42、企业社交工程意识与培训计划全解析

企业社交工程意识与培训计划全解析

1. 培训基础内容拓展

在企业安全培训中，仅用老套故事解释罪犯可能的作案方式，只涵盖基础知识，难以让员工形成足够的安全意识来开展有效培训。因此，有必要拓展这些通用主题，至少纳入基本的常见社交工程技术。以下是一些可考虑纳入的主题：
- 社交工程方法
- 尾随进入与身份查验
- 窥视他人屏幕与隐私问题
- 针对性钓鱼技术与垃圾邮件
- 电话信息诱导技术
- 利用公开信息
- 现实世界中的社交工程案例

这个阶段是在为意识和培训计划奠定基础，要为员工提供他们可能需要的所有通用安全信息和最佳实践建议。接下来，就是在最需要的关键领域提供实际培训。

2. 基础培训

对于社交工程培训而言，实践工作坊在培养员工防御技能方面具有不可估量的价值。员工可以通过工作坊探索、测试并深入了解各种安全问题。当他们了解攻击是如何实施的，就能在不同情境下察觉此类攻击的企图。

例如，识别普通钓鱼邮件相对容易，因为这些邮件往往英语使用不佳，且围绕常见主题，如银行账户锁定或一次性赚钱计划。然而，识别针对性钓鱼邮件则不那么容易，特别是当这些邮件经过精心设计且目标明确时。因此，培训员工了解这些攻击的工作原理，比仅仅提供识别常见示例的一般提示更为有效。

以下是一些典型工作坊活动示例：
- 密码重置程序分析 ：公司正在考虑以下四种密码重置程序，分析这些程序的弱点以及社交工程师如何利用它们，并以小组形式进行头脑风暴和探索可能性。
1. 要重置密码，需致电帮助台并提供用户名。
2. 帮助台要求部门经理发送电子邮件后才会重置密码。
3. 帮助台同意重置密码，但仅将新密码详情发送到另一个当前工作电子邮件地址。
4. 将自己公司的密码重置程序与这些进行比较。
- 设计钓鱼邮件 ：设计一封能说服用户点击恶意链接的钓鱼邮件，该恶意链接将利用其过时的网页浏览器软件漏洞。小组讨论：
- 邮件要发送给谁？
- 邮件内容该怎么写？
- 如何使邮件具有说服力？
- 邮件附件讨论 ：现在大家都知道下载邮件附件可能存在危险，恶意附件形式多样，从 Microsoft Office 文档到 PDF 文件都有。小组讨论：
- 社交工程师如何说服用户下载并运行附件，即便大家都知道不应该这样做？
- 如果钓鱼邮件和附件被巧妙伪装成来自同事，如何识别？
- 针对企业用户，哪种附件是较好的选择？
- 接待处场景模拟 ：接待员已被成功骗出有效通行证，允许进入目标建筑。但在前往服务器室之前，顾问被一名员工拦住，员工询问其身份和目的。小组讨论：
- 根据对公司的了解，如何说服质疑者自己是合法员工？
- 如果自己是质疑者，会认为哪些行为可疑？
- 对于不敢质疑陌生人的人，有什么建议？
- 小组中是否有人曾质疑过他人？结果如何？
- 分组对抗活动 ：将小组分成两队，一队尽可能想出无有效通行证进入大楼的方法，另一队则想出阻止无有效通行证人员进入大楼的方法。
- 第二组的缓解策略是否与公司当前策略相符？
- 第一组是否想出了没有可行缓解策略的场景？
- 角色扮演活动 ：将小组分成两人一组，一人扮演质疑者，另一人扮演社交工程师。
- 质疑者在走廊拦住无徽章的人并询问。
- 质疑者因某人干扰办公室门锁而拦住并询问。
- 质疑者因某人刚从文件柜中取出敏感文件而拦住并询问。

这些活动鼓励参与者探索各种安全情况，让他们更深入地了解社交工程师的思维方式。员工可能早已知道自身程序中的弱点，但可能从未想过这些弱点会被如何利用。这种培训通常能揭示新的安全问题，促使员工深入剖析公司的所有安全方面，培训结果往往能带来政策和程序的改进。

虽然工作坊只是开展意识“培训”的一种方式，但它被证明是最有效的。同样的内容也可以通过基于计算机的培训、基于网络的培训甚至书面测试来传授。然而，小组头脑风暴、分享故事和讨论各种可能性的方式极其有效。

