39、防范与缓解社会工程攻击的有效策略

防范与缓解社会工程攻击的有效策略

在当今的商业环境中，信息的安全至关重要。企业在向公众和客户发布信息的同时，也面临着信息泄露和安全威胁的风险。本文将介绍一些有效的防范和缓解社会工程攻击的方法，包括保持软件更新、制定应对脚本、进行社会工程审计以及选择合适的审计人员等。

保持软件更新

在大多数企业中，向公众和客户发布信息是必要的。然而，发布这些信息可能会给企业带来安全风险。为了在自由发布信息的同时避免风险，保持软件更新是关键。

在一次竞赛中发现，超过60%的被调查公司仍在使用Internet Explorer 6和Adobe Acrobat 8。这两款应用程序存在大量已知的安全漏洞，使用它们的企业极易受到攻击，即使有身份识别系统、防火墙和杀毒软件也难以抵御。

软件的最新版本通常会修复大部分安全漏洞。如果某款软件的安全记录不佳，应考虑更换为更安全的替代品。例如，Firefox、Chrome等浏览器以及FoxIt或最新版本的Adobe软件相对更安全，虽然它们也可能存在漏洞，但被攻击的可能性要小得多。

然而，企业在软件升级方面往往行动迟缓。这是因为更新软件需要大量的工作和成本，还可能导致内部政策和方法的调整。但如果企业致力于安全和提高员工的安全意识，那么软件更新应成为企业文化的一部分。

制定应对脚本

制定应对脚本也是一种有效的防范措施。这里所说的脚本并非是让员工在特定情况下机械地说出固定的话，而是提供一些指导，帮助员工在关键时刻运用批判性思维做出正确的反应。

例如，当有人自称是CEO的下属并要求提供密码时，或者当一个没有预约但看起来像供应商的人要求进入公司的某个区域时，员工应该如何应对？以下是一个简单的脚本示例：
1. 当有人自称来自管理办公室并要求提供信息或内部数据时，首先询问对方的员工ID号和姓名，在获得这些信息之前不要回答任何问题。
2. 获得身份信息后，询问与该项目相关的项目ID号。
3. 如果成功获得上述信息，可以提供所需信息；否则，要求对方让其经理向你的经理发送电子邮件请求授权，并终止通话。

这样的脚本可以帮助员工在考验安全意识的情况下知道该说什么和做什么。

社会工程审计的重要性

社会工程审计就像身体康复过程中的压力测试，能在企业遭受安全漏洞之前发现潜在的弱点。在进行社会工程审计之前，需要了解审计的真正含义。

什么是社会工程审计

简单来说，社会工程审计是聘请安全专业人员模拟恶意社会工程师的攻击方式，对企业的人员、政策和物理边界进行测试。与恶意社会工程师不同的是，专业审计人员通常会遵循道德和法律准则，其目标是帮助企业而不是伤害企业，并且审计通常有一定的范围限制。

专业审计人员会花费大量时间分析和收集目标企业的信息，并据此制定现实的攻击策略。在这个过程中，明确的审计目标非常重要，它可以避免审计人员采取可能对企业和自身造成不良影响的行动。

设定审计目标

专业社会工程师在进行审计时，既要寻找企业的安全漏洞，又要考虑员工的感受。企业在审计后不应简单地解雇那些被攻击成功的员工，因为这些员工可能在经历审计后变得更加安全。

在设定审计目标时，可以从以下几个关键领域进行考虑，强度从0到10进行评估：
- 确定员工是否会点击来自不熟悉人员的电子邮件链接或打开文件，从而导致信息泄露。
- 确定员工是否会访问某个网站并输入个人或业务相关信息。
- 确定通过电话或实地拜访员工在工作场所或个人场所（如酒吧、健身房、日托中心）能获取多少信息。
- 通过测试门锁、摄像头、运动传感器和保安人员，确定办公室周边的安全级别。
- 确定社会工程师是否能够制作出诱使员工在工作电脑上使用的恶意USB或DVD，从而危及企业安全。

