預防社交工程攻擊的首要防線

無論是在虛擬還是真實世界，所有騙局的一個基本事實都是通過詭計讓人放松警惕會使竊賊更容易得手。用黑客的話來說，這叫做社會工程學。社會工程學主要是利用人性弱點，在許多方面，它比發現新的軟件漏洞并借此進入企業網絡簡單得多。這些漏洞稱為零日攻擊，如果可以誘使某人在自己的機器中安裝計算機病毒，不法分子就無需花費數萬美元落購買攻擊工具。畢竟，如果你可以說服別人把自己領到他們的家中，那就沒必要再去費力的撬鎖了。

但是，有哪些因素會使社會工程攻擊得手呢？關鍵是誘惑，其形式多種多樣，可能是Facebook上發布的名人軼事，也可能是主題與公司業務相關的電子郵件。在過去的一年里，報道最廣泛的攻擊之一就是對RSA的攻擊。這場攻擊最初是由于一名員工打開了一封標題為“2011年招聘計劃”的電子郵件。當員工打開附件后引發了一系列導致數據被破壞的事件。黑客對系統進行攻擊需要漏洞設計知識，而對人性弱點的攻擊則需要不同類型的知識，尤其是要了解受害者最有可能點擊哪些類型的電子郵件或鏈接。

獲得此類信息的一種方式是根據人們的工作和興趣確定攻擊對象，社交網絡是提供此類內容的最好數據源。瀏覽一份LinkedIn 個人資料便可以了解一個人的工作經歷和職位，看一下Facebook賬戶便可以知道他的好友和興趣。雖然社交網絡在過去幾年里已經采取了許多措施來加強其隱私控制，但是許多用戶可能不會使用這些措施，或者因為把并不真正認識的某人“加為好友”而在不經意間使這些措施失效。

研究發現，Facebook上的虛假賬戶平均擁有726個“好友”，比普通用戶多五倍。攻擊人性的弱點也可以采取其他手段。例如，搜索引擎優化(SEO)是黑客非常喜歡的一種技術。SEO背后的理論是提高網站在Google等搜索引擎中的排名。如果用于好的用途，這是完全合法的；如果用于不正當的用途，它會增加人們登錄惡意網站的可能性。也有一些手段技術含量非常低，例如通過傳統的電話交談而使某人放松警惕。

最近， Dimensional Research發表的一項調查表明，在來自世界各地的853位受訪的IT專業人員中，其中43%的人表示曾成為社會工程攻擊的目標。該調查還發現，新員工是最容易受到攻擊的人，其中60%的新員工都是社會工程的“高風險”受攻擊目標。但是，培訓似乎并沒有時刻與威脅保持同步，只有26%的受訪者提供長期培訓，34%的受訪者表示完全沒有為員工提供培訓的計劃。好的消息是這種趨勢正在發生改變，更多的公司正在提高關于安全威脅的意識， 并且了解員工可能會受到哪些社會工程技術的攻擊。

抵御社交工程攻擊首先應該具備健全的數據保護策略，這包括控制可以訪問這些信息的用戶，并設置具有強制性并有助于業務運營的策略。此外，員工培訓也是的一個重要因素，員工只有通過培訓才能了解企業安全策略。共享已經檢測到的攻擊信息，可讓員工更好地了解到他們如何成為攻擊目標。

其實，人員才是安全流程中的關鍵部分，他們可能會被犯罪份子誤導犯錯，從而導致惡意軟件感染以及無意識的數據丟失。很多企業并沒有對用戶參與給予太多的關注。實際上，員工應當是第一道防線。要抵御社交工程攻擊，首先就要教育員工充分了解安全環境及企業的安全策略；第二要有好的技術解決方案來幫助員工參與安全進程，并不斷提醒他們避免失誤。

現今，為達到所需的安全保護要求，安全需把相互獨立的技術整合成一個有效的業務流程。憑借完善的3D安全方針，企業能夠掌握及實施一個超越技術層次的安全藍圖，并通過讓員工參與安全流程以達到教育的目的。雖然員工會犯錯，導致企業內部違規或者帶來威脅，但同樣他們也可以在降低風險方面發揮巨大作用。通過UserCheck技術，企業可在員工訪問公司網絡、數據以及應用程序時提醒和教育他們遵守企業政策，幫助企業把社交工程攻擊發生的頻率、風險以及損失降到最低。