Marcus Nohlberg
marcus@nohlberg.com
www.nohlberg.com
Vad vi ska prata om idag
Vem är Marcus
Systemvetare
MBA
Fil.Dr. DSV - informationssäkerhet
Fokus på manipulation av människor
Lärare på HiS
Konsult och föreläsare
Förr: teknik fokus
Nu: Ökat intresse för människor
Men märks inte så mycket på investeringar
Hård teknik vs. mjuka människor
Min mening: Attityd och kunskap är största riskerna
Det finns bra teknik idag
Tekniken blir ständigt bättre
Men vi ställer högre krav på användarna
Nästa steg inom manipulation: automatiserad social engineering
Vad är social engineering? 
Det handlar om attacker mot mänskliga svagheter
Nätfiske
Det klassiska exemplet
Det liknar traditionella bedrägerier
Short cons
Long Cons
...men man använder också lite annat...
Desktop Hacking
Road apple
Dumpster Diving
Många angripna, lite kontakt.
Typ 1: Komma åt personlig information
Typ 2: Få användaren att installera program
Klassiskt nätfiske
Mailet
Siten
Spear Phishing
Klassiska exempel
Varför syssla med detta?
- världen har ändrats!
Social engineering
Easiest penetration
Tekniken börjar blir bra
Ekonomi/värdekedja
Automatiserad SE
...men inte mänskliga klantigheter
Varför?
Ändrade verktyg
Finns viss infrastruktur (bots)
Billigt
Effektivt
Vi har provat det på Facebook
Facebook har teoretiska skydd...
Legala, tekniska, operationella...
Men vår bot blev inte stoppad...
Den beter sig som en vanlig användare
De skydd som finns är mot spam
Restriktiva säkerhetsdefaults är inte lönsamma för facebook
ASE bots är tekniskt möjliga via t ex Facebook
Hur ska man skydda sig?
Säkerhetspolicy för använding av sociala nätverk
"Privacyinställningar", definiera vad som är intern info etc.
Ersätt externa tjänster med interna (IBM's beehive)
Träna, inte utbilda!
Förändra säkerhetsarbetet - "Cycle of deception"


Mer om vad som har ändrats
Orimliga krav på användarna
Mänskliga faktorer
Nya företagsmiljöer
Nya typer av angripare
Ny teknisk utveckling
Vi blir mer utsatta än någonsin förut - nya gränssnitt!
Men viktigast!
Tro inte att utbildning fungerar. 
Primary task. 
Fokusera på att tvinga användare och er själva.
Från verkligheten
Cycle of deception