Die Kunst der Täuschung (eBook)

Risikofaktor Mensch

Kevin D. Mitnick, William Simon (Autoren)

eBook Download: PDF | EPUB

2012 | 1. Auflage
416 Seiten
MITP Verlags GmbH & Co. KG
978-3-8266-9606-0 (ISBN)

Infos

Mitnick führt den Leser in die Denk- und Handlungsweise des Social Engineering ein, beschreibt konkrete Betrugsszenarien und zeigt eindrucksvoll die dramatischen Konsequenzen, die sich daraus ergeben. Dabei nimmt Mitnick sowohl die Perspektive des Angreifers als auch des Opfers ein und erklärt damit sehr eindrucksvoll, wieso die Täuschung so erfolgreich war - und wie man sich effektiv dagegen schützen kann.

Kevin Mitnick, einst der meistgesuchte Verbrecher der USA, inzwischen rehabilitiert und als Sicherheitsberater unterwegs, gilt nach wie vor weltweit als der Prototyp des Hackers.

Inhalt

Cover 1
Social Engineering 6
Inhalt 7
Vorwort 9
Einleitung 11
Der Anfang 11
Vom Phone Phreak zum Hacker 12
Ich werde Social Engineer 14
Schlussbemerkung 15
Vorbemerkung 17
Kapitel 1: Das schwächste Glied der Kette 21
Der menschliche Faktor 21
Ein klassischer Fall von Täuschung 22
Der Code wird geknackt 23
Da gibt es dieses Schweizer Konto ... 23
Auf der Zielgeraden 24
Worin liegt die Bedrohung? 25
Wachsende Besorgnis 25
Betrügerische Praktiken 26
Vertrauensmissbrauch 26
Unser nationaler Charakter 27
Die Arglosigkeit der Organisationen 27
Terror und Täuschung 28
Über dieses Buch 29
Kapitel 2: Scheinbar harmlose Daten 35
Der versteckte Wert der Informationen 35
CreditChex 36
Privatdetektiv bei der Arbeit 38
Trickanalyse 41
Kopfjagd auf Ingenieure 42
Trickanalyse 46
Mehr „wertlose“ Infos 47
Schutzmaßnahmen 48
Kapitel 3: Der direkte Angriff: Einfach fragen! 51
Ein Quickie am Verteilerkasten 51
Die Nummer, bitte 51
Trickanalyse 52
Junger Mann auf der Flucht 52
Draußen vor der Tür 54
Bei Anruf Betrug 54
Stevies Schwindel 55
Gasangriff 56
Die Geschichte von Janie Acton 56
Art Sealys Rechercheprojekt 57
Trickanalyse 58
Schutzmassnahmen 59
Kapitel 4: Vertrauen aufbauen 61
Vertrauen: Der Schlüssel zur Täuschung 61
Die Geschichte von Doyle Lonnegan 64
Trickanalyse 65
Variationen eines Themas: Kartenfang 65
Überraschung, Dad! 65
Trickanalyse 67
Das Handy für einen Cent 68
Trickanalyse 70
Wir hacken bei der Regierung 71
Das System anzapfen 72
Trickanalyse 73
Schutzmaßnahmen 73
Schützen Sie Ihre Kunden 73
Kluges Vertrauen 74
Was gehört in Ihr Intranet? 75
Kapitel 5: „Darf ich Ihnen helfen?“ 77
Netzwerkausfall 77
Die Story des Angreifers 80
Trickanalyse 82
Kleine Hilfe für die Neue 84
Trickanalyse 86
Nicht so sicher wie gedacht 87
Die Geschichte von Steve Cramer 87
Die Geschichte von Craig Cogburne 90
Jetzt noch schnell rein 92
Trickanalyse 94
Schutzmaßnahmen 96
Fortbilden, Ausbilden und Weiterbilden ... 96
Wie man vertrauliche Informationen bewahrt 97
Berücksichtigen Sie die Quelle 98
Keiner sollte vergessen werden 99
Kapitel 6: „Können Sie mir helfen?“ 101
Der Auswärtige 101
Jonglieren mit Jones 101
Eine Geschäftsreise 102
Trickanalyse 103
Die Sicherheit der Hinterzimmer 104
Das habe ich schon mal im Kino gesehen 104
Die Telefongesellschaft austricksen 105
Der achtlose Computermanager 107
Radiowellen 107
Danny, der Lauscher 107
Sturm auf die Burg 110
Ein Job für Insider 112
Trickanalyse 114
Schutzmaßnahmen 115
