40、网络安全教育中社会工程学竞赛的相关性

网络安全教育中社会工程学竞赛的相关性

1. 引言

2022 年，网络安全领域有超过 180 万个职位空缺。目前网络安全教育项目、课程和竞赛大多侧重于技术方面，如编码、渗透测试和取证等。然而，网络攻击中的人类社会行为方面，特别是社会工程学（SE），常常被忽视。

社会工程学是利用对人类的心理说服来进行侦察、获取电子系统安全所需信息或诱使目标无意间提供电子系统和信息访问权限的技术。平均每个组织每年会遭受 700 多次社会工程学攻击，2020 年 85% 的数据泄露涉及人为因素，36% 涉及网络钓鱼（一种社会工程学形式）。社会工程学攻击可能造成高达数百万美元的损失。因此，培养能够应对社会工程学威胁的网络安全人才至关重要。

2. 社会工程学竞赛

2.1 竞赛背景与导向

2021 年夏天举办了社会工程学渗透测试竞赛（SE - PTC），其背景是对主办方运营的网络安全实验室进行社会工程学渗透测试。学生团队扮演主办方聘请的渗透测试公司，测试实验室员工对社会工程学攻击的易感性。比赛开始前约两周，组织团队举办了一场定向会议，介绍了比赛规则、说明和后勤安排，并讲解了社会工程学策略和各种心理说服技巧。

2.2 竞赛任务（Flags）

每个团队需要完成一组预定的任务（Flags），展示如何利用社会工程学启动或维持网络攻击：
1. 获取敏感信息，如实验室员工的会议日程。
2. 获取知识产权，如实验室生成的数据集副本。
3. 通过说服实验室员工更改实验室网站上的信息，造成数据完整性问题。
4. 试图成为内部威胁，说服实验室雇佣团队成员或尝试开展合作。

学生需要