類型：社會工程學 Draft 0 個改進

社會工程學指的是通過與他人的合法地交流，來使其心理受到影響，做出某些動作或者是透露一些機密信息的方式。這通常被認為是一種欺詐他人以收集信息、行騙和入侵計算機系統的攻擊方式。

手段和術語

所有社會工程學攻擊都創建在使人決斷產生認知偏差的基礎上。有時候這些偏差被稱為“人類硬件漏洞”，足以產生眾多攻擊方式，其中一些包括：

假托

假托（pretexting）是一種制造虛假情形，以迫使針對受害人吐露平時不愿泄露的信息的手段。該方法通常預含對特殊情景專用術語的研究，以創建合情合理的假象。

調虎離山

（diversion theft）

在線聊天/電話釣魚

（IVR/phone phishing，IVR: interactive voice response）

下餌

（Baiting）

等價交換

（Quid pro quo）攻擊者偽裝成公司內部技術人員或者問卷調查人員，要求對方給出密碼等關鍵信息。在2003年信息安全調查中，90%的辦公室人員答應給出自己的密碼以換取調查人員聲稱提供的一枝廉價鋼筆。后續的一些調查中也發現用巧克力和諸如其他一些小誘惑可以得到同樣的結果（得到的密碼有效性未檢驗）。攻擊者也可能偽裝成公司技術支持人員，“幫助”解決技術問題，悄悄植入惡意程序或盜取信息。

同情心

攻擊者偽裝成弱者但不限于通過說話聲音帶哭腔等手段來騙取受害者的同情心，以此來獲取想要獲取的信息

尾隨

尾隨通常是指尾隨者利用另一合法受權者的識別機制，通過某些檢查點，進入一個限制區域。

社會工程學的演進

雖然社會工程學已經流傳多年，但仍一再被利用，并且不斷演進。各類型的網絡犯罪和信息安全威脅，都會使用社會工程學的技巧，尤其是在目標式攻擊中使用的頻率愈來愈高。在以往，網絡罪犯只會利用標題聳動的全球性事件或新聞 (例如世界杯足球賽或情人節等) 來引誘用戶，但現在，有其他犯罪手法往往也搭配使用社會工程學技巧。

釣魚式攻擊

是一種企圖從電子通信中，透過偽裝成信譽卓著的法人媒體以獲得如用戶名、密碼和信用卡明細等個人敏感信息的犯罪詐騙過程。

電腦蠕蟲

電腦蠕蟲不需要附在別的程序內，也可以用戶不介入操作的情況下也能自我復制或運行。

垃圾郵件

以電子郵件包裝著惡意木馬程序的電子郵件入侵受害者電腦。 例如主旨為美國總統大選結果的電子郵件附件卻包含惡意木馬程序。

惡意軟件

防御手段

在實際的社會工程學攻擊案例中，如果不允許用戶啟用宏，可能攻擊不會帶來如此大的影響。信息安全工程師李東衛表示，企業可以使用深度包檢測技術(DPI)、行為分析以及威脅情報來監控網絡層的異常行為，例如某次社工攻擊案例中展示的帶宏病毒的工作文檔。企業可以使用下一代終端安全技術來對端點設備執行類似的功能，這些技術將有助于減輕許多社會工程攻擊。

李東衛進一步補充道，企業應該強制在網絡和端點上應用網絡分段掃描、多因素身份驗證以及攻擊后進行證據鏈取證等方法，以阻止橫向感染，限制由于被盜憑證導致的損失，并了解違規行為的范圍，以確保刪除所有相關的惡意軟件。

而針對性勒索手段，企業應該將最低權限零信任措施和行為檢測相結合來解決性勒索問題，并監視攻擊行為和限制泄漏憑證濫用等。如果網絡犯罪分子攻擊了企業員工并對其進行性勒索，而勒索的信息極有可能是企業敏感數據。這時候，法律、人力資源以及執法部門就需要發揮作用了，培養員工防范意識和應對技巧對降低損失有非常明顯的作用。

針對偽裝新人的攻擊手段，要檢測以工作的幌子混入公司的間諜，可以考慮那些從未休假甚至是病假的員工，因為他們或許會擔心自己離開公司后，他們的活動會被檢測到。

針對惡意機器人的攻擊手段，可以使用諸如異常行為監控產品和一些防病毒和反惡意軟件等工具，能夠有效地檢測出惡意機器人行為以及其對瀏覽器做出的改變。企業還可以使用威脅情報軟件和網絡IP地址信任信息來檢測惡意機器人。