Kapitel 7: Gefälschte Sites und gefährliche Anhänge 117
„Das hier kostet Sie überhaupt nichts!“ 117
Es kam aus der Email 118
Wie erkenne ich bösartige Software? 119
Botschaft von einem Freund 120
Variationen eines Themas 121
Frohe Weihnachten ... 121
Trickanalyse 124
Varianten der Variation 125
Bei diesem Link werden Sie gelinkt 125
Seien Sie wachsam 127
Virenbändiger 129
Kapitel 8: Der Einsatz von Sympathie, Schuld und Einschüchterung 131
Ein Besuch im Studio 131
Die Geschichte von David Harold 132
Trickanalyse 133
„Mach das sofort“ 134
Dougs Geschichte 134
Lindas Geschichte 134
Trickanalyse 136
„Mr. Biggley braucht das dringend!“ 136
Scotts Geschichte 137
Trickanalyse 138
Was die Sozialversicherungsbehörde über Sie weiß 139
Keith Carters Geschichte 140
Trickanalyse 142
Ein einfacher Anruf 143
Peters Geschichte 145
Trickanalyse 147
Die Polizeirazzia 148
Bitte den Durchsuchungsbefehl! 148
Die Polizei wird ausgetrickst 148
Spuren verwischen 150
Trickanalyse 151
Der Spieß wird umgedreht 152
Ein Abschluss in Unehren 152
Anmelden zum Ärgern 153
Der hilfreiche Registrator 154
Trickanalyse 155
Schutzmaßnahmen 155
Schutz der Daten 156
Über Passwörter 156
Eine zentrale Anlaufstelle 157
Schützen Sie Ihr Netzwerk 157
Tipps für betriebsinterne Weiterbildung 158
Kapitel 9: Der umgedrehte Clou 161
Die Kunst der freundlichen Überredung 161
Die Geschichte von Vince Capelli 165
Trickanalyse 168
Umleitung für Polizisten 169
Erics Tricks 170
Die Schaltstelle 171
Ein Anruf beim Amt 172
Trickanalyse 173
Schutzmaßnahmen 175
Kapitel 10: Durch das Firmentor 179
Wachpersonal - peinlich vorgeführt 179
Die Geschichte des Wachmannes 179
Die Geschichte von Joe Harper 182
Trickanalyse 185
Dumpster Diving 186
Müll gegen Moneten 188
Trickanalyse 189
Der beschämte Boss 190
Die Bombe wird scharf gemacht 191
Eine Überraschung für George 191
Trickanalyse 192
Eine Empfehlung zur Beförderung 193
Anthonys Geschichte 194
Trickanalyse 196
Ein Kiebitz bei Kevin 198
Trickanalyse 199
Schutzmaßnahmen 199
Schutz nach Feierabend 199
Angemessener Umgang mit Abfall 200
Abschied von Angestellten 201
Vergessen Sie niemanden 203
Sichern Sie Ihre IT! 204
Kapitel 11: Die Kombination von Social Engineering und Technologie 205
Hacken hinter Gittern 205
Anruf bei Ma Bell 208
Auf der Suche nach Gondorff 209
Uhrenvergleich! 210
Trickanalyse 211
Ein geschwinder Download 212
Leichtes Geld 213
Bar auf die Kralle 214
Herausforderung angenommen 216
Das Wörterbuch als Angriffswerkzeug 218
Der Passwort-Angriff 219
Schneller als gedacht 221
Trickanalyse 223
Schutzmaßnahmen 224
Sag einfach nein 224
Saubermänner 225
Sag es weiter: Schütze deine Passwörter 226
Kapitel 12: Angriffe auf den Neuen im Betrieb 229
Der hilfreiche Wachmann 229
Elliots Standpunkt 230
Bills Story 230
Trickanalyse 233
Ein Patch für den Notfall 234
Ein hilfreicher Anruf 234
Trickanalyse 235
Die Neue 235
Kurt Dillons Geschichte 237
Trickanalyse 239
Schutzmaßnahmen 240
Täusche die Unachtsamen 240
Vorsicht vor Spyware 242
Kapitel 13: Clevere Betrügereien 245
Die irreführende Rufidentifikation 245
Lindas Anruf 246
Jacks Geschichte 246
Trickanalyse 248
Variation: Der Präsident der Vereinigten Staaten ruft an 248
Die unsichtbare Angestellte 250
Shirley greift an 251
Trickanalyse 252
