ما هي الهندسة الاجتماعية ؟
الهندسة الاجتماعية (Social Engineering) هي فن أو تقنية يستخدمها المهاجمون لاستغلال النفوذ الاجتماعي والنفسي للأفراد للوصول إلى المعلومات الحساسة أو تحقيق أهداف أخرى. يتم ذلك عادةً عن طريق إقناع الضحايا بالقيام بإجراء معين (مثل تسجيل الدخول إلى حسابهم الشخصي على الإنترنت أو تحميل ملف ضار) أو الكشف عن معلومات سرية (مثل كلمات المرور أو معلومات الحساب المصرفي).
تعتمد الهندسة الاجتماعية على استخدام الأساليب النفسية والاجتماعية الحديثة لإقناع الأفراد بتنفيذ الإجراءات التي يريدها المهاجم، بما في ذلك تشجيع الضحية على الإفصاح عن معلومات سرية أو تقديم المساعدة في الوصول إلى نظام الحوسبة أو التحكم في الشبكات.
تتضمن بعض أمثلة الهندسة الاجتماعية الهجمات على الشبكات الاجتماعية والهجمات عبر البريد الإلكتروني والهجمات المتطفلة والاحتيال وغيرها. للحد من الهندسة الاجتماعية، يجب أن يكون للأفراد والشركات سياسات وإجراءات قوية للحفاظ على الأمن والخصوصية، ويجب أن يتم تدريب الأفراد على كيفية التعرف على هذه الهجمات والتصدي لها.
Social Engineering Life Cycle
الهندسة الاجتماعية هي عملية تتضمن عدة خطوات أو مراحل. يشار إلى هذه المراحل مجتمعة بدورة حياة الهندسة الاجتماعية. في حين أن الخبراء المختلفين قد يكون لديهم آراء مختلفة حول العدد الدقيق ووصف هذه المراحل ، يمكن تقسيم دورة حياة الهندسة الاجتماعية الشائعة إلى المراحل الخمس التالية:
- Reconnaissance : تتضمن هذه المرحلة قيام المهندس الاجتماعي بجمع المعلومات حول الهدف أو الأهداف. يمكن جمع هذه المعلومات من مصادر مختلفة ، مثل ملفات تعريف الوسائط الاجتماعية والسجلات العامة والمنتديات عبر الإنترنت. الهدف من هذه المرحلة هو الحصول على أكبر قدر ممكن من المعلومات حول الهدف لمساعدة المهندس الاجتماعي في التخطيط للهجوم وتنفيذه.
- Weaponization : في هذه المرحلة ، يختار المهندس الاجتماعي طريقة الهجوم وينشئ أداة الهجوم. يمكن أن يتضمن ذلك إنشاء رسائل بريد إلكتروني مزيفة أو حسابات وسائط اجتماعية أو مواقع ويب أو تطوير برامج ضارة أو رسائل بريد إلكتروني تصيدية لإرسالها إلى الهدف.
- Delivery : تتضمن مرحلة التسليم إرسال المهندس الاجتماعي أداة الهجوم إلى الهدف. يمكن القيام بذلك من خلال وسائل مختلفة ، مثل البريد الإلكتروني أو وسائل التواصل الاجتماعي أو التسليم physical لمحرك أقراص USB.
- Exploitation : في هذه المرحلة ، يستخدم المهندس الاجتماعي أداة الهجوم أو لاستغلال نقاط الضعف في نظام الهدف أو سلوكه. يمكن أن يتضمن ذلك خداع الهدف لتقديم معلومات حساسة أو تثبيت برامج ضارة على نظامهم أو الوصول إلى شبكتهم.
- Installation : المرحلة النهائية تتضمن قيام المهندس الاجتماعي بتثبيت باب خلفي backdoor أو أي شكل آخر من أشكال الوصول المستمر على نظام الهدف. يسمح هذا للمهاجم بالاستمرار في الوصول إلى النظام حتى بعد اكتشاف الهجوم ومعالجته.
