5.常见攻击方法之一.pptVIP

网络安全及黑客攻防 第五.网络安全的攻击技术 1社会工程学攻击 社交工程学是指使用计谋和假情报等手段，通过人与人之间的交流去获得敏感信息的科学。在黑客理论中，是指利用人性弱点、本能反应、好奇心、信任、贪婪等人际交往上的漏洞来非法获取资料的行为。 [举个例子]一群陌生人走进了一家大型远洋运输公司并控制了该公司的整个计算机网络。他们是怎么做到的? 首先，他们在实地踩点的两天之前已经对该公司进行了研究了解。例如，通过给人力资源部门打电话获得了公司重要员工的姓名列表。然后，他们在大门前假装丢失了钥匙让别人开门放他们进去。最后在进入三楼的安全区域时他们又故伎重演，一名员工面带微笑的为他们开了门。他们将公司的垃圾堆翻了个遍，找到了各种有价值的文档，并将这些东西顺利的带出了公司。这些人同样学会了模仿CFO的声音，所以他们可以在电话中冒充CFO的身份装作很焦急的样子来询问网络密码。自此，他们最后终于获取系统的超级用户权限。 社会工程学攻击 普通的黑客技术是入侵方与受害方仅通过计算机；而社交工程则是在侵入的过程中有入侵方与受害方的人的对话过程，并且入侵方所需要的信息只能通过这种途径获得。 高德纳集团（Gartner）信息安全与风险研究主任Rich Mogull认为：“社会工程学是未来10年最大的安全风险，许多破坏力最大的行为是由于社会工程学而不是黑客或破坏行为造成的” 。一些信息安全专家也预言，社会工程学将会是未来信息系统入侵与反入侵的重要对抗领域。 凯文·米特尼克(Kevin Mitnick) 出版的《欺骗的艺术》(The Art of Deception)堪称社会工程学的经典。书中详细地描述了许多运用社会工程学入侵网络的方法，这些方法并不需要太多的技术基础，但可怕的是，一旦懂得如何利用人的弱点如轻信、健忘、胆小、贪便宜等，就可以轻易地潜入防护最严密的网络系统。 社会工程学攻击常用方法 (5)个体配合：个体配合是对信息安全危害较大的一种社会工程学攻击方法，它要求目标内部人员与攻击者达成某种一致，为攻击提供各种便利条件。如果目标内部人员已经心存不满甚至有了报复的念头，那么配和就很容易达成，他(她)甚至会成为攻击者的助手，帮助攻击者获得意想不 到的情报或数据。 (6)反向社会工程学：是指攻击者通过技术或者非技术的手段给网络或者计算机应用制造“问题”，使其公司员工深信，诱使工作人员或者网络管理人员 透露或者泄漏攻击者需要获取的信息。该方法比较隐蔽，很难发现，危害特别大，不容易防范。 社会工程攻击的防范 一、组织机构 ◇普及教育：按照二八原理 ，20%的简单培训就可以防范80%的潜在攻击。由于“人 ”是社会工程攻击的主要对象，并且有经验的攻击者都善于寻找组织机构的弱点，所以普及教育务必要涵盖到每一个人(包括扫地的阿姨，尤其是新员工)。 ◇严格的认证:由于大部分的攻击者都会用到“身份冒充”这个步骤，所以认证就显得非常必要。只要进行一些简单的身份确认，就能够识破大多数假冒者。比如碰到公司内不认识的人找你索要敏感资料,你可以把电话打回去进行确认。 ◇严格的授权:对于组织机构来说，授权要尽量细化、尽量最小化。举个例子,如果某软件公司中，所有的程序员都可以访问所有的源代码，那源代码泄漏的风险就很大。如果每个人只能看到自己开发的那部分代码，那安全风险就会小很多。 ◇信息分类:在组织机构中，最好要有信息分类的制度。根据信息的重要程度，定出若干级别。越是机密的信息，知道的人越少。 ◇别乱丢办公垃圾:乱扔垃圾可不光是砸到花花草草的问题，更危险的是给垃圾分析者提供了大量有价值的素材。 二、个人 ◇多了解一些社会工程学的手法:《欺骗的艺术 》（凯文·米特尼克 ） ◇保持理性:尽量保持理性的思维（尤其在和陌生人沟通时）有助于减少你被攻击者忽悠的概率。 ◇保持一颗怀疑的心:这年头，除了骗子是真的，啥都可能是假的。比如，你收到的邮件，发件人地址是很容易伪造滴；比如，你公司座机上看到的来电显示，也可以被伪造；比如，你收到的手机短信，发短信的号码也可以伪造。 ◇别乱丢生活垃圾:不光办公垃圾有潜在风险，生活垃圾一样也会被垃圾分析者利用。比如有些粗心的同学会把帐单、发票、取款机凭条等东西随意丢在垃圾桶中。一旦碰上有经验的垃圾分析者，你没准就麻烦了。 ◇注意网站的URL地址:恶意网站可以看起来和合法网站一样，但是它的URL地址可能使用了修改过的拼写或域名（例如将.com变为.net）。 ◇注重个人隐私保护:社会工程学攻击中核心的东西就是信息，尤其是个人信息。在网络普通的今天，很多论坛、博客、电子信箱等都包含了个人大量私人信息，这些信息对社会工程学攻击有用的信息主要有生日、年龄、email邮件地址、手机号码、家庭电话号码等，入侵者根据这些信息再次进行信息挖掘，将提高入侵