UU文学 通过搜索各大小说站为您自动抓取各类小说的最快更新供您阅读!

攻击者利用员工一念之仁进行攻击最难防范,但要保护公司免当社交工程(socialengineering)骗术受害者还是有规则可循。

你被骗过吗?社交工程者诱骗手法往往相当细腻,受害者往往还不知所以然就上了钩。社交工程者往往利用人性弱点而非技术/软件漏洞来入侵保护周延的网络。

小偷,非强盗

这种诈骗大师的典型之一就是英国的Kevinmitnick,他曾因电脑犯罪前后进出监狱三次,出狱后mitnick决定改邪归正,现在经营起一家顾问公司defensivethinking,专门保护企业员工免受社交工程骗术之害。

mitnick在犯罪全盛时期,几乎无所不骗,他可诱使人们泄漏各种信息,包括密码、上网帐号、一般技术信息等。我们访问了mitnick,看看社交工程骗子打电话进公司找人时最常希望拿到哪些信息。

“这多半是打电话进去,然后套出他们的密码,”他说,“但其实还有更精密的攻击手法,只为了取得各种细碎的信息。”

比方说你看上某家软件公司,(这是mitnick之前最常做的事,先是在80年代窃取dEc公司的源代码,后来陆续还找过诺基亚、Sun、摩托罗拉与NEc),你不会直接打进去找It管理员,开口就说,“密码多少?”

有技巧的攻击者会安瞄准比较容易下手的部分,比如公司区域网络上的某台工作站,利用常见的技术漏洞做入侵。接着社交工程就可派上用场,用来寻找网络上哪台机器才是攻击者真正想要的目标,如此便可节省许多胡乱在LAN上摸索的时间,同时也可降低误触安全警报的风险。

如何破解攻击手法?

训练员工权衡突发的“请求”事件,尤其是通时不是在他们权限范围内应该做的事。mitnick表示社交工程高手最爱给人戴高帽,比方说“只有像你这么聪明的人才肯帮我,待会我寄给文件给你,请你打开附件看看。”他们也会使用恫吓方式,“要是你不说出密码让我进入我的mail信箱,你就等着被革职。”

若你能拒绝这种“状况外”的请求,你大概就赢一半了,“关键在于训练员工了解哪些是合法的请求,哪些不是。”mitnick说。

有些简单的政策也很容易遵循,几乎所有社交工程师不会显示来电号码,“他们会找各种借口,比如说我的手机电池快没电等等的,”mitnick如此说,公司只要立下规定说,若有人来电请求的信息是具有**/机密性质的,员工必须真的知道有这号人物,然后回电给对方确认才行,经过这一关,至少七成社交工程骗术都会事迹败露。

只要有人来电要求重设密码,It人员务必回电该名员工做确认,这样的政策绝对有助于破解社交工程骗子。

mitnick不是It安全通才,社交工程才是他的拿手戏,mitnick之前还研究过心理层面才能屡屡犯罪得逞,“社交心理学说人类有两种思考模式,一种是系统(systematic)模式,一种则是探索式的(heuristic),”mitnick解释说,当你在系统模式下,你会有动机去做思考,若是在探索式模式下,你就懒散过去,你会分心,思考其他东西,“我们有90%时间都处于这种状态。”

也就是在这种时候我们最容易变成攻击者的共谋,社交工程师就是有办法说服受害者,让他们没有机会仔细思考。最厉害的是,他们所做的要求往往是超乎受害者日常工作范围之外的。

“你跟人聊天时,若发现对方跟你是同乡,或者有相同的嗜好兴趣,那么攻击者就会尽量迎合你的所好,因为就心理学而言,你会比较喜欢跟自己很像的人,”mitnick说,“而你喜欢某人后,你自然也比较可能答应对方的请求。”

“一旦发现对方跟你有太多巧合,那你就应该心生警觉了。”他说。

设定红灯与黄灯警戒线

mitnick建议引进红绿灯制度来协助员工判断是否被诱骗了。

人性本善,大家一开始多半会相信陌生人,而不会故意去怀疑对方,这也让社交工程骗子有机可乘。你是否曾经帮同栋大楼的陌生住户开门?大家都喜欢给人好印象,即使跟陌生人也是如此,也因此大家都很乐于施点小恩小惠,同理,若对方给予一些回报也是一种礼尚往来,这种人性倾向反而成了攻击者的最大漏洞,mitnick如此认为。他以往最成功的例子都是通过这种手段犯下的。

“若有人给你一点好处,你理所当然也会有所回馈,这种人之常情走到哪里都适用,尤其是美国,”他说,“攻击者会假装是在协助你解决问题,或者他们会刻意制造问题,然后再假装帮你忙。”

攻击者可能假装是管理部门做抽查,先打给It维修部门,要求原公告知待修清单,一旦取得某一待修单的详细内容后,这位社交工程师又可假装是维修人员,打给熬熬待援的员工,并协助他们解决问题。之后几小时候,攻击者又可打电话回来说,“嗨,我是It部门某某人,刚刚帮你解决email的问题。我等会寄一个诊断工具给你,你可帮我执行一下吗?”一般而言,用户多半不会拒绝,这招看似很简单,但许多人一时不察绝对都会上钩。

mitnick表示要求他人泄漏信息或代为执行某些动做其实很类似销售员一般。“这只是把业务或营销技巧用在坏的地方而已。因此公司必须设定红灯与黄灯警示,让员工清楚知道哪些状况有可能会上当。”

除了训练员工外,还要加以督导验收才行,mitnick表示,这种风险无法完全被排除,但却可以降到最低,证据何在?即使是mitnick这种社交工程高手,最后也不是栽了吗?