من المهم ملاحظة أن دورة حياة الهندسة الاجتماعية ليست عملية خطية ، وقد يتنقل المهندس الاجتماعي عبر هذه المراحل عدة مرات أو بترتيبات مختلفة اعتمادًا على الهدف والهجوم. أيضًا ، يمكن أن تحدث هجمات الهندسة الاجتماعية خارج هذه life cycle وقد لا تتبع بالضرورة هذه المراحل.
تقنيات الهندسة الاجتماعية الشائعة
نظرًا لأن عالمنا أصبح مرتبطًا بشكل متزايد من خلال التكنولوجيا ، فنحن أيضًا أكثر عرضة للهجمات الإلكترونية. واحدة من أكثر الطرق فعالية التي يمكن للقراصنة من خلالها الوصول إلى المعلومات الحساسة هي من خلال تقنيات الهندسة الاجتماعية. تتضمن الهندسة الاجتماعية التلاعب بالناس لإفشاء معلومات سرية أو القيام بأعمال لا يفعلونها لولا ذلك.
- Phishing Scams تعد عمليات التصيد الاحتيالي إحدى تقنيات الهندسة الاجتماعية الأكثر شيوعًا التي يستخدمها المتسللون. تتضمن هذه الهجمات عادةً بريدًا إلكترونيًا أو رسالة يبدو أنها من مصدر شرعي ، مثل بنك أو online retailer عبر الإنترنت. غالبًا ما تحتوي الرسالة على رابط أو مرفق يقوم ، عند النقر فوقه ، بتنزيل برامج ضارة على جهاز الضحية أو نقلهم إلى صفحة تسجيل دخول مزيفة حيث يُطلب منهم إدخال بيانات تسجيل الدخول الخاصة بهم.
لحماية نفسك من عمليات التصيد الاحتيالي ، احذر من رسائل البريد الإلكتروني أو الرسائل التي تبدو مشبوهة أو تحتوي على أخطاء إملائية أو نحوية. قم دائمًا بالتمرير فوق الروابط للتحقق من المكان الذي تؤدي إليه قبل النقر فوقها ، ولا تقم أبدًا بإدخال معلومات حساسة في نموذج أو موقع ويب لا تثق به.
- Baiting هو أحد تقنيات الهندسة الاجتماعية التي تتضمن تقديم شيء ذي قيمة للضحية مقابل الحصول على معلومات حساسة. قد يشمل ذلك تنزيلًا مجانيًا أو عرض عمل مزيفًا يتطلب من الضحية إدخال معلوماته الشخصية.
لحماية نفسك من هجمات الاصطياد ، كن حذرًا من العروض التي تبدو جيدة جدًا لدرجة يصعب تصديقها ، ولا تدخل معلوماتك الشخصية في موقع ويب أو نموذج غير معروف.
- Pretexting هو أسلوب هندسة اجتماعية يتضمن إنشاء سيناريو خاطئة للوصول إلى المعلومات الحساسة. على سبيل المثال ، قد يتصل المتسلل بشركة متظاهرة بأنها أحد فنيي دعم تكنولوجيا المعلومات ويطلب بيانات تسجيل الدخول لحل مشكلة ما.
لحماية نفسك من الهجمات ، كن حذرًا من الطلبات غير المرغوب فيها للحصول على معلومات حساسة وتحقق دائمًا من هوية الشخص أو الشركة التي تطلب المعلومات.
- Tailgating هي تقنية هندسة اجتماعية تتضمن متابعة شخص ما في منطقة محظورة دون إذن. قد يتضمن ذلك التظاهر بأنك موظف أو موظف توصيل للوصول فعليًا إلى مبنى أو منطقة آمنة.
لحماية نفسك من هذه الهجمات ، كن دائمًا على دراية بمحيطك وتحقق من هوية أي شخص يحاول الدخول إلى منطقة محظورة.
- Scareware هو أسلوب هندسة اجتماعية يتضمن عرض تحذيرات زائفة أو رسائل خطأ لإخافة الضحية لتثبيت برامج ضارة أو شراء برامج مكافحة فيروسات مزيفة.
لحماية نفسك من هذه الهجمات ، كن حذرًا من الرسائل المنبثقة أو التحذيرات التي تظهر على جهاز الكمبيوتر أو الجهاز المحمول. استخدم دائمًا برنامج مكافحة فيروسات حسن السمعة وابقه محدثًا.