التبرير

الموسوعة الحرة

التذرع هو نوع من هجمات الهندسة الاجتماعية التي تنطوي على موقف أو ذريعة ينشئها المهاجم من أجل إغراء الضحية في موقف ضعيف وخداعه لإعطاء معلومات خاصة، وتحديدًا المعلومات التي لن يقدمها الضحية عادةً خارج سياق الذريعة. [1] في تاريخها، وُصف التذرع بأنه المرحلة الأولى من الهندسة الاجتماعية، وقد استخدمه مكتب التحقيقات الفيدرالي للمساعدة في التحقيقات. [2] ومن الأمثلة المحددة للتذرع الهندسة الاجتماعية العكسية، حيث يخدع المهاجم الضحية ليتصل بالمهاجم أولاً.

أحد أسباب انتشار التذرع بين هجمات الهندسة الاجتماعية هو اعتماده على التلاعب بالعقل البشري من أجل الوصول إلى المعلومات التي يريدها المهاجم، بدلاً من التلاعب بنظام تكنولوجي. عند البحث عن الضحايا، يمكن للمهاجمين الانتباه إلى مجموعة متنوعة من الخصائص، مثل القدرة على الثقة، وانخفاض إدراك التهديد، والاستجابة للسلطة، والقابلية للرد بالخوف أو الإثارة في مواقف مختلفة. [3] [4] على مر التاريخ، زادت هجمات التذرع في التعقيد، حيث تطورت من التلاعب بالمشغلين عبر الهاتف في القرن العشرين إلى فضيحة هيوليت باكارد في العقد الأول من القرن الحادي والعشرين ، والتي تضمنت استخدام أرقام الضمان الاجتماعي والهواتف والبنوك . [5] تُستخدم أطر التعليم الحالية حول الهندسة الاجتماعية في المنظمات، على الرغم من أن الباحثين في الأوساط الأكاديمية اقترحوا تحسينات محتملة لتلك الأطر. [6]

خلفية

الهندسة الاجتماعية

الهندسة الاجتماعية هي تكتيك للتلاعب النفسي يؤدي إلى استجابة غير راغبة أو غير واعية من الهدف / الضحية. [7] إنها واحدة من أكبر تهديدات أمن المعلومات في العالم الحديث، والتي تؤثر على المنظمات وإدارة الأعمال والصناعات. [7] تعتبر هجمات الهندسة الاجتماعية صعبة المنع بسبب جذورها في التلاعب النفسي. [8] يمكن أن تصل هذه الهجمات أيضًا إلى نطاق أوسع. في هجمات أمنية أخرى، قد يتم اختراق الشركة التي تحتفظ ببيانات العملاء. مع هجمات الهندسة الاجتماعية، تكون كل من الشركة (وخاصة العاملين داخل الشركة) والعميل بشكل مباشر عرضة للاستهداف. [8]

قد يكون أحد الأمثلة على ذلك هو القطاع المصرفي، حيث لا يمكن مهاجمة موظفي البنوك فحسب، بل والعملاء أيضًا. يستهدف مرتكبو الهندسة الاجتماعية العملاء أو الموظفين بشكل مباشر للالتفاف على محاولة اختراق نظام تكنولوجي بحت واستغلال نقاط الضعف البشرية. [8]

على الرغم من أن تعريفه فيما يتعلق بالأمن السيبراني قد تم تحريفه عبر الأدبيات المختلفة، فإن الموضوع المشترك هو أن الهندسة الاجتماعية (في الأمن السيبراني) تستغل نقاط الضعف البشرية من أجل اختراق كيانات مثل أجهزة الكمبيوتر وتكنولوجيا المعلومات. [2]

لا يوجد الكثير من الأدبيات والأبحاث حول الهندسة الاجتماعية حاليًا. ومع ذلك، فإن الجزء الرئيسي من المنهجية عند البحث في الهندسة الاجتماعية هو إعداد ذريعة مختلقة. عند تقييم هجمات الهندسة الاجتماعية الأكثر خطورة أو ضررًا (على سبيل المثال، التصيد الاحتيالي ، والتصيد الصوتي ، والتسلل إلى حفرة المياه )، فإن نوع الذريعة هو عامل غير مهم إلى حد كبير، نظرًا لأن بعض الهجمات يمكن أن يكون لها ذرائع متعددة. وبالتالي، فإن الذريعة نفسها تُستخدم على نطاق واسع، ليس فقط كهجوم في حد ذاته، ولكن كمكون من هجمات أخرى. [9]