UU文学推荐阅读:山村嫂子全球高武:我成了一辆末世列车我在边关种田忙我穿越成了,爱笑岩同桌六道空寂被人拉入相亲群,我无敌你们随意记忆审判:那一刻,全国为他痛哭回家继承亿万家产古风之渔四合院:开局贾张氏叫我捐钱官场之再做一次弄潮儿又如何反派:从收服绿茶女友闺蜜开始港片:我还没出位,老大先出殡了销冠重生九零年代小县城开局送走假算命师官场之青云无悔开局签到电磁炮:被校花全网曝光山野村色!更适合华夏宝宝体质的高等世界系统bug:卡里只剩三十六块九皓月和正义重生18:从借钱炒期货开始暴富我的26岁总裁妻子让你拍篮协宣传片,你画灌篮高手警察你开挂了?刚入职就抓个通缉我的极品前妻们收手吧系统!别再逼我做渣男天界战神在都市小巷人家:守护庄家?开局成孤儿谍战人生那年,村委换届暗黑江湖变成女生?问题不大总要爱上一个人,为什么不能是我我能具现虚拟世界四合院:从1958开始全球性闹鬼事件穿越到未来,我有最强升级系统游戏制作:论玩家为何又爱又恨年下!开局相亲姐姐闺蜜人在娱乐圈,天后很凶带着空间穿八零,领着家人奔小康无双仙灵武者四合院:从卫生员开始的快乐人生民间高手,从街头卖艺开始全民转职:我背靠一个世界让我住在你的心里终极一班:我魅魔被美女们包围了世界大杂烩,主角大乱斗你都建国了,你说你是雇佣兵?
UU文学搜藏榜:重生之从做个好爸爸开始人在斗罗,开局被比比东活埋皇后成长手札不随心所欲能叫重生吗?掌欢完美战兵四合院:这个保卫员坏,痞,帅!梦游妈咪:谁是我爹地千树万树情话开疯狂从2000开始叫我女王(GL)赘婿之杀神回归县城青年之入世萌妻羞羞:BOSS,慢点撩!松小姐今天喝酒了吗千金大佬她slay全场小乞丐掀翻三界高武:刀镇星空故事无限我真不想当女主角都市霸道医仙人间凶狗直播:穿书炮灰反成人生赢家皇上今天掉马了吗重生七零我靠种田暴富了叶君临李子染全文免费阅读笔趣阁退婚后我嫁给了渣男他叔头条婚约都市崛起之开启万界交易序列为零东京泡沫后的文娱时代逍遥渔场妖孽男神在花都最废女婿战神她在娱乐圈杀疯了胭尘团宠寨主种田忙开局我被系统一直坑地府微信群军少,有点喜欢你娱乐之中年危机错婚试爱病娇惹不起想支持乡村教育,却成为商业大佬逍遥明星娶夫不易[穿书]重回1981从退婚开始不凡兵王我的篮球生涯养废青梅的我,只好负起责仙履奇缘:睥睨
UU文学最新小说:你让我娶傻千金,还回来跪求我?八零不做冤大头,下乡抓虾娶村花天师九雷仙帝重生1984,假少爷带妻儿发家致富离谱:我的电子女友她成剑仙了?这辅助太超模了重生1959:岁月新章我,玄学大佬!变小趴菜了?重生80:假少爷回村带妻女逆袭人生啊啊啊你又欺负我开局拿下校花,神豪就要随心所欲就你说光系弱?吃我一记八分光轮!可能性异世总裁的贴身守护异术通天路表白被拒,我觉醒了系统!达到好感度就能OO的游戏?!千秋愚戏因果折叠权力巅峰:从一等功开始平步青云继承家业后,我成顶流高中三年,遍地传诵我的真名王书时光之外的约定恶女收容所难头心里住了个曹贼,修佛也没用四合院:贾东旭的逆袭都市潜龙赘婿风云怦然心动全民:抽取职阶,我成为了枪兵!都市异能:笑闹幻星城重生,他逆天改命高冷女总裁追夫火葬场开局捡漏天价帝王绿,冰山总裁为我倾倒山野之最牛村长替人送情书,竟被校花缠上了辐射!辐射!都市仙尊之龙凤玉佩股市传奇之异能,我有涨停板系统铁血长缨之丧尸压境空间大盗仙人生活在都市修仙之都市重生惊天改生一穿就成了军中御姐药王山下守山人抗战:人称侄帅,我来主宰黄埔系被迫给美女总裁当保镖