資訊安全基礎認知.pptVIP

Page * Information Technologies Lab. 資訊安全概論Introduction to Information Security 授課教師：李錫智 投影片：查傳憲 六、社交工程 社交工程攻擊之定義 利用人性弱點、人際交往或互動特性所發展出來的一種攻擊方法 早期社交工程是使用電話或其他非網路方式來詢問個人資料，而目前社交工程大都是利用電子郵件或網頁來進行攻擊 透過電子郵件進行攻擊之常見手法 假冒寄件者 使用讓人感興趣的主旨與內文 含有惡意程式的附件 利用應用程式之弱點(包括零時差攻擊) 社交工程攻擊模式 駭客設計攻擊陷阱程式(如特殊Word 檔案) 將攻擊程式埋入電子郵件中 寄發電子郵件給特定的目標 受害者開啟電子郵件 啟動駭客設計的陷阱，並被植入後門程式 後門程式逆向連接，向遠端駭客報到 Internet 軟體弱點與零時差攻擊 只要是軟體即有可能存在弱點，若未能及時修補弱點，即可能讓駭客入侵成功 軟體弱點在沒有任何修補方式之前，出現相對應的攻擊行為時，此類攻擊稱為「零時差攻擊（Zero-day Attack） 」 修補程式公告 弱點被發現 安全時期 安全時期 危險時期 攻擊程式碼出現 18 個 月 社交工程範例 社交工程駭客（學務處的同仁嗎？您好！我這裡是電算中心，為測試系統新功能，可以給我您的密碼嗎？我幫你測試新系統是否可用。 ）→ 內部員工 網路釣魚 網路釣魚(Phishing）是常見的透過電子郵件手段的一種網路社交工程；籍由誘惑使用者點選網頁連結（利用預覽功能,甚至不必等使用者點選！）或打開副加檔案以植入惡意程式（例如：木馬、後門等）。 網路釣魚範例 發信者非單位人員 惡意連結 惡意連結將連往不明IP位址 社交工程與網路釣魚之防範 避免人性弱點遭到利用的方式 提升自我資訊安全認知與警覺性。 重要資料或密碼輸入時，應注意是否有旁人窺視。 討論業務機密應注意場合。 透過網路或電話溝通時，應確認對方身分。 使用者代碼不借給別人。 密碼不洩漏給任何人。 社交工程與網路釣魚之防範 電子郵件防禦社交工程應注意事項。 不隨意開啟郵件（注意陌生之寄件者）。 取消郵件預覽?不隨意下載附件。 確認寄件人與主旨的關係。 非經查證，不可直接點選郵件中的超連結。 善用密件收件人。 不隨意留下郵件地址予他人。 定期自我執行病毒與後門程式掃瞄。 了解組織傳送郵件規定。 熟悉社交工程的可能手法。 通報相關單位。 * * Page * Information Technologies Lab. * *