Auch auf der nicht-technischen Seite gibt es viele Möglichkeiten, sensible Informationen zu erhalten. Social Engineering beschreibt die gezielte Hochstapelei, bei der es darum geht, ein bestimmtes Verhalten von Menschen hervorzurufen. In diesem Vortrag geht es um psychologische Tricks und Verhaltensweisen, die dazu dienen, Informationen zu bekommen. Es werden Fallbeispiele angesprochen und gezeigt, wie man versuchen kann, sich gegen so etwas zu schützen. Ein Vortrag von und mit man0riaX

1. Social
Engineering

7. Social Engineering nennt man zwischenmenschliche
Beeinflussungen mit dem Ziel, bei Personen bestimmte
Verhalten hervorzurufen, sie zum Beispiel zur Preisgabe von
vertraulichen Informationen, zum Kauf eines Produktes oder
zur Freigabe von Finanzmitteln zu bewegen.

8. Direkte Anfragen
Vertrauen und Emotionen ausnutzen
Verkörperung
Nachforschung

11. Personal
Dienstleister
Mobile Devices
Physik
IT

12. Komplexität ~ Erfolg

13. Personal
Erschleichen von Zutritt
Identitätsdiebstahl
Abfischen von Informationen
Einbringen von Schadsoftware
Einblick in Sicherheitsschwächen

14. Fehlende Security Policy
Unwissen

16. “Hi there, this is Dave Simpson calling from information services at the main branch.
Sorry about the echo, I’m working in the cabling closet at the moment, so I’m
calling you on my cell phone.”
“No problem, I can hear you fine.What can I do for you?”
“Thanks. A lot of the branches have been having network problems over the last
few days. Has everything been okay at the Seashore Branch reference desk?”
“I think so.”
“Okay, that’s good. I’m running a test right now on the network and needed to find
a terminal that was behaving itself. Could you log off and let me know if any
messages come up?”
“No problem.” Marcy logs off of the reference computer;
nothing strange happens.“Just the usual messages.”
“Good. Now start logging back on. What user are you going in as? I mean which
login name are you using?”
“Searef. Okay, I’m logged on now.”
“No strange messages?” “Nothing.”
“That’s great. Look, our problem might be kids hacking into the system so I need
you to change the password. Do you know how to do that?”
“I think so.”

17. “Well, let me walk you through it.” Dave spends a couple of minutes walking Marcy
through changing the system password. The password is now changed to 5eaR3f, a
moderately secure password. “Thanks, Marcy. You’ve been a great help. We have
your new password logged into the system. Could you pass on the new password to
the other reference personnel?”
“Sure.”
“Wonderful. Just remember not to give the password out to anyone who doesn’t
need it, and don’t write it down where anyone who shouldn’t have it can get at it.
Have a great day.”
“You too.”

20. Aufmerksamkeit
MisstrauenKontrolle
Schulung

24. Profiling
Tracking Müll
Verunglimpfung
Blackmail
Phishing
Shoulder Surfing
Tailgating

28. Vertraue
deinen
Gefühlen!

29. Q&A
E-Mail:
XMPP:
phil@phkr.de
OTR: 71E1 0CDE 86B8 0121 83B3 A09E E069 AD18 01F7 36BD
PGP: BD97 D5D3 D29F 3248 F253 0793 D996 E113 68E9 C588

30. Bilder
• Opa am Telefon: http://waltons.steve-p.org/pix/65B_01193100.jpg
• Hacker mit Sturmhaube: http://blog.malwarebytes.org/wp-content/uploads/2013/06/photodune-3396562-calling-m.jpg
• Tresorraum in der Schweiz: http://richtigteuer.de/wp-content/uploads/2013/12/Schweizer-Bank-Tresorraum-1.jpg
• Attack Tree Tresor: https://www.schneier.com/attacktrees.pdf
• Bibliothek: http://blogs.loc.gov/law/files/2010/08/Reference-Librarian-assisting-readers-1.jpg
• Passwort-Comic: https://xkcd.com/936/
• BSI-Comic: https://www.bsi.bund.de/SharedDocs/Bilder/DE/BSI/Themen/grundschutzdeutsch/Webkurs/pic1120_gif.gif?__blob=normal&v=3
• Zaun: http://www.nilesfence.com/blog/wp-content/uploads/2013/06/WETTSUPERC2.jpg
• Bürogebäude: https://phandroid.s3.amazonaws.com/wp-content/uploads/2013/06/NSA-Building.jpg
• Büro: http://p1.pichost.me/i/27/1502108.jpg
• Influence: http://ecx.images-amazon.com/images/I/71FDaBi9zaL.jpg

31. Quellen
• Definition Social Engineering: https://de.wikipedia.org/wiki/
Social_Engineering_%28Sicherheit%29
• Beispielunterhaltung: S.T. C.Thompson: „Helping the Hacker?“