Escenario: Usted trabaja en un entorno corporativo en el que se encuentre, al menos en parte, responsable de la seguridad de la red. Usted ha implementado una protección de firewall, antivirus y antispyware, y los equipos están todos al día con parches y correcciones de seguridad. Te sientas allí y piensas en el hermoso trabajo que han hecho para asegurarse de que no se le hackeado. Usted ha hecho, lo que la mayoría de la gente piensa, son los principales pasos hacia una red segura. Esto es parcialmente correcta.
¿Qué pasa con los otros factores? ¿Has pensado en un ataque de ingeniería social? ¿Qué pasa con los usuarios que utilizan la red sobre una base diaria? ¿Está usted preparado para hacer frente a los ataques de estas personas? Lo creas o no, el eslabón más débil en su plan de seguridad es la gente que usa su red. En su mayor parte, los usuarios no tienen educación sobre los procedimientos para identificar y neutralizar un ataque de ingeniería social.
¿Qué va a parar a un usuario de la búsqueda de un CD o DVD en la sala de almuerzo y llevarlo a su puesto de trabajo y la apertura de los archivos? Este disco podría contener un documento de procesador de hoja de cálculo o palabra que tiene una macro malicioso incrustado en él. Lo siguiente que usted sabe, se ve comprometida su red. Este problema existe en particular en un entorno donde un personal de mesa de ayuda restablecer contraseñas por teléfono.
No hay nada para detener un intento persona en romper en su red de llamar a la mesa de ayuda, haciéndose pasar por un empleado, y pidiendo a tener un restablecimiento de contraseña. La mayoría de las organizaciones utilizan un sistema para generar nombres de usuario, por lo que no es muy difícil de entender a cabo. Su organización debe tener políticas estrictas en el lugar para verificar la identidad de un usuario antes de un restablecimiento de contraseña se puede hacer. Una cosa simple de hacer es tener el usuario vaya a la mesa de ayuda en persona.
El otro método, que funciona bien si sus oficinas están geográficamente muy lejos, es designar un contacto en la oficina que se puede llamar para un restablecimiento de contraseña. Esta manera que todos los que trabajan en el servicio de asistencia puede reconocer la voz de esta persona y saber que él o ella es quien dice ser.
¿Por qué un atacante ir a su oficina o hacer una llamada telefónica a la mesa de ayuda? Simple, que suele ser el camino de menor resistencia.
No hay necesidad de pasar ho