Livres sur la cybersécurité : L'humain comme vecteur d'attaque
Ingénierie sociale, hameçonnage et psychologie de l'influence : pourquoi les investissements dans le périmètre se contournent par un simple coup de fil.
Livres sur la cybersécurité : L'humain comme vecteur d'attaque
Septième partie sur neuf. Ingénierie sociale, hameçonnage et psychologie de l'influence.
La raison de lire ce bloc même quand on fait de la technique : les investissements dans le périmètre se contournent par un simple coup de fil.
Kevin Mitnick, William Simon. The Art of Deception (2002)
Un recueil de scénarios tirés de la pratique : des dizaines d'histoires où personne n'a rien cassé, on a simplement appelé et demandé. Chaque histoire est suivie de l'analyse de la procédure qui aurait dû l'arrêter.
Sujets : prétexte, exploitation de la hiérarchie interne, collecte d'informations par morceaux, travail avec le support technique et les secrétariats, élaboration des politiques et formation des employés.
Kevin Mitnick, William Simon. The Art of Intrusion (2005)
La suite, composée à partir des récits d'autres protagonistes. La part technique y est nettement plus importante.
Sujets : combinaison de procédés sociaux et techniques, attaques contre des casinos et des banques, espionnage industriel, erreurs de configuration comme porte d'entrée, chaque cas repris du point de vue de la défense.
Christopher Hadnagy, Michele Fincher. Phishing Dark Waters (2015)
Un livre étroit sur un seul vecteur, mais le plus répandu de tous.
Sujets : anatomie d'un courriel d'hameçonnage, hameçonnage ciblé et sa préparation, campagnes de sensibilisation internes et les bonnes mesures pour les évaluer, protection technique de la messagerie, réaction à une attaque réussie.
Robert Cialdini. Influence (1984)
Ce n'est pas un livre de sécurité, mais toute attaque sociale s'appuie précisément sur ces mécanismes. Mitnick et Hadnagy s'y réfèrent tous les deux.
Sujets : réciprocité, engagement et cohérence, preuve sociale, sympathie, autorité, rareté.
Kevin Mitnick, Robert Vamosi. The Art of Invisibility (2017)
Un guide pratique de vie privée écrit par un homme qui s'est longtemps caché à titre professionnel.
Sujets : mots de passe et authentification à deux facteurs, métadonnées dans les fichiers et les photos, pistage dans le navigateur, sécurité du courriel et des messageries, wifi public, acheter et se déplacer sans laisser de trace numérique.
Daniel Kahneman. Thinking, Fast and Slow (2011)
La toile de fond de tout le bloc : pourquoi l'humain se trompe de façon prévisible et pourquoi ces erreurs sont reproductibles, donc exploitables.
Sujets : les deux systèmes de pensée, heuristiques et biais cognitifs, estimation des probabilités, comportement sous pression temporelle, erreurs dans l'évaluation des risques.
Partie suivante : enquêtes documentaires.
Toute la série :
Christopher Hadnagy. Social Engineering: The Science of Human Hacking (2e édition, 2018)
La mise en système de ce que Mitnick présente sous forme d'histoires : de la méthodologie plutôt que des anecdotes.
Sujets : collecte d'informations en sources ouvertes, construction d'une légende, signaux non verbaux et micro-expressions, techniques d'établissement de la confiance, outils pour des missions professionnelles, programme de formation du personnel.