Die hilfsbereite Sekretärin 252
Vor dem Verkehrsgericht 253
Der Trick 254
Trickanalyse 256
Samanthas Rache 257
Vergeltung 258
Trickanalyse 259
Schutzmaßnahmen 259
Kapitel 14: Industriespionage 263
Variationen einer Intrige 263
Sammelklagen 263
Petes Angriff 265
Trickanalyse 266
Der neue Geschäftspartner 266
Jessicas Geschichte 266
Die Geschichte von Sammy Sanford 271
Trickanalyse 273
Bockspringen 275
Hausaufgaben machen 275
Vorbereitung eines Opfers 278
Trickanalyse 279
Schutzmaßnahmen 280
Sicherheit außerhalb der Firma 280
Wer bist Du? 282
Kapitel 15: Informationssicherheit: Sensibilisierung und Training 285
Sicherheit durch Technologie, Training und Prozeduren 285
Wie machen sich Angreifer die menschliche Natur zunutze? 286
Autorität 287
Zuneigung 287
Revanchieren 288
Konsequenz 288
Soziale Bestätigung 289
Mangel 289
Die Erstellung von Trainings- und Sensibilisierungsprogrammen 290
Ziele 290
Die Einführung des Trainings- und Sensibilisierungsprogramms 291
Trainingsstruktur 293
Trainingsinhalte 294
Tests 297
Fortdauernde Sensibilisierung 297
Was ist für mich drin? 299
Kapitel 16: Empfohlene Firmenrichtlinien zur Informationssicherheit 301
Was ist eine Sicherheitsrichtlinie? 302
Schritte zum Entwickeln eines Programms 302
Die Verwendung dieser Richtlinien 305
Datenklassifikation 305
Kategorien und Definitionen der Klassifizierung 306
Terminologie von Klassifikationsdaten 308
Verfahren zur Verifikation und Autorisierung 309
Anfragen einer vertrauten Person 309
Anfragen einer nicht-verifizierten Person 309
Stufe 1: Verifikation der Identität 310
Stufe 2: Verifikation des Angestelltenstatus 312
Stufe 3: Prüfung des Wissensbedarfs 313
Managementrichtlinien 314
Richtlinien zur Datenklassifikation 314
Informationsweitergabe 315
Telefonadministration 320
Verschiedenes 324
Richtlinien zur Informationstechnologie 331
Allgemeines 331
Help Desk 332
Computeradministration 335
Computeroperationen 347
Richtlinien für alle Angestellten 349
Allgemeines 349
Computernutzung 353
Verwendung von Emails 358
Telefonnutzung 360
Verwendung von Faxgeräten 361
Verwendung von Voice Mail 362
Passwörter 364
Richtlinien für Telearbeiter 367
Richtlinien für die Personalabteilung 368
Richtlinien für physische Sicherheit 371
Richtlinien für Empfangspersonal 373
Richtlinien für die Arbeitsgruppe Sicherheitsvorfälle 375
Kapitel 17: Sicherheit auf einen Blick 377
Identifizierung eines Sicherheitsangriffs 377
Der Zyklus des Social Engineering 377
Übliche Methoden des Social Engineerings 378
Warnzeichen für einen Angriff 379
Allgemeine Angriffsziele 379
Faktoren, die einen Angriff begünstigen 380
Verifikation und Datenklassifikation 380
Verfahren zur Prüfung der Identität 380
Verfahren zur Prüfung des Angestelltenstatus 381
Verfahren zum Feststellen der Informationsberechtigung 381
Kriterien zur Bestimmung von Nicht-Angestellten 382
Datenklassifikation 382
Bearbeitung einer Anfrage nach Informationen 384
Bearbeitung einer Anfrage nach Handlungen 385
Quellenangaben 387
Kapitel 1 387
Kapitel 2 387
Kapitel 16 387
Kapitel 17 387
Danksagungen 389
Von Kevin Mitnick 389
Von Bill Simon 394
Numerisch 397
A 397
B 397
C 397
D 398
E 398
F 398
G 398
H 399
I 399
J 399
K 399
L 399
M 399
N 399
O 400
P 400
R 400
S 400
T 401
U 401
V 402
W 402
Z 402
Index 397

