征文｜赵锐：无所不在的社会工程学
投稿方式可戳文章底部“阅读原文”了解详情。
无所不在的社会工程学
文 | 赵锐
赵锐
世界500强中国区信息安全和风险负责人，联合国ITU-T DevOps国际标准核心编写专家、CSA云安全联盟专家、网络安全进校园活动特约讲师、全球运维大会金牌讲师优秀讲师、ISG网络安全技能竞赛专家、金融网络安全优秀解决方案评委、网络安全公益-热心公益达人、CCSF优秀首席信息安全官、诸子云上海理事长。
前言
众所周知现代人都是生存在社会中的，虽然有很多人追求完美，但每个人都不可能是完美的，肯定会有弱点，只要有弱点就有可能被利用。著名黑客凯文·米特尼克在其著作《欺骗的艺术》中对社会工程学学进行了定义，社会工程学攻击是一种通过对被攻击者心理弱点、本能反应、好奇心、信任、贪婪等心理陷阱所采取的诸如欺骗、伤害等危害手段，获取自身利益的手法。
维基百科对于社会工程学的定义是：“操纵他人采取特定行动或者泄漏机密信息的行为。它与骗局或欺骗类似，故该词常用于指代欺诈或诈骗，以达到收集信息、欺诈和访问计算机系统的目的，大部分情况下攻击者与受害者不会有面对面的接触。”在信息安全中，人通常是最薄弱的一个环节。
很多读者可能看过电影《我是谁：没有绝对安全的系统》，电影中有一个经典的社会工程学攻击案例。里面的四个黑客为了黑德国的安全机构，他们去垃圾场里翻垃圾找信息，找到一张生日贺卡利用上面的名字发钓鱼电子邮件，装扮自己、躲过保安、夜闯大楼、删除监控、破解门禁、篡改打印机通讯协议、成功实现攻击。钓鱼邮件也是大家最熟悉也是最常见员工安全意识测试手段。钓鱼邮件是社会工程学的全部吗？并不是。在我看来社会工程学内容广泛，包括“技术、情商、故事”，很多工作都和社会工程学相关。
下面我来梳理一下我们经常能遇到的社会工程学内容。
网络交互
大部分社会工程学都以网络交互的方式进行，钓鱼邮件就是其中之一。可以交互沟通的方式有很多，以下例举了几种常见的网络交互攻击方式。
网络数据安全
读者可能感觉黑客们通过一个用户名、一串数字、一串英文代码等少量的线索，以社会工程学攻击手段，就能把被攻击者的个人情况信息、家庭状况、兴趣爱好、婚姻状况、网上留下的一切痕迹等个人信息全部掌握得一清二楚。这主要是很多网民在上网的过程中主动或被动泄露了个人、工作相关的敏感信息：
上述两类社会工程学主要通过互联网，通过安全意识培训，大多可以进行有效防范。总结起来有：
1.在确认前，不随意点击网络链接和附件；
2.及时更新系统补丁，安装防病毒软件；
3.不在网络上显摆自己或分享自己的喜好内容；
4.不贪图小便宜，在多个平台注册并提供个人信息；
5.在不同的网站平台使用不同的密码；
6.关注数据泄露事件；
7.定期修改密码。
案例
目标：
在不接触被攻击者的情况下，尽量通过网络收集信息。
需要收集的信息：
1.姓名
2.性别
3.出生日期
4.证件号
5.住址
6.单位或学习地址
7.手机号
8.电子邮箱
9.各类社交账号：QQ、微信、微博、人人、淘宝、论坛
10.学历
11.家庭背景
12.好友情况
13.个人喜好
步骤：
1.确认被攻击者（以下简称“对方”）的ID。
这个ID很可以是QQ、邮箱、手机号或者是对方设定的特有ID。
2.针对ID进行关联
关联的方式多种多样，可以去账号关联平台或社工库查询，例如：
或者直接通过搜索引擎、微博、QQ、Linkedin、微信、论坛、人人搜索相关内容。
线下攻击
线下社会工程学攻击是得手率高又能收集到准确信息的一种方式。以下举例了几种常见的方式：
案例
在刚结束不久的护网过程中，就有很多冒充服务商，企图进入机房、设备间、自助银行的案例。
身边善意的社会工程学
前面介绍了社会工程学可能造成攻击和防范办法，这些可能离大家的生活有一定距离。但社会工程学结合心理学一直在给大家提供善意的服务，而且和大家的日常生活息息相关。
医生、心理咨询、律师：从事这些职业的人员通常会采用诱导、沟通的方式和合适的提问策略，以及社会工程学中的心理学，来操纵“目标”（客户）采取他们所期望的行动。
猎头：需要使用社会工程和心理学，读懂人们心理和动机。很多时候，猎头不仅需要考虑和迎合求职者的需求，也要实现雇主的期望。
销售人员：与猎头类似，销售人员也必须掌握很多人际交往的技能。很多经验丰富的销售人员都说，应该利用自己的技巧发现人们的需求，并且看看自己是否能满足这些需求。销售的艺术包括信息收集、诱导、影响、心理把握以及很多人际交往的技能
教师和家长：教师和家长需要了解并读懂孩子的心思，帮助并引导孩子向正确的方向成长。各师范院校为此还专门设立了教育心理学课程。
上述只是日常生活中运用社会工程学的部分内容。恋爱、经营家庭、采访、演讲、谈判都会用到社会工程学的知识，可以说社会工程学无所不在。