التبرير في التسلسل الزمني للهندسة الاجتماعية

في مجال الأمن السيبراني، يمكن اعتبار التستر أحد المراحل الأولى لتطور الهندسة الاجتماعية. على سبيل المثال، في حين تعتمد هجمات الهندسة الاجتماعية المعروفة باسم التصيد الاحتيالي على عناصر حديثة مثل بطاقات الائتمان وتحدث بشكل أساسي في الفضاء الإلكتروني، فإن التستر كان ولا يزال من الممكن تنفيذه بدون تكنولوجيا. [10]

كان التذرع أحد الأمثلة الأولى للهندسة الاجتماعية. صاغ مكتب التحقيقات الفيدرالي مفهوم التذرع في عام 1974، وكان يستخدم غالبًا للمساعدة في تحقيقاتهم. في هذه المرحلة، كان التذرع يتألف من اتصال المهاجم بالضحية لطلب معلومات فقط. [2] تتكون هجمات التذرع عادةً من تكتيكات الإقناع. بعد هذه المرحلة الأولى من تطور الهندسة الاجتماعية (1974-1983)، تغير التذرع ليس فقط من تكتيكات الإقناع، بل وتكتيكات الخداع أيضًا. مع تطور التكنولوجيا، تطورت أساليب التذرع جنبًا إلى جنب معها. وسرعان ما أصبح لدى المتسللين إمكانية الوصول إلى جمهور أوسع من الضحايا بسبب اختراع وسائل التواصل الاجتماعي. [2]

الهندسة الاجتماعية العكسية

الهندسة الاجتماعية العكسية هي مثال أكثر تحديدًا للذريعة. [11] إنها شكل غير إلكتروني من أشكال الهندسة الاجتماعية حيث يقوم المهاجم بإنشاء ذريعة يتم من خلالها التلاعب بالمستخدم حتى يتصل بالمهاجم أولاً، وليس العكس.

عادةً ما تتضمن هجمات الهندسة العكسية قيام المهاجم بالإعلان عن خدماته كنوع من المساعدة الفنية، مما يؤدي إلى ترسيخ المصداقية. ثم يتم خداع الضحية للاتصال بالمهاجم بعد رؤية الإعلانات، دون أن يتصل المهاجم بالضحية بشكل مباشر في المقام الأول. بمجرد أن ينجز المهاجم هجومًا هندسيًا اجتماعيًا عكسيًا بنجاح، يمكن إنشاء مجموعة واسعة من هجمات الهندسة الاجتماعية بسبب الثقة المزيفة بين المهاجم والضحية (على سبيل المثال، يمكن للمهاجم أن يقدم للضحية رابطًا ضارًا ويقول إنه حل لمشكلة الضحية. وبسبب الارتباط بين المهاجم والضحية، يميل الضحية إلى تصديق المهاجم والنقر فوق الرابط الضار). [12]

الجانب الاجتماعي

كان ولا يزال يُنظر إلى التذرع باعتباره تكتيكًا مفيدًا في هجمات الهندسة الاجتماعية. ووفقًا للباحثين، فإن هذا يرجع إلى عدم اعتمادهم على التكنولوجيا (مثل اختراق أنظمة الكمبيوتر أو اختراق التكنولوجيا ). يمكن أن يحدث التذرع عبر الإنترنت، ولكنه يعتمد بشكل أكبر على المستخدم وجوانب شخصيته التي يمكن للمهاجم الاستفادة منها لصالحه. [13] يصعب تتبع الهجمات التي تعتمد بشكل أكبر على المستخدم والتحكم فيها، حيث يستجيب كل شخص لهجمات الهندسة الاجتماعية والتذرع بشكل مختلف. ومع ذلك، قد يتطلب الهجوم المباشر على جهاز كمبيوتر جهدًا أقل لحله، نظرًا لأن أجهزة الكمبيوتر تعمل بطرق متشابهة نسبيًا. [13] هناك خصائص معينة للمستخدمين يحددها المهاجمون ويستهدفونها. في الأوساط الأكاديمية، بعض الخصائص المشتركة [14] هي:

