Tailgating an der Gegensprechanlage
Ein Kurier vor der Tür ist kein Ausweis.
Was ist Tailgating an der Gegensprechanlage?
Ein verschlossener Eingang hält nur so lange, wie die Person an der Gegensprechanlage tatsächlich prüft. Sie sehen zunächst mit an, wie ein ungeprüftes Hereinlassen von Anfang bis Ende abläuft, und übernehmen dann selbst: Sie befragen einen Anrufer, der nicht sagen kann, für wen eine Lieferung bestimmt ist, wägen eine hastige Ausrede gegen die eine Sache ab, die er Ihnen nicht verrät, und melden den Versuch, damit die nächste Tür im Block schon gewarnt ist.
Was Sie lernen in Tailgating an der Gegensprechanlage
- Erkennen, dass ein ausweiskontrollierter Eingang nur Personen verifiziert, die sich bereits im Gebäude befinden, sodass wer auch immer die Gegensprechanlage bedient, den Anrufer trotzdem noch prüfen muss
- Nachvollziehen, wozu ein einziges ungeprüftes Hereinlassen führt, sobald jemand drinnen ist – von einem unbeaufsichtigten Whiteboard bis zu einem Gäste-Netzwerkschlüssel und einer an einer Wand notierten Kundenliste
- Die verräterischen Anzeichen erkennen, die einen echten Besucher von einem Vorwand unterscheiden: eine fehlende Uniform, ein fehlender Ausweis, kein Name für die Lieferung
- Den Grund eines Anrufers für den Zutritt überprüfen, indem Sie eine direkte Frage stellen, die ein echter Besucher ohne Zögern beantwortet, statt eine ungeprüfte Ausrede zu akzeptieren
- Zutritt verweigern, wenn die Identität nicht bestätigt werden kann – auch wenn der Anrufer ungeduldig, sympathisch wirkt oder während einer bekannten Besetzungslücke vor der Tür steht
- Einen unbestätigten Zutrittsversuch sofort dem Sicherheitsteam melden, damit eine Beschreibung weitergegeben werden kann, bevor dieselbe Person es an einer anderen Tür versucht
Tailgating an der Gegensprechanlage — Trainingsschritte
-
Letzter Dienstag
Dieselbe Mitteilung vom Facility-Management ging vor einer Woche herum, und dieselbe halbe Stunde verging, ohne dass jemand am Empfang saß. Alice sitzt an ihrem Schreibtisch. An der Wand neben ihr trägt das Sprint-Board immer noch die Kundenliste dieses Quartals, dazu den Gäste-WLAN-Schlüssel, den im März jemand für einen Besucher aufgeschrieben hat und den niemand je wieder abgewischt hat.
-
Der Summer, letzte Woche
Um 09:14 Uhr beginnt das Wandgerät zu summen. Die Kamera zeigt einen Mann in einer schlichten Jacke an der Straßentür, der mit beiden Armen eine Kiste an die Brust gedrückt hält. Der Empfang ist nicht besetzt, also fällt es Alice zu.
-
Die Gegensprechanlage bedienen, letzte Woche
Letzte Woche hat Alice abgenommen, ohne groß nachzudenken. Ein Kurier an der Tür während der Empfangslücke ist ein ganz normaler Dienstag, kein besonderes Ereignis.
-
Seine Masche
Er redet schnell, wie jemand, der vor zehn Uhr noch drei weitere Lieferungen abzugeben hat.
-
Was Alice gesagt hat
Er hat eine Kiste dabei, er hat es eilig, und der Empfang ist in einer Viertelstunde wieder da. Letzte Woche hat Alice die Frage beantwortet, die er gestellt hat.
-
Öffnen
Letzte Woche hat Alice auf Öffnen gedrückt. Drücken Sie jetzt darauf, und sehen Sie zu, wie sich die Tür unten für einen Mann öffnet, den niemand überprüft hat.
-
Zwei Minuten
Alice widmet sich wieder ihrem Posteingang. Der Mann mit der Kiste kommt nicht hoch, um etwas zu übergeben, und das erwartet auch niemand. Er nimmt die Treppe.
-
Er hat nicht gewartet
Zwei Minuten später ist er im dritten Stock. Jetzt keine Kiste mehr, kein Ausweis, und niemand an den Schreibtischen hat Grund, sich zu fragen, wer er ist. Um das Paket ging es nie. Um die Tür schon.
-
Das Board
Er geht ohne anzuhalten an den Schreibtischen vorbei und bleibt beim Board stehen. Handy hoch, zwei Fotos, etwa vier Sekunden.
-
Verschwunden
Er steckt das Handy weg und verlässt das Gebäude auf demselben Weg, in demselben gemächlichen Tempo. Niemand im Stockwerk hat zweimal hingeschaut. Die Kiste, falls überhaupt je etwas darin war, ist nirgendwo angekommen.
Abdeckung der Sicherheits-Frameworks
MITRE ATT&CK
- T1656 Impersonation
CIS Controls
- CIS 14.2 Train Workforce Members to Recognize Social Engineering Attacks
NIST CSF
- PR.AT-01 Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind