Bücher über Cybersicherheit: Der Mensch als Angriffsvektor
Social Engineering, Phishing und die Psychologie der Beeinflussung: warum Investitionen in den Perimeter mit einem Telefonanruf umgangen werden.
Bücher über Cybersicherheit: Der Mensch als Angriffsvektor
Teil sieben von neun. Social Engineering, Phishing und die Psychologie der Beeinflussung.
Der Grund, warum sich dieser Block auch für Technikleute lohnt: Investitionen in den Perimeter werden mit einem einzigen Telefonanruf umgangen.
Kevin Mitnick, William Simon. The Art of Deception (2002)
Eine Sammlung von Szenarien aus der Praxis: Dutzende Geschichten, in denen niemand etwas geknackt hat, sondern einfach angerufen und gefragt wurde. Nach jeder Geschichte folgt die Analyse, welche Prozedur hätte greifen müssen.
Themen: Pretexting, Ausnutzen der Hierarchie, Informationsbeschaffung in Bruchstücken, Arbeit mit dem Helpdesk und mit Sekretariaten, Aufbau von Richtlinien und Schulung der Mitarbeiter.
Kevin Mitnick, William Simon. The Art of Intrusion (2005)
Die Fortsetzung, zusammengesetzt aus den Berichten anderer Beteiligter. Der technische Anteil ist hier deutlich größer.
Themen: die Kombination sozialer und technischer Methoden, Angriffe auf Kasinos und Banken, Industriespionage, Konfigurationsfehler als Einstieg, jede Episode aus Sicht der Verteidigung betrachtet.
Christopher Hadnagy, Michele Fincher. Phishing Dark Waters (2015)
Ein schmales Buch über einen einzigen Vektor, dafür den massenhaftesten.
Themen: die Anatomie einer Phishing-Mail, Spear Phishing und seine Vorbereitung, interne Trainingskampagnen und die richtigen Kennzahlen dafür, technischer Schutz der E-Mail, die Reaktion auf einen erfolgreichen Angriff.
Robert Cialdini. Influence (1984)
Kein Sicherheitsbuch, doch genau auf diesen Mechanismen beruht jeder soziale Angriff. Mitnick und Hadnagy berufen sich beide darauf.
Themen: Reziprozität, Verpflichtung und Konsistenz, soziale Bewährtheit, Sympathie, Autorität, Knappheit.
Kevin Mitnick, Robert Vamosi. The Art of Invisibility (2017)
Ein praktischer Leitfaden zur persönlichen Privatsphäre von einem Mann, der sich lange berufsmäßig versteckt hat.
Themen: Passwörter und Zwei-Faktor-Authentifizierung, Metadaten in Dateien und Fotos, Tracking im Browser, Sicherheit von E-Mail und Messengern, öffentliches WLAN, Einkaufen und Reisen ohne digitale Spur.
Daniel Kahneman. Thinking, Fast and Slow (2011)
Der Hintergrund für den ganzen Block: warum Menschen vorhersagbar irren und warum diese Irrtümer reproduzierbar und damit ausnutzbar sind.
Themen: die zwei Denksysteme, Heuristiken und kognitive Verzerrungen, Einschätzung von Wahrscheinlichkeiten, Verhalten unter Zeitdruck, Fehler bei der Risikobewertung.
Nächster Teil: Dokumentarische Recherchen.
Die ganze Reihe:
Christopher Hadnagy. Social Engineering: The Science of Human Hacking (2. Auflage, 2018)
Die Systematisierung dessen, was bei Mitnick als Geschichte erscheint: Methodik statt Anekdote.
Themen: Informationsbeschaffung aus offenen Quellen, Aufbau einer Legende, nonverbale Signale und Mikroausdrücke, Techniken zum Aufbau von Vertrauen, Werkzeuge für professionelle Tests, ein Schulungsprogramm für das Personal.