Видавання себе за техніка
У нього є ящик з інструментами, бейдж і дві хвилини. Усе одно перевірте.
Що таке Видавання себе за техніка?
Щоб видати себе за інженера з обслуговування, потрібні ящик з інструментами, бейдж і правдоподібна несправність. А далі прохання завжди те саме: кілька хвилин за комп'ютером, на якому вже виконано вхід. Тут підрядник просить саме про це, на ваше запитання називає номер наряду й чекає, поки ви його перевірите. Ви відпрацьовуєте, як читати бейдж, перевіряти візит у команді, яка мала б його оформити, не віддавати свій сеанс і повідомляти про спробу.
Що ви дізнаєтесь у Видавання себе за техніка
- Розпізнавайте прохання попрацювати в сеансі працівника, у якому вже виконано вхід: справжньому інженерові це ніколи не потрібно
- Сприймайте бейдж підрядника як запис про прихід, а не як підтвердження, що візит оформлено
- Перевіряйте названий номер наряду в службі ІТ-підтримки, а не вважайте його достатньою відповіддю
- Не піддавайтеся тиску на час, спрямованому саме на ті кілька хвилин, які потрібні для перевірки
- Повідомляйте про спробу, навіть невдалу, щоб столи й поверхи, куди піде відвідувач, уже були попереджені
Видавання себе за техніка — Кроки навчання
-
Принтер, який ніхто не може полагодити
У Penrow Analytics похмура середа, ранок. Аліса переробляє квартальний звіт, а черга друку на третьому поверсі стоїть без руху вже другий день поспіль. Служба ІТ-підтримки розсилає свою звичайну ранкову записку.
-
Хтось за вашою спиною
Без чверті десята на поверх по сходах піднімається чоловік у сигнальному жилеті: в одній руці ящик з інструментами, до жилета прикріплений бейдж. Біля входу на поверх він не зупиняється. Проходить увесь поверх і стає за кріслом Аліси так близько, що бачить її екрани.
-
Легенда
Він привітний, тримається неквапливо, а говорить так, ніби дуже поспішає, і точно знає, яку несправність назвати.
-
Прочитайте бейдж
Перш ніж відповісти, придивіться до того, що на ньому. Бейдж — єдине на цьому поверсі, що стверджує, хто він і хто його прислав.
-
Що ви скажете?
Про Tessmark Field Group Аліса ніколи не чула, але й не мусить знати всіх субпідрядників, які працюють у цій будівлі. Несправність, яку він назвав, справжня, черга друку стоїть уже другу добу, а він чекає, простягнувши руку до клавіатури.
-
Номер у нього є
Запитання його не збиває. Він відповідає, адже саме для цього людина й носить із собою номер.
-
Перевірте в ІТ-відділі
Номер, названий уголос, нічого не вартий, поки його ніхто не знайшов у системі. Наряди створює й візити оформлює служба ІТ-підтримки, тож лише вона може це з'ясувати. Аліса повертається до екрана й питає в служби, а Гері тим часом стоїть за її кріслом.
-
Про що ви їх запитали
Три рядки, надіслані, поки Гері ще стоїть за кріслом. Кожен має своє завдання.
-
Що кажуть в ІТ-відділі
Роан відповідає, ще перш ніж Аліса встигає перечитати власне повідомлення.
-
Оберніться й дайте відповідь
Гері досі тут, досі чекає і досі люб'язний. Сперечатися нема про що, і нічого доводити не треба. Перевірка нічого не знайшла — це й усе, що треба сказати.
Охоплення стандартів безпеки
MITRE ATT&CK
- T1656 Impersonation
CIS Controls
- CIS 14.2 Train Workforce Members to Recognize Social Engineering Attacks
NIST CSF
- PR.AT-01 Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind