解决“社会工程学攻击”网络安全难题

网络罪犯广泛地使用社会工程攻击来潜入组织内部,并使用巧妙的方法欺骗公司员工和个人,以哄骗目标机构涉密或内部的信息数据,这种攻击方法很复杂。尽管现在的防御措施也越来越强大,但是仍然有大量的网络安全事件发生,这显得有些矛盾。对此,昆明亭长朗然科技有限公司网络安全顾问董志军表示:这个问题并不是新鲜的,网络安全管理负责人应该更清晰地认识到防范网络罪犯,不仅仅是IT部门通过技术手段可以解决的问题,更是需要得到用户的理解和支持。

美国安全机构的一项权威统计数据称:近几年,确定的社交工程受害者人数每年增幅高达270%。国内一项针对CSO和CISO们的最新的调查表明,网络信息安全管理者目前最头痛的是高素质网络安全人才的缺乏,其次便是如何保护组织中最薄弱的安全环节,也就是组织机构内部的最终用户。说到底,在网络安全管理者越来越认识到网络安全博弈便是人才的竞争之时,犯罪分子的眼光也瞄向了人员的安全弱点。

什么是社会工程学攻击

社会工程学是一种操纵公司员工的简便而有效的方法,目的是使他们泄露机密而宝贵的公司信息。社会工程学有多种方法,使用这些方法的攻击者通常很善于进行心理操纵,以种种复杂的方式瞄准毫无戒心的员工,寻找非常机密的信息,例如密码、银行信息等,甚至控制计算机以在系统中安装某些恶意软件。

可以肯定地说,这些攻击者们知道目标组织网络中确实存在的安全漏洞,毕竟这个世界中没有弱点的人员和机构是几乎没有的。由于组织机构在网络安全中存在无法识别的弱点,因此职员们可以将机密信息泄露到无法修复的难堪程度。社会工程学骗子往往藏人群之中,他们甚至是您和其他职员们经常遇到并与之打招呼的那些面孔。通过玩儿耐心和信任的游戏,不法分子们一直在关注容易上钩的目标。因此,您和其他职员们都应该熟悉社交工程技术,以便可以在有价值的信息遭受恶意破坏之前识别出具有恶意意图的不法分子。

社会工程学攻击的严重性

尽管社会工程学的后果很严重,成为网络安全业界一个非常严肃的问题,但是一直以来,几乎没有很好的解决方案出现。分析原因有如下几点:

  • 攻击者越来越多地通过诱使人们自己动手来感染计算机,比如通过诈骗电话、网络钓鱼和恶意电邮,当然这些只是使员工亲手伤害公司声誉的几种老套方法。
  • 窃取移动计算设备隐私及涉密数据的移动应用程序多到令人震惊,据行业专家评估,每天有约高达几十亿条敏感数据被各种应用从后台悄悄取走!普通的智能手机用户可以轻松地下载恶意的移动应用程序,从而帮助攻击者获取信息!
  • 由于社交媒体正以极快的速度传播,社交平台上网络钓鱼的可能性是恶意软件的数十倍,因此,在社交媒体正成为黑客创建虚假信息并针对最终用户进行诈骗的主流媒介。

保护您所在的组织机构免受社会工程攻击

不是东风压倒西风,就是西风压倒东风,知难而上保护脆弱的职员避免将隐私及涉密的信息数据交给恶意手中已成为当下迫切需要解决的问题。安全保密总监、经理和主管们,是时候要制定社会工程学反击计划、预防策略了!

为了帮助各种类型机构的安全保密管理人员更好地检测社会工程学攻击,昆明亭长朗然科技有限公司创作了大量的社会工程学攻击案例,包括动画视频和讲解模块儿,共同组成一些可供选用的培训课程,我们对各类社会工程学攻击所涉及的多种方法进行深入浅出的介绍,以希望能够帮助各类型的组织机构可以使用其对员工们进行安全保密意识宣教,进而从根本上防止受到相关的损害。欢迎有兴趣和需求的客户及行业合作伙伴们联系我们,洽谈采购与合作。

昆明亭长朗然科技有限公司

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:info@securemymind.com
  • QQ:1767022898

当双因素身份验证遭遇社交工程攻击

如今,许多服务都使用双因素身份验证(又称双因子身份验证、双重身份验证)来提高用户帐户的安全性。在大多数情况下,双因素身份验证使用密码和通过短信、电子邮件发送的代码或身份验证器产生的代码作为验证的两个因素。与仅使用密码这种单一的身份验证方法相比,双因素身份验证明显更强大并且提供了更好的安全性。

话虽这么说,双因素身份验证还是容易受到黑客的攻击和利用。对此,昆明亭长朗然科技有限公司网络安全研究员董志军警示道:最值得注意的是,黑客使用社交工程策略绕过双因素身份验证并入侵用户帐户的案例越来越多。因此,很有必要充分了解社会工程学的工作原理以及如何聪明地加以应对。

什么是社会工程学?