企业通常不清楚自己想要测试哪些方面，审计人员的工作就是帮助企业确定需要测试的领域，并明确列出审计中不应包含的内容。

审计中应包含和避免的内容

在规划审计时，有一些事情是应该避免的，例如攻击目标的家人或朋友、伪造犯罪或不忠证据来诋毁目标、冒充执法人员（在某些地区可能是非法的）、闯入目标的家中或公寓以及利用真实的绯闻或尴尬情况进行敲诈勒索等。这些行为不仅无法达到审计目的，还会让目标感到被侵犯。

如果在审计过程中发现了上述情况，审计人员需要自行决定如何处理。例如，一位审计人员发现一名员工使用公司的高速互联网下载大量色情内容到外部硬盘，他选择先警告员工停止这种行为，但员工却反咬一口称审计人员在其电脑上栽赃。最终，审计人员因未及时报告违反公司政策的行为而受到斥责。另一个案例中，审计人员发现一名员工下载并传播儿童色情内容，他选择向公司和当局报告，导致该员工失去了工作、家庭和自由。

审计中应包含的内容包括：
- 网络钓鱼攻击：通过有针对性的电子邮件攻击，测试员工是否容易受到电子邮件攻击。
- 借口式面对面攻击：选择非常精确和可控的借口，通过电话或面对面方式进行测试，确定员工是否会受骗。
- 诱饵攻击：通过某种方式进入目标建筑或其他场所，放置包含恶意代码的USB或DVD。
- 尾随攻击：审计人员试图跟随一群员工进入建筑物。
- 物理安全（红队）：尝试进入办公室并获取对企业有价值的物品。

选择合适的审计人员

选择合适的审计人员对于企业的安全审计至关重要。就像寻找一位好的外科医生来治疗受伤的肢体一样，选择审计人员时也需要考虑多个方面。
- 知识水平 ：审计团队是否发布过相关的研究、论文、演讲或其他材料，以显示他们对社会工程学的了解？他们在该领域是否被公认为领导者？避免选择使用过时方法的团队。可以通过询问审计人员关于他们撰写的论文、文章或信息来了解他们的知识水平。
- 经验 ：由于客户通常不希望被公开身份，了解审计人员的经验可能需要通过其他方式。可以询问审计人员过去使用的方法以及如何实施解决方案，要求他们分享一两个攻击案例，以评估他们的技能水平。
- 合同 ：确保审计的范围、限制和规则都有明确的书面记录。社会工程师可能需要获得录制电话、拍摄建筑物和互动的许可，特别是在涉及物理安全审计时，需要获得移除物品的书面许可。同时，指定一个紧急联系人，以便在审计人员遇到法律问题时能够提供帮助。
- 融洽关系 ：与审计人员沟通时，要感受他们是否专业，是否真正想帮助企业。审计团队的形象和业务是否符合企业的期望也很重要。如果是项目经理负责聘请审计人员，需要确保审计人员具备高质量的能力。
- 时间安排 ：企业在寻求审计帮助时，常常犯的一个错误是没有给审计人员足够的时间来完成工作。信息收集、规划和目标定位都需要时间，但也不能给予过多时间导致成本过高。要合理管理时间，但不要过度微观管理。

总之，防范和缓解社会工程攻击需要企业采取综合措施，包括保持软件更新、制定应对脚本、进行社会工程审计以及选择合适的审计人员等。只有将这些措施融入企业的日常运营中，才能有效保护企业的信息安全。

以下是社会工程审计的流程示意图：

graph LR
    A[确定审计目标] --> B[选择审计人员]
    B --> C[制定审计计划]
    C --> D[实施审计]
    D --> E[分析结果]
    E --> F[提出建议]
    F --> G[企业改进]

选择审计人员时需要考虑的因素如下表所示：
| 考虑因素 | 具体内容 |
| ---- | ---- |
| 知识水平 | 发布相关研究、论文等，在领域内有领导地位 |
| 经验 | 询问过去方法和实施的解决方案，分享攻击案例 |
| 合同 | 明确审计范围、限制和规则，获得相关许可，指定紧急联系人 |
| 融洽关系 | 感受审计人员的专业性和帮助意愿，团队形象符合期望 |
| 时间安排 | 给予足够时间完成工作，避免过度微观管理 |

