удобный инструмент, который всегда под рукой и которым в любой момент можно воспользоваться. И хотя вам может не понравиться ставить перед собой задачу «заговорить сегодня с двумя незнакомцами», я очень рекомендую это делать. Со временем выполнять такие задания станет намного легче и можно будет их усложнять.

После этого вы сможете перейти к другим аспектам общения — и так до тех пор, пока не научитесь включать и выключать необходимые навыки по желанию.

По моим наблюдениям, боязнь ошибаться — одна из главных причин, по которым люди бросают социальную инженерию. Некоторых этот страх буквально парализует. А кто находит в себе силы для выхода из зоны комфорта, добирается до вершин успеха в СИ. Эти люди понимают, что иногда неудачи оказываются лучшим учителем. Кто готов пробовать новое, легко вливается в разные группы и быстрее адаптируется к необычным ситуациям. Я часто видел, что тяжелее всего наша работа дается тем, кто боится другой культуры, незнакомой еды и людей.

Я знаю человека, который был уверен, что из него не получится социального инженера, но освоил вышеперечисленные навыки и стал прекрасным специалистом. Помню, как он впервые появился в моей аудитории: сел в самом последнем ряду, сложил руки на коленях и опустил голову.

Я сразу понял, что передо мной чистейшей воды интроверт. Стало интересно, как его вообще занесло на мои занятия по социальной инженерии. Может, начальник заставил? Или у его компании такая политика? Занятие я начал как обычно: с доброй порции Clutch (лучшей рок-группы на земле). Едва заслышав первые аккорды, этот молодой человек, Райан, поднял глаза, и по его лицу я заметил, что ему комфортно.

«Ага, он тоже любит Clutch», — отметил я про себя. После занятий мы разговорились, и выяснилось, что ни начальник, ни политика компании не имели к приходу Райана никакого отношения. Он просто хотел бросить самому себе вызов, выйти из зоны комфорта, попробовать что-то новое — хотя прекрасно понимал, как тяжело будет это сделать.

На протяжении последующих четырех дней он с большим рвением выполнял все мои задания, и у него хватало мотивации доводить их до конца. Райан даже немного приоткрылся людям за это время, а ко мне он подходил постоянно — чтобы попросить совета или получить обратную связь по домашним заданиям.

Когда курс подошел к концу, Райан по праву получил от группы награду за самые масштабные изменения в процессе учебы. Я же во всеуслышание пообещал через год или два взять его на работу.

Однако это оказалось не так легко сделать. Райан изменился, и в компании, где он работал, это заметили. Его стали продвигать: он перешел с должности ведущего пентестера на пост начальника по социальной инженерии. Он занимался вишингом, фишингом и проникновением в разные помещения, и не просто занимался, а делал это очень эффективно.

Чтобы переманить его в свою команду на должность руководителя социально-инженерных проектов, мне понадобилось три года. Райан остался интровертом и по-прежнему любит планировать (на мой взгляд, даже слишком любит). Но он мотивирован, готов пробовать новое, учится «включать» экстраверсию и все так же не боится просить совета и помощи.

Я знаю, что однажды сам буду работать на Райана. Прямо чувствую. Так вот, если даже он преуспел в социальной инженерии — это получится и у вас. Просто применяйте четыре принципа, которые я описал выше.

Один из вопросов, который мне задают чаще всего, связан с техническими знаниями, которые необходимы социальному инженеру. И тут в двух словах тоже не ответишь, но я постараюсь задать верное направление вашему поиску.

В нашей сфере деятельности без технических навыков далеко не уйдешь, ведь мы постоянно так или иначе взаимодействуем с техникой. Даже представление о том, как использовать простые технологии вроде электронных ключей, загрузочных устройств и подключения к VPN, может существенным образом помочь вам в процессе разработки легенды и получения необходимого доступа.

Нужно ли при этом быть экспертом в создании эксплойтов? Вовсе не обязательно. Чтобы понять, насколько технологически подкованным должен быть социальный инженер, я использую следующее правило. Вы будете работать самостоятельно или в команде? Если самостоятельно, то без технических навыков вам не обойтись: любые ваши ограничения будут сужать спектр услуг, предлагаемых вами клиентам.