社会工程学攻击与防范.pptxVIP

社会工程攻击概述社会工程攻击的案例社会工程攻击的防范社会工程攻击的形式2143本章内容提要本章主要内容11.1 社会工程攻击概述只有两种事物是无穷尽的——宇宙和人类的愚蠢,但对于前者我不敢确定11.1 社会工程攻击概述1、社会工程学：社会工程学（Social Engineering）是关于建立理论通过自然的、社会的和制度上的途径并特别强调根据现实的双向计划和设计经验来一步一步地解决各种社会问题。社会工程学利用人的粗心、轻信、疏忽、警惕性不高来操纵其执行预期的动作或泄漏机密信息的一门艺术与学问。11.1 社会工程攻击概述2、社会工程学不等同于欺骗、诈骗社会工程学攻击比较复杂，再小心的人也可能被高明的手段损害利益层次不一样，社会工程学攻击会根据实际情况，进行心理战。目的不一样，社会工程学攻击其目的是获得信息系统的访问控制权，从而得到机密信息并从中获利。11.2 社会工程攻击的形式3、社会工程学攻击者：一般这类人具有很强的人际交往能力。他们有魅力、讲礼貌、讨人喜欢，并具有快速建立起可亲近、可信任感。4、社会工程学攻击对象——人计算机信息安全链中最薄弱的环节 人具有贪婪、自私、好奇、信任等心理弱点11.1 社会工程攻击概述系统、制度可能没有漏洞。信息安全的防范应该具有三个层次：物防、技防、人防。其中人防是不到位，则有可能成为最大的安全漏洞。尽管我们很聪明， 但对我们人类——你、我、他的安全最严重的威胁，来自于我们彼此之间。 社会工程学攻击是信息安全的最大威胁！11.2 社会工程攻击的形式11.2.1 信息收集1、信息收集：通过各种手段去获取机构、组织、公司的一些不敏感信息。不敏感信息容易获取 不敏感信息降低了攻击者的风险11.2 社会工程攻击的形式11.2.1 信息收集2、不敏感信息：某些关键人物的资料：部门、职位、邮箱、手机号、座机分机号等 机构内部某些操作流程步骤：如报销流程、审批流程等机构内部的组织关系：隶属关系、业务往来、职权划分、强势还是弱势等机构内部常用的术语和行话11.2 社会工程攻击的形式11.2.1 信息收集3、信息收集方法：官方网站搜索引擎离职员工或新员工垃圾分析电话询问（常常是面对前台或客服人员）11.2 社会工程攻击的手法11.2.1 信息收集3、信息收集方法：官方网站搜索引擎微博、微信、QQ、FB、人人等等离职员工或新员工垃圾分析电话询问（常常是面对前台或客服人员）11.2 社会工程攻击的形式11.2.1 信息收集4、信息收集案例 QQ聊天： 攻击者：你多大啊？ 受害者：我84年的 攻击者：我也84的，我3月1号的，你呢？ 受害者：那我比你大，我2月3号 得到受害者的生日信息2 社会工程攻击的手法11.2.2 假冒身份 你是骗子1、为什么要假冒身份哪个攻击者，愿意暴露自己真实身份呢？2、假冒的效果获得信任、好感或同情树立权威性11.2 社会工程攻击的手法11.2.2 假冒身份 你是骗子3、假冒的方法选择一个合适的身份，秘书-秘书，同学-同学，新员工-新员工。前台-领导秘书外貌粉饰：磁性的嗓音、柔情的语言，仪表堂堂，气质非凡等11.2 社会工程攻击的手法11.2.2 假冒身份4、假冒案例：利用第一代QQ密保骗取买狗人QQ控制权闯荡：我挺喜欢他的歌的。**狗场 ：恩，还行。闯荡 ：你最喜欢哪个歌星。**狗场 ：很多。闯荡 ：那你最喜欢的呢。**狗场：最喜欢的就是谭咏麟吧，他的歌很好听。闯荡 ;哦是吗，我也挺爱听的。**狗场 :我有事，出去一下，下午聊。闯荡 :恩。正好他有事走了，说完就下了，我便跑网站上去改密码，他的问题是我的偶像是谁？我输入谭咏麟，点确定,晕不对，我又试着输入咏麟，OK，对了，但是邮件发了默认邮箱去了，我又改了一下，然后打开我邮箱，按照邮件上说的顺利改了密码，然后把问题改了，手机绑定也撤了，一个号就这样到手了.Tdby ：你好啊,是卖狗的吗 ***狗场 ：是的，你想买吗？Tdby ：恩，我开了个场子，想买条狗看家，要个大点的。***狗场 ：你要是买狗看家就要个凶点的。Tdby ：狗大不就厉害吗 ***狗场 ：呵呵！不是，我这有个德国黑背，很凶狠，价格也很便宜。Tdby ：多少钱 ***狗场 ：15000Tdby ：能不能便宜点闯荡 ：哦，你结婚了吗**狗场 ：没呢，你结了吗闯荡 ：没呢，闯荡 ：怎么还不结啊，该结了。**狗场 ：呵呵，不着急。闯荡：你知道吗？香港出了一件大事。**狗场 ：什么大事。闯荡 ：香港最红的歌星黄家驹死了。**狗场：我晕，不是早就死了吗，都10多年了。你怎么才知道啊。闯荡 ：哦 是吗，死了10多年啦。**狗场 ：恩。***狗场 ：不能Tdby ：便宜点 我是诚心买的。***狗场 ：最便宜13000.Tdby ：那好吧，那个网站上的电话是你的吗***狗场