社會工程

廣義上的社會工程（Social Engineering）是一門學(xué)科，而我們平常提到“社會工程”時多指網(wǎng)絡(luò)安全方面的技術(shù)。社會工程通過欺騙或誘導(dǎo)受害者犯錯，獲取重要的私人信息、系統(tǒng)訪問權(quán)、重要數(shù)據(jù)和虛擬財產(chǎn)等。攻擊者可以利用獲取到的社會工程信息進行二次攻擊，或者直接出售給他人以獲利。

為什么社會工程如此危險

由于社會工程主要針對人們的心理和行為進行欺騙，所以他的成功率非常高。盡管受害者通常會懷疑郵件或電話的真實性，但是由于攻擊者精心設(shè)計了攻擊流程，所以往往人們會作出錯誤的判斷和處置。

事實上，很多安全事件都不是因為網(wǎng)絡(luò)防護被攻破，攻擊者通常會優(yōu)先選擇對人實施社會工程攻擊，這比攻擊專業(yè)的網(wǎng)絡(luò)安全系統(tǒng)容易得多。這也是為什么我們必須專注于以人為中心的網(wǎng)絡(luò)安全意識培訓(xùn)，讓他們保持對社會工程手段的充分了解，避免堡壘從內(nèi)部被攻破。

社會工程是如何實施的

為了取得受害者的信任，攻擊者通常會按照一定的流程來設(shè)計社會工程步驟。

準(zhǔn)備階段：通過收集受害者的背景信息為社會工程做準(zhǔn)備，此階段主要是識別受害者，并確定最佳的社會工程攻擊方法

滲透階段：攻擊者開始與受害者接觸，并通過一定形式的信息交互來建立信任，實現(xiàn)滲透的目的

攻擊階段：攻擊者開始利用工具收集受害者的目標(biāo)數(shù)據(jù)，并可能應(yīng)用獲取到的信息發(fā)動新的攻擊

撤退階段：當(dāng)攻擊者達到自己的目的后，他們將盡量抹去所有犯罪痕跡，有時受害者甚至都沒有察覺已經(jīng)被侵害

社會工程的常見類型

網(wǎng)絡(luò)釣魚（Phishing）：最常見的社會工程攻擊類型。攻擊者通過電子郵件、語音通話、即時聊天、網(wǎng)絡(luò)廣告或虛假網(wǎng)站等形式，竊取機密的個人信息或公司信息

魚叉式網(wǎng)絡(luò)釣魚（SpearPhishing）：實際上是一種更有針對性的網(wǎng)絡(luò)釣魚

誘餌（Baiting）：顧名思義，這種社會工程方式是利用人們對某種獎勵的渴望，引誘人們落入陷阱。誘餌與網(wǎng)絡(luò)釣魚在很多方面有相似性，但是區(qū)別在于誘餌更強調(diào)對受害者的“獎勵”，所以受害者往往會因為利益的原因而落入攻擊者的陷阱。誘餌既可以是物理的，也可以是虛擬的

水坑（WateringHole）：水坑的名稱來源于自然界的捕食方式，攻擊者會通過前期的調(diào)查，確定受害者經(jīng)常訪問的一些網(wǎng)站，并在網(wǎng)站上部署惡意程序，當(dāng)受害者訪問網(wǎng)站時即會被感染

語音網(wǎng)絡(luò)釣魚（Vishing）和短信網(wǎng)絡(luò)釣魚（Smishing）：可以算是網(wǎng)絡(luò)釣魚的兩種方式，前者通過電話實施社會工程，后者通過短信

偽裝（Pretexting）：主要是利用虛假的身份來欺騙受害者。攻擊者通常會假裝成處于強大地位的人，迫使受害者按照他的指示來提供重要信息

交換條件（QuidPro Quo）：指攻擊者依靠信息或服務(wù)的交易，促使受害者配合自己的要求，進而獲得重要的個人信息

惡意軟件（Malware）：令受害者相信其計算機中已被安裝惡意軟件，只有按照攻擊者的要求去做，才能刪除這些惡意軟件

尾隨（Tailgating）和背靠背（Piggybackingattacks）：指沒有授權(quán)的人借助其他人的授權(quán)，進入受限的區(qū)域或系統(tǒng)

如何防范社會工程

要防范社會工程，首先要引導(dǎo)人們改變一些固有行為和意識。當(dāng)大家都明白社會工程是如何開展的，基于此產(chǎn)生的攻擊后果有多么嚴(yán)重，那么人們就會在查閱電子郵件、語音信箱、短信或中小網(wǎng)站時保持一定的警惕和懷疑。

華為如何幫助您免遭社會工程的危害

一般來講，個人能遇到的社會工程類型主要是釣魚郵件、魚叉式網(wǎng)絡(luò)釣魚、水坑和誘餌。通過使用華為提供的安全設(shè)備和解決方案，包括HiSec安全解決方案、HiSec Insight安全態(tài)勢感知系統(tǒng)、FireHunter6000沙箱和USG6000E系列防火墻，您可以規(guī)避其中大部分社會工程攻擊，降低可能產(chǎn)生的損失和風(fēng)險。

編輯：jq