مُثمّن

إذا كان الضحية "مُثمَّنًا"، فهذا يعني أن لديه نوعًا من المعلومات التي يرغب المهندس الاجتماعي في الحصول عليها. [3]

القدرة على الثقة

إن الثقة ترتبط بالقدرة على الإعجاب، فكلما زاد إعجاب الناس بشخص ما، زادت الثقة به. [14] وعلى نحو مماثل، عندما تنشأ الثقة بين المهندس الاجتماعي (المهاجم) والضحية، تنشأ المصداقية أيضًا. وبالتالي، يصبح من الأسهل على الضحية إفشاء معلومات شخصية للمهاجم إذا كان الضحية قادرًا على الثقة بسهولة أكبر. [4]

القابلية للتفاعل

مدى سهولة رد فعل الشخص تجاه الأحداث وإلى أي مدى يمكن استخدام ذلك لصالح المهندس الاجتماعي. وبشكل خاص، تُستخدم المشاعر مثل الإثارة والخوف غالبًا لإقناع الأشخاص بالكشف عن المعلومات. على سبيل المثال، يمكن إنشاء ذريعة حيث يسخر المهندس الاجتماعي من الضحية بجائزة مثيرة إذا وافق على إعطاء المهندس الاجتماعي معلوماته المصرفية. يمكن استخدام الشعور بالإثارة لإغراء الضحية بالحجة وإقناعه بإعطاء المهاجم المعلومات التي يبحث عنها. [14]

انخفاض إدراك التهديد

على الرغم من فهم وجود تهديدات عند القيام بأي شيء عبر الإنترنت، فإن معظم الأشخاص يقومون بأفعال تتعارض مع ذلك، مثل النقر فوق روابط عشوائية أو قبول طلبات صداقة غير معروفة. [14] ويرجع هذا إلى إدراك الشخص لهذا الفعل على أنه يمثل تهديدًا منخفضًا أو عواقب سلبية. هذا الافتقار إلى الخوف/التهديد، على الرغم من الوعي بوجوده، هو سبب آخر لانتشار هجمات الهندسة الاجتماعية، وخاصة التذرع. [15]

الرد على السلطة

إذا كان الضحية خاضعًا ومطيعًا، فمن المرجح أن ينجح المهاجم في الهجوم إذا تم وضع ذريعة حيث يعتقد الضحية أن المهاجم يتظاهر بأنه نوع من الشخصية ذات السلطة. [14]

أمثلة

التبرير المبكر (1970-1980)

في مقالة أكتوبر 1984 بعنوان مراكز التبديل والمشغلون، تم تفصيل هجوم ذريعة شائع في ذلك الوقت. كان المهاجمون غالبًا ما يتصلون بالمشغلين الذين يعملون خصيصًا للأشخاص الصم باستخدام آلات الكتابة عن بعد. كان المنطق هو أن هؤلاء المشغلين كانوا غالبًا أكثر صبرًا من المشغلين العاديين، لذلك كان من الأسهل التلاعب بهم وإقناعهم بالمعلومات التي يريدها المهاجم. [2]

أمثلة حديثة

ومن الأمثلة البارزة على ذلك فضيحة هيوليت باكارد . أرادت شركة هيوليت باكارد معرفة من كان يسرب المعلومات إلى الصحفيين. وللقيام بذلك، زودت محققين خاصين بمعلومات شخصية عن الموظفين (مثل أرقام الضمان الاجتماعي)، وقام المحققون الخاصون بدورهم بالاتصال بشركات الهاتف منتحلين هويات هؤلاء الموظفين على أمل الحصول على سجلات المكالمات. وعندما تم اكتشاف الفضيحة، استقال الرئيس التنفيذي. [16]

