三招提升社工防范及安全意识培训绩效

尽管现在业界有很好的安全控制技术,但是如果用户在维护信息安全方面没有发挥作用,我们将遇到严重的安全事件,特别是人为因素引起的安全问题。对此,昆明亭长朗然科技有限公司安全意识宣传员董志军称:众所周知,所有机关单位、公司企业中最严重的安全漏洞不是技术缺陷,而是人为错误。网络罪犯非常清楚这个事实,这就是为什么有记录的信息安全违规事件中有86%涉及社会工程攻击的原因。

毫无疑问,信息安全管理负责人员必须使用户们了解识别钓鱼邮件、虚假网站、诈骗消息和其他社会工程攻击手法。可惜的是,很多安全意识培训计划几乎无济于事,原因是没有积极地将社会工程意识的纳入安全意识工作方向。为帮助各位安全管理人员、员工培训人员避免此类陷阱,我们向您分享如下几招社会工程学防范的安全意识提升小技巧。

一、促进用户参与。让用户积极参与社会工程预防过程是安全意识计划生效的关键组成部分,多项研究表明,游戏化是提高员工敬业度的最佳方法。在安全意识计划中使用游戏化的一种方法是鼓励用户将可疑的诈骗邮件、诈骗消息等转发给安全响应团队,然后再将其从收件箱中删除。激励措施的方法可以是很简单的,比如经理或高管或安全部门在公司范围对相关行为人员进行表扬认可(安全标兵、防诈先锋等),也可以是物质方面的投入,比如给相关人员每月抽取现金或奖品的机会,奖品可以是安全小工具或文具等小玩艺儿。促使用户参与社会工程学攻击防范时要记住的一点就是:当人们觉得自己的努力得到认可时,他们就会更多地参与该活动。

二、使用真实的或身边的网络钓鱼事件案例。告诉用户对打开未知来源的消息保持警惕并不能提供足够的洞察力来保护用户免受当今复杂的威胁。更好的方法是共享现实生活中的示例,并指出网络钓鱼方案的明显迹象。昆明亭长朗然科技有限公司有一个名为“网络钓鱼蜜罐”的网站,其中包含大量“近期网络钓鱼最新示例”,以及有关网络钓鱼消息的详细信息。

三、结合模拟社工渗透测试。要评估安全意识计划的有效性,就需要对用户进行社工防范意识的测试,当然需要使用合适的定制化主题。通常来讲,在动画或讲解课程结束时进行10、20道单项选择测试题的测验是不充分的。确保用户理解您的消息的更好的方法是使用模拟钓鱼测试。模拟钓鱼测试需要将用户置于真实的环境中并观察他们的选择。要注意的是,在培训过程中,参训用户们会非常警觉。这就是为什么模拟社工测试应在正规培训课程后的一段随机时间内继续进行。例如,在周二上午可以向指定的用户组发送包含链接或附件的模拟钓鱼电子邮件,如果单击该链接或附件,则会弹出一个窗口,通知用户,如果该邮件是真实的网络钓鱼邮件的话会发生什么情况。再例如,在周三下等可以向指定的用户群发送包含领导要求加入QQ群的短消息,看哪些用户会加入QQ群,在入群后立即通知用户他/她们,如果该群是电信诈骗的话结果会是什么。当然,也要将未通过测试的人员,也就是“被社工渗透”的人员清单通报给安全团队或经理,并利用该机会教育员工他们做错了什么以及如何避免日后的失误。昆明亭长朗然科技有限公司有一套功能强大在线的模拟钓鱼平台,也还有一套简单实用的模拟钓鱼脚本,都可以被用来实施模拟社工渗透测试。

放眼未来,我们将在工作场所看到越来越多的勒索软件和其他恶意软件攻击。提供全面的钓鱼邮件保护及其他网络安全措施将继续是保护信息数据防止泄露及安全事故的重要手段。此外,确保用户发挥自己的作用,避免网络犯罪分子利用诱饵迅速绕过这些安全防护机制并获得他们最想要的宝贵数据资源,将比以往任何时候都更加重要。如果您认可用户的安全意识的行为在整体信息安全保障体系中的重要作用,请联系我们,洽谈业务方面的合作。

昆明亭长朗然科技有限公司

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:info@securemymind.com
  • QQ:1767022898

如何避免和应对社会工程学攻击

什么是社会工程学?

社会工程学攻击是一种通过对被攻击者心理弱点、本能反应、好奇心、仁慈、信任、贪婪等心理特征所采取的诸如欺骗、伤害等危害手段,获取自身利益的手法。黑客社会工程学攻击则是将黑客入侵攻击手段进行了最大化,不仅能够利用系统的弱点进行入侵,还能通过人性的弱点进行入侵,当黑客攻击与社会工程学攻击融为一体时,将根本不存在所谓的安全的系统。较为常见的社会工程学攻击形式有假冒身份、网络钓鱼、电话诈骗等。

社会工程学攻击防范对策

社会工程师采用的大多数技术都涉及操纵人为偏见。 为了应对这种技术,昆明亭长朗然科技有限公司网络安全专员董志军向您分享如下招数:

1.当心来路不明的服务提供商发来的电子邮件、即时消息以及电话。在提供任何个人信息之前验证其身份的真实性和请求的合法性;

2.缓慢并认真地浏览电子邮件、即时消息或短信中的细节。不要让攻击者消息中的急迫性影响了您的判断力;

3.自学,信息是预防社会工程攻击的最有力的工具,积极了解如何鉴别和防御网络攻击者;永远不要点击来自陌生发送者的电子邮件中的嵌入链接。如果有必要就使用搜索引擎寻找网站或手工输入网址;

4.永远不要再未知发送者的电子邮件中下载附件,如果有必要,可以在保护视图中打开附件;拒绝来自陌生人的在线电脑技术帮忙,无论他们声称自己是多么正当;

5.使用防火墙来保护计算机设备,及时更新杀毒软件同时启用和设置垃圾邮件过滤;

6.预防零日漏洞。保持操作系统和应用软件的更新,及时安装软件供应商发布的安全补丁程序;

7.关注网站的链接,有的不法分子对网络链接做了细微的改动,将流量诱导到诈骗等不良网站;

8.不要幻想不劳而获,天下不会掉陷阱,如果你没有买过彩票,那么你不会成为中大奖的幸运儿。

总之,社会工程学是一种利用人为因素来获取未经授权的资源的艺术。社会工程学攻击者使用多种技术来欺骗用户以泄露敏感信息。各类型的组织及工作人员必须拥有具有充分的社会工程学攻击对策。

昆明亭长朗然科技有限公司创作了一部社会工程学防范课程,其中包含多个社会工程学攻击场景和案例,课程以动画视频主为的方式,穿插知识讲解和互动测试。欢迎有兴趣和有需要的客户及行业伙伴们联系我们,预览作品及洽谈采购合作。

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:info@securemymind.com
  • QQ:1767022898