[논문 리뷰] User Awareness Measurement Through Social Engineering

Tolga Mataracioglu, Sevgi Özkan|arXiv (Cornell University)|2011. 08. 10.

Spam and Phishing Detection참고 문헌 10인용 수 11

한 줄 요약

이 논문은 주로 전화 기반 사회공학 공격을 통해 터키 공공 기관의 사용자 정보 보안 인식을 평가한다. 결과적으로 많은 직원들이 기본적인 보안 인식을 결여하고 있으며, 신뢰와 사회적 신호를 악용하여 민감한 정보를 성공적으로 유출하는 사례가 많아 조직 보안 문화의 체계적 취약성을 드러낸다.

ABSTRACT

TUBITAK National Research Institute of Electronics and Cryptology (UEKAE) Department of Information Systems Security makes social engineering attacks to Turkish public agencies within the frame of "Information Security Tests" [19]. This paper will make an analysis of the social engineering tests that have been carried out in several Turkish public agencies. The tests include phone calling to sample employees by the social engineer and trying to seize employees' sensitive information by exploiting their good faith. The aim of this research is to figure that the employees in Turkish public agencies have a lack of information security awareness and they compromise the information security principles which should be necessarily applied for any public agencies. Social engineering, both with its low cost and ability to take advantage of low technology, has taken its place in the information security literature as a very effective form of attack [8].

연구 동기 및 목표

• 터키 공공 기관 소속 직원들의 정보 보안 인식 수준을 평가하기 위해.
• 실제 세계의 사회공학 시뮬레이션을 통해 조직 보안 문화의 체계적 취약점을 특정하기 위해.
• 저비용, 인간 중심의 공격이 기술적 보안 조치를 어떻게 우회할 수 있는지 보여주기 위해.
• 사회공학이 민감한 정보를 유출하는 데 얼마나 효과적인지에 대한 경험적 증거를 제공하기 위해.

제안 방법

• 터키 공공 기관 소속 직원들을 대상으로 무단 전화를 통한 사회공학 테스트를 수행하였다.
• 민감한 정보(예: 암호 또는 개인 정보)를 유출하기 위해 실제 세계의 공격 시나리오를 시뮬레이션하였다.
• 신뢰, 긴급성, 권위를 악용하여 직원들이 협조하도록 유도하는 데 중점을 두었다.
• 테스트 사례 간 일관성과 재현 가능성을 확보하기 위해 표준화된 공격 템플릿을 사용하였다.
• 성공률, 반응 시간, 상호작용 중 직원 행동 등의 데이터를 수집하였다.
• 결과를 분석하여 인식 격차를 정량화하고 공통적인 실패 패턴을 특정하였다.

실험 결과

연구 질문

• RQ1 터키 공공 기관의 직원들은 사회공학 공격 시도를 얼마나 잘 인식하고 적절히 대응하는가?
• RQ2 저비용, 인간 기반의 공격이 통제된 환경에서 민감한 정보를 얼마나 효과적으로 유출하는가?
• RQ3 조직 환경에서 성공적인 사회공학을 이끄는 특정 행동 또는 신호는 무엇인가?
• RQ4 조직 정책과 교육이 시뮬레이션된 공격에서 관찰된 직원 반응과 어떤 관련이 있는가?
• RQ5 공공 부문 기관 내에서 사회공학에 자주 악용되는 가장 일반적인 인간 요인은 무엇인가?

주요 결과

• 시뮬레이션된 전화 통화 중 다수의 직원이 사회공학 공격 시도를 인식하지 못하고 적절히 대응하지 못했다.
• 상당 수의 테스트 케이스에서 민감한 정보가 성공적으로 확보되어 정보 보안 인식이 낮다는 것을 시사한다.
• 직원들은 보안 정책 위반 여부와 관계없이 상대적 권위, 긴급성, 예절을 이유로 요청에 자주 응답했다.
• 연구 결과에 따르면 기술적 보안 조치만으로는 부족하며, 동시에 인간 인식 교육이 필요하다.
• 공통적인 실패 패턴으로는 확인 절차 부족과 언어적 권위에 대한 과도한 의존이 있었다.
• 결과적으로 공공 부문 기관에서 지속적인 보안 인식 프로그램의 필수성은 명백히 드러났다.