打印本文 
关闭窗口 究竟哪个部分才是网络中最薄弱的一环？Internet防火墙、防病毒软件、远程控制的PC、还是移动办公用的笔记本电脑？大多数的安全专家都同意这样一种观点：狡猾的电脑黑客往往可以通过向特定的用户提几个简单的问题就能入侵几乎所有的网络。
他们不仅会使用各种技术手段，还会利用社交工程学的概念来进行欺诈，通俗一点来说，他们会利用人类与生俱来的信任并帮助他人的愿望以及对未知事物的好奇心，他们利用这些弱点骗取用户名和口令，使得那些采用各种先进技术的安全防护措施形同虚设。
如果你对这种情况还没有特别的感性认识，可以参看我们的插文“黑客经常使用的5种诡计”，并反思一下自己在那种情况下是否也会轻易上当。不过在那篇插文中所涉及的诡计也只是黑客用来刺探有用信息的一部分办法而已。
实际上，电脑黑客无需与任何人交谈就能获得大量的信息，他们只要访问你所在公司的Web网站，就能知道公司的各个领导职位、财务信息、组织结构图以及员工的e-mail地址和电话号码。另外，他们还会从公司扔掉的旧文件中筛选出很多有价值的东西，比如组织结构图、市场计划、备忘录、人力资源手册、财务报表、公司规章制度和流程说明等等。黑客们会利用这些信息来获取该公司员工的信任，比如伪装成员工、客户给该公司的雇员打电话或者发邮件，一步一步获得对方的信任，最终通过他们进入公司的网络。
从公司员工那里获取信息的技术包括以下几类：
◆ 用一大堆难以理解的信息或各种奇怪的问题来搞乱某个员工的思路，让你无法摸清他到底想干什么。
◆ 黑客们还会故意给你设置一些技术故障，然后再帮你解决它以博得你的信任。这种方法被称为反向社交工程学。
◆ 用带有强烈感情色彩的语气甚至是恐吓的口气命令你服从他的指示。
◆ 如果发现你有抵触情绪，他会适当放弃几个小的要求。这样一来你就觉得你也应当满足他的要求以作为回报。
◆ 不断与你分享信息和技术而不要求任何回报（至少开始时是这样的），而当黑客们向你提出一些要求的时候，你会觉得必须告诉他们。
◆ 假装与你拥有同样的爱好和兴趣，借机混入你所在的兴趣小组；
◆ 谎称你可以帮助某个同事完成一项重要的任务；
◆ 与你建立一种看上去十分友好而且毫无利益纠葛的关系，然后一点一点从你口中套出公司的常用术语、关键雇员的姓名、服务器以及应用程序类型。
你还需要注意，有很大比例的安全问题是出在那些心怀不满的雇员或者非雇员（比如公司的客户或合作伙伴）身上，他们往往会泄露不该泄露的信息。人们总是容易忽略来自内部的危险。
当然，社交工程学并不仅仅局限于骗取公司的保密资料。黑客们也常常利用这种技术从个人用户那里骗取可用来进行网上购物的信用卡号、用户名和密码。他们常用的伎俩是通过e-mail和伪造的Web网站让用户相信他们正在访问一个著名的大公司的网站。
如果你仍然对社交工程学的作用心存疑问，至少也应该提高警惕、小心防范。Kevin Mitnick是20世纪最臭名昭著的黑客之一，他曾经多次向媒体表示，他攻破网络更多地是利用人的弱点而不是依靠技术。
另一方面，大多数公司更舍得在安全防护技术上投入大量的金钱，但却忽视了对雇员的管理。而绝大多数的安全产品和安全技术都没有考虑社交工程学的因素。那么，你究竟应该如何应对呢？
| 热门推荐： | 网络数字陷阱之“十面埋伏” | 防黑：披上网上隐身衣保护自己 |
你应该从两个方面来解决这个问题：首先你应该对容易泄露公司信息的物理场所（包括办公桌、文件柜和Web网站）进行必要的保护；其次，你应该对公司的员工进行安全防范方面的教育，并制定出清晰的规章制度。
物理空间的安全可能是相对比较简单的部分。下面我们列出了一些比较重要的提示，大多数都覆盖了上述的两个方面（物理保护和规章制度）。
