再谈社会工程学及其防范

社会工程学是一种操纵计算系统的用户,以令其泄露可用于获得对信息系统的未授权访问的机密信息的技术。该术语还可以包括诸如利用人类的仁慈、贪婪和好奇心来访问受限访问建筑物或使用户安装后门软件之类的活动。
了解黑客用来诱骗用户提交重要登录信息的欺骗手段是保护计算机系统的基础,就如同研究诈骗分子如何操纵受害者转账一样。对此,昆明亭长朗然科技有限公司网络安全专员董志军表示:社会工程学问题越来越突出,最近特别受大型机构如电网和运营商等机构的重视。然而,很多中小型机构并不熟知相关的概念,虽然经常遭遇,但是上升不到理论的高度。因此,往往难以有效防范,所以我们将向您介绍常见的社会工程技术以及如何使用安全措施来应对这些社会工程攻击。

社会工程学如何运作的?

  • 收集目标的信息:这是第一阶段,攻击者会尽可能多地了解目标受害者。该信息是从公司网站、其他媒体中收集的,有时是通过与目标系统的用户交谈来收集的。
  • 谋定计划攻击:攻击者对打算如何执行攻击设定一个大的框架和方向。
  • 准备充足的工具:这些工具包括攻击者在发起攻击时将使用的计算机程序,如钓鱼邮件模板、钓鱼网站、恶意程序、沟通脚本等等。
  • 发起攻击:攻击者利用目标人员及目标系统中的弱点,发起攻击。
  • 发起进一步的攻击:攻击者使用获得的信息,包括在社交工程策略中收集的信息,在社交媒体分集的信息等等,针对特定人员发起人性弱点攻击和综合性攻击,例如密码猜测等等。

社会工程常用技术

社会工程技术可以采取多种形式。以下是常用技术的列表。

  • 熟悉程度利用:用​​户对自己熟悉的人往往不太怀疑。攻击者可以在进行社会工程攻击之前使自己熟悉目标系统的用户。攻击者可能在进餐期间与用户进行交互,他可能会在社交活动等场合左右逢源。这使攻击者为用户所熟悉。假设用户在建筑物内工作,该建筑物需要访问密码或卡才能访问;攻击者可能会在用户进入此类场所时跟踪他们。用户最喜欢为攻击者打开门,因为他们相信面熟的人。攻击者还可以要求您回答一些调查问卷问题,例如您在哪里认识了您的配偶、您的高中数学老师的姓名等。用户相信自己熟悉的面孔,很可能会透露答案。这些信息可被黑客用来入侵电子邮件帐户,或者重置其他询问类似问题的帐户的密码。
  • 令人生畏的情况:人们倾向于回避对周围其他人构成威胁的人。使用此技术,攻击者可能假装在电话中对受害目标用户进行威胁恐吓。然后,攻击者可能会要求用户提供可能会危害用户系统安全性的信息。用户很可能会给出正确的答案,因为人们有避免与攻击者对抗的天性。该技术还可用于避免在安全检查点比如门卫岗的身份检查。
  • 网络钓鱼:此技术使用欺骗手段从用户那里获取私人数据。社交工程师可能会尝试假冒知名网站、外包机构甚至客服人员,然后要求毫无戒心的用户确认其帐户名和密码。该技术还可用于获取信用卡信息或任何其他有价值的个人数据。
  • 尾随入侵:这项技术包括在用户进入禁区时紧紧跟随用户。出于礼貌,用户最有可能将社交工程攻击者放入到安全禁区或受限工作区域。
  • 利用人类的好奇心:使用这种技术,社交工程攻击者可以将受病毒感染的闪存盘故意放置在用户可以轻松拾到的区域。用户很可能会将闪存磁盘插入计算机。闪存盘可能会自动运行该病毒,或者可能会诱使用户打开一个文件,该文件的名称实际上可能是受感染的文件,例如“绩效报表.docx”。
  • 利用人的贪婪:使用这种技术,社会工程攻击者可以通过填写调查表格中大奖或者出售文件换积分等方式诱导用户,并套取用户的个人信息如身份证、支付卡号码、密码等详细信息。

社会工程学攻击对策

  • 社会工程学攻击者采用的大多数技术都涉及操纵和人性弱点。为了应对这种技术,组织可以;
  • 对抗熟悉程度漏洞,必须对用户进行培训,以使严格遵守安全措施,不可轻易迷信脸熟的人员。即使是他们熟悉的人员,也必须证明他们有权访问某些区域和信息。
  • 应对威胁恐吓的攻击情形,必须对用户进行培训,以识别可能是窃取敏感信息的社交工程技术,并学会礼貌地说不或委婉地拒绝。
  • 打击网络钓鱼技术,大多数网站都使用安全连接来保障通讯的安全,这就需要对用户进行安全知识培训,以使其有能力识别出钓鱼邮件和假冒的不法网站。
  • 对抗好奇心和贪婪的本性,需加强对用户的安全意识提升,以让其变得聪明起来,能够警惕一些异常情况,不至于轻易上钩。

此外,针对几种常见的网络电信诈骗,我们列出几个经典的场景,让用户慧眼识别。

  • 利用QQ盗号和网络游戏交易进行诈骗,冒充好友借钱;
  • 网络购物诈骗,收取订金骗钱;
  • 网上中奖诈骗,利用传播软件随意向互联网QQ用户、邮箱用户、网络游戏用户、淘宝用户等发布中奖提示信息;
  • “网络钓鱼”诈骗,利用欺骗性的电子邮件和伪造的互联网站进行诈骗活动,获取受骗者财务信息进而窃取资金。

近年来,不法分子的伪造质量和攻击水平已经提高到了前所未有的厉害程度,有的几乎很难让人识别出来,有些钓鱼邮件和假冒网站看起来和真的一样,非常精致,即使训练有素的专业人员也可能被愚弄。攻击场景编排的越可信,成功的可能性就越大。对此,古人云:道高一尺、魔高一丈。防范社会工程学攻击,强化用户的安全意识和警惕心,永远不能停,永远在路上。

昆明亭长朗然科技有限公司创作了大量的防范社会工程学攻击的宣教资源,包括动画视频、海报壁纸、电子通讯、互动游戏、微课模块儿等等,我们也在不断跟进社会工程攻击的演变趋势,及时更新作品并给出应对建议,欢迎有兴趣和有需求的客户及行业伙伴联系我们,洽谈采购及业务合作事宜。

  • 电话:0871-67122372
  • 微信、手机:18206751343
  • 邮件:info@securemymind.com
  • QQ: 1767022898

信息安全体系中的人员教育要素及实践探索

在保护网络安全方面,大多数信息安全管理者倾向于只使用访问控制防火墙、恶意软件防范、敏感数据加密、安全漏洞评估与管理、客户信息访问记录等安全措施,通常会忽略一个明显的安全漏洞,就是最终用户的弱点。对此,昆明亭长朗然科技有限公司网络安全观察员董志军表示:传统的网络基础架构安全体系已经非常成熟,这是因为很多组织机构已经投资了尖端的安全软件,并且拥有了出色的IT人才。不过,网络的连通性越来越强,最终用户可以借助强大的网络终端设备,随时随地连接到信息系统、获得并处理信息,这给传统的网络安全架构体系带来新的挑战,并非强化终端计算设备的安全管理就可以解决的,近来,网络钓鱼诈骗、社会工程攻击等等都是很多企业入侵事件的原因。

用户无疑是网络安全防范体系中最薄弱的环节,不过话说回来,也可能是最大的财富。网络大神通常说:在安全性方面,用户既是最大的资产,也是最薄弱的环节。用户了解遵循的流程和策略以及被忽略的流程和策略的真实情况,他们可以成为衡量安全措施有效性的一个很好的指数标和晴雨表。

教育最终用户关于他们在组织安全最佳实践中的作用是加强安全策略的最有效方法之一。为什么网络安全培训教育至关重要呢?有几个原因。技术几乎融入了现代生活的各个方面,包括我们的工作、电话、汽车到房屋。随着智能技术的发展,网络犯罪对我们的生活产生巨大影响的方式急剧增加。不幸的是,问题的范围常常被忽视。这是因为,当我们想到网络犯罪和黑客攻击时,往往会想到是上了全国头条新闻的坏事,例如大规模的网站入侵、身份盗窃和股票操纵。实际上,网络犯罪有无数种方式可以影响人们的个人和商业生活,并且必须意识到,这些犯罪的最严重后果并不总是金钱损失。

想象在不久的将来,大多数人都拥有自动驾驶汽车。再想象一下,即使其中一家汽车公司的网络安全受到破坏,也可能造成昂贵又致命的潜在损害。在技​​术不断以指数级增长的世界中,更相关的问题是,网络安全意识培训该如何进入到组织机构和社会大众,以便引起全民的重视?全国层面的网络安全宣传周流于形式,目标受众往往是没有信息基础的中老年人,缺乏有深度的内容。

昆明亭长朗然科技有限公司开发了大量的安全意识课程,该课程涵盖从如何识别最终用户最常见的威胁到使用强密码到与BYOD相关的风险以及如何防止常见安全漏洞的所有内容。我们将课程框架的重点放在最终用户面临的持续的日常威胁以及如何应对这些威胁上,并结合了动手学习。例如,我们希望最终用户知道网络钓鱼电子邮件是什么样子,以及他们如何检查邮件的的合法性以识别出那些社会工程手段。最终用户在应该了解最佳实践背后的原理时积极参与组织的安全策略,而不是死板地遵循IT安全部门下达的命令。

安全意识教育是双向的,有效的安全教育需要定期的沟通,并且必须共享信息,使安全性对话成为日常业务的一部分可以帮助最终用户理解安全性是每个人都应该关注的问题。通过发送定期的电子邮件公告或时事通讯,并提供更正式的基于计算机或讲师指导的教育和课程,将大大增强沟通的频率和效果。此外,还可以使宣教内容具有针对性,适用于人们的家庭生活,这样,安全意识信息才更容易被理解、接受和保留。

通常来讲,每年进行一次大型的全面的基于在线课程学习的活动,加之每月定期的安全公告或知识更新,每季度混合使用互动的安全测试及教学游戏,加之安全检查及整改行动,即可以达到良好的安全意识沟通效果。员工们即拥有了全面的知识体系并保持年度更新,又能了解到近期的安全态势和吸取安全事故原因,切能在实际工作中加以践行。

总之,人员是网络安全防范体系中的第一道防线,技术往往是最后一道防线。在技术控管方面,应该采用防病毒、反垃圾邮件和数据丢失防护解决方案等等,来监视所有的通信渠道包括电子邮件、网络浏览甚至所有终端设备上的关键信息丢失。不过,永远记住,信息安全管理是基于人员教育,作业流程和技术控管的解决方案的组合,只有三者紧密结合,方可帮助组织最大程度地降低其信息安全风险。

  • 电话:0871-67122372
  • 微信、手机:18206751343
  • 邮件:info@securemymind.com
  • QQ: 1767022898