【龙田百科】防不胜防的诈骗、攻击手段——社会工程学

随着网络与信息技术的不断发展，网络安全建设也面临新的变化与挑战，网络攻击手段层出不穷。本次，龙田百科将分为上、下两期，来介绍当前社会常见的网络攻击手段，以及防御建议。上期主要从社会工程学、勒索软件、高级持续性威胁展开讨论。

社会工程——高危险的存在

广义上的社会工程（Social Engineering）是一门学科，而我们平常提到“社会工程”时多指网络安全方面的技术。社会工程通过欺骗或诱导受害者犯错，获取重要的私人信息、系统访问权、重要数据和虚拟财产等。攻击者可以利用获取到的社会工程信息进行二次攻击，或者直接出售给他人以获利。

社会工程主要针对人们的心理和行为进行欺骗，成功率极高。尽管受害者会怀疑邮件或者电话的真实性，但是由于攻击者精心设计了攻击流程，所以人们往往会作出错误的判断和处置。

很多安全事件都不是因为网络防护被攻破，而遭受损失。攻击者通常会优先选择对人实施社会工程攻击，这样选择比攻击专业的网络安全系统更容易。所以，我们必须专注于以人为中心的网络安全意识培训，让他们保持对社会工程手段的充分了解，避免堡垒从内部被攻破。

社会工程常见的类型

• 网络钓鱼（Phishing）：最常见的社会工程攻击类型。攻击者通过电子邮件、语音通话、即时聊天、网络广告或虚假网站等形式，窃取机密的个人信息或公司信息。首先，网络钓鱼之所以能够成功，通常是因为攻击者准备的虚假信息和欺骗手段高度仿真，这使得受害者很容易忽视相关操作的危险性，大大提高了社会工程的成功率。其次，网络钓鱼一般会让受害者感受到紧迫、恐惧或好奇，这使得受害者短时间内只专注于攻击者编造的信息，无暇仔细分辨信息的真假。
• 鱼叉式网络钓鱼（SpearPhishing）：实际上是一种更有针对性的网络钓鱼。相对而言，普通的网络钓鱼随机性更大，攻击者并不聚焦于具体的受害者，而是广泛散播有害信息。而鱼叉式网络钓鱼会选择具体的受害者，例如企业高管或网络管理员，通过对受害者的特征、工作职位和联系人等信息进行详细了解，制定一份可信度非常高的钓鱼方案，提高社会工程的成功率。
• 诱饵（Baiting）：顾名思义，这种社会工程方式是利用人们对某种奖励的渴望，引诱人们落入陷阱。诱饵与网络钓鱼在很多方面有相似性，但是区别在于诱饵更强调对受害者的“奖励”，所以受害者往往会因为利益的原因而落入攻击者的陷阱。诱饵既可以是物理的，也可以是虚拟的。
• 水坑（WateringHole）：水坑的名称来源于自然界的捕食方式，攻击者会通过前期的调查，确定受害者经常访问的一些网站，并在网站上部署恶意程序，当受害者访问网站时即会被感染。
• 语音网络钓鱼（Vishing）和短信网络钓鱼（Smishing）：可以算是网络钓鱼的两种方式，前者通过电话实施社会工程，后者通过短信。这两种方式显然针对的是更老派的受害者，他们不怎么使用网络，也看不懂那些“精美的”骗术，这让攻击者有种无力感。针对这类人群，攻击者采用了更传统的骗术，即通过电话或短信来使受害者落入陷阱。攻击者大都使用机器人来实施欺骗过程，当前高水平的机器人几乎可以代替真人来完成交流，这大大提高了攻击者的效率。
• 伪装（Pretexting）：主要是利用虚假的身份来欺骗受害者。攻击者通常会假装成处于强大地位的人，迫使受害者按照他的指示来提供重要信息。
• 交换条件（QuidPro Quo）：指攻击者依靠信息或服务的交易，促使受害者配合自己的要求，进而获得重要的个人信息。与诱饵类似，交换条件也声称会为受害者带来好处，这种好处通常采取服务的形式，而诱饵通常采取实物的形式。
• 恶意软件（Malware）：让受害者相信其计算机中已被安装恶意软件，只有按照攻击者的要求去做，才能删除这些恶意软件。
• 尾随（Tailgating）和背靠背（Piggybackingattacks）：指没有授权的人借助其他人的授权，进入受限的区域或系统。

如何防范社会工程

1. 加强安全意识：了解社会工程学的技巧和策略，提高个人警惕性，不轻易透露个人信息，尤其是敏感信息。同时，对陌生人的请求或信息要保持警惕，不轻信。
2. 保护好个人信息：不要在社交媒体上随意发布个人信息，谨慎处理垃圾邮件、诈骗短信等，不点击来源不明的链接或下载不明附件。同时，保护好自己的手机号和邮箱地址，防止信息泄露。
3. 使用复杂密码：设置复杂度高的密码，避免使用与自身信息相关的密码结构，如生日、身份证号码等。同时，不同账户使用不同的密码，避免一次被骗后所有账户信息都遭到攻击。
4. 定期更新软件和操作系统：及时更新软件和操作系统，并安装安全补丁，可以有效防范漏洞被利用。
5. 使用安全软件：安装杀毒软件、防火墙等安全软件，可以有效防范病毒、木马等恶意程序的攻击。
6. 注意公共Wi-Fi的使用：不要随意连接公共Wi-Fi，避免使用敏感信息进行网络交易。
7. 建立安全管理制度：企业或组织应建立完善的安全管理制度，加强员工的安全意识培训，规范信息处理流程，建立多层次的安全防护体系。
8. 定期审计和监控：定期对网络系统进行审计和监控，及时发现异常行为和恶意攻击，采取相应的措施应对。
9. 建立快速响应机制：对于已经发生的攻击行为，应尽快采取措施应对，如隔离、修复、报警等，将损失降到最低。
10. 学习社会工程学知识：了解社会工程学的技巧和策略，可以帮助人们更好地防范社会工程学攻击。可以通过阅读相关书籍、参加培训课程等方式学习社会工程学知识。

注：本文素材来自华为及AI，版权归作者所有