بشكل عام، تعد الروبوتات الاجتماعية عبارة عن ملفات تعريف وهمية يتم تشغيلها آليًا على وسائل التواصل الاجتماعي يستخدمها مهاجمو الهندسة الاجتماعية. على مواقع التواصل الاجتماعي مثل Facebook، يمكن استخدام الروبوتات الاجتماعية لإرسال طلبات صداقة جماعية من أجل العثور على أكبر عدد ممكن من الضحايا المحتملين. [5] باستخدام تقنيات الهندسة الاجتماعية العكسية، يمكن للمهاجمين استخدام الروبوتات الاجتماعية للحصول على كميات هائلة من المعلومات الخاصة عن العديد من مستخدمي وسائل التواصل الاجتماعي. [17] في عام 2018، انتحل محتال شخصية رجل الأعمال إيلون ماسك على تويتر ، وقام بتغيير اسمه وصورة ملفه الشخصي. ثم شرعوا في بدء عملية احتيال خادعة، ووعدوا بمضاعفة العملة المشفرة التي يرسلها المستخدمون. بعد ذلك، احتفظ المحتال بالأموال المرسلة إليهم. تعمل هذه الحادثة كمثال لكيفية استخدام التذرع كتكتيك في هجوم الهندسة الاجتماعية. [18]

الأطر التعليمية الحالية

تقع أطر التعليم الحالية حول موضوع الهندسة الاجتماعية بين فئتين: التوعية والتدريب. التوعية هي عندما يتم تقديم المعلومات حول الهندسة الاجتماعية إلى الطرف المقصود لإعلامه بالموضوع. التدريب هو تعليم المهارات الضرورية التي سيتعلمها الأشخاص ويستخدمونها في حالة تعرضهم لهجوم هندسة اجتماعية أو مواجهتهم له. [6] يمكن دمج التوعية والتدريب في عملية مكثفة واحدة عند إنشاء أطر التعليم.

في حين تم إجراء بحث حول نجاح وضرورة برامج التدريب في سياق تعليم الأمن السيبراني، [19] يمكن أن تضيع ما يصل إلى 70٪ من المعلومات عندما يتعلق الأمر بتدريب الهندسة الاجتماعية. [20] وجدت دراسة بحثية حول تعليم الهندسة الاجتماعية في البنوك في جميع أنحاء منطقة آسيا والمحيط الهادئ ، أن معظم الأطر لم تتطرق إلا إلى الوعي أو التدريب. أيضًا، كان النوع الوحيد من هجمات الهندسة الاجتماعية التي تم تدريسها هو التصيد الاحتيالي. من خلال النظر إلى سياسات الأمان على مواقع الويب الخاصة بهذه البنوك ومقارنتها، تحتوي السياسات على لغة عامة مثل "البرامج الضارة" و "الاحتيال"، بينما تفتقد أيضًا التفاصيل وراء الأنواع المختلفة من هجمات الهندسة الاجتماعية وأمثلة لكل نوع من هذه الأنواع. [6]

لا يفيد هذا التعميم المستخدمين الذين يتلقون تعليمهم من خلال هذه الأطر، حيث يوجد عمق كبير مفقود عندما يتم تعليم المستخدم فقط على مصطلحات عامة مثل الأمثلة المذكورة أعلاه. كذلك، فإن الأساليب التقنية البحتة لمكافحة هجمات الهندسة الاجتماعية والذريعة، مثل جدران الحماية ومكافحة الفيروسات ، غير فعالة. وذلك لأن هجمات الهندسة الاجتماعية تنطوي عادةً على استغلال السمة الاجتماعية للطبيعة البشرية، وبالتالي فإن مكافحة التكنولوجيا البحتة غير فعالة. [21]

