Подборка книг по кибербезопасности: Человек как вектор атаки
Социальная инженерия, фишинг и психология влияния: почему вложения в периметр обходятся одним телефонным звонком.
Седьмая часть из девяти. Социальная инженерия, фишинг и психология влияния.
Причина, по которой этот блок стоит читать даже тем, кто занимается техникой: вложения в периметр обходятся одним телефонным звонком.
Kevin Mitnick, William Simon. The Art of Deception / «Искусство обмана» (2002)
Сборник сценариев из практики: десятки историй, где никто ничего не взламывал, а просто позвонил и попросил. После каждой истории разбор, какая процедура должна была сработать.
Претекстинг, использование служебной иерархии, сбор информации по частям, работа с техподдержкой и секретарями, построение политик и обучение сотрудников.
Kevin Mitnick, William Simon. The Art of Intrusion / «Искусство вторжения» (2005)
Продолжение, собранное из рассказов других участников событий. Технической части здесь заметно больше.
Комбинация социальных и технических приёмов, атаки на казино и банки, промышленный шпионаж, ошибки конфигурации как вход, разбор каждого случая с точки зрения защиты.
Christopher Hadnagy, Michele Fincher. Phishing Dark Waters (2015)
Узкая книга про один вектор, зато самый массовый.
Анатомия фишингового письма, целевой фишинг и его подготовка, обучающие рассылки внутри компании и правильные метрики для них, техническая защита почты, реакция на успешную атаку.
Robert Cialdini. Influence / «Психология влияния» (1984)
Не про безопасность, но именно на этих механизмах строится любая социальная атака. Митник и Хаднаги ссылаются на неё оба.
Взаимный обмен, обязательство и последовательность, социальное доказательство, симпатия, авторитет, дефицит.
Kevin Mitnick, Robert Vamosi. The Art of Invisibility (2017)
Практическое руководство по личной приватности от человека, который долго скрывался профессионально.
Пароли и двухфакторная аутентификация, метаданные в файлах и фотографиях, отслеживание в браузере, безопасность почты и мессенджеров, публичный Wi-Fi, покупки и передвижения без цифрового следа.
Daniel Kahneman. Thinking, Fast and Slow / «Думай медленно, решай быстро» (2011)
Фон для всего блока: почему человек предсказуемо ошибается и почему эти ошибки воспроизводимы, а значит эксплуатируемы.
Две системы мышления, эвристики и когнитивные искажения, оценка вероятностей, поведение под давлением времени, ошибки в оценке рисков.
Christopher Hadnagy. Social Engineering: The Science of Human Hacking (2-е издание, 2018)
Систематизация того, что у Митника подано историями: методология вместо анекдотов.
Сбор информации из открытых источников, построение легенды, невербальные сигналы и микровыражения, техники установления доверия, инструменты для профессиональных тестов, программа обучения персонала.