如何有效防范黑客的攻击？在不同人员的眼中方法各有不同，IT部门倾向使用入侵检测与防御系统，通讯部门乐于推荐加密电话，公关部门建议总裁高管们保持低调，安全部门希望能加强门禁控制和安全巡逻，人资部门则喜欢对可疑员工的背景进行审查，而大量员工则是认为面对黑客高手，常人应该束手无策，乖乖就犯。

实际上，不管组织大小，几乎所有员工都会面临各种类型的黑客攻击，这种广义的黑客攻击不仅仅包含黑客远程发现了组织的网络系统漏洞，并成功溢出这些漏洞和加以利用，实际上，更多的是形形色色的诈骗活动，在这些诈骗手段中，社交工程学Social Engineering则是非常主要的一种，而且是非常难以防范的一种。

这两年有一个比较热门的词汇APT，高级可持续性攻击，它实际上是一个有组织的黑客团队，在长时间内，综合多种攻击方式和手段，不断渗透组织的结果。而APT之中，社交工程学被运用到了极致。

因为社交工程学主要是针对人员的弱点，所以使用各类安全技术控管措施几乎难以帮忙，唯有通过有效的安全意识培训来提升员工们的安全警惕度和防范知识水平。而要提升社交工程防范，靠一些枯燥的专业说教帮助不大，员工们需要实实在在的案例。可是想展示组织内部的真实案例出来给员工，则成本高昂，原因是社交攻击伤不起。

如何才能让员工有社交网络攻击的亲身经历呢？使用模拟的社交攻击情景练习是最上策，展示他人的社交工程攻击案例并不足够，因为旁观者往往无法真实体验到受害者当时的心态特征和心理活动，而社交工程攻击者正是利用人们的这些心理弱点取得成功的。

此外，通过雇佣专业级的社交工程攻击黑客对公司职员进行入侵实战演练也是一种不错的方式，不过这种方式往往耗费不菲，昆明亭长朗然科技有限公司的安全培训讲师James Dong称：更容易接受的一种方式还是通过模拟的互动教学，这种方式已经在众多领域比如航空航天人员的技能训练里成功实施。

比如，如果雇佣黑客来通过电话渗透攻击组织的大量员工，所需耗费的电话资费和时间巨大，但是如果利用现代的信息技术，设计互动挑战游戏，便可轻松让全体员工参与到虚拟的黑客电话社交工程攻击防范活动之中。

我们有开发制作系列的“信息安全意识情景互动测试”，常规场景是黑客冒充官方人员比如公司高管，通过电话向员工套取密码的一个挑战，员工们只需完成一次参与，便终身难忘其中的教育意义，当然，安全教育的目标也就在轻松的娱乐游戏之中实现。

如果您对本互动游戏感兴趣，或想对此文谈谈您的观点，欢迎联系我们，以及洽谈业务合作。

电话：0871-67122372

手机：18206751343

微信：18206751343

邮箱：info@securemymind.com

QQ：1767022898

安全专家们常常会拿出一套套的理论，比如“多重防御”等等，这一理论强化使用多层安全控管措施来保护敏感信息，即使一层“失效”仍然有其它层在起着保护作用，不过不幸的是，往往多层中只有一两层在真正起作用。如果使用到“链条理论”上，多数专家会认为最薄弱的链条是“人员”。如果应用到“木桶理论”，“人员”的安全意识则成了最短的木板。

社会工程学或简称社工一词源于Social Engineering，实际上，如果没有加上“攻击”，则是我们日常天天看到的各类“洗脑”行径，包括广告、营销、教学等等。我们都会用到社工来企图说服或影响他人，这种影响多数是中性或良性的。当社交工程学被用于不良目的，便成了我们日常所讲的“社交攻击”。

网络钓鱼和电信诈骗是最常见的社交工程学攻击案例。网络钓鱼不再是简单的发送钓鱼邮件，而是通过恶意的网络广告、即时通讯软件，社交网站等等渠道进行。电信诈骗也不仅限于话费欠费和垃圾短信，而各种五花八门的东西都出来了。

对于企业级商业用户来说，奇奇怪怪的社交诈骗并不少见，产品推销还算中性，而那些不良居心的社交工程学攻击足以轻松越过任何复杂的网络防火墙和入侵防御系统，直接通过核心员工套取机密信息如用户名密码、商业战略和研发机密。如何有效防范社会工程学攻击呢？技术型的信息安全专家往往束手无策，因为这些和人性的弱点密切相关，非技术类安全手段所能有效控管。昆明亭长朗然科技有限公司的安全培训讲师Alice Wong说：防范社交工程学攻击，只有从安全意识培训抓起，但是很多安全意识培训课程并没有典型的商业级社交工程学攻击案例，往往停留在针对个人的社交攻击层面或社交攻击的理论层面，这显然是不够的。所以，很有必要让员工们了解到实际上会真正发生的“社交工程骗术”，这无疑需要一些模拟的场景以及合理的社交工程攻击防范战略。

社交工程攻击防范的最重要的一点是让人们敢于质疑，文革在一定程度上破坏了几代人的信仰体系，同时也让人与人之间多了些隔阂与怀疑，这却成为国人防范社交工程攻击的强项。然而我们也需看到不同文化背景和区域下社交工程攻击所表现的不同特点，西方文化比较尊重个性独立，国人有较强的盲从心理，所以要社交骗子往往会说其他人都已经如何如何了，要抓紧时间啦时，多数缺乏独立思考的国人会轻易受骗。另外，东亚文化受儒家影响严重，对长官的迷信胜于尊重，所以社交骗子打着权威部门或上级领导的旗号，很容易让中低阶的职员就范。显然，如果忽略区域文化的因素，简单抓取一些西方的社交培训资源是不完全适用的。

亭长朗然Alice分享了如下通过安全意识培训和建立社交防范战略体系来有效防范社交工程攻击的小贴士：

1.搜集、开发和维护多种不同的社交工程攻击案例，列出包括正确响应措施等多种可能的结果。

2.使用简练的大白话教育员工如何防范社交工程攻击，比如告知员工时时想一想“自己是否有权提供信息？对方是否有限了解信息？”阳春白雪故弄高深并非被群众所接受。

3.建立社交工程攻击响应及经验分享系统，这是一项很创新也很易实施的战略措施，简单的方式是建立一个邮件列表，鼓励员工将可疑的或亲自遭遇的社交工程攻击经历和体验写下来，发给一个特定的邮件地址，比如security@company.com，通过这个邮件列表，其他员工可以在受到相同的社交工程攻击手法之前就做好应对准备。

4.不定期实施模拟社交工程攻击测试，实际上现在的黑客攻击多数都会技术结合社交，所以在对内部信息系统进行技术层面的漏洞扫描和渗透测试之时，也应该强化对人员层面的社会工程学渗透攻击测试，测试也是模拟的演练，不造成实际的损失而获得宝贵的实践经验，更重要是在教育过程中提升了对社交工程攻击的应对能力。

总之，希望上面的一些经验分享能够帮助了解信息安全中社交工程学攻击的基础，以及如何帮助员工们避免成为社交工程攻击的受害者。