Jeg var så heldig og få snakke med Kevin Mitnick ved at par anledninger tilbake i 2009-2010. Vi satt vel i rundt 1 time og diskuterte social engineering. Noe Kevin i sine yngre dager var veldig god på.
Han og jeg var helt enig i det jeg skal ta opp nå. Vi må slutte å legge ut opplysninger som uvedkommende kan bruke imot oss åpenlyst på nett. Her da i jobb utlysinger.
Du som leser dette kan så klart være helt uenig med meg.
En av Norges største kommuner ser etter IT-Sikkerhetsrådgiver (jeg skjønner jo hvorfor de trenger det).
I utlysningen skriver de:
Du har kompetanse på drift fra flere av følgende områder
-
-
Microsoft sikkerhetsportefølje
-
Fortinet brannmur
-
Switching og rutingprotokoller
-
Aruba switcher og trådløse produkter
-
Citrix Netscaler
-
Se skjermdump av fra stillingsutlysningen her:
Som angriper vet jeg nå alt hvordan jeg skal angripe denne kommunen for å skade de mest mulig. Da jeg som hacker vet svakhetene til Windows sin sikkerhetsportefølje, vet de bruker Fortinet brannmur osv. De gir meg de fleste opplysningene jeg trenger for et angrep uten jeg trenger å gjøre noe Research selv. Jeg skal ikke skrive her åpenlyst hva svakhetene til Microsoft og Fortinet er, men de finnes. Og finnes de ikke kan jeg vente til at de eksempel kommer en sårbarhet. Deretter angripe.
I deres DNS txt record kan man også tydelig se flere IP adresser som går til deres lokasjon. Her gjetter jeg de bruker en Fortinet brannmur.
Nå sier ikke jeg at det er en enkel oppgave å hacke en kommune på denne størrelsen. Som Kevin sa til meg i sin tid som jeg husker veldig godt. Det å samle opplysninger og vite alt om målet ditt er halve jobben.
Eksempler på type «angrep» jeg kan utføre med opplysninger ovenfor:
-
E-poster som ser ut er ifra Fortinet med oppgraderinger osv.
-
E-poster som ser ut de er ifra Microsoft
-
E-poster fra Aruba
-
Ringe og utgi seg fra og være fra Fortinet eller Microsoft.
-
Fysisk oppmøte med noe så enkelt som en Fortinet t-skjorte og vil se server rommet. PGA feil.
Disse angrepene vil ikke lykkes håper jeg. Men hva om de lykkes? Hva da?
Ikke gi angriperen nøkkel den trenger. Til å angripe deg. Formuler deg annerledes når du ser etter folk med kompetanse.
Social engineering er fantastisk gøy og det er dette jeg lever for. Dette jeg puster og brenner for, jeg vet jeg er mer ekstrem rundt it sikkerhet enn så mange andre. Spesielt dere som har det som en 8-4 jobb. Jeg har dette som liv.
Dette er min personlige mening