8、信息安全攻防：社会工程与物理安全解析

信息安全攻防：社会工程与物理安全解析

1. 社会工程攻击手段剖析

1.1 可信度构建与关系利用

社会工程师的可信度部分源于他们的知识储备和亲和力，他们常通过伪装来获取信任，比如假扮新员工、同事或与组织有业务往来的供应商，还会适度宣称自己的权威以影响他人。常见的手段是先做些好事，让受害者觉得有义务回报或为组织团队合作。当获得受害者信任后，他们会通过面对面交流、电子通信或利用技术手段，诱导受害者泄露更多信息。

1.2 言语与行动欺骗

社会工程师有多种获取内部信息的方式，他们口才好，会让对话持续进行，不给受害者太多思考时间。不过，若在攻击中粗心或过于急切，会露出一些破绽：
- 表现得过于友好或急切
- 提及组织内知名人士的名字
- 吹嘘在组织内的权威
- 威胁若不答应请求就给予斥责
- 被询问时表现紧张（如抿嘴、坐立不安，尤其是手脚，因为控制远离脸部的身体部位更需有意识的努力）
- 过度强调细节
- 出现生理变化，如瞳孔放大或声音音调改变
- 显得很匆忙
- 拒绝提供信息
- 主动提供信息并回答未被询问的问题
- 知晓外人不应知道的信息
- 已知的外人使用内部人员的语言或俚语
- 问奇怪的问题
- 书面通信中拼错单词

黑客还常用一些常见技巧，比如先帮人一个忙，然后请求对方帮忙；使用反向社会工程，即先表示在特定问题出现时提供帮助，一段时间后问题出现（往往是他们人为制造的），再帮忙解决问题，以此树立英雄形象推进目的。他们也会直接向毫无防备的员工请求帮忙，很多人会中招。

1.3 员工身