El arte del engaño Controlar el factor humano de la seguridad Kevin D. Mitnick Y William L. Simon Prólogo de Steve Wozniak Analizados por kineticstomp, revisada y ampliada por SWIFT Para Reba Vartanian, Jaffe Shelly, Leventhal Chickie, y Mitchell Mitnick, y por la tarde Alan Mitnick, Mitnick Adán, y Biello Jack Para Arynne, Victoria y David Sheldon, Vincent, y Elena. Ingeniería social Ingeniería social utiliza la influencia y la persuasión para engañar a la gente convenciéndolos de que el ingeniero social es alguien que no es, o por la manipulación. Como resultado, el ingeniero social es capaz de tomar aprovecharse de la gente para obtener información con o sin el uso de tecnología. “Traducido con el traductor on-line de google por eso con las disculpas del caso, si alguien quiere consulte con el texto original en ingles.” Herve Volpe 1 Contenido Prefacio Prólogo Introducción Parte 1 Detrás de las escenas El Eslabón más débil de Seguridad Parte 2 El arte de la atacante Capítulo 2 Cuando la información no es inocuo Capítulo 3 El Ataque Directo: sólo pedimos que Capítulo 4 Construyendo Confianza Capítulo 5 "Deja que te ayude" Capítulo 6 "¿me puedes ayudar?" Capítulo 7 sitios falsos y archivos adjuntos potencialmente peligrosos Capítulo 8 Uso de simpatía, la culpa y la intimidación Capítulo 9 El golpe inversa Parte 3 Alertas de intrusos Capítulo 10 entrar a las instalaciones Capítulo 11 La combinación de la tecnología y la ingeniería social Capítulo 12 Los ataques contra el empleado de nivel de entrada Capítulo 13 Cóntras inteligentes Capítulo 14 Espionaje Industrial Parte 4 Nivel de seguridad Capítulo 15 Información de concienciación sobre la seguridad y la Formación. Capítulo 16 Recomendado políticas corporativas de seguridad de la Información. La seguridad de un vistazo Fuentes 2 Prefacio Nosotros, los humanos nacemos con un impulso interno para explorar la naturaleza de nuestro alrededor. Como los jóvenes, tanto Kevin Mitnick y yo estábamos intensamente curiosos sobre el mundo y con ganas de probarnos a nosotros mismos. Fuimos premiados con frecuencia en nuestra los intentos de aprender cosas nuevas, resolver puzzles y ganar en los juegos. Pero al mismo tiempo tiempo, el mundo que nos rodea nos enseñó las reglas de comportamiento que limitaban nuestro interior impulso hacia la exploración libre. Para nuestros más audaces científicos y tecnológicos empresarios, así como para la gente como Kevin Mitnick, después de este impulso interior ofrece las más grandes emociones, permitiéndonos lograr cosas que otros creen que no pueden por hacer. Kevin Mitnick es uno de las mejores personas que conozco. Pregunte a él, y él dirá: abiertamente que lo que solía hacer - ingeniería social - entrana la gente de órdenes de maniobra. Pero Kevin no es un ingeniero social. E incluso cuando estaba él, el motivo nunca fue a enriquecerse a sí mismo u otros daños. Eso no quiere decir que no hay delincuentes peligrosos y destructivos que hay que utilizar la ingeniería social para causar un daño real. De hecho, eso es exactamente por Kevin escribió este libro - para que le avise sobre ellos. El arte del engaño muestra lo vulnerables que somos todos nosotros - gobiernos, empresas, y cada uno de nosotros personalmente - a las intrusiones de la ingeniería social. En este era consciente de la seguridad, que gastar grandes sumas en tecnología para proteger a nuestros redes y datos informáticos. Este libro destaca lo fácil que es engañar a los insiders y evitar toda esta protección tecnológica. Ya sea que trabaje en los negocios o el gobierno, este libro ofrece un camino de gran alcance mapa para ayudarle a entender cómo el trabajo de los ingenieros sociales y lo que puede hacer para papel de ellos. Utilizando historias de ficción que son a la vez entretenido y revelador, Kevin y co-autor Bill Simon dar vida a las técnicas de lo social ingeniería inframundo. Después de cada historia, que ofrecen directrices prácticas para ayudar a protegerse contra las violaciones y las amenazas que están descritos. Seguridad tecnológica deja grandes vacíos que la gente como Kevin nos puede ayudar cerca. Lee este libro y que finalmente se daran cuenta de que todos tenemos que recurrir a la Mitnick entre nosotros para recibir orientación. Steve Wozniak 3 Prólogo Algunos hackers destruir los archivos de las personas o unidades de disco duro entero, sino que son llamados crackers o vándalos. Algunos hackers novatos no se molestan en aprender la tecnología, sino que simplemente descargar herramientas de hacker para irrumpir en los sistemas informáticos, que son llamados script kiddies. Hackers más experimentados con conocimientos de programación desarrollar hacker programas y publicarlas en la Web y sistemas de boletines electrónicos. Y luego son personas que no tienen interés en la tecnología, sino utilizar el ordenador simplemente como una herramienta que les ayuda en el robo de dinero, bienes o servicios. A pesar del mito creado