安全领域内的专业人员通常可能已经知道一些关于社会工程学的知识内容,但是大多数人可能都不知晓。社会工程学通常指不法分子利用人类的行为和心理学,通过使用情感触发以及其他心理策略,诱使用户交出其个人信息和其他详细信息。

由于社会工程学使用人类心理学,因此没有万无一失的方法来应对它,事实上,几乎没有能有效阻止社会工程攻击的软件或工具。

无疑,人们的安全意识是抵御社会工程学攻击的第一道也是唯一的一道防线。如果用户知道什么是社交工程攻击以及如何该攻击是如何运作的,那么他/她更有可能识别出该攻击,而不是上当受骗。

对抗社会工程学的第一步是了解其工作原理。以下是一些黑客绕过双因素身份验证的最常见方案。

社会工程学如何运作?

黑客使用各种策略来执行社会工程攻击。当涉及双因素身份验证时,有两种最常见的社会工程攻击场景。

场景一、黑客知道用户名和密码

数据泄漏在当今的数字世界中很普遍,甚至大型公司和在线零售商也难逃劫难。在此类数据泄漏事件中,包括登录用户名和密码在内的大量用户数据被转储到黑客站点上。

任何黑客都可以访问此数据并获得您的登录凭据,他们可以通过“撞库”方式获取没有实施双因素身份验证的网站应用。但是,通过双重身份验证,黑客无法仅使用用户名和密码成功登录。因此,黑客需要使用社交工程来获取用于第二步验证的代码。

在此类攻击期间,黑客会向用户发送各种由头的钓鱼消息,以套取用户的双因素验证码。

在幕后,黑客使用您的用户名和密码登录该服务。接下来,通常的网络服务会将验证码发送到用户的电话号码或电子邮箱。

如果用户使用验证码对伪造的钓鱼消息做出响应,则黑客便获得了它,接下来便可以使用它绕过双因素身份验证的第二步。登录后,黑客还会窃取会话Cookie,并拥有未经授权的用户帐户的长久完全访问权限。

场景二、黑客没有用户名和密码

如果黑客不知道您的用户名、密码、电话号码或验证码,他也可以使用社会工程学攻击来获得所有这些以及更多。

这种攻击通常是使用网络钓鱼网站,也就是冒充真正网站的假冒网站。假冒网站通常使用外观与真实网站相似的网址。

在伪造的网站上,黑客要求用户提供用户名和密码进行登录。当用户提供这些详细信息时,黑客会使用它们在真实的登录网站上登录。真实的网站会将验证码发送到用户的电话号码或电子邮箱。当用户在假登录网站上输入此代码时,黑客也会获取该代码,并使用它来完成在真实网站上的登录。这个过程往往是自动化的,用户可能根本觉察不出来。

这样,黑客就可以绕过双因素身份验证并获得对服务或网站上的用户帐户的访问权限。

如何防止双因素身份验证遭到黑客利用社交工程技术的入侵?

既然我们已经了解了黑客如何使用社会工程学绕过双因素身份验证,现在该探讨一些可以防止黑客利用社会工程学入侵的方法了。使用这些工具和技巧,您可以避免自己陷入社会工程的陷阱,并可以帮助到工作场所的同事们。

1、安全密语

安全密语是金融服务网站通常使用的一种身份验证形式,它往往是用户事先留存给合法网站的秘密信息,在输入用户名和密码之后,提交双因素验证码之前,用户可以通过这些秘密信息,来确认网站的真实性。这样,可以防止网络钓鱼网站和伪造的登录页面获取用户双因素验证码登录信息。当然,也不排除定向式的攻击者连用户预留的安全密语也一同伪造于钓鱼网站的情况。

2、硬件令牌

硬件令牌也是金融服务网站通常使用的一种身份验证和授权操作形式,即使网络钓鱼者窃取了用户的用户名、密码和登录验证码,并成功获得了用户的登录凭据,他们在进行关键操作,比如将财产转出时,仍然需要使用硬件令牌,输入硬件令牌生成的操作授权码。这种多一重的授权形式,起到了保护核心信息和资产的目的。不过,会不会有用户被网络钓鱼者远程电话遥控操作硬件令牌并提供类似转账确认这种操作呢?在电信诈骗案例中,向“安全账户”转钱时用户会毫不犹豫地上当的。

3、社会工程学意识

安全意识是抵抗社会工程的最重要方法,了解什么是社会工程学及其工作原理的用户通常可以更有效地避免社会工程学攻击。“短信验证码,打死也不告诉他人。”的这种安全方法虽然很通俗实用,但是往往没有深入到工作原理,接下来当用户被社会工程黑客要求其提供支付条码的文本时,用户便不能举一反三。

总之,加强员工的社会工程意识培训,使其可以识别和抵御社会工程攻击是终极的解决方案。模拟黑客和模拟钓鱼场景是很形象地帮助用户了解社会工程学如何工作的一种好方法。

昆明亭长朗然科技有限公司推出了专门针对职场人员的社会工程学防范意识课程,欢迎有需要的客户或伙伴们联系我们,洽谈合作。当然,如果您对文中的这个话题有兴趣或者有自己的观点看法,欢迎联系我们,以进一步深入探讨。

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:info@securemymind.com
  • QQ:1767022898