新信息安全意识培训解析.ppt

防范社会工程学攻击 社会工程学是一种通过对受害者心理弱点、本能反应、好奇心、信任、贪婪等心理陷阱进行诸如欺骗、伤害等危害手段,取得自身利益的手法. 步骤：信息收集——信任建立——反追查 典型攻击方式： 环境渗透、身份伪造、冒名电话、信件伪造等 如何防范？ * * 如何防范？ 仔细身份审核；（多重身份认证、来电显示确认、电话回拨、EMAIL签名、动态密码验证、身份ID卡、上级领导担保等） 严格执行操作流程审核； 完善日志审计记录； 完善应对措施，及时上报； 注重保护个人隐私； 不要把任何个人和公司内部信息或是识别标识告诉他人，除非你听出她或他的声音是熟人，并确认对方有这些信息的知情权。 无论什么时候在接受一个陌生人询问时，首先要礼貌的拒绝，直到确认对方身份。 * * 在忙碌的办公室中，跟随着摄像机镜头，拍摄下办公室内所存在的安全隐患。其中包括： * * 中午大家吃饭去了，在桌子上，手机与钱包放在上面； 一个没有人的桌子上，一台电脑正在从黑客网站上下载着一个被破解的软件； 旁边的打印机和复印机旁散落着不少带字的纸张； 大开的项目经理办公室中，没有其他人在，一名浇花工人正在里面浇花； 会议室内的白板上有上次会议留下的相关内容的记录； 一些满是字迹的纸张在垃圾桶中冒出一个角； 手提电脑放在桌子上； 访问客户网络的VPN密码写在小纸条上贴在项目组的白板上； 某职员在忙碌而嘈杂的办公室一边准备赶去别的地方，一边通过手机高声与客房谈论着属于公司机密的一些内容； 等等。 * * * * 原则上外来设备不允许接入公司内部网络，如有业务需要，需申请审批通过后方可使用。外来设备包括外部人员带到公司的笔记本电脑、演示机、测试机等。 公司内计算机严格限制使用包括移动硬盘、U盘、MP3、带存储卡的设备等的移动存储设备，除工作必须要长期使用移动存储的可申请开通外，公司内的计算机禁止使用移动存储设备。 公司内严禁使用盗版软件和破解工具，如有工作需要，应通过公司采购正版软件或使用免费软件 不经批准，严禁在公司内部架设FTP，DHCP，DNS等服务器 研发用机未经批准，严禁转移到公司办公网络、或将办公电脑转移到研发内网使用。 任何部门和个人不得私自将包括HUB、交换机、路由器等的网络设备接入公司网络中。 原则上不得使用网络共享，如因工作原因需要使用的，必须遵循最小化授权原则，删除给所有人(everyone)的共享权限，只共享给需要访问的人员，并且在使用后立即关闭。 发现中毒后要断开网络，并及时报告IT服务热线，等待IT工程师来处理。 * * 严禁使用扫描工具对网络进行扫描和在网络使用黑客工具。 不得以任何方式将公司信息（包括网络拓扑、IP地址、安全策略、帐号，口令等）告知不相关的人员。 内部计算机的操作系统、IIS,数据库、FTP以及所有企业应用（如电子邮件系统、即时通讯工具等）中，必须设置用户口令，严禁使用空口令、弱口令或缺省口令。一经发现将被行政处罚。 口令长度应在8个字符以上，还应包括大小写字母，特殊符号和数字。口令应该在30天内更换,重要的和使用频繁的口令视情况缩短更改周期。不允许使用前3次用过的口令。 严禁卸载或关闭安全防护软件和防病毒软件，如有系统补丁必须及时安装。 离开电脑要锁屏。 * * * * * * 请大家共同提高信息安全意识，从我做起! * * * 《盛大关于信息安全管理的制度》第一章-第六条： 本制度所称的信息是指一切与公司经营有关情况的反映（或者虽然与公司经营无关，但其产生或存储是发生在公司控制的介质中），它们所反映的情况包括公司的经营状况、财务状况、组织状况等一切内容，其存储的介质包括纸质文件、电子文件甚至是存在员工大脑中。 * * 《商学院》（中国经营报社 ）2005年第七期的一篇文章，《别忘了了关门》 一天，动物园的管理员突然发现袋鼠从围栏里跑了出来了，经过分析，大家一致认为：袋鼠之所以能跑出来完全是因为围栏太低了。所以决定将围栏加高。没想 到，第二天袋鼠还能跑出来，于是，围栏被继续加高。 但是，令这些管理员们惊恐万分的是，无论围栏加高多少，袋鼠们部会在第二天跑出来，领导们一不做二不休，安装了最先进的监控设备，轮流值班，24小时守 着这些白天看起来特别听话的袋鼠。终于，他们发现了问题所在，真正的“罪魁祸首”是管理员忘记锁上的门。 从前面这个故事引出“企业的信息安全”特别需要员工的安全意识的提升，从而导出企业的信息安全活动需要全体员工的积极参与和配合。 暴力破解，猜测密码，平台是常见的双核处理器的计算机，横向是密码构成方式，纵向是破解时间。最长22小时，所以在设置密码时，要考虑密码的复杂性要求。 * 通常攻击者如果没有办法通过物理入侵的办法直接取得所需要的资料时,就会通过电子邮件、电话或者其它网络应用对所需要