攻击者利用员工一念之仁进行攻击最难防范,但要保护公司免当社交工程(socialengineering)骗术受害者还是有规则可循。
你被骗过吗?社交工程者诱骗手法往往相当细腻,受害者往往还不知所以然就上了钩。社交工程者往往利用人性弱点而非技术/软体漏洞来入侵保护周延的网路。
小偷,非强盗
这种诈骗大师的典型之一就是英国的KevinMitnick,他曾因电脑犯罪前后进出监狱三次,出狱后Mitnick决定改邪归正,现在经营起一家顾问公司DefensiveThinking,专门保护企业员工免受社交工程骗术之害。
Mitnick在犯罪全盛时期,几乎无所不骗,他可诱使人们泄漏各种信息,包括密码、上网帐号、一般技术信息等。我们访问了Mitnick,看看社交工程骗子打电话进公司找人时最常希望拿到哪些信息。
「这多半是打电话进去,然后套出他们的密码,」他说,「但其实还有更精密的攻击手法,只为了取得各种细碎的信息。」
比方说你看上某家软体公司,(这是Mitnick之前最常做的事,先是在80年代窃取DEC公司的源代码,后来陆续还找过诺基亚、Sun、摩托罗拉与NEC),你不会直接打进去找IT管理员,开口就说,「密码多少?」
有技巧的攻击者会安瞄准比较容易下手的部分,比如公司区域网路上的某台工作站,利用常见的技术漏洞做入侵。接着社交工程就可派上用场,用来寻找网路上哪台机器才是攻击者真正想要的目标,如此便可节省许多胡乱在LAN上摸索的时间,同时也可降低误触安全警报的风险。
如何破解攻击手法?
训练员工权衡突发的「请求」事件,表示社交工程高手最爱给人戴高帽,比方说「只有像你这么聪明的人才肯帮我,待会我寄给文件给你,请你打开附件看看。conAd1();」他们也会使用恫吓方式,「要是你不说出密码让我进入我的mail信箱,你就等着被革职。」
若你能拒绝这种「状况外」的请求,你大概就赢一半了,「关键在於训练员工了解哪些是合法的请求,哪些不是。」Mitnick说。
有些简单的政策也很容易遵循,几乎所有社交工程师不会显示来电号码,「他们会找各种借口,比如说我的手机电池快没电等等的,」Mitnick如此说,公司只要立下规定说,若有人来电请求的信息是具有**/机密性质的,员工必须真的知道有这号人物,然后回电给对方确认才行,经过这一关,至少七成社交工程骗术都会事迹败露。
只要有人来电要求重设密码,IT人员务必回电该名员工做确认,这样的政策绝对有助於破解社交工程骗子。