انظر أيضا

مراجع

  1. ^ Greitzer, FL; Strozer, JR; Cohen, S.; Moore, AP; Mundie, D.; Cowley, J. (مايو 2014). "تحليل التهديدات الداخلية غير المقصودة الناتجة عن استغلالات الهندسة الاجتماعية". ورش عمل الأمن والخصوصية IEEE 2014. ص 236-250. doi :10.1109/SPW.2014.39. ISBN 978-1-4799-5103-1. S2CID  15493684.
  2. ^ abcde Wang, Zuoguang; Sun, Limin; Zhu, Hongsong (2020). "تعريف الهندسة الاجتماعية في الأمن السيبراني". IEEE Access . 8 : 85094–85115. doi : 10.1109/ACCESS.2020.2992807 . ISSN  2169-3536. S2CID  218676466.
  3. ^ ab Steinmetz, Kevin F. (2020-09-07). "تحديد ضحية نموذجية للهندسة الاجتماعية: تحليل نوعي". الضحايا والجناة . 16 (4): 540-564. doi :10.1080/15564886.2020.1818658. ISSN  1556-4886. S2CID  225195664.
  4. ^ عبد الجارني، عبد الله (يونيو 2019). "ما هي خصائص الرسائل التي تجعل الهندسة الاجتماعية ناجحة على فيسبوك: دور المسار المركزي والمسار المحيطي والمخاطر المتصورة". معلومات . 10 (6): 211. doi : 10.3390/info10060211 .
  5. ^ ab Paradise, Abigail; Shabtai, Asaf; Puzis, Rami (2019-09-01). "اكتشاف الروبوتات الاجتماعية المستهدفة للمنظمة من خلال مراقبة ملفات تعريف الشبكات الاجتماعية". Networks and Spatial Economics . 19 (3): 731–761. doi :10.1007/s11067-018-9406-1. ISSN  1572-9427. S2CID  158163902.
  6. ^ abc Ivaturi, Koteswara; Janczewski, Lech (2013-10-01). "Social Engineering Preparedness of Online Banks: An Asia-Pacific Perspective". مجلة إدارة تكنولوجيا المعلومات العالمية . 16 (4): 21–46. doi :10.1080/1097198X.2013.10845647. ISSN  1097-198X. S2CID  154032226.
  7. ^ عبد الغفير، إبراهيم؛ سليم، جبران؛ حمودة، محمد؛ فاعور، حنان؛ برينوسيل، فاتسلاف؛ جاف، سردار؛ جبار، سهيل؛ بيكر، ثار (أكتوبر 2018). "التهديدات الأمنية للبنية التحتية الحرجة: العامل البشري". مجلة الحوسبة الفائقة . 74 (10): 4986-5002. doi : 10.1007/s11227-018-2337-2 . hdl : 10454/17618 . ISSN  0920-8542. S2CID  4336550.
  8. ^ abc Airehrour, David; Nair, Nisha Vasudevan; Madanian, Samaneh (2018-05-03). "هجمات الهندسة الاجتماعية والتدابير المضادة في النظام المصرفي النيوزيلندي: تطوير نموذج تخفيف يعكس المستخدم". معلومات . 9 (5): 110. doi : 10.3390/info9050110 . hdl : 10652/4378 . ISSN  2078-2489.
  9. ^ بليمان، راشيل (2020). دراسة في الهندسة الاجتماعية: قابلية الكشف عن معلومات أمنية خاصة لدى طلاب الجامعات (أطروحة). doi :10.34944/dspace/365.
  10. ^ تشين، تومي؛ شيونغ، كاي تشي؛ هو، تشنغبين (2018). "Phishlimiter: نهج الكشف عن التصيد والتخفيف منه باستخدام الشبكات المحددة بالبرمجيات". IEEE Access . 6 : 42516–42531. doi : 10.1109/ACCESS.2018.2837889 . ISSN  2169-3536. S2CID  52048062.
  11. ^ Greitzer, Frank L.; Strozer, Jeremy R.; Cohen, Sholom; Moore, Andrew P.; Mundie, David; Cowley, Jennifer (May 2014). "Analysis of Unintentional Insider Threats Deriving from Social Engineering Exploits". 2014 IEEE Security and Privacy Workshops . San Jose, CA: IEEE. pp. 236–250. doi :10.1109/SPW.2014.39. ISBN 978-1-4799-5103-1. S2CID  15493684.
