блог Дорофеева

Иногда, для того чтобы проникнуть в корпоративную сеть компании, не нужно использовать такие сложные технические приемы, как NTLM-инъекция, достаточно лишь просто подглядеть пароль пользователя. Так в ходе одного проекта мне удалось сфотографировать с помощью телефона наклейки “post it” с записанными паролями секретарей и впоследствии полученная информация значительно облегчила тестирование на проникновение в корпоративную сеть изнутри. Фотография была примерно такой (взято с сайта http://stanbiron.com):

Так и реальный злоумышленник сможет увидеть, какой вы используете пароль, просто подойдя к вам со включенной видеокамерой в мобильном телефоне в тот момент, когда вы вводите свое имя и пароль.

Подобная угроза актуальна и за пределами офиса. Сейчас во многих общественных местах появился доступ в Интернет через Wi-Fi, и все больше людей пользуется предоставленной возможностью удаленно подключиться к корпоративной сети и поработать. В таких местах они и могут стать жертвами подглядывающих злоумышленников. О том, в какой компании работает жертва, можно судить по наклейкам на ноутбуке или чемодане (некоторые приклеивают свои визитные карточки), либо по заставке на экране (корпорации любят, когда на рабочем столе пользователей красуется фирменный логотип). Также анализ фотографии экрана может очень многое рассказать, так можно увидеть имя учетной записи для доступа, например, к gmail или системе обмена сообщениями. Зная название компании, подсмотрев имя учетной записи пользователя и пароль для удаленного доступа, поверьте, можно многое сделать.

Защититься от подобной угрозы достаточно просто:

• создавайте физические барьеры, затрудняющие визуальный съем критичной информации;
• не работайте с критичной информацией в общественных местах, если же приходится, то садитесь спиной к стене
• используйте специальные защитные экраны, не позволяющие видеть содержимое экрана, если вы только не напротив него (notebook privacy filter);
• не наклеивайте на ваш ноутбук, сумку, чемодан наклейки с именем вашей компании. Оставьте фирменные футболки, кепки, рюкзаки и пакеты для своих клиентов и корпоративных пикников
• не используйте заставки с логотипами компании;