电子商务网站建设前期准备,企业标准,成品图片的网站在哪里找,购物网站建设的思路数据参考#xff1a;CISP官方
目录
社会工程学攻击概念社会工程学攻击利用的人性 “弱点”典型社会工程学攻击方式社会工程学攻击防护
一、社会工程学攻击概念
什么是社会工程学攻击
也被称为 社交工程学 攻击利用人性弱点 (本能反应、贪婪、易于信任等) 进…数据参考CISP官方
目录
社会工程学攻击概念社会工程学攻击利用的人性 “弱点”典型社会工程学攻击方式社会工程学攻击防护
一、社会工程学攻击概念
什么是社会工程学攻击
也被称为 社交工程学 攻击利用人性弱点 (本能反应、贪婪、易于信任等) 进行欺骗获取利益的攻击方法
案例凯文·米特尼克
世界著名黑客世界第一黑客1995年16岁时被捕入狱2000年保释 记者采访你最擅长的技术是什么 回答社会工程学技术会过时只有社会工程学永远不会 社会工程学攻击特点
社会工程学攻击是一种复杂的攻击很多自认为非常警惕及小心的人如果缺乏对社会工程学攻击的了解没有掌握针对社会工程学攻击的防御方式一样会被高明的社会工程学攻击所攻破 社会工程学在信息安全中的重要性
社会工程学攻击的危险
永远有效的攻击方法人是最不可控的因素 二、社会工程学攻击利用的人性 “弱点”
社会工程学是心理操纵
研究人员总结的“六种”人类天性基本倾向
信任权威人们往往倾向于相信和服从那些被认为是权威的人或机构。攻击者可以冒充权威人士来获得信任并获取信息。信任共同爱好人们更容易与分享相同兴趣爱好的人建立联系和信任。攻击者可以利用这个倾向来获取信息或进行社交工程攻击。获得好处后报答当人们从他人那里获得好处时他们通常会感到有义务回报。攻击者可以利用这一点通过给予某种好处来获得他人的合作或信息。期望守信人们普遍期望他人守信。攻击者可以利用这个倾向来欺骗他人使他们透露敏感信息或采取某些行动。期望社会认可人们常常希望被他人认可和重视。攻击者可以利用这一点来进行诱骗和欺骗以获取信息或获得他人的合作。短缺资源的渴望人们对于稀缺资源具有强烈的渴望和竞争欲望。攻击者可以利用这个倾向来制造紧迫感或诱骗他人做出不明智的决定。...... 社会工程学攻击利用 - 信任权威
请求或命令来自一个“权威”人士时这个请求就可能被毫不怀疑的执行
电信诈骗中的公安局来电社会工程学攻击中的 “我是系统管理“
社会工程学攻击利用 - 共同爱好
存在共同点时相互之间的好感、信任度就会提升请求容易被执行
共同的生活经历 (一个城市、地区、一个学校共同的爱好 (喜欢同一款游戏、同一个明星、同一支球队)
社会工程学攻击利用 - 报答
被赠予 (或者许诺) 获得一些有价值的东西出于报答的目的会倾向于满足提供者要求的一些回报
人性是善良的获得好处倾向于回报以获得心理平衡中奖后的税金、捐款假如网络管理员承诺给你开通特权前提是你从某个特定链接提交验证身份并提交申请......
社会工程学攻击利用 - 守信
对自身信用的保护等原因人们对自己公开承诺或者认可的事情会倾向坚持或维护因此当攻击者以此来提出一些要求时受害者出于避免违反自己的承诺或者众所周知的事情时会倾向于顺从
请求管理员帮忙重置密码请求前台给与帮助传真通讯录......
社会工程学攻击利用 - 社会认可
人有趋众的特性当绝大部分人都是按某种方式来做的时候人们就会认为这些行为是正确的
已经有XXX部门全员都填写了调查表现在轮到你们部门人员填写了已经有超过50%的公司人员都加入了这个群......
社会工程学攻击利用 - 短缺资源
获取稀缺物品的渴望
饥饿营销每天仅有XXX部手机上线限量1000个的XXX,点此链接获取名额.......
三、典型社会工程学攻击方式
网络攻击中的社会工程学
间接用于攻击
口令破解中的社会工程学利用网络攻击中的社会工程学利用
直接用于攻击
正面攻击 (直接索取)建立信任利用同情、内疚和胁迫
网络攻击中的社会工程学 - 口令字典
信息收集与口令破解
企业信息收集个人信息收集 网络攻击中的社会工程学 - 社工库
什么是社工库
攻击者将泄漏的用户数据整合分析形成的数据库
数据来源
黑产中可买卖的数据爬虫抓取数据
数据类型
账号/密码行业附加数据
购物类网站泄露的银行卡数据和交易数据酒店类网站数据泄露所泄露的开房数据订票类网站泄露的火车、飞机票数据
社工库案例
通过邮箱/QQ号/姓名/身份证/手机号码等可查询到各类信息 网络攻击中的社会工程学 - 伪装欺骗
案例好心网管的失误 网络攻击中的社会工程学引导 四、社会工程学攻击防护
安全意识培训
知道什么是社会工程学攻击社会工程学攻击利用什么
注意保护个人隐私
保护生日、年龄、email邮件地址、手机号码、家庭电话号码等信息
遵循信息安全管理制度
了解组织机构的信息安全管理制度要求严格遵循流程进行操作
