【IT168资讯】无论是在虚拟还是真实世界，所有骗局的一个基本事实都是通过诡计让人放松警惕会使窃贼更容易得手。用黑客的话来说，这叫做社会工程学。社会工程学主要是利用人性弱点，在许多方面，它比发现新的软件漏洞并借此进入企业网络简单得多。这些漏洞称为零日攻击，如果可以诱使某人在自己的机器中安装计算机病毒，不法分子就无需花费数万美元落购买攻击工具。毕竟，如果你可以说服别人把自己领到他们的家中，那就没必要再去费力的撬锁了。

　　但是，有哪些因素会使社会工程攻击得手呢?关键是诱惑，其形式多种多样，可能是Facebook上发布的名人轶事，也可能是主题与公司业务相关的电子邮件。在过去的一年里，报道最广泛的攻击之一就是对RSA的攻击。这场攻击最初是由于一名员工打开了一封标题为“2011年招聘计划”的电子邮件。当员工打开附件后引发了一系列导致数据被破坏的事件。黑客对系统进行攻击需要漏洞设计知识，而对人性弱点的攻击则需要不同类型的知识，尤其是要了解受害者最有可能点击哪些类型的电子邮件或链接。

　　获得此类信息的一种方式是根据人们的工作和兴趣确定攻击对象，社交网络是提供此类内容的最好数据源。浏览一份LinkedIn 个人资料便可以了解一个人的工作经历和职位，看一下Facebook账户便可以知道他的好友和兴趣。虽然社交网络在过去几年里已经采取了许多措施来加强其隐私控制，但是许多用户可能不会使用这些措施，或者因为把并不真正认识的某人“加为好友”而在不经意间使这些措施失效。

　　研究发现，Facebook上的虚假账户平均拥有726个“好友”，比普通用户多五倍。攻击人性的弱点也可以采取其他手段。例如，搜索引擎优化(SEO)是黑客非常喜欢的一种技术。SEO背后的理论是提高网站在Google等搜索引擎中的排名。如果用于好的用途，这是完全合法的;如果用于不正当的用途，它会增加人们登录恶意网站的可能性。也有一些手段技术含量非常低，例如通过传统的电话交谈而使某人放松警惕。

　　最近，由Check Point赞助，Dimensional Research发表的一项调查表明，在来自世界各地的853位受访的IT专业人员中，其中43%的人表示曾成为社会工程攻击的目标。该调查还发现，新员工是最容易受到攻击的人，其中60%的新员工都是社会工程的“高风险”受攻击目标。但是，培训似乎并没有时刻与威胁保持同步，只有26%的受访者提供长期培训，34%的受访者表示完全没有为员工提供培训的计划。好的消息是这种趋势正在发生改变，更多的公司正在提高关于安全威胁的意识， 并且了解员工可能会受到哪些社会工程技术的攻击。

　　抵御社交工程攻击首先应该具备健全的数据保护策略，这包括控制可以访问这些信息的用户，并设置具有强制性并有助于业务运营的策略。此外，员工培训也是的一个重要因素，员工只有通过培训才能了解企业安全策略。共享已经检测到的攻击信息，可让员工更好地了解到他们如何成为攻击目标。

　　Check Point中国区大客户部总监李若怡认为人员是安全流程中的关键部分，他们可能会被犯罪份子误导犯错，从而导致恶意软件感染以及无意识的数据丢失。很多企业并没有对用户参与给予太多的关注。实际上，员工应当是第一道防线。要抵御社交工程攻击，首先就要教育员工充分了解安全环境及企业的安全策略;第二要有好的技术解决方案来帮助员工参与安全进程，并不断提醒他们避免失误。

　　现今,为达到所需的安全保护要求，安全需把相互独立的技术整合成一个有效的业务流程。凭借Check Point 3D安全方针，企业能够掌握及实施一个超越技术层次的安全蓝图，并通过让员工参与安全流程以达到教育的目的。中国区大客户部总监李若怡表示：“虽然员工会犯错，导致企业内部违规或者带来威胁，但同样他们也可以在降低风险方面发挥巨大作用。”通过Check Point少有的UserCheck技术，企业可在员工访问公司网络、数据以及应用程序时提醒和教育他们遵守企业政策，帮助企业把社交工程攻击发生的频率、风险以及损失降到最低。