7、社会工程学攻击揭秘与防范策略

社会工程学攻击揭秘与防范策略

一、社会工程学概述

社会工程学利用了组织信息安全防御中最薄弱的环节——员工。它是一种“人际黑客”手段，恶意利用人类的信任天性获取可用于个人利益的信息。

（一）社会工程学的常见形式

1. 虚假技术支持人员 ：声称需要为用户计算机安装软件补丁或新版本，诱使用户下载软件并获取系统远程控制权。
2. 虚假供应商 ：表示要更新组织的会计软件包或电话系统，索要管理员密码以获取完全访问权限。
3. 虚假竞赛网站 ：黑客运营此类网站收集参赛者的用户 ID 和密码，然后尝试在其他网站使用这些密码窃取个人或公司信息。
4. 虚假员工 ：告知安保台丢失计算机房钥匙，从而获得钥匙并获取对物理和电子信息的未授权访问。

（二）社会工程学与信息安全

信息安全的有效实施，尤其是对抗社会工程学攻击，关键在于用户。虽然有防火墙、入侵检测系统和加密等技术手段构建的“坚硬外壳”，但组织内部的人员和系统才是“柔软内核”。一旦黑客突破外层防线，内部就容易受到攻击。

（三）社会工程学的特点

社会工程学是最难实施的黑客攻击方式之一，因为要让陌生人信任自己需要高超的技巧。同时，由于涉及人员因素，它也是最难防范的攻击方式。

graph LR
    A[社会工程学攻击] --> B[虚假技术支持]