社交工程学攻击 – 安全意识博客

网络犯罪分子并不只是通过入侵您的电脑来获取您的重要数据信息，您有没有遭遇过可疑犯罪分子通过社交工程Social Engineering方式来骗取信息的攻击呢？昆明亭长朗然科技有限公司针对数百家大中企业的一项调查表明：有近半数的受访者表示遭遇过社交工程学方式的信息诈骗攻击。

社交工程学攻击者可能不需要高级的电脑技能，只需懂些心理战术，如果攻击目标对防范诈骗的意识不够，就很容易避开系列安全技术控管措施，轻松难得帐户密码、个人资料以及公司重要信息数据。

社交工程学攻击学攻击对企业造成的损失，完全不低于甚至会远高于网络上的各类黑客攻击。这让信息安全管理负责人不得不思考社交工程学攻击的防范之道。

即使公司在信息系统的保护上投入了各类安全控制系统如防火墙，入侵侦测、数据防泄漏及防病毒等等，并且培训了员工如何操作和使用它们，结果仍然不够充分。精明的社交工程学攻击者可能利用人们的信任，避开网络防火墙，选择容易突破的人力防火墙。

社交高手只需简单的沟通和欺骗技巧，便可突破企业的安全防线，即使耗资巨大的多层技术防御体系在脆弱的员工安全防范意识面前，都是虚设，要实现这些，攻击者只需花费少许电话上网费。

防范社交工程攻击没有捷径，需要确立正确的防范社交工程的观念，强化对员工们的社交防范培训，以及日常的监控和宣传。另一项调查表明：只有四分之一的组织机构有对员工进行必要的安全意识培训，内容涵盖社交网络攻击等信息安全威胁的识别和应对，显然，我们还有很大的改进空间。

让员工们具备信息安全危机意识，保持戒心，不轻信陌生人，求证和确认对方的身份……更需要教育员工们遇到可疑攻击事件时及时报告有关部门，以便立即采取适当措施，比如向员工们宣传新型的社交诈骗手法等等。

昆明亭长朗然科技有限公司创作了大量的社会工程学诈骗防范相关的教育视频，如果您有这方面的需要，欢迎联系我们，预览作品和进行采购。

电话：0871-67122372
手机：18206751343
微信：18206751343
邮箱：info@securemymind.com
QQ：1767022898

安全专家们常常会拿出一套套的理论，比如“多重防御”等等，这一理论强化使用多层安全控管措施来保护敏感信息，即使一层“失效”仍然有其它层在起着保护作用，不过不幸的是，往往多层中只有一两层在真正起作用。如果使用到“链条理论”上，多数专家会认为最薄弱的链条是“人员”。如果应用到“木桶理论”，“人员”的安全意识则成了最短的木板。

社会工程学或简称社工一词源于Social Engineering，实际上，如果没有加上“攻击”，则是我们日常天天看到的各类“洗脑”行径，包括广告、营销、教学等等。我们都会用到社工来企图说服或影响他人，这种影响多数是中性或良性的。当社交工程学被用于不良目的，便成了我们日常所讲的“社交攻击”。

网络钓鱼和电信诈骗是最常见的社交工程学攻击案例。网络钓鱼不再是简单的发送钓鱼邮件，而是通过恶意的网络广告、即时通讯软件，社交网站等等渠道进行。电信诈骗也不仅限于话费欠费和垃圾短信，而各种五花八门的东西都出来了。

对于企业级商业用户来说，奇奇怪怪的社交诈骗并不少见，产品推销还算中性，而那些不良居心的社交工程学攻击足以轻松越过任何复杂的网络防火墙和入侵防御系统，直接通过核心员工套取机密信息如用户名密码、商业战略和研发机密。如何有效防范社会工程学攻击呢？技术型的信息安全专家往往束手无策，因为这些和人性的弱点密切相关，非技术类安全手段所能有效控管。昆明亭长朗然科技有限公司的安全培训讲师Alice Wong说：防范社交工程学攻击，只有从安全意识培训抓起，但是很多安全意识培训课程并没有典型的商业级社交工程学攻击案例，往往停留在针对个人的社交攻击层面或社交攻击的理论层面，这显然是不够的。所以，很有必要让员工们了解到实际上会真正发生的“社交工程骗术”，这无疑需要一些模拟的场景以及合理的社交工程攻击防范战略。

社交工程攻击防范的最重要的一点是让人们敢于质疑，文革在一定程度上破坏了几代人的信仰体系，同时也让人与人之间多了些隔阂与怀疑，这却成为国人防范社交工程攻击的强项。然而我们也需看到不同文化背景和区域下社交工程攻击所表现的不同特点，西方文化比较尊重个性独立，国人有较强的盲从心理，所以要社交骗子往往会说其他人都已经如何如何了，要抓紧时间啦时，多数缺乏独立思考的国人会轻易受骗。另外，东亚文化受儒家影响严重，对长官的迷信胜于尊重，所以社交骗子打着权威部门或上级领导的旗号，很容易让中低阶的职员就范。显然，如果忽略区域文化的因素，简单抓取一些西方的社交培训资源是不完全适用的。

亭长朗然Alice分享了如下通过安全意识培训和建立社交防范战略体系来有效防范社交工程攻击的小贴士：

1.搜集、开发和维护多种不同的社交工程攻击案例，列出包括正确响应措施等多种可能的结果。

2.使用简练的大白话教育员工如何防范社交工程攻击，比如告知员工时时想一想“自己是否有权提供信息？对方是否有限了解信息？”阳春白雪故弄高深并非被群众所接受。

3.建立社交工程攻击响应及经验分享系统，这是一项很创新也很易实施的战略措施，简单的方式是建立一个邮件列表，鼓励员工将可疑的或亲自遭遇的社交工程攻击经历和体验写下来，发给一个特定的邮件地址，比如security@company.com，通过这个邮件列表，其他员工可以在受到相同的社交工程攻击手法之前就做好应对准备。

4.不定期实施模拟社交工程攻击测试，实际上现在的黑客攻击多数都会技术结合社交，所以在对内部信息系统进行技术层面的漏洞扫描和渗透测试之时，也应该强化对人员层面的社会工程学渗透攻击测试，测试也是模拟的演练，不造成实际的损失而获得宝贵的实践经验，更重要是在教育过程中提升了对社交工程攻击的应对能力。

总之，希望上面的一些经验分享能够帮助了解信息安全中社交工程学攻击的基础，以及如何帮助员工们避免成为社交工程攻击的受害者。