  12. ^ Irani, Danesh; Balduzzi, Marco; Balzarotti, Davide; Kirda, Engin; Pu, Calton (2011). Holz, Thorsten; Bos, Herbert (eds.). "Reverse Social Engineering Attacks in Online Social Networks". Detection of Intrusions and Malware, and Vulnerability Assessment . Lecture Notes in Computer Science. 6739. Berlin, Heidelberg: Springer: 55–74. doi :10.1007/978-3-642-22424-9_4. ISBN 978-3-642-22424-9.
  13. ^ ab Heartfield, Ryan; Loukas, George (2018), Conti, Mauro; Somani, Gaurav; Poovendran, Radha (eds.), "Protection Against Semantic Social Engineering Attacks", Versatile Cybersecurity , vol. 72, Cham: Springer International Publishing, pp. 99–140, doi :10.1007/978-3-319-97643-3_4, ISBN 978-3-319-97642-6تم الاسترجاع بتاريخ 2020-10-29
  14. ^ abcde Workman, Michael (2007-12-13). "الحصول على الوصول باستخدام الهندسة الاجتماعية: دراسة تجريبية للتهديد". أمن أنظمة المعلومات . 16 (6): 315-331. doi : 10.1080/10658980701788165 . ISSN  1065-898X. S2CID  205732672.
  15. ^ كرومبولز، كاثرينا؛ ميركل، ديتر؛ ويبل، إدغار (ديسمبر 2012). "الهويات المزيفة في وسائل التواصل الاجتماعي: دراسة حالة حول استدامة نموذج أعمال فيسبوك". مجلة أبحاث علوم الخدمة . 4 (2): 175-212. doi :10.1007/s12927-012-0008-z. ISSN  2093-0720. S2CID  6082130.
  16. ^ Workman, Michael (2008). "Wisecrackers: A theory-based investigation of phishing and pretext social engineering threats to information security". مجلة الجمعية الأمريكية لعلوم وتكنولوجيا المعلومات . 59 (4): 662–674. doi :10.1002/asi.20779. ISSN  1532-2882.
  17. ^ Boshmaf, Yazan; Muslukhov, Ildar; Beznosov, Konstantin; Ripeanu, Matei (2013-02-04). "تصميم وتحليل شبكة اجتماعية للروبوتات". شبكات الكمبيوتر . نشاط شبكة الروبوتات: التحليل والكشف والإغلاق. 57 (2): 556-578. doi :10.1016/j.comnet.2012.06.006. ISSN  1389-1286.
  18. ^ بوسال، تشاندرا سيخار (2020). "مراجعة منهجية للهندسة الاجتماعية: الاختراق عن طريق التلاعب بالبشر". مجلة SSRN الإلكترونية . doi :10.2139/ssrn.3720955. ISSN  1556-5068.
  19. ^ McCrohan, Kevin F.; Engel, Kathryn; Harvey, James W. (2010-06-14). "تأثير الوعي والتدريب على الأمن السيبراني". مجلة التجارة عبر الإنترنت . 9 (1): 23–41. doi :10.1080/15332861.2010.487415. ISSN  1533-2861. S2CID  154281581.
  20. ^ غفير، إبراهيم؛ سليم، جبران؛ حمودة، محمد؛ فاعور، حنان؛ برينوسيل، فاتسلاف؛ جاف، سردار؛ جبار، سهيل؛ بيكر، ثار (2018-10-01). "التهديدات الأمنية للبنية التحتية الحرجة: العامل البشري". مجلة الحوسبة الفائقة . 74 (10): 4986-5002. doi : 10.1007/s11227-018-2337-2 . hdl : 10454/17618 . ISSN  1573-0484. S2CID  4336550.
  21. ^ هارتفيلد، رايان؛ لوكاس، جورج؛ جان، ديان (2016). "أنت لست على الأرجح الحلقة الأضعف: نحو التنبؤ العملي بالتعرض لهجمات الهندسة الاجتماعية الدلالية". IEEE Access . 4 : 6910–6928. doi : 10.1109/ACCESS.2016.2616285 . ISSN  2169-3536. S2CID  29598707.
تم الاسترجاع من "https://en.wikipedia.org/w/index.php?title=التضليل&oldid=1235126782"
Original text
Rate this translation
Your feedback will be used to help improve Google Translate