Відбиток — це процес збору інформації про комп’ютерні системи та об’єкти для виявлення вразливостей і створення мережевих карт.
406 
Соціальна інженерія – це техніка, яка використовується для маніпулювання особами, щоб вони розголошували конфіденційну інформацію, виконували дії або надавали доступ до зон чи систем із обмеженим доступом. Ця техніка використовує людську поведінку, психологію та довіру, щоб змусити жертв повірити, що вони спілкуються з законним джерелом. Поширені атаки соціальної інженерії включають фішинг, перетекстування, цькування та переслідування. Ці атаки можуть здійснюватися особисто, по телефону, електронною поштою чи іншими каналами зв’язку. Соціальна інженерія є значною загрозою для окремих осіб і організацій, тому навчання з питань безпеки має вирішальне значення для запобігання таким типам атак. Соціальна інженерія це мистецтво маніпулювання людьми з метою отримання несанкціонованого доступу до інформації чи систем або виконання дій, які можуть не відповідати їхнім інтересам. Його часто використовують під час кібератак, щоб обманом змусити людей розкрити конфіденційну інформацію, натиснути зловмисне посилання чи відкрити файл.
Соціальна інженерія може приймати різні форми, включаючи фішинг, претекстинг, цькування та quid pro quo. Це поширена тактика, яку використовують зловмисники, щоб обійти засоби технічного контролю та отримати доступ до систем або даних. Для захисту від соціальної інженерії важливо ознайомитись з ризиками та тактиками, які використовуються в цих атаках, і впровадити заходи безпеки, такі як надійні паролі та багатофакторна автентифікація. Вішинг – це фішинг під час телефонних дзвінків. Оскільки для цього типу фішингу використовується голос, він називається вішинг → голос + фішинг = вішинг. Враховуючи легкість і величезність даних, доступних у соціальних мережах, не дивно, що фішери впевнено спілкуються під час дзвінка від імені друзів, родичів або будь-якого пов’язаного бренду, не викликаючи жодних підозр.
SMiShing (SMS-фішинг) — це форма соціальної інженерної атаки, яка використовує текстові повідомлення (SMS), щоб оманою змусити людей натиснути зловмисне посилання або надати конфіденційну інформацію. Метою атак SMiShing є отримання особистої інформації, такої як паролі чи номери кредитних карток, або встановлення шкідливого програмного забезпечення на пристрої жертви. Атаки SMiShing часто видаються з законного джерела, наприклад банку чи іншої надійної організації, і їх важко виявити. Важливо бути обережним, отримуючи небажані текстові повідомлення та уникати натискання посилань або надання конфіденційної інформації без перевірки автентичності відправника.
Фішинг у пошуковій системі означає практику зловмисників, які використовують тактику пошукової оптимізації (SEO), щоб заманити користувачів на шахрайські веб-сайти, які імітують законні сайти, такі як онлайн-банкінг або сайти електронної комерції. Фішингові сайти намагаються обманом змусити користувачів надати особисту або конфіденційну інформацію, яку потім можуть використовувати зловмисники для шахрайських цілей. Користувачі можуть спрямовуватися на ці сайти через зловмисні посилання або платні результати пошуку, якими маніпулювали зловмисники. Фішинг у пошукових системах важко виявити, що робить його значною загрозою безпеці в Інтернеті.
Китобійний промисел не дуже відрізняється від фішингу, але цільова група стає більш конкретною та обмеженою в цьому типі фішингової атаки. Ця техніка призначена на посади керівників, як-от генерального директора, фінансового директора, головного операційного директора або будь-якого іншого посади вищого керівництва, які вважаються великими гравцями в інформаційному ланцюжку будь-якої організації, широко відомих як «кити» в термінах фішингу. Технології, банківська справа та охорона здоров’я є найбільшими цільовими секторами для фішингових атак. Це пов’язано з двома основними факторами: величезною кількістю користувачів і більшою залежністю від даних.
Набір інструментів соціальної інженерії (SET) — це інструмент із відкритим кодом на основі Python, призначений для пентестування. SET спеціально розроблено для виконання складних атак на людей, використовуючи їх поведінку. Атаки, вбудовані в інструментарій, розроблені як цілеспрямовані та цілеспрямовані атаки на особу чи організацію, які використовуються під час тесту на проникнення.
Клонуйте веб-сайт. Отримати ім’я користувача та пароль. Створення звітів для проведеного пентестування.
Віртуальна машина Kali Linux. Будь-яка віртуальна машина Windows.
