Искусство вторжения   ::   Митник Кевин

Поскольку проведение проверок может пересекаться с обычной работой компании, предусмотрено несколько «а что, если…». Кого следует уведомить, если вдруг нарушится предоставление той или иной услуги? В какую часть системы можно проникать и как? И как проверяющие поймут, до какого предела можно проводить атаку, чтобы не нанести непоправимые потери и не повредить бизнесу компании?

Клиенты часто просят ограничить проверки только техническими атаками и упускают из виду другие лазейки, которые могут быть еще более опасны для компании. Дастин Дюкс говорит:

«Независимо от того, что они говорят, я знаю, что поначалу они хотят только выяснить технические слабости их системы, но на самом деле их уязвимость может быть совсем в другом.. Опытный атакующий всегда пойдет по пути наименьшего сопротивления, отыскивая самое ненадежное звено в системе безопасности. Как поток воды, бегущий вниз по склону, атакующий пойдет к успеху самым простым и эффективным путем».

Атаки из области социальной инженерии, по мнению Дастина, всегда должны входить в состав проверок. (Более подробно о социальной инженерии мы поговорим в Главе 10 «Социальные инженеры — как они работают и как их остановить»).

В этот раз он был почти готов отказаться от этих «номеров из своего репертуара». Если атака физического проникновения не получится «в легкую», он не будет и пытаться это делать. Для него это самый нежелательный вариант даже при наличии «индульгенции».