"Bücher"... wohl eher "Bibliotheken"
SE steht sowieso immer ganz oben auf der Liste (weil dümmer geht's einfach nicht mehr), das ist aber nicht nur in der IT so, auf den Zug sind auch schon die ganz normalen Einbrecher aufgesprungen
Wo Du grade das Mail-Thema ansprichst... auch immer wieder schön (nebst internen IP-Adressen und Hostnamen), das "authenticated sender" in den Headern und schon hat man seinen ersten Username (fehlt nur noch ein bisschen SE für das schwache Passwort *hust*), dabei gibt es ja durchaus Möglichkeiten, solche Dinge in den Griff zu bekommen. Interessiert nur die meisten nicht... Was die AS angeht, so ungefähr meinte ich das vorhin auch mit den PTR's und den Zugehörigkeiten. Wobei es ja nicht direkt ein ganzes AS sein muss, ein entsprechendes Netz reicht ja schon (dafür braucht man ja nicht zwangsläufig ein AS).
"Die Tendenz geht aber klar dazu, den Faktor Mensch auszunutzen" das war schon immer so (wenn Du nun nicht gezielt "nur" SE meintest), auch wenn man es früher nicht so "nötig" hatte
Ich mein sicher... früher war es aus "technischer" Sicht schon "bedeutend" einfacher als heute und es gab auch einfach viel weniger Soziales über die Leute im Netz. Wer heutzutage Passwörter raten will, schaut einfach beim Facebook-Account des gewünschten Users nach den Namen und Geburtstagen von Familienmitgliedern (und Haustieren). Bei physikalischen Zugängen helfen auch immer die Postits am (und rund um) den Monitor... Nimmt sich ja im Grunde nix, ob irgendein "Hacker" eine Person ausnutzt, oder irgendwelche Geheimdienste oder sowas... Da klingelt dann halt irgendwer irgendwie für irgendwas, verschafft sich Zutritt und schaut dann, dass er ggf. unbemerkt irgendwo eine Wanze versteckt, oder - liest man ja auch "immer wieder" - einfach nur alte Leute beklaut. Ich sag mal so: Ist halt blöde für die Gesellschaft gelaufen, dass ERST der Facebook-Hype kam und DANACH erst (für die breite Allgemeinheit) das Thema Sicherheit auf dem Tisch gelandet ist. Jeder hat es auch mit Sicherheit schon mal gehört "ich hab ja nix zu verbergen" (das war bei der Thematik Vorratsdatenspeicherung auch schon immer so eine der Hauptaussagen).
Für gezielte Angriffe gibt es - meiner Meinung nach - auch nichts "besseres" als SE, wobei ... wenn man ehrlich ist... soviel tut da überhaupt nicht Not (je nach Zielvorhaben)... das einfachste Beispiel wäre der Name des Geschäftsführers (welcher überall frei einsehbar ist)... Im Namen dessen kriegt irgendwer eine Mail innerhalb der Firma... Wer würde da bitte nicht drauf klicken (wenn entsprechend ordentlich formuliert), wenn die Mail (augenscheinlich) vom Geschäftsführer kommt? Da wird i.d.R. nicht mehr groß "geprüft", sondern einfach nur noch panisch geklickt...
Ein anderes - direkteres Beispiel - synology-forum.de hat - ganz offensichtlich - irgendwelche Verträge mit Seagate (ansonsten würde hier nicht soviel Werbung von denen landen). Wie sieht's denn aus mit einer Mail á la " Betreff: Änderung Ihres Seagate-Partnervertrages", Inhalt: "Sehr geehrte Damen und Herren (oder direkter Herr Rendenbach), aufgrund interner Umstrukturierungen werden auch Änderungen an unseren Partnerverträgen vorgenommen. Die alten Partnerverträge verlieren Ihre Gültigkeit zum 01.08.2019. Eine Übersicht über die Änderungen finden Sie hier (Link). Wenn Sie Ihren derzeitigen Vertrag ab dem 01.08.2019 mit den entsprechenden Änderungen weiterführen möchten, klicken Sie bitte auf den unten stehenden Bestätigungslink. Wünschen Sie in Zukunft keinerlei Benachrichtungen dieser Art mehr, können Sie sich hier vom Mailverteiler abmelden (Link). Mit freundlichen Grüßen, Ihr Seagate-Partnerteam" ... oder irgendwie sowas... Punkt ist dabei sowieso immer "nur", dass man einen Benutzer zur "sofortigen Handlung" bekommt. Es macht ja nur noch den Unterschied, ob man vorher schaut, was sich hinter dem Link verbirgt, oder ob man einfach direkt klickt. In diesem Beispiel sind eben auch alle Informationen frei verfügbar. Grade bei gezielten Angriffen, ist es natürlich auch noch umso einfacher an notwendige Informationen zu kommen. Noch einfacher (bzw. glaubwürdiger) wäre es z.B., wenn man auf den Seagate-Websiten noch die Namen der Ansprechpartner für die Seagate-Partner in Deutschland (oder DACH-Region) finden würde, dann könnte man deren Namen darunter setzen. Ich gehe nun nicht davon aus, dass diese Mail blindlinks angeklickt wird, ist aber ein gutes Beispiel dafür, wie man sich Zutritt verschaffen kann. Wenn man bedenkt, dass am anderen Ende z.B. eine Empfangsdame sitzt, die eine Anweisung vom "Chef" bekommt, da wird nicht mehr viel gefragt, sondern einfach nur gemacht... "und so zerbröselt der Keks nunmal"
Ich sag es auch immer wieder: technische Sicherheit ist eine Sache, die Mitarbeiter entsprechend zu schulen (damit nicht auf jeden Rotz geklickt wird) eine ganz andere...
