安全专家们常常会拿出一套套的理论，比如“多重防御”等等，这一理论强化使用多层安全控管措施来保护敏感信息，即使一层“失效”仍然有其它层在起着保护作用，不过不幸的是，往往多层中只有一两层在真正起作用。如果使用到“链条理论”上，多数专家会认为最薄弱的链条是“人员”。如果应用到“木桶理论”，“人员”的安全意识则成了最短的木板。

社会工程学或简称社工一词源于Social Engineering，实际上，如果没有加上“攻击”，则是我们日常天天看到的各类“洗脑”行径，包括广告、营销、教学等等。我们都会用到社工来企图说服或影响他人，这种影响多数是中性或良性的。当社交工程学被用于不良目的，便成了我们日常所讲的“社交攻击”。

网络钓鱼和电信诈骗是最常见的社交工程学攻击案例。网络钓鱼不再是简单的发送钓鱼邮件，而是通过恶意的网络广告、即时通讯软件，社交网站等等渠道进行。电信诈骗也不仅限于话费欠费和垃圾短信，而各种五花八门的东西都出来了。

对于企业级商业用户来说，奇奇怪怪的社交诈骗并不少见，产品推销还算中性，而那些不良居心的社交工程学攻击足以轻松越过任何复杂的网络防火墙和入侵防御系统，直接通过核心员工套取机密信息如用户名密码、商业战略和研发机密。如何有效防范社会工程学攻击呢？技术型的信息安全专家往往束手无策，因为这些和人性的弱点密切相关，非技术类安全手段所能有效控管。昆明亭长朗然科技有限公司的安全培训讲师Alice Wong说：防范社交工程学攻击，只有从安全意识培训抓起，但是很多安全意识培训课程并没有典型的商业级社交工程学攻击案例，往往停留在针对个人的社交攻击层面或社交攻击的理论层面，这显然是不够的。所以，很有必要让员工们了解到实际上会真正发生的“社交工程骗术”，这无疑需要一些模拟的场景以及合理的社交工程攻击防范战略。

社交工程攻击防范的最重要的一点是让人们敢于质疑，文革在一定程度上破坏了几代人的信仰体系，同时也让人与人之间多了些隔阂与怀疑，这却成为国人防范社交工程攻击的强项。然而我们也需看到不同文化背景和区域下社交工程攻击所表现的不同特点，西方文化比较尊重个性独立，国人有较强的盲从心理，所以要社交骗子往往会说其他人都已经如何如何了，要抓紧时间啦时，多数缺乏独立思考的国人会轻易受骗。另外，东亚文化受儒家影响严重，对长官的迷信胜于尊重，所以社交骗子打着权威部门或上级领导的旗号，很容易让中低阶的职员就范。显然，如果忽略区域文化的因素，简单抓取一些西方的社交培训资源是不完全适用的。

亭长朗然Alice分享了如下通过安全意识培训和建立社交防范战略体系来有效防范社交工程攻击的小贴士：

1.搜集、开发和维护多种不同的社交工程攻击案例，列出包括正确响应措施等多种可能的结果。

2.使用简练的大白话教育员工如何防范社交工程攻击，比如告知员工时时想一想“自己是否有权提供信息？对方是否有限了解信息？”阳春白雪故弄高深并非被群众所接受。

3.建立社交工程攻击响应及经验分享系统，这是一项很创新也很易实施的战略措施，简单的方式是建立一个邮件列表，鼓励员工将可疑的或亲自遭遇的社交工程攻击经历和体验写下来，发给一个特定的邮件地址，比如[email protected]，通过这个邮件列表，其他员工可以在受到相同的社交工程攻击手法之前就做好应对准备。

4.不定期实施模拟社交工程攻击测试，实际上现在的黑客攻击多数都会技术结合社交，所以在对内部信息系统进行技术层面的漏洞扫描和渗透测试之时，也应该强化对人员层面的社会工程学渗透攻击测试，测试也是模拟的演练，不造成实际的损失而获得宝贵的实践经验，更重要是在教育过程中提升了对社交工程攻击的应对能力。

总之，希望上面的一些经验分享能够帮助了解信息安全中社交工程学攻击的基础，以及如何帮助员工们避免成为社交工程攻击的受害者。