防范与缓解社会工程攻击的有效策略（下半部分）

从社会工程审计中学习

社会工程审计不仅仅是发现安全漏洞，更重要的是企业能够从审计结果中学习，改进自身的安全措施。

当审计结束后，企业应该仔细分析审计报告，找出导致安全漏洞出现的根本原因。这可能涉及到员工培训不足、安全政策不完善或者物理安全措施存在缺陷等多个方面。

例如，如果审计发现员工容易受到网络钓鱼攻击，点击可疑链接或打开不明文件，那么企业可以加强员工的网络安全培训，提高他们识别钓鱼邮件的能力。培训内容可以包括如何识别邮件中的可疑迹象，如发件人地址、邮件内容的语法错误、不合理的请求等。

如果审计发现物理安全存在问题，如门锁容易被破解、摄像头存在盲区等，企业则需要对物理安全措施进行改进。可以更换更安全的门锁，增加摄像头的覆盖范围，或者加强保安人员的巡逻等。

此外，企业还可以根据审计结果调整安全政策。例如，如果发现员工在处理敏感信息时存在不规范的操作，企业可以制定更严格的信息处理政策，明确规定员工在何种情况下可以访问和处理敏感信息，以及如何进行安全存储和传输。

持续改进安全措施

防范社会工程攻击是一个持续的过程，企业需要不断地改进和完善安全措施。随着技术的不断发展和攻击者手段的不断更新，企业的安全防线也需要与时俱进。

企业可以定期进行社会工程审计，以确保安全措施的有效性。审计的频率可以根据企业的规模、行业特点和安全需求来确定。一般来说，大型企业和对安全要求较高的行业可以每年进行一次全面的审计，而小型企业可以每两年进行一次。

除了定期审计，企业还可以建立一个安全监测机制，实时监测企业的网络和系统是否存在异常活动。例如，可以使用入侵检测系统（IDS）和入侵防御系统（IPS）来监测网络流量，及时发现并阻止潜在的攻击。

同时，企业还应该鼓励员工积极参与安全管理。员工是企业安全的第一道防线，他们的安全意识和行为直接影响着企业的安全状况。企业可以通过定期的安全培训、安全宣传活动等方式，提高员工的安全意识，让他们了解社会工程攻击的常见手段和防范方法。

以下是企业持续改进安全措施的流程图：

graph LR
    A[定期进行社会工程审计] --> B[分析审计结果]
    B --> C[发现安全漏洞和问题]
    C --> D[制定改进措施]
    D --> E[实施改进措施]
    E --> F[监测改进效果]
    F --> A

总结

防范和缓解社会工程攻击是企业保障信息安全的重要任务。通过保持软件更新、制定应对脚本、进行社会工程审计以及选择合适的审计人员等措施，企业可以有效地降低被攻击的风险。

在保持软件更新方面，企业应该认识到软件更新的重要性，克服更新过程中遇到的困难，将软件更新纳入企业文化。制定应对脚本可以帮助员工在面对复杂的社会工程攻击时做出正确的反应，提高员工的安全意识和应对能力。

社会工程审计是发现企业安全漏洞的重要手段。企业在进行审计时，需要明确审计目标，避免不适当的审计行为，选择合适的审计人员。同时，企业还应该从审计结果中学习，持续改进安全措施，以适应不断变化的安全环境。

以下是防范社会工程攻击的关键要点总结表格：
| 防范措施 | 具体内容 |
| ---- | ---- |
| 保持软件更新 | 使用最新版本软件，修复安全漏洞，更换安全记录不佳的软件 |
| 制定应对脚本 | 提供指导，帮助员工在关键时刻做出正确反应 |
| 社会工程审计 | 模拟攻击，发现安全漏洞，明确目标，选择合适审计人员 |
| 持续改进 | 定期审计，建立监测机制，鼓励员工参与 |

总之，企业只有将这些防范措施有机结合起来，形成一个完整的安全体系，才能有效地保护企业的信息安全，避免因社会工程攻击而遭受损失。