小型企业的IT经理购买并实施昂贵的安全技术，希望能够避免网络攻击。但是他们往往忽视了一件关键的事情：员工是他们网络安全策略中最薄弱的环节。根据昆明亭长朗然科技有限公司的一项研究，成功的网络攻击中有85％是通过网络钓鱼邮件发起的，这其中又有90％是从毫无戒心的员工那里窃取的信息而进行的。CNCERT的一项统计表明：导致数据泄露的恶意软件中，有66％是通过恶意电子邮件附件安装的；28％的网络攻击涉及内部人员，而68％的安全事件是人为错误的结果。

既然网络攻击大部分源自于网络钓鱼。那什么是网络钓鱼呢？网络钓鱼是一种社会工程形式，涉及发送声称来自信誉良好的个人和/或机构的电子邮件，并诱使接收者透露诸如银行详细信息或密码之类的敏感信息，或诱使用户单击某些恶意构建的网址。网络钓鱼的技术门槛低，发动起来很容易，并且经常以脆弱的“人性”为目标。尽管在传统上，恐惧感、好奇心和乐于助人的天性是黑客利用最多的人类情感，但如今，成功的网络钓鱼尝试针对的是人类对娱乐、社交互动和奖励/认可的需求。对此，昆明亭长朗然科技有限公司网络安全研究员董志军补充说：这一点其实很容易理解，根据“马斯洛需求层次”理论，人类的情感需求很丰富，随着社会发展和人们生活水平的提高，各种情感需求如“社交需求、尊重需求和自我实现需求”都会开始大量涌现。

需知，网络钓鱼并非总是以电子邮件的形式出现，它也可能通过微信等社交媒体并搭配伪造的网站进行，看起来钓鱼网站与原始的网站域名非常相似，但是钓鱼网站会捕获人们的机密信息。此外，网络钓鱼的渠道还可包括试图收集机密信息或说服受害者转移资金的电话或短信。因此，我们需要认真应对网络钓鱼尝试，不过，单靠IT安全技术并不能阻止利用社会工程学技术操纵人们泄露机密信息的网络攻击。

那么，有什么好招儿应对网络钓鱼攻击吗？从战略上讲，利用人类情感需求的攻击，还需从人类情感入手进行防范，这是非常复杂的，我们不能让人们都变“坏”，但是却可以让人们防止他人的“坏”。从战术上讲，让人们理解这些人性、心理和情感方面的需求，理解“坏人们”可能如何利用它们，以及我们该如何防范。要实现这些，无非需要从人员要素入手，一种最有效、廉价的方法便是安全意识培训，实施安全意识培训计划可以帮助员工们提高对网络攻击的认识，提高对网络安全最佳实践的了解。那么，什么是安全意识培训和安全意识培训计划呢？

安全意识培训是对员工进行网络安全最佳实践教育的正式过程。它应教会员工如何识别欺诈性电子邮件和有害网站，并防止单击恶意链接或泄露机密数据。安全意识培训计划包括在线培训材料、基于计算机的交互式安全培训材料、员工签署培训文档确认信息安全准则、真实网络攻击的案例模拟、游戏化的练习等等要素的组合。

欧洲网络安全局一项调查表明：设计和实施定期安全培训计划以对员工进行安全最佳实践教育的组织，在过去两年内遭遇的与用户相关的数据泄露风险（如网络钓鱼）降低了48％。因此，创建引人入胜的持续安全意识培训计划将给组织机构带来许多安全方面的好处。昆明亭长朗然科技有限公司专注于帮助各类型机构建立有效可行的安全意识培训计划，我们有大量的高质量安全意识宣教培训内容资源，如果您需要我们帮忙策划安全意识宣传活动，或者需要安全培训课程资源，请不要客气地联系我们。

• 电话：0871-67122372
• 手机：18206751343
• 微信：18206751343
• 邮箱：info@securemymind.com
• QQ：1767022898