3. 部门培训

部门级培训与基础培训主题相同，但重点更窄。此级别培训仅关注特定部门的当前程序和相关风险。因此，每个部门都会参与部门培训，但内容可能因部门而异。

以下是专门针对接待处的工作坊活动示例：
- 获取信息讨论 ：有人打电话到目标企业的总接待处询问 IT 部门经理的姓名。小组讨论：
- 假设直接询问不起作用，如何从接待员那里获取此信息？
- 如果自己是接待员，意识到来电者试图诱导信息，会如何处理这种情况？
- 如果成功获取了 IT 部门经理的姓名，冒充他们可以达成什么目的？
- 电话身份验证讨论 ：在电话中验证来电者身份并非易事，尤其是当社交工程师准备充分时。小组进行：
- 尽可能多地头脑风暴通过电话验证来电者身份的不同方法。
- 这些方法中有多少可以潜在地应用到当前程序中？
- 对于可以应用的方法，准备充分的社交工程师如何绕过它们？
- 通行证管理讨论 ：接待处通常保存并发放访客和承包商的安全通行证，社交工程师常试图获取有效通行证进入大楼。小组讨论：
- 当前是否有程序确保冒名顶替者无法获得有效通行证？
- 作为小组，讨论如何绕过这些程序，社交工程师需要哪些信息？
- 如何改进当前程序？
- 角色扮演活动 ：将小组分成两人一组，一人扮演接待员，另一人扮演社交工程师。
- 社交工程师试图找出首席执行官办公室的位置。
- 社交工程师试图了解员工午餐时间去的地方。
- 社交工程师冒充第三方技术支持公司，试图安排进入大楼的通行证。

这些示例涵盖了接待员可能面临的一些特定社交工程风险。参与者通过尝试提供尽可能多的不同场景来探索每个安全问题。一旦接待人员参与此类培训，他们将对攻击更具抵抗力，因为他们能将实际遇到的情况视为培训中讨论过的变体。

4. 培训流程总结

下面用 mermaid 流程图展示从基础培训到部门培训的流程：

graph LR
    classDef startend fill:#F5EBFF,stroke:#BE8FED,stroke-width:2px;
    classDef process fill:#E5F6FF,stroke:#73A6FF,stroke-width:2px;
    A([开始培训计划]):::startend --> B(基础内容拓展):::process
    B --> C(基础培训):::process
    C --> D(部门培训):::process
    D --> E([培训持续改进]):::startend

通过以上基础培训和部门培训的结合，企业能够更全面地提升员工的安全意识和应对社交工程攻击的能力。在后续内容中，我们将继续探讨个人培训、培训的实施、外部协助以及培训的维护等重要方面。

企业社交工程意识与培训计划全解析

5. 个人培训

培训还应进一步细化到个人层面。企业中可能存在一些具有特定权限的人员，比如少数知道特定门密码的人，或者是唯一有权访问闭路电视系统的人。由于这些特定权限，他们可能成为攻击目标。

这种个人培训可以通过定制的基于计算机的学习、基于网络的评估，或者由专业安全顾问进行一对一培训来实现。关键在于首先要识别出这些人员。例如，首席执行官和高层管理人员显然是重点对象。但如果清洁工有打开大楼内任何门的钥匙，那他们也可能是主要目标。再比如负责将物理媒体备份转移到异地的人员，也可能成为高价值目标。

6. 培训实施

各部门制定好意识和培训材料后，就到了实施阶段。分散式模式将实施责任分配给每个部门，但各部门需要定期向管理层提供进度和绩效更新。

在培训推出之前，有必要让员工了解意识和培训计划以及制定该计划的原因。例如，该计划是企业对信息安全的持续投入，还是因近期的安全漏洞而制定。原因应完全透明，并尽可能支持该计划。

7. 外部协助

如果企业在社交工程的易受性以及意识和培训计划方面有所忽视，可能会设计出质量不佳的培训材料，并且可能缺乏向员工自信地讲解该主题的知识。这种情况下，可能需要外部帮助。

外部可以提供的首要且明显的帮助是进行社交工程评估。这能提供企业当前对社交工程攻击的易受性快照，帮助企业评估是否需要投资特定的意识和培训计划。如果已有现有培训计划，评估可能会凸显其弱点。评估结果可作为创建有影响力的相关材料的基础。各部门可以根据实际发生的情况（即顾问能够实现的目标）来规划和设计意识和培训计划，而不仅仅基于可能发生的情况。基于实际事件的材料能更有效地引起员工共鸣，最终产生更大的影响和更持久的效果。

企业也可以聘请安全顾问提供以下服务：
- 提供社交工程方面的见解，协助设计针对公司的特定意识和培训材料。
- 作为载体来提供公司特定的培训，而不是提供通用的培训课程。