Textauszug

Der Anfang

Mein Weg ist wohl schon früh vorgezeichnet gewesen. Um die Zukunft habe ich mir keine Sorgen gemacht, aber ich langweilte mich. Mein Vater verließ uns, als ich drei war, und seitdem verdiente meine Mutter unseren Lebensunterhalt als Kellnerin. Damals war ich die meiste Zeit meines Wachseins alleine – das Einzelkind einer Mutter, die lange und schwere Tage nach einem manchmal sehr wechselhaften Dienstplan zu arbeiten hatte. Ich war mein eigener Babysitter.

Ich wuchs in einem Ort im San Fernando Valley auf, von wo aus ich ganz Los Angeles erforschen konnte, und als ich zwölf war, hatte ich eine Möglichkeit entdeckt, kostenlos im gesamten Stadtgebiet von Los Angeles herumzufahren. Eines Tages bemerkte ich, dass die Gültigkeit der Tickets dadurch kontrolliert wurde, wie der Fahrer die Tickets lochte, um Datum, Zeit und Wegstrecke zu kennzeichnen. Bei einem freundlichen Fahrer erfuhr ich mit bedacht gewählten Fragen, wo man diesen besonderen Locher kaufen könne.

Mit den Transfertickets sollte man auf seiner Reiseroute in andere Busse umsteigen können, aber ich fand heraus, wie ich sie einsetzen musste, um überall hin fahren zu können, ohne zu bezahlen. Es war ein Kinderspiel, Blankotickets zu organisieren. An jeder Endstation waren die Mülleimer voller halbbenutzter Ticketbücher, die von den Fahrern nach Feierabend weggeworfen worden waren. Mit einem Stapel unbenutzter Tickets und dem Locher konnte ich meine eigenen Transfers stanzen und das gesamte Busnetz von Los Angeles befahren. Nach kurzer Zeit kannte ich den Busfahrplan so gut wie auswendig. Das war ein frühes Beispiel für mein überraschendes Gedächtnis, mit dem ich mir bestimmte Arten von Informationen merken konnte; ich kann mich auch heute noch sehr gut an Telefonnummern, Passworte und andere scheinbar triviale Details erinnern – bis zurück in meine Kindheit.

Ein anderes persönliches Interesse, das sich schon ganz früh herausbildete, war meine Faszination für die Kunst des Zauberns. Hatte ich erst mal herausgefunden, wie ein neuer Trick funktionierte, übte ich solange, bis ich ihn endlich gemeistert hatte. Durch das Zaubern entdeckte ich gewissermaßen, dass es mir Freude machte, geheimes Wissen zu erlangen.

