認定倫理的ハッカー（CEH）勉強ガイド

第12章. ローテクソーシャル・エンジニアリングと物理的セキュリティ

この作品はAIを使って翻訳されている。ご意見、ご感想をお待ちしている：[e-mail]

話は変わるが、ある日、大型トラックが公安の大規模プロジェクトに必要な機材を積んで高速道路を疾走していた。納期は厳しく、部品の調達が遅れればプロジェクトは失敗に終わる。オーバーヘッドクリアランスがほんの数センチ足りず、トラックを通過させることができなかったのだ。すぐにこの問題を解決しようと呼び出しがかかった。

エンジニアの委員会がすぐに結成され、突拍子もないアイデアや費用を惜しむことなく解決策が練られた。地質学者のタイガーチームが招集され、老朽化したトンネルの構造的完全性を測定し、トラックが通れるように屋根を高く爆破する準備をした。アメリカ空軍には、ヘリコプターでトラックごと山を越える空輸の可能性について相談した。こうしている間にも、ブロック化されたトンネルの入り口には何百人もの人々が集まり、誰もが自分なりの解決策を考えていた。

その群衆の中から一人の少女がふらりと現れ、トラックのそばで頭をかきながらどうしたらいいのか悩んでいる主任技師のところに歩いてきた。彼女は "どうしてトラックは道路をブロックしているの？"と尋ねた。男は答えた。"背が高すぎてトンネルを通れないからだ "と。そして、彼女はこう尋ねた。男は冷静に答えた。「どうやったら山を爆破せずに反対側まで通れるか、みんなで考えているんだ」。小さな女の子はトラックを見て、男を見上げて言った。「タイヤの空気を抜いて、転がして通れないの？

時に私たちは、特に私たちがいるこのテクノロジーに支配された職業分野では、物事を複雑に考えすぎることがある。同業者に賢く見せようと、より知的に感じられる答えを探す。ターゲットの防御を突破するために、地下室で6台のサーバを動かしているような悪質なコードリストを学ばなければならないような、複雑な方法で物事を進めたいようだ。誰かに鍵を貸してもらうのと同じくらい簡単なこともあるのに、私たちは侵入するための難しい方法を探している。倫理的ハッカーになりたいか？簡単なことをマスターし、誇りに思うことを学ぼう。時には、簡単な答えが一つの方法ではなく、最良の方法であることもあるのだ。この章では、あなたが「ハッカー」として考えもしないような非技術的なことがらについて書かれている。まず単純なことをチェックし、人間的要素とシステムの物理的要素をターゲットにすることは、良いアイデアであるだけでなく、全体的な成功に不可欠である。

試験に関して言えば、ソーシャル・エンジニアリングと物理的なセキュリティはあまりカバーされていない。実際、フィッシングを除けば、多くの人は試験でこれらの問題を目にすることはないだろう。だからといって、ソーシャル・エンジニアリングが重要ではないという意味ではない。笑顔でうまく話すだけで、常にハード化された施設に入り込んだり、接続資格情報を集めたりできるとは言わないが、ハッキングやペンテストを成功させるためには非常に重要な要素だと言いたいのだ。しかし、ハッキングやペンテストを成功させるためには、それが非常に重要な要素であると言いたいのだ。

ソーシャル・エンジニアリング

技術的な脆弱性とハッキングに関するあらゆる主要な研究は、同じ2つのことを述べている。第一に、ユーザ自身が最も弱いセキュリティ・リンクであり、故意であろうと過失であろうと、ユーザとその行動は、完全に塞ぐことのできない巨大なセキュリティ・ホールである。第二に、セキュリティ全体に対する最も深刻な脅威は内部攻撃者である。ほとんどの人がこの2つの文に同意しているが、セキュリティにおける最も強力で最も恐ろしい欠陥を考慮するために、この2つの文が同時に考慮されることはほとんどない。ソーシャル・エンジニアリングという悪夢へようこそ。 ...