对于安全意识较强的企业，其意识和培训计划的重点可能在于维护。他们可能已经聘请专业社交工程师识别了程序中的漏洞和员工培训中的差距。此时，企业可能会探索与长期攻击策略相关的风险。专业社交工程师可以被聘请来探索持续数月的社交工程技术，针对特定人员或设计涉及多种混合攻击向量的复杂场景。这种评估的结果将为非常具体的培训提供基础，可能与单个人员相关。虽然这种服务成本较高，但能发现短期评估无法发现的弱点。

8. 培训维护

企业信息安全如同一个不断变化的生命体。政策和程序会更新，新员工入职，现有员工更换角色或离职，技术不断进步，攻击方式也在每日演变。为了保持竞争力和有效性，企业只能接受这种不断变化的环境，并尽可能适应它。然而，意识和培训材料是基于某个时间点设计的，而不是基于不断变化的系统。如果材料设计得适用于企业的任何状态，那它必然会变得通用且失去影响力。因此，任何意识和培训计划都必须定期测试，以确保其仍然有效，并在必要时进行更新。

企业应记录所有意识演示和培训课程的实例，以确定该计划是否正确实施。如果员工缺席培训课程，安全漏洞就会出现。但跟踪进度与跟踪有效性不同。通常，计划的有效性通过调查、访谈、问卷和正式报告的结果来确定。这些可能会提供一些关于意识和培训材料是否提高了整体安全性的见解。然而，真正了解计划有效性的唯一方法是进行实际测试。

需要注意的是，不要通过多项选择题测试或类似的纸质活动来评估社交工程意识和培训计划的有效性。这种类型的测试可能适用于一般基础意识材料，但不太可能确定个人对社交工程攻击的理解程度。这只能通过内部评估、基于评估的工作坊活动，甚至一对一讨论来实现。

内部社交工程评估是实际测试计划有效性的最佳方式。这种内部评估可以高度可控，并且针对安全的个别方面，如单个程序或特定员工（当然，在这种情况下需要考虑道德因素）。社交工程意识计划的每个方面都应定期测试，无论是内部测试还是通过专业第三方公司进行。从这些测试结果中，可以改进现有材料并创建新的材料。意识和培训计划应与企业一起不断发展。

9. 总结

一般的意识和培训计划存在缺陷，尤其是在社交工程方面。缺乏实际的实践培训使员工在检测攻击和防止攻击方面能力不足。虽然安全专家对于是否应该进行意识培训存在争议，但社交工程培训却被越来越忽视。然而，意识和培训计划是企业抵御社交工程攻击的关键部分。技术、严格的政策和程序所能起到的作用是有限的。如果企业要有效抵御社交工程攻击，就需要对目标人员进行适当培训。同时，确保计划设计合理、经过测试并定期改进，避免攻击者利用其中的弱点。

创建意识和培训计划的一般模式已呈现，每个部分都与社交工程方面相关。在规划和设计的初始阶段，管理层的支持以及使计划与企业使命保持一致是至关重要的第一步。各部门可以带头创建量身定制的培训材料，确保识别出正确的资产并解决最重要的风险。

部门级和个人级培训为员工提供了预防攻击所需的知识和技能。如工作坊和角色扮演活动等培训方式鼓励员工探索各种安全问题，深入了解攻击方式以及最佳防御方法。

意识和培训计划设计完成后，应系统地实施，并监控其进度和绩效。定期测试以确保计划达到目标，发现的任何缺陷应迅速用于进一步改进计划，必要时可借助专业社交工程师的外部协助。

以下是一个总结各培训阶段重点的表格：
|培训阶段|重点内容|
| ---- | ---- |
|基础培训|涵盖常见社交工程技术，通过工作坊培养员工防御技能|
|部门培训|针对特定部门的程序和风险，开展定制化活动|
|个人培训|识别特定权限人员，采用定制化培训方式|
|培训实施|分散责任，定期汇报，向员工说明计划原因|
|外部协助|进行评估，提供专业见解和定制培训|
|培训维护|定期测试，根据结果改进材料|

下面用 mermaid 流程图展示从培训识别到维护的整体流程：

graph LR
    classDef startend fill:#F5EBFF,stroke:#BE8FED,stroke-width:2px;
    classDef process fill:#E5F6FF,stroke:#73A6FF,stroke-width:2px;
    A([识别培训需求]):::startend --> B(制定培训材料):::process
    B --> C(培训实施):::process
    C --> D(外部协助评估):::process
    D --> E(培训维护与改进):::process
    E --> F([持续提升安全意识]):::startend

通过全面且系统的培训计划，企业能够更好地应对社交工程带来的安全挑战，提升整体的安全防护能力。