Vom Phone Phreak zum Hacker

Meine erste Begegnung mit dem, was, wie ich später erfuhr, Social Engineering genannt wird, fand während meiner Zeit in der Highschool statt, als ich einen anderen Schüler traf, der sich mit einem Hobby namens Phone Phreaking beschäftigte. Das ist eine Art des Hackens, bei dem man das Telefonnetzwerk erforscht, indem man Telefonsysteme und Angestellte der Telefongesellschaften ausnützt. Er hat mir prima Tricks mit Telefonen gezeigt, wie man z.B. alle Informationen herauskriegt, die eine Telefongesellschaft über einen Kunden besitzt, und wie man mit einer Geheimnummer kostenlose Ferngespräche führen kann. (In Wahrheit war es nur für uns umsonst. Viel später fand ich heraus, dass es überhaupt keine Geheimnummer war, sondern die Telefonate auf irgendein Firmenkonto gebucht wurden.)

So lernte ich Social Engineering kennen – das war sozusagen mein Kindergarten. Mein Freund und ein anderer Phone Phreaker, den ich später kennen lernte, ließen mich zuhören, wie sie unter einem Vorwand die Telefongesellschaft anriefen und Dinge erzählten, die ihnen eine gewisse Glaubwürdigkeit verschafften. Ich erfuhr von unterschiedlichen Abteilungen der Telefongesellschaften und lernte Jargon und Abläufe kennen. Aber dieses „Training” währte nicht lange; das war auch nicht nötig, denn ich probierte selbst alles aus und lernte ständig dazu, so dass ich meine ersten Lehrer bald überrundete.

Damit war die Richtung abgesteckt, die mein Leben in den nächsten fünfzehn Jahren nehmen sollte.

In der Highschool hatte ich am meisten Spaß daran, mir den unautorisierten Zugang zu einer Telefonzentrale zu verschaffen und dann die Zugangsberechtigungen eines anderen Phone Phreakers zu verändern. Wenn er dann von zu Hause ein Telefonat führen wollte, hörte er eine Ansage, er solle eine Münze einwerfen, weil die Schaltzentrale der Telefongesellschaft aus der Art der Verbindung geschlossen hatte, er telefoniere von einem Münzfernsprecher aus.

Ich vertiefte mich immer mehr in alles, was mit Telefonen zusammenhing, nicht nur Elektronik, Schaltungen und Computer, sondern auch Organisation und Abläufe der Telefongesellschaften und die Terminologie. Nach einiger Zeit wusste ich wohl mehr über das Telefonsystem als viele Angestellte. Und dabei entwickelte ich meine Geschicklichkeit beim Social Engineering derart, dass ich im Alter von 17 Jahren die meisten Angestellten der Telefongesellschaften praktisch zu allem überreden konnte, egal ob ich persönlich oder am Telefon mit ihnen sprach.

Meine Karriere als Hacker, über die vielfältig berichtet wurde, begann in der Highschool. Ich kann hier nicht auf Einzelheiten eingehen, aber ein wichtiger Beweggrund für meine ersten Hacks war der Wunsch nach Anerkennung durch die Hacker-Gruppe.

Damals benutzten wir den Ausdruck Hacker für eine Person, die viel Zeit mit dem Herumbasteln an Hard- und Software verbrachte, um entweder effektivere Programme zu entwickeln oder unnötige Schritte zu vermeiden und schneller mit einer Sache fertig zu werden. Dieser Begriff wird heute sehr abwertend im Sinne eines „bösartigen Kriminellen” verwendet. In diesem Buch gebrauche ich die Bezeichnung so wie früher – in einem freundlicheren Zusammenhang.

Nach der Highschool studierte ich Computerwissenschaften im Computer Learning Center in Los Angeles. Nach einigen Monaten fand der Computermanager der Schule heraus, dass ich mir Schwachstellen des Betriebssystems zunutze gemacht hatte und volle administrative Berechtigungen auf ihren IBM-Minicomputern besaß. Die besten Computerexperten des Lehrkörpers konnten nicht herausfinden, wie mir das gelungen war. Man machte mir ein Angebot, das ich nicht ablehnen konnte, und das war wohl eins der frühesten Beispiele, wie eine Firma einen Hacker angeworben hat. Ich konnte mir aussuchen, ob ich ein Projekt zur Verbesserung der Computersicherheit durchführen wolle oder gesperrt werde, weil ich das System gehackt hatte. Natürlich entschied ich mich für das Projekt und machte später meinen Abschluss cum laude.

