社会工程学课件.pptVIP

社会工程学Social Engineering 一种让他人遵从自己意愿的科学或艺术 什么是社会工程学 ？ 社会工程学（Social Engineering），一种通过对受害者心理弱点、本能反应、好奇心、信任、贪婪等心理陷阱进行诸如欺骗、伤害等危害手段，取得自身利益的手法，近年来已成迅速上升甚至滥用的趋势。它并不能等同于一般的欺骗手法，社会工程学尤其复杂，即使自认为最警惕最小心的人，一样可能会被高明的社会工程学手段损害利益。 我们经常讲：最安全的计算机就是已经拔去了插头（网络接口）的那一台（“物理隔离”）。 真实上，你可以去说服某人（使用者）把这台非正常工作状态下的、容易受到攻击的有漏洞的机器连上网络并启动提供日常的服务。 也可以看出，“人”这个环节在整个安全体系中是非常重要的。 而这就是社会工程学的精髓 社会工程学的八种常用伎俩 1.十度分隔法 2.学会说行话 3.借用目标企业的“等待音乐” 4.电话号码欺诈 5.利用坏消息作案 6.滥用网民对社交网站的信任 7.输入错误捕获法 8.利用FUD操纵股市 1.十度分隔法 利用电话进行欺诈的一位社会工程学黑客的首要任务，就是要让他的攻击对象相信，他要么是1）一位同事，要么是2）一位可信赖的专家（比如执法人员或者审核人员）。但如果他的目标是要从员工X处获取信息的话，那么他的第一个电话或者第一封邮件并不会直接打给或发给X。黑客在一个组织中开始接触的人可能会与他所瞄准的目标或人隔着十层之远。 犯罪分子所用的方法很简单，就是奉承某个组织里更多可以接近的人，以便从职务更高的人那里获得他们所需的信息。 他们常用的技巧就是伪装友好. 2.学会说行话 每个行业都有自己的缩写术语。而社会工程学黑客就会研究你所在行业的术语，以便能够在与你接触时卖弄这些术语，以博得好感。 假如我跟你讲话，用你熟悉的话语来讲，你当然就会信任我。要是我还能用你经常在使用的缩写词汇和术语的话，那你就会更愿意向我透露更多的我想要的信息 .  3.借用目标企业的“等待音乐” 成功的骗子需要的是时间、坚持不懈和耐心。攻击常常是缓慢而讲究方法地进行的。这不仅需要收集目标对象的各种轶事，还要收集其他的“社交线索”以建立信任感，他甚至可能会哄骗得你以为他是你还未到这家企业之前的一位同事。 另外一种成功的技巧是记录某家公司所播放的“等待音乐”，也就是接电话的人尚未接通时播放的等待乐曲。 4.电话号码欺诈 犯罪分子常常会利用电话号码欺诈术，也就是在目标被叫者的来电显示屏上显示一个和主叫号码不一样的号码。 犯罪分子可能是从某个公寓给你打的电话，但是显示在你的电话上的来电号码却可能会让你觉得好像是来自同一家公司的号码。于是，你就有可能轻而易举地上当，把一些私人信息，比如口令等告诉对方。 5.利用坏消息作案 只要报纸上已刊登什么坏消息，坏分子们就会利用其来发送社会工程学式的垃圾邮件、网络钓鱼或其它类型的邮件 有大量的网络钓鱼攻击是和银行间的并购有关的，” “钓鱼邮件会告诉你说，‘你的存款银行已被他们的银行并购了。请你点击此处以确保能够在该银行关张之前修改你的信息。’这是诱骗你泄露自己的信息，他们便能够进入你的账户窃取钱财，或者倒卖储户的信息。” 6.滥用网民对社交网站的信任 很多人对一些社交网站十分信。而钓鱼欺诈瞄上了这类站点 ，就使很多人受到攻击。 用户们会收到一封邮件称：‘本站正在进行维护，请在此输入信息以便升级之用。’只要你点进去，就会被链接到钓鱼网站上去。 7.输入错误捕获法  犯罪分子还常常会利用人们在输入网址时的错误来作案，比如当你输入一个网址时，常常会敲错一两个字母，结果转眼间你就会被链接到其他网站上去，产生了意想不到的结果。 坏分子们早就研究透了各种常见的拼写错误，而他们的网站地址就常常使用这些可能拼错的字母来做域名。 8.利用FUD操纵股市 一些产品的安全漏洞，甚至整个企业的一些漏洞都会被利用来影响股市。根据Avert的必威体育精装版研究报告，例如微软产品的一些关键性漏洞就会对其股价产生影响，每一次有重要的漏洞信息被公布，微软的股价就会出现反复的波动。 有一个例子表明，还有人故意传播斯蒂夫·乔布斯的死讯，结果导致苹果的股价大跌。这是一个利用了FUD（恐慌、不确定、怀疑），从而对股价产生作用的明显事例。  1.?保护个人信息资料不外泄。网民在网络上注册信息时，如果需要提供真实信息的，需要查看注册的网站是否提供了对个人隐私信息的保护功能，是否具有一定的安全防护措施，尽量不要使用真实的信息，提高注册过程中使用密码的复杂度，尽量不要使用与姓名、生日等相关的信息作为密码，以防止个人资料泄露或被黑客恶意暴力破解利用。 2.?时刻提高警惕。在网络环境中，利用社会工程学进行攻击的手段复杂多变，网络环境中充斥着