Manipuleerimine

 

Seekord kirjutan enda jaoks ühest suuremast IT turvariskist social engineering ehk manipulatsioonist. IT maailmas on akronüüm PEBCAK („probleem exists between keyboard and chair“), eesti keelde tõlgituna „probleem asub klaviatuuri ja tooli vahel“. See võtab minu arust väga hästi kokku inimese kui tegelikult iga tehnoloogia nõrgima lüli, mitte ainult IT.

Juba 1980ndatel aastatel kasutasid phrackerid (phone hackers) seda meetodit oma tegevusteks. Kõige lihtsama meetodina helistati lihtsalt telefoni keskjaamade töötajatele ja teeseldes firma töötajat, paluti infot. Keerulisema meetodina muretseti firma tehniku riided ja käidi füüsiliselt telefoniseadmetes häkkimas.

Defconi konverentsidel on küberturbespetsialistid rääkinud, kuidas väga tihti on kõige lihtsamaks viisiks näiteks serverile ligipääsemiseks lihtsalt teeselda tehnikut ja kohale minna. Sageli lihtsalt keskendutakse liiga pingsalt IT süsteemide enda turvalisusele, nagu tulemüür ja muud taolised asjad ning unustatakse ära inimlik faktor.

Ma usun, et peamised lahendused Mitnicki valemist oleksid koolitus ja reeglid. Tuleb koolitada inimesi aru saama petukirjadest, petukõnedest. Kuidas kontrollida, et teine suhtluspool on ikka see inimene, kes ta väidab enda olevat. Ja reeglitega oleks sama asi. Asutuses tuleks alati kontrollida, et suheldakse õige inimesega. Peavad olema tehtud ranged reeglid, kellele võib mingit infot jagada ja kuidas õigsust kontrollida.