信息安全意识培训之情景互动——黑客社交攻防大挑战

如何有效防范黑客的攻击?在不同人员的眼中方法各有不同,IT部门倾向使用入侵检测与防御系统,通讯部门乐于推荐加密电话,公关部门建议总裁高管们保持低调,安全部门希望能加强门禁控制和安全巡逻,人资部门则喜欢对可疑员工的背景进行审查,而大量员工则是认为面对黑客高手,常人应该束手无策,乖乖就犯。

实际上,不管组织大小,几乎所有员工都会面临各种类型的黑客攻击,这种广义的黑客攻击不仅仅包含黑客远程发现了组织的网络系统漏洞,并成功溢出这些漏洞和加以利用,实际上,更多的是形形色色的诈骗活动,在这些诈骗手段中,社交工程学Social Engineering则是非常主要的一种,而且是非常难以防范的一种。

这两年有一个比较热门的词汇APT,高级可持续性攻击,它实际上是一个有组织的黑客团队,在长时间内,综合多种攻击方式和手段,不断渗透组织的结果。而APT之中,社交工程学被运用到了极致。

因为社交工程学主要是针对人员的弱点,所以使用各类安全技术控管措施几乎难以帮忙,唯有通过有效的安全意识培训来提升员工们的安全警惕度和防范知识水平。而要提升社交工程防范,靠一些枯燥的专业说教帮助不大,员工们需要实实在在的案例。可是想展示组织内部的真实案例出来给员工,则成本高昂,原因是社交攻击伤不起。

如何才能让员工有社交网络攻击的亲身经历呢?使用模拟的社交攻击情景练习是最上策,展示他人的社交工程攻击案例并不足够,因为旁观者往往无法真实体验到受害者当时的心态特征和心理活动,而社交工程攻击者正是利用人们的这些心理弱点取得成功的。

此外,通过雇佣专业级的社交工程攻击黑客对公司职员进行入侵实战演练也是一种不错的方式,不过这种方式往往耗费不菲,昆明亭长朗然科技有限公司的安全培训讲师James Dong称:更容易接受的一种方式还是通过模拟的互动教学,这种方式已经在众多领域比如航空航天人员的技能训练里成功实施。

比如,如果雇佣黑客来通过电话渗透攻击组织的大量员工,所需耗费的电话资费和时间巨大,但是如果利用现代的信息技术,设计互动挑战游戏,便可轻松让全体员工参与到虚拟的黑客电话社交工程攻击防范活动之中。

我们有开发制作系列的“信息安全意识情景互动测试”,常规场景是黑客冒充官方人员比如公司高管,通过电话向员工套取密码的一个挑战,员工们只需完成一次参与,便终身难忘其中的教育意义,当然,安全教育的目标也就在轻松的娱乐游戏之中实现。

如果您对本互动游戏感兴趣,或想对此文谈谈您的观点,欢迎联系我们,以及洽谈业务合作。

电话:0871-67122372

手机:18206751343

微信:18206751343

邮箱:[email protected]

QQ:1767022898

中小零售商要特别小心在线诈骗

铺面租金随着地价水涨船高,新世代的员工们宁愿啃老也不肯接受低薪金,不景气宏观经济之下,线下体验线上购买的省钱之道盛行,让不少中小零售门店苦不堪言,只能在一拨投资打了水漂之后关门大吉,将机会和风险留给新的冒险家。

旧时做生意讲天时、地利与人和,现在电子商务、无处不在的互联网以及快捷便利的物流等等已经打破了传统的时空限制,让商业竞争变得白热化,利润当然被挤到了最小化。当然这更是商业竞争之道——以最优惠的价格提供最好的产品和服务。

传统的门店的“触网”行为并不仅仅是开个“网店”,更多的是某品牌的一个分销网络终端。背靠大树好乘凉,不管是直销分销还是代理加盟,诺大的中国,都是中小零售厂商和店面门市的竞争舞台。

信息化着实帮助中小零售商提升了商业竞争力,不仅能够极大帮助前端的营销和客服,更能科学指导设计开发、生产制造和物流配送。随之如个人电脑之类计算终端的成本剧降,基于云计算的CRM和ERP应用的日渐成熟,零售业信息化的普及势不可挡。实际上,我们在街头随便观察便可轻易看到多数店面都已经放置了网络收银设备和个人电脑设备。

然而大小零售商和店主儿们往往并非信息安全方面的专家,他们能够朦胧地意识到业务相关的潜在安全威胁,却无法清晰认识和掌控它们。

而那些形形色色的网络犯罪分子则将目光开始转移这些中小零售商,因为从他们这里窃取重要数据和偷钱相对于那些大型机构要容易得多。中小零售商那儿值钱的数据多为客户信息,而控制了POS机则可获得大量银行卡及信用卡等资料。

老板们可能觉得需要花费功夫教会店员们学习和掌握的信息系统,不会轻易被远在异国天边的网络黑客控制,实际上,正是这种信息安全意识的无知、大意和疏忽,让他们的商业竞争力受挫,进而导致客户流失、商业信誉受损甚至企业破产。

此外,乔装打扮成顾客进入店面的攻击者更为可怕,他们更可能轻易了解店面的信息系统和设备,进而快速定位安全防范弱点并加之利用和操控。

如何才能有效防范呢?昆明亭长朗然科技有限公司的零售业安全解决方案专员Bob Xue称:首先要解决的问题是安全观念的改变。知己知彼,认识不到那些潜在的商业安全风险才最可怕。其次,则是针对这些安全风险,实施和部署适当的风险控管措施。

中小零售商的信息安全管理也要遵循信息安全管理体系的标准,不过多数零售商并没有足够的资源来进行必要的工作,然而亭长朗然公司仍然建议老板们要监督执行如下必要的核心控管措施:

1.保障通讯的安全,在供应链、门市终端和中央信息系统之间设置VPN加密数据通讯;
2.设置高强度的密码和多重认证措施,特别注意强制门市终端更改默认密码;
3.加固各类终端的安全,这些终端包括但并不限于POS机、台式机、笔记本、智能手机、平板电脑等等;
4.加强对全体员工进行信息安全意识教育,让他们了解到基本的安全常识,知晓如何防范社交工程学攻击和保障客户隐私数据的安全,更要让他们养成良好的安全习惯,防止出现随意接受恶意附件的行为。
5.强化店面的物理安全,防范针对信息系统和设备的攻击和窃取,假如是日货品牌,则要多加注意在特殊时期悬挂国旗,在必要时加强保安力量甚至临时关门以防止被打砸抢。

针对零售业的在线诈骗数量巨大,想不成为受害者,必须加强对员工进行安全意识培训,同时改进网络信息安全控管措施。