Фальшивий технік
У нього інструменти, бейдж і дві хвилини. Однаково перевірте.
Що таке Фальшивий технік?
Щоб видати себе за техніка з обслуговування, досить ящика інструментів, бейджа й правдоподібної несправності. Прохання, яке звучить далі, завжди те саме: кілька хвилин на комп'ютері з виконаним входом. У цій вправі підрядник просить саме цього, називає номер наряду, коли ви його зупиняєте, і чекає, поки ви перевіряєте. Ви вчитеся читати бейдж, перевіряти візит у команди, яка мала б його забронювати, відмовляти в сеансі й повідомляти про спробу.
Що ви дізнаєтесь у Фальшивий технік
- Розпізнавати прохання працювати із сеансу працівника, де вже виконано вхід, як те, чого справжньому техніку ніколи не потрібно
- Сприймати бейдж підрядника як запис про прибуття, а не як підтвердження, що візит забронювали
- Перевіряти названий номер наряду в службі підтримки, а не приймати його як відповідь
- Протистояти тиску часу, націленому саме на ті кілька хвилин, яких потребує перевірка
- Повідомляти про невдалу спробу, щоб столи й поверхи, куди подасться відвідувач, уже були попереджені
Фальшивий технік — Кроки навчання
-
Принтер, який ніхто не може полагодити
Сіра середа, ранок у Penrow Analytics. Аліса на половині переробки квартального звіту, а черга друку третього поверху за її спиною вже другий день поспіль стоїть. Служба ІТ-підтримки надсилає своє звичне ранкове повідомлення.
-
Хтось у вас за плечем
За чверть десята чоловік у світловідбивному жилеті піднімається сходами з ящиком інструментів в одній руці і бейджем, прикріпленим до жилета. Він не зупиняється біля входу на поверх. Він проходить через увесь поверх і стає за кріслом Аліси, достатньо близько, щоб читати її екрани.
-
Легенда
Він привітний, неквапливий у манерах і квапливий у змісті, і точно знає, яку несправність назвати.
-
Прочитайте бейдж
Перш ніж відповідати, подивіться, що на ньому. Бейдж єдиний на цьому поверсі претендує на те, щоб сказати, хто він і хто його надіслав.
-
Що ви скажете?
Аліса ніколи не чула назви Tessmark Field Group, хоча вона й не мусить знати кожного субпідрядника, з яким працює будівля. Несправність, яку він назвав, справжня, черга за її спиною стоїть уже два дні, а він чекає з рукою, простягнутою до клавіатури.
-
У нього є номер
Запитання його не збиває. Він відповідає, адже саме для цього й носять номер із собою.
-
Перевірте в ІТ
Номер, названий уголос, нічого не вартий, доки хтось його не перевірить. Служба підтримки створює наряди й бронює візити, тож лише вона може це вирішити. Аліса повертається до екрана й питає їх, поки Гері досі стоїть за її кріслом.
-
Що ви їх запитали
Три рядки, надіслані, поки Гері досі стоїть за кріслом. Кожен виконує свою роботу.
-
Що каже ІТ
Роан відповідає ще до того, як Аліса встигає перечитати власне повідомлення.
-
Оберніться й відповідайте
Гері досі тут, досі чекає, досі привітний. Немає про що сперечатися і нічого доводити. Перевірка повернулася порожньою, і в цьому вся відповідь.
Охоплення стандартів безпеки
MITRE ATT&CK
- T1656 Impersonation
CIS Controls
- CIS 14.2 Train Workforce Members to Recognize Social Engineering Attacks
NIST CSF
- PR.AT-01 Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind