博彩业站点喜欢在市区街头扔六合彩收据和VIP卡来引诱路人上钩，安全业的老外们也喜欢在停车场或办公楼附近扔些U盘进行安全测试，受其影响，国内的信息安全从业人员也开始陆续使用这种安全意识测试手段。

商业竞争激烈造成商业间谍无处不在，他们希望通过各种渠道获取竞争者的重要信息数据，当通过恶意挖角、威逼利诱不成之时，便会想到使用黑客攻击手段。而大型组织几乎都仍安装企业防火墙，想通过网关大门直驱进入公司内网已非事，通过其它渠道特别是利用普通员工来进行渗透已成为一种新的趋势。近来，U盘价格锐降至白菜价，通过在竞争对手的地盘内丢弃事前构建好的黑客U盘来发起渗透攻击不失为一种高级“木马”战术。

传统上，企业网络信息安全的工作主要是来防范外部威胁，实际上尽管安全管理层清楚地知道绝大多数安全事故起源于内部，但内部往往被认为是可信区域，员工们也被认为是可信的“自己人”。

多数公司的网络信息安全团队早早地在网络边界部署了强力的安全控管措施——防火墙、入侵检测与防御、网关防病毒等等。在来自外部的安全威胁大多被控管了之后，安全团队又开始强化内网安全，实施了包括网络准入、上网行为管理、网络过滤、监控和审计等等措施。在终端桌面，更是不会放松警惕，实施和不断更新着——防病毒、个人防火墙、补丁管理程序以及类似的工作站安全加固工具等等。

相比于单个终端工作站，边界网关的保护范围大不相同，自然安全投入要多得多，这让边界网关处于相对稳健的状态，即使是技艺高超的黑客也并不容易轻松拿下专业的网络安全防火墙的控制权限。

终端电脑的安全保护级别当然不能与整个边界网关相比，再加之最终用户被业界公认为是信息安全保障体系中最弱的一环，当然会成为黑客所利用的对象。针对终端电脑和最终用户，攻击者可能会发送钓鱼邮件，或通过社交网络进行诱骗，或通过电话进行社交工程攻击，或者便是本文要讨论的，通过扔U盘的方式。

构建能够自动运行黑客程序的U盘并不难，攻击者的成本算起来真的直逼白菜了。捡到U盘的人们往往以为发了意外小财，更可能充满了好奇心，于是将U盘插入到工作用电脑的USB插孔，于是悲剧来了。就像特洛伊故事中的情节一样，黑客事先植入到U盘中的恶意软件发作了，感染了一个又一个文件，传播到一台又一台电脑……

记得给伊朗核电站造成严重破坏的事故的Stuxnet蠕虫也利用了USB进行传输，所以，即使网络进行了内外隔离，员工们仍然不免会交叉使用USB设备，精心构建的病毒程序会自动搜索和分析机密文件并悄悄打包和伺机回传……

安全专家们如何获得测试的结果呢？通过回传终端电脑的用户数据或发送一个客户电脑标识信号指令到指定位置即可，安全业界通过评估和分析这项指标来了解员工们的安全意识。

近期，一家大型机构委托昆明亭长朗然科技有限公司进行了一项U盘安全意识测试，共丢弃了20个U盘，其中有19个U盘发回了信息，而这19块U盘至少被插进了23台电脑。可见问题的严重性，不过负责此项安全测试工作的亭长朗然公司安全分析师Bob Xue称：我们正在对最终用户进行安全意识教育，其中就包含防范陌生移动介质攻击一项。我们随机询问了员工们的反应，不少员工认为这种手段很新颖，必须小心防范。我们打算在一个季度后再测试一下，相信届时情况会有大的改观。

如果您对上述扔U盘安全意识测试的方法有兴趣或疑问，欢迎联系我们深入讨论或洽谈合作。