Увійдіть у Kali Linux; Пам’ятайте, що кожна версія Kali постачається з попередньо встановленим SET, щоб запустити (на Kali 2019.4) перейдіть у меню Kali > 13 – Інструменти соціальної інженерії > SET (Набір інструментів соціальної інженерії). Прийміть Умови надання послуг, ввівши y.
1) У головному меню SET виберіть перший параметр Social-Engineering Attacks, ввівши номер:
2) Далі виберіть Вектори атак на веб-сайт :
Вектор веб-атаки — це унікальний спосіб використання кількох веб-атак для скомпрометації наміченої цілі.
3) У наступному меню виберіть Credential Harvester Attack Method .
Метод Credential Harvester буде використовувати веб-клонування веб-сайту, який має вхід для входу, і збиратиме всю інформацію, розміщену на веб-сайті.
4) Далі виберіть Site Cloner :
Клонувальник сайтів використовується для клонування веб-сайту за вашим вибором. Далі введіть IP-адресу Kali Linux і URL-адресу, яку потрібно клонувати, у цьому прикладі ми використаємо facebook.com, як показано нижче:
Тепер ви повинні надіслати IP-адресу свого комп’ютера Kali об’єкту та змусити його клацнути. Для цієї демонстрації ми будемо використовувати Gmail. Запустіть веб-браузер на Kali та увійдіть до облікового запису Gmail, щоб створити електронний лист.
Щоб створити правильне посилання, клацніть Редагувати посилання та спочатку введіть фактичну адресу в полі Посилання на, а потім введіть фальшиву URL-адресу в полі Текст для відображення.
Ви можете перевірити фальшиву URL-адресу, клацнувши один раз, відобразиться справжня URL-адреса.
Увійдіть у Windows як жертва, запустіть веб-браузер і ввійдіть у свою електронну пошту (обліковий запис, з якого ви надіслали фішинговий лист).
Коли жертва натискає URL-адресу, вона отримує копію facebook.com. Жертві буде запропоновано ввести свій логін і пароль у поля форми. Після того, як жертва введе логін та паролі та натисне «Увійти», вона не дозволяє ввійти; замість цього він переспрямовує на законну сторінку входу у Facebook.
SET на Kali Linux отримує введене ім’я користувача та пароль , які можуть бути використані зловмисником для отримання несанкціонованого доступу до облікового запису жертви.
Netcraft — це компанія, що надає послуги безпеки в Інтернеті, яка надає послуги з боротьби з шахрайством і фішингом, тестування додатків і автоматизоване тестування на проникнення. Компанія також пропонує безкоштовний веб-інструмент, який дозволяє користувачам перевіряти розташування хостингу, записи DNS та інші деталі веб-сайту. Послуги Netcraft допомагають окремим особам, підприємствам і організаціям захистити свою присутність в Інтернеті від потенційних загроз і вразливостей. вважають шкідливими.
PhishTank — це безкоштовний веб-сайт спільноти, який дозволяє користувачам надсилати, відстежувати та ділитися фішинговими URL-адресами. Він керується OpenDNS, дочірньою компанією Cisco Systems, і є одним із найбільших сховищ фішингових даних у світі. Користувачі можуть надсилати підозрілі URL-адреси до PhishTank, а потім команда волонтерів перевіряє їх, щоб визначити, чи справді вони є фішинговими сайтами. Зібрані дані використовуються різними організаціями для покращення захисту від фішингу, включаючи веб-браузери, програмне забезпечення безпеки та фінансові установи.
Wifiphisher — це інструмент безпеки, який здійснює автоматичні фішингові атаки на мережі Wi-Fi з метою отримання облікових даних або зараження жертв «шкідливим програмним забезпеченням». Це атака соціальної інженерії, яку можна використовувати для отримання секретних парольних фраз WPA/WPA2, і, на відміну від інших методів, вона не потребує грубого підбору. Після досягнення позиції «людина посередині» за допомогою атаки Evil Twin Wifiphisher перенаправляє всі HTTP-запити на контрольовану зловмисником фішингову сторінку.
SPF (SpeedPhish Framework) — це набір інструментів для фішингу з відкритим кодом, призначений для спрощення процесу створення та розгортання фішингових кампаній. Фреймворк містить попередньо створені шаблони, налаштування вмісту електронної пошти та функції планування електронної пошти для створення реалістичних фішингових електронних листів. SPF також підтримує мультифішингові кампанії, дозволяючи фахівцям із безпеки контролювати й відстежувати показники успішності своїх фішингових кампаній. Фреймворк можна використовувати в освітніх і просвітницьких цілях, а також для команди червоних і тестування на проникнення.
406 
436 
319 
399 
324 
363 
393