Social Engineering er et udtryk for en anden metode til at opnå adgang til et system på eller få oplysninger ud af et system på.

Det generelle mål med social engineering er det samme som med 'almindelig' hackning, nemlig at få uautoriseret adgang til system informationer for at kunne få adgang til netværk og lave sabotage, svindel, eller industri spionage.

Det er oftest et overset punkt i sikkerheden, og selv om man beskytter sit system med IDS og Antivirus, så nytter det ikke meget over for hackere der benytter sig af Social Engineering.

Hackere der benytter sig af Social Engineering har to muligheder: Det er den fysiske og den psykologiske metode.

Fysisk metode:

'Dumpster diving', 'Thrashing' eller på almindelig dansk: gennemrodning af affald hvor vigtige oplysninger om firmaet oftest kan findes.

I efteråret 2000 blev der blandt danske hackere udgivet en komplet dansk vejledning i 'Thrashing', der blandt andet fortæller om forholdsregler over for evt. vægtere eller andre der dukker op, samt hvilke firma typer der er lettest at gå til og hvilke man skal holde sig fra.

Det kan bl.a. være disse ting der ledes efter i affaldet:

Organisations planer, her kan det oftest ses hvem der er IT ansvarlig, om firmaet har en systemadministrator eller blot en superbruger til at varetage dagligdagens IT gøremål.

System manualer, disse kan give oplysninger om firmaets netværk og software.

Udskrifter, papirer eller sedler med login navne eller passwords

Disketter og CD´er, specielt redningsdisketter er interessante da de indeholder sam filer dvs. password og login

Backup bånd, her er hele firmaets IT hjerte og kan man afspille båndet fra en PDC eller BDC så er der mange oplysninger

Kasseret hardware (Specielt harddiske er interessante), igen kan de indeholde oplysninger

- Løsning:

Få indført i firmaets IT-sikkerhedspolitik at edb affald skal behandles på lige fod med f.eks budgetplaner, personale oplysninger o.s.v., det vil sige at det ikke smides ud så det kan kompromitere sikkerheden.

Sørg så efterfølgende for at det også bliver effektueret i dagligdagen, og tjek regelmæssigt at der ikke alligevel bliver smidt brugbare oplysninger ud i skraldespanden

Man bør også sørge for at evt. besøgende såsom bude, håndværkere, fragtmænd og andre teknikere ikke får adgang til følsomme oplysninger eller at de ikke er alene i virksomheden, de bør hele tiden være i selskab med en ansat, og computere der står lige inden for døren i et firma bør aldrig efterlades mens de er logget på netværket, det er her besøgende oftest står og venter mens en kontaktperson tilkaldes.

I den forbindelse er små sedler (gule) med login og password, der er klistret fast på skærmen, under tastaturet, i øverste skuffe, på telefontavlen eller andre 'hemmelige' steder total forbudte.

Psykologisk metode:

Den psykologiske metode bruges til at få oplysninger ud af personer, ved at snyde dem til at udlevere dem uden at de ved det er forkert.

Det kan foregå direkte over for personen eller via telefon. f.eks kan hackeren ringe til offeret og udgive sig for at være fra konsulentfirmaet der er ved at løse nogen problemer på netværket, og han har opdaget at der er et problem med den pågældendes computer, og beder om at få login og password så han kan løse problemet med det samme. Hackeren der virker meget venlig og forstående over for brugeren får meget hurtigt udleveret oplysningerne eller også opgiver han hurtigt.

Eksemplet er hentet i USA hvor episoden udspandt sig i forbindelse med et sikkerhedstjek af et firma.

Der er mange andre måder og få oplysnnger på ved hjælp af den psykologiske metode, det er næsten kun hackerens fantasi og frækhed der sætter grænsen.

- Løsning:

Instruer de ansatte i at de aldrig må udlevere brugeroplysninger til andre end firmaets systemadministrator eller den IT-ansvarlige.

Alle henvendelser fra 'eksterne' personer vedrørende IT skal enten viderstilles til systemadministratoren eller henvises til at blive kontaktet senere.

Meget kan undgås ved at lave en detaljeret instruks i firmaets IT-sikkerhedspolitik, så omgangen med fortrolige oplysninger kan kontrolleres og reguleres på fornuftig vis.