Понедельник, 3 августа 2015 г.
Сегодня в рамках нашей кампании #NoHacked мы поговорим о социальной инженерии. Присоединяйтесь к обсуждениям в Twitter и
Google+
используя хэштег #nohacked. (Часть 1)
Если вы провели некоторое время в сети, вы, скорее всего, сталкивались с какой-либо формой
социальной инженерии. Социальная инженерия пытается выверить у вас конфиденциальную информацию путем манипуляций или обмана.
Фишинг
Вы, возможно, знакомы с фишингом, одной из наиболее распространенных форм социальной инженерии. Фишинговые сайты и электронные письма имитируют легитимные сайты и обманом заставляют вас вводить на них конфиденциальную информацию, такую как имя пользователя и пароль. А
недавнее исследование Google
показало, что некоторые фишинговые сайты могут обманывать жертв в 45% случаев! Как только фишинговый сайт получает вашу информацию, она либо продается, либо используется для манипулирования вашими учетными записями.
Другие формы социальной инженерии
Как владелец сайта, фишинг — не единственная форма социальной инженерии, за которой вам нужно следить. Еще одна форма социальной инженерии связана с программным обеспечением и инструментами, используемыми на вашем сайте. Если вы загружаете или используете какие-либо
Система управления контентом
(CMS), плагины или дополнения, убедитесь, что они поступают из надежных источников, например напрямую с сайта разработчика. ПО с ненадежных сайтов может содержать вредоносные эксплойты, которые позволяют хакерам получить доступ к вашему сайту.
Например, веб-мастер Ванда была недавно нанята компанией Brandon’s Pet Palace для помощи в создании сайта. Сделав несколько эскизов, Ванда начинает собирать программное обеспечение, необходимое ей для создания сайта. Однако она обнаруживает, что Photo Frame Beautifier, один из ее любимых плагинов, был удален с официального сайта плагинов CMS, и разработчик решил прекратить поддержку плагина. Она делает быстрый поиск и находит сайт, предлагающий архив старых плагинов. Она скачивает плагин и использует его для завершения сайта. Два месяца спустя уведомление в Search Console сообщает Ванде, что сайт ее клиента был взломан. Она спешно исправляет взломанный контент и находит источник взлома. Оказывается, плагин Photo Frame Beautifier был изменен третьей стороной, чтобы позволить злоумышленникам получить доступ к сайту. Она удалила плагин, исправила взломанный контент, защитила свой сайт от будущих атак и подала запрос на пересмотр в Search Console. Как видите, непреднамеренный недосмотр Ванды привел к взлому сайта ее клиента.
Защита от атак социальной инженерии
Социальная инженерия эффективна, потому что неочевидно, что в ваших действиях что-то не так. Тем не менее, есть несколько базовых вещей, которые вы можете сделать, чтобы защитить себя от социальной инженерии.
- Будьте бдительны: Всякий раз, когда вы вводите конфиденциальную информацию в Интернете или устанавливаете программное обеспечение для веб-сайта, проявляйте здоровую долю скептицизма. Проверяйте URL-адреса, чтобы убедиться, что вы не вводите конфиденциальную информацию на вредоносные сайты. При установке ПО для веб-сайтов убедитесь, что оно поступает из известных, надежных источников, таких как сайт разработчика.
- Используйте двухфакторную аутентификацию: Двухфакторная аутентификация, такая как от Google
Двухэтапная аутентификация добавляет еще один уровень безопасности, который помогает защитить вашу учетную запись, даже если ваш пароль был украден. Вам следует использовать двухфакторную аутентификацию на всех возможных учетных записях. На следующей неделе мы более подробно поговорим о преимуществах двухфакторной аутентификации.
Дополнительные ресурсы по социальной инженерии:
- Узнайте больше о том,
как защитить себя от фишинговых атак - Сообщить о фишинговой странице
- Избегайте мошенничества в Google и сообщайте о нем
- Определяйте «фишинговые» и «спуфинговые» письма
Если у вас есть дополнительные вопросы, вы можете опубликовать их в
Справочные форумы для веб-мастеров
, где сообщество веб-мастеров может помочь ответить на ваши вопросы. Вы также можете присоединиться к нашему
Hangout on Air о безопасности
26 августа.
Как мы это применяем
Google announcements age. We keep this post here for the record, and we note for clients whether the behaviour it describes still applies today or has since been superseded.
Связанные услуги