por los medios de Kevin Mitnick, yo no soy un hacker malicioso. Pero me estoy adelantando. INICIACIÓN Mi camino se hizo probablemente temprano en la vida. Yo era un niño feliz y despreocupado, pero aburrido. Cuando mis padres se separaron yo tenía tres años, mi madre trabajaba como camarera Para ver conmigo entonces - un hijo único criado por una madre que puso en días largos, acosado en un horario a veces errático - habría sido ver a un joven en su propia casi todas las horas de vigilia. Yo era mi propia niñera. Al crecer en una comunidad del Valle de San Fernando me dio la totalidad de Los Angeles para explorar, y por la edad de doce años que había descubierto una manera de viajar gratis a lo largo de toda la zona de mayor Los Ángeles. Me di cuenta un día en el autobús que la seguridad de la transferencia de autobuses que había comprado se basó en el patrón inusual de la perforadora de papel, que los controladores utilizados para conmemorar el día, hora y ruta en el hojas de transferencia. Un conductor amable, respondiendo a mi pregunta cuidadosamente plantados, me dijo dónde comprar ese tipo especial de ponche. Las transferencias están destinadas a permitir cambiar de autobús y continuar un viaje a su destino, pero he trabajado la manera de utilizarlos para viajar a cualquier lugar que quería ir de forma gratuita. Realizar transferencias en blanco fue un paseo por el parque. Los contenedores de basura en las terminales de autobuses estaban siempre llenos con los libros sólo en parte utilizados de las transferencias que los conductores arrojaban al final de los turnos. Con una almohadilla de espacios en blanco y el punzón, que podría marcar mi propio transferencias y viajar a cualquier parte que Los Ángeles fue autobuses. En poco tiempo, que casi había memorizado los horarios de los autobuses de todo el sistema. (Este fue un primer ejemplo de mi memoria sorprendente para algunos tipos de información, todavía puedo, hoy, recordar números de teléfono, contraseñas, y otros detalles aparentemente triviales, ya en mi infancia.) Otro de los intereses personales que aparecieron en una edad temprana fue mi fascinación por hacer magia. Una vez que aprendí un nuevo truco funcionó, sería la práctica, la práctica, y practica un poco más hasta que lo dominaba. Hasta cierto punto, fue a través de magia que he descubierto el placer en la obtención de un conocimiento secreto. Desde Phreak teléfono para Hacker. Mi primer encuentro con lo que finalmente aprendí a llamar a la ingeniería social surgió durante mis años de secundaria cuando conocí a otro estudiante que fuimos atrapados en un pasatiempo llamado phreakin telefonico. Phreaking telefonicio es un tipo de piratería informática que le permite explorar la red telefónica mediante la explotación de los sistemas telefónicos y empleados de la compañía telefónica. Él me mostró truquitos que podía hacer con un teléfono, como la obtención de cualquier información de la compañía telefónica había en cualquier cliente, y el uso de un número de prueba secreta para hacer llamadas de larga distancia gratis. (En realidad era gratis sólo para nosotros. Me enteré mucho más tarde que no era una prueba secreta número en absoluto. Las llamadas fueron, de hecho, se factura a alguna empresa MCI pobres cuenta). Esa fue mi introducción a la ingeniería social de mi jardín de infantes, por así decirlo. Mi amigo y otro phreaker teléfonico conocí poco después que me escuche, ya que en cada pretexto hizo llamadas a la compañía telefónica. He oído lo que han dicho que suenen increíbles, he aprendido 4 acerca de las diferentes oficinas de la compañía telefónica, jerga, y los procedimientos. Pero que "la formación" no duró mucho tiempo, no tenía que hacerlo. Pronto lo estaba haciendo todo por mi cuenta, a medida que iba aprendiendo, haciendo que sea aún mejor que mis primeros profesores. El curso de mi vida se había establecido y seguiría para los próximos quince años. De alto la escuela, una de mis bromas favoritas de todos los tiempos era el acceso no autorizado a los conmutadores telefónicos y el cambio de la clase de servicio de un compañeros phreaker. Cuando se hacia el intento de realizar una llamada desde su casa, se ponía un mensaje diciéndole que depositar una moneda de diez centavos, porque el interruptor de la compañía telefónica que había recibido de entrada indicó que estaba llamando desde un teléfono público. Yo se absorbí en todo lo relacionado con los teléfonos, no sólo de la electrónica, interruptores, y las computadoras, sino también la organización de la empresa, los procedimientos, y la terminología. Después de un tiempo, probablemente sabía más sobre el sistema telefónico que cualquier otro empleado. Y que había desarrollado mis habilidades de ingeniería social para el punto de que, a los diecisiete años, yo era capaz de hablar la mayoría de los empleados en telecomunicaciones casi cualquier cosa, si yo estaba hablando con ellos en persona o por teléfono.