Ich werde Social Engineer

Vielen Leuten ist das Aufstehen morgens eine Qual, weil ihnen vor dem sprichwörtlichen Alltagstrott graust. Mir war das Glück beschert, dass ich meine Arbeit genoss. Sie können sich insbesondere nicht vorstellen, mit welcher Freude mich die Herausforderung und der Lohn einer Tätigkeit als Privatdetektiv erfüllte. Ich verfeinerte meine Talente in der Schauspielkunst namens Social Engineering (wie man Leute dazu bringt, Dinge für ihnen fremde Personen auszuführen, die sie normalerweise nicht tun würden) und wurde dafür auch noch bezahlt.

Für mich war es keine Schwierigkeit, als Social Engineer zum Fachmann zu werden. Seit Generationen war meine Familie von der Seite meines Vaters her mit dem Verkaufen beschäftigt, und so könnte die Kunst der Beeinflussung und Überredung eine vererbte Charaktereigenschaft sein. Wenn Sie diesen Wesenszug mit der Neigung kombinieren, andere zu täuschen, haben Sie das Profil eines typischen Social Engineers.

Man könnte sagen, bei der Stellenbeschreibung eines Trickbetrügers gebe es zwei Spezialisierungen. Jemand, der andere anschwindelt und sie um ihr Geld betrügt, gehört zur Unterkategorie des Grifters (Gauner). Jemand, der Täuschung, Betrug und Überredung bei Firmen einsetzt, um in der Regel an deren Informationen zu gelangen, wird als Social Engineer bezeichnet. Schon in der Zeit, als ich mit den Bustickets herumtrickste (als ich noch zu jung war, um zu erkennen, dass das etwas Böses war), erkannte ich bei mir das Talent, Geheimnisse herauszufinden, die ich eigentlich nicht kennen sollte. Auf dieses Talent baute ich mit Täuschung und dem richtigen Jargon auf und entwickelte ein ausgefeiltes Geschick in der Manipulation.

Um mein Geschick in diesem Gewerbe auszubauen (wenn ich es denn ein Gewerbe nennen darf), wählte ich einen kleinen Aspekt einer Information, die mir eigentlich gleichgültig war, und dann versuchte ich, am Telefon jemanden zu überreden, mir diese Info zu verraten, einfach nur, um meine Fähigkeiten zu schulen. Auf die gleiche Art und Weise, wie ich meine Zaubertricks einstudierte, übte ich den Einsatz verschiedener Vorwände ein. Durch diese Probeläufe fand ich schnell heraus, dass ich praktisch jede gewünschte Information erlangen konnte.

Jahre später beschrieb ich es in meiner Aussage im Kongress vor den Senatoren Lieberman und Thompson folgendermaßen:

Ich habe unerlaubten Zugang zu einigen der weltweit größten Unternehmen erlangt und erfolgreich einige der hartnäckigsten Computersysteme geknackt, die jemals entwickelt worden sind. Dabei habe ich mich technischer und nicht-technischer Mittel bedient, um mir den Quellcode verschiedener Betriebssysteme und Telekommunikationsgeräte zu beschaffen, damit ich ihre Schwachstellen und internen Funktionsweisen studieren konnte.

Meine gesamten Aktivitäten sollten nur der Befriedigung meiner eigenen Neugier dienen. Ich wollte meine Möglichkeiten kennen lernen und geheime Informationen über Betriebssysteme, Handys und alles andere, was mich neugierig machte, erfahren.

...

Produkt-Details

• Erscheint lt. Verlag: 10.7.2012
• Reihe/Serie: mitp Professional
• Sprache: deutsch
• Themenwelt: Mathematik / Informatik ► Informatik ► Web / Internet
• Schlagworte: Hacking • (IT-)Sicherheit • Kevin Mitnick • Mitnick • security • Sicherheit • social engineering
• ISBN-10: 3-8266-9606-9 / 3826696069
• ISBN-13: 978-3-8266-9606-0 / 9783826696060