尽管现在业界有很好的安全控制技术，但是如果用户在维护信息安全方面没有发挥作用，我们将遇到严重的安全事件，特别是人为因素引起的安全问题。对此，昆明亭长朗然科技有限公司安全意识宣传员董志军称：众所周知，所有机关单位、公司企业中最严重的安全漏洞不是技术缺陷，而是人为错误。网络罪犯非常清楚这个事实，这就是为什么有记录的信息安全违规事件中有86%涉及社会工程攻击的原因。

毫无疑问，信息安全管理负责人员必须使用户们了解识别钓鱼邮件、虚假网站、诈骗消息和其他社会工程攻击手法。可惜的是，很多安全意识培训计划几乎无济于事，原因是没有积极地将社会工程意识的纳入安全意识工作方向。为帮助各位安全管理人员、员工培训人员避免此类陷阱，我们向您分享如下几招社会工程学防范的安全意识提升小技巧。

一、促进用户参与。让用户积极参与社会工程预防过程是安全意识计划生效的关键组成部分，多项研究表明，游戏化是提高员工敬业度的最佳方法。在安全意识计划中使用游戏化的一种方法是鼓励用户将可疑的诈骗邮件、诈骗消息等转发给安全响应团队，然后再将其从收件箱中删除。激励措施的方法可以是很简单的，比如经理或高管或安全部门在公司范围对相关行为人员进行表扬认可（安全标兵、防诈先锋等），也可以是物质方面的投入，比如给相关人员每月抽取现金或奖品的机会，奖品可以是安全小工具或文具等小玩艺儿。促使用户参与社会工程学攻击防范时要记住的一点就是：当人们觉得自己的努力得到认可时，他们就会更多地参与该活动。

二、使用真实的或身边的网络钓鱼事件案例。告诉用户对打开未知来源的消息保持警惕并不能提供足够的洞察力来保护用户免受当今复杂的威胁。更好的方法是共享现实生活中的示例，并指出网络钓鱼方案的明显迹象。昆明亭长朗然科技有限公司有一个名为“网络钓鱼蜜罐”的网站，其中包含大量“近期网络钓鱼最新示例”，以及有关网络钓鱼消息的详细信息。

三、结合模拟社工渗透测试。要评估安全意识计划的有效性，就需要对用户进行社工防范意识的测试，当然需要使用合适的定制化主题。通常来讲，在动画或讲解课程结束时进行10、20道单项选择测试题的测验是不充分的。确保用户理解您的消息的更好的方法是使用模拟钓鱼测试。模拟钓鱼测试需要将用户置于真实的环境中并观察他们的选择。要注意的是，在培训过程中，参训用户们会非常警觉。这就是为什么模拟社工测试应在正规培训课程后的一段随机时间内继续进行。例如，在周二上午可以向指定的用户组发送包含链接或附件的模拟钓鱼电子邮件，如果单击该链接或附件，则会弹出一个窗口，通知用户，如果该邮件是真实的网络钓鱼邮件的话会发生什么情况。再例如，在周三下等可以向指定的用户群发送包含领导要求加入QQ群的短消息，看哪些用户会加入QQ群，在入群后立即通知用户他/她们，如果该群是电信诈骗的话结果会是什么。当然，也要将未通过测试的人员，也就是“被社工渗透”的人员清单通报给安全团队或经理，并利用该机会教育员工他们做错了什么以及如何避免日后的失误。昆明亭长朗然科技有限公司有一套功能强大在线的模拟钓鱼平台，也还有一套简单实用的模拟钓鱼脚本，都可以被用来实施模拟社工渗透测试。

放眼未来，我们将在工作场所看到越来越多的勒索软件和其他恶意软件攻击。提供全面的钓鱼邮件保护及其他网络安全措施将继续是保护信息数据防止泄露及安全事故的重要手段。此外，确保用户发挥自己的作用，避免网络犯罪分子利用诱饵迅速绕过这些安全防护机制并获得他们最想要的宝贵数据资源，将比以往任何时候都更加重要。如果您认可用户的安全意识的行为在整体信息安全保障体系中的重要作用，请联系我们，洽谈业务方面的合作。

昆明亭长朗然科技有限公司

• 电话：0871-67122372
• 手机：18206751343
• 微信：18206751343
• 邮箱：info@securemymind.com
• QQ：1767022898