◆ 让所有的公司雇员和来访人员都佩戴能够表明身份的胸卡或其他标识。 对于来访的人员，一定要有专人护送他们到达目的地。
◆ 检查一下哪些文档是必须随时锁好的，哪些是可以扔进碎纸机被处理掉的。
◆ 应当把文件柜锁好并放在安全的、可监控的地方。
◆ 确保所有的系统（包括所有的客户端PC）都使用密码进行保护，应当使用强壮的口令并定期进行更改。
每台机器还应该设置为几分钟空闲后就进入屏幕保护程序，而且要设置屏幕保护口令。
◆ 如果硬盘上的文件包含有保密信息，应当使用加密的办法进行保存。
◆ 不要在公共Web网站上透露太多有关公司的信息。 建立一套良好的安全制度以及对员工进行相应的培训要更困难一些。公司员工通常意识不到他们所散布出去的信息有非常重要的价值。必须经常教育他们在面对陌生人的信息咨询时保持警惕，这样才不会轻易上当受骗。
培训员工的最好方式是让老师在培训之前先利用社交工程学技术从他们嘴里套出一些有价值的信息，然后老师再把这些例子作为反面教材进行分析和讲解。
你需要制定一套清晰的规章制度，让大家知道哪一类信息是任何情况下都不能泄露给他人的。很多表面上看上去没什么用的信息（比如服务器名称、公司组织结构、常用术语等）对黑客们来说都是有价值的。你的规章制度中应当详细说明各种信息的访问规则，而且对于应当采取的安全防范措施也应加以详细说明。对于违反这些规定的行为要有明确的惩罚措施。如果你制定的规章制度比较详细而清晰，员工就不那么容易泄漏公司信息。
目前专门用于对付社交工程学的工具还很少见，不过有些内容过滤工具和反垃圾邮件产品（比如MailFrontier Matador）可以用来防止员工通过电子邮件向外泄露信息或者防止外来的欺诈邮件。Matador采用了一系列专利技术来识别可疑的电子邮件。
与社交工程学进行斗争是一项长期而艰苦的工作，因为攻击者也会不断改进他们的战术以突破现有的防范措施。因此一旦出现了新的欺诈方式，你就需要尽快制定出新的规章制度来进行防范。而且应当不断提醒你的雇员，他们才是公司真正的防火墙。
黑客经常使用的5种诡计
①很多人都曾经收到过这样的电子邮件：许诺你有机会获得很高的奖金，而你所需要做的只是填写一张注册表单（写下你的用户名和密码）。令人吃惊的是，有相当多的人都会对这类邮件进行回复，而其中又有相当比例的人所填写的用户名和口令与他们在公司网络登录时使用的用户名和口令一模一样。黑客们只需要给一家公司的10多个员工发一封这样的电子邮件，就能轻松获得两三个网络登录口令。
②有时候在你的电脑上会突然弹出一个对话框，告诉你网络连接被中断，然后要求你重新输入用户名和口令以恢复网络连接。还有些时候你可能会收到一封看上去来自Microsoft公司的电子邮件，提醒你应当运行附件中的安全升级程序。你对这个对话框和电子邮件的合法性产生过怀疑吗？
③当你跑出去抽支烟并加入到聊天的行列时，也许会谈起最近公司邮件服务器发生的故障，对于一家大公司而言，你可能并不认识所有的员工，而这些闲聊的人中很可能混杂着一两个不明身份的黑客。
④忽然跑来一个人要看一下你老板的电脑（碰巧老板可能外出了），说是老板的Outlook出了问题，让他帮忙修复一下。这个理由听起来很有道理。Outlook软件的确经常会出问题，但为什么偏要在老板不在的时候来修理呢？
⑤有时你会接到一个自称是总裁助理的女子打来的电话，让你告诉她某些个人或者公司的信息。她会叫出公司领导的名字或者不经意透露一点只有公司内部员工才知道的信息来打消你的怀疑。
| 热门推荐： | 网络数字陷阱之“十面埋伏” | 防黑：披上网上隐身衣保护自己 |
打印本文 关闭窗口