Social Engineering

Nutzung von Schwachstelle beim Nutzer und nicht beim System

• Informationsgewinnung (vs. Vertraulichkeit)

• Benutzer führt (vom Angreifer) gewünschte Aktion aus (vs. Integrität)

• Bertug oder Abzocke

• Hilfsbereitschaft

• Vertrauen

• Angst

• Respekt vor Autorität

• Mitleid

Human-based:

• Direkte Interaktion (persönlich oder telefonisch)

• Beispiele: Telefonanrufe unter falscher Identität, „Tailgating“, Pretexting

• Ziel: Manipulation durch persönliches Vertrauen

Computer-based:

• Angriff über digitale Kanäle (E-Mail, Chat, manipulierte Websites)

• Beispiele: Phishing-E-Mails, Spear-Phishing, Malvertising, Social Media Manipulation

• Ziel: Opfer zum Klicken schädlicher Links oder Herunterladen von Malware bewegen

• Angreifer inszeniert eine Hilfesituation

• Opfer kontaktiert den Angreifer, der sich als Experte ausgibt

• Ermöglicht unbemerkt Zugriff auf Systeme oder vertrauliche Informationen

• Täuschung des Opfers, indem der Angreifer als legitimer Problemlöser auftritt

• simulierter, gezielter Angriff auf Systeme/Netzwerke

• Ziel: Sicherheitslücken aufdecken/ Risiken minimieren

• Tools: zb nmap, Metasploit

• Black Box: Tester hat keine vorab informationen

• White Box: Tester kennt Systemdetails

• Grey Box: teilweise Vorabinformationen

• Clone Phishing: identische Email aber zB. Anhang durch Malware ersetzt

• Spear Phishing: exakt personalisiertes Phishing (Person, Firma)

• Whaling: gezielt gegen Führungspositionen