|
人為因素通常是網(wǎng)絡(luò )攻擊中最容易被利用的。攻擊者在對其目標進(jìn)行偵察之后，使用獲得的信息來(lái)獲取憑據或其它信息，從而實(shí)現對原本受保護的系統和資源的入侵�！ ⊥ǔ�，攻擊者會(huì )很幸運，并且只需付出很少的努力和風(fēng)險，就可以通過(guò)簡(jiǎn)單猜測而獲得用戶(hù)憑據，盡管這是自動(dòng)進(jìn)行的。這個(gè)問(wèn)題很難討論。許多用戶(hù)“有信心”保護自己的重要信息，因此沒(méi)有學(xué)習和掌握適當的網(wǎng)絡(luò )防御知識和方法。這導致了很多引人注目的數據泄露事件。 社交挖掘 社會(huì )工程學(xué)（Social Engineering）通常被定義為：主要通過(guò)人類(lèi)情報（Humint）和開(kāi)源情報（osint）實(shí)現對人力資源的操縱。這些技術(shù)與情報機構用來(lái)從外國競爭對手那里收集情報所使用的技術(shù)類(lèi)似。在所有的網(wǎng)絡(luò )攻擊中，大約有80％始于社會(huì )工程攻擊。這些初始攻擊采取多種形式，最常見(jiàn)的是網(wǎng)絡(luò )釣魚(yú)電子郵件，它們非常具有迷惑性且容易奏效。這些攻擊無(wú)需冒險就可以發(fā)揮作用并產(chǎn)生實(shí)際效果。尤其是那些對網(wǎng)絡(luò )安全意識比較淡薄的人更容易受到損害。 另一個(gè)容易滋生網(wǎng)絡(luò )安全隱患的“沃土”是社交媒體。除了社交媒體固有的輿論和行為能力之外，研究表明，還可以從中挖掘用戶(hù)數據，并將其用于構建配置文件，這些配置文件為攻擊者提供了大量的信息和情報，可用于獲取憑證或破壞資產(chǎn)。 認知偏差 認知和社會(huì )偏見(jiàn)在網(wǎng)絡(luò )安全事件中往往扮演著(zhù)重要角色。一個(gè)有趣的認知偏差被稱(chēng)為達克效應（D-K effect），它假設無(wú)能者不知道自己是無(wú)能的，這會(huì )導致虛幻的、膨脹的自我認知，進(jìn)而導致資產(chǎn)很容易受到損害。在這個(gè)效應影響下的人們通常不遵循指示或不愿意接受批評，從而帶來(lái)了很多副作用。這些漏洞提供了非常豐富的攻擊面，尤其是在社交媒體上。社會(huì )偏見(jiàn)是利用這些傾向破壞資產(chǎn)的無(wú)底洞。這些大規模操縱技術(shù)中的任何一種都不是新出現的技術(shù)——多年來(lái)人們一直使用它們來(lái)獲取和保留權力，但是不同的是，現在，由于珍貴的資產(chǎn)和關(guān)鍵的基礎設施也可以成為攻擊對象，因此后果不堪設想。 攻擊方法 社會(huì )工程攻擊是最危險的威脅之一。攻擊者使用社會(huì )工程學(xué)來(lái)攻擊無(wú)法找到任何技術(shù)漏洞的系統。人們普遍認為可以檢測到這些攻擊，但不能完全阻止這些攻擊。這些攻擊通常遵循相似的發(fā)展階段，最常見(jiàn)的模式涉及以下4個(gè)階段： 1.偵查：收集漏洞信息； 2.陷阱：與目標建立聯(lián)系，設置誘餌； 3.入侵：利用信息和聯(lián)系攻擊目標； 4.退出：成功攫取數據信息后撤離，幾乎不留下或完全沒(méi)有攻擊的跡象。 社交工程攻擊可以基于人，也可以基于計算機�；谌说墓�，要求攻擊者與受害者互動(dòng)以獲取信息，因此一次不能攻擊多個(gè)受害者�；谟嬎銠C的攻擊，可以在很短的時(shí)間內發(fā)動(dòng)成千上萬(wàn)次攻擊。網(wǎng)絡(luò )釣魚(yú)電子郵件是基于計算機攻擊的一個(gè)示例。 根據攻擊的實(shí)施方式，攻擊可以進(jìn)一步分為三類(lèi)：基于技術(shù)的、基于社交的和基于物理的攻擊�；诩夹g(shù)的攻擊，一般在線(xiàn)進(jìn)行，例如社交媒體或旨在收集信息的網(wǎng)站�；谏缃坏墓�，是通過(guò)與受害者的關(guān)系進(jìn)行的，并利用情緒和偏見(jiàn)。物理攻擊通常與社交攻擊結合使用，以誤導受害者，從而盜取憑證或進(jìn)入安全區域。 據羿戓信息所了解，從另外一方面，也可以將攻擊分為直接或間接攻擊。直接攻擊要求攻擊者與受害者保持聯(lián)系，并且經(jīng)常需要物理接觸，例如目擊、談話(huà)以及出現在受害者的工作場(chǎng)所或家庭空間中。直接攻擊包括實(shí)際盜竊文件或長(cháng)期或短期“騙局”。偽造的IRS電話(huà)是直接的社會(huì )工程攻擊的一個(gè)例子。間接攻擊不需要攻擊與其受害者接觸。惡意軟件、分布式拒絕服務(wù)（DDoS）、網(wǎng)絡(luò )釣魚(yú)、勒索軟件和反向社會(huì )工程，是間接攻擊的一些示例。 里程碑：eCD標準型達到4位數。 eCD基礎型：5172 eCD標準型：1052 注： eCD共4個(gè)等級，基礎型、標準型、系統型、生態(tài)型。 5種常見(jiàn)的攻擊類(lèi)型 社會(huì )工程手段和方法存在多種變體。所有這些都是基于人類(lèi)的基本弱點(diǎn)。熟練的攻擊者已經(jīng)完成了研究，并針對目標受害者的弱點(diǎn)和脆弱性，進(jìn)行了適應性的修改。以下是最常見(jiàn)的5種攻擊類(lèi)型： 1.網(wǎng)絡(luò )釣魚(yú)：網(wǎng)絡(luò )釣魚(yú)是社會(huì )工程攻擊中最常見(jiàn)的攻擊，它是從“電話(huà)釣魚(yú)”中得名的，“電話(huà)釣魚(yú)”的目的是操縱電話(huà)網(wǎng)絡(luò )。這些攻擊拋出吊鉤，看誰(shuí)會(huì )上鉤。盡管該術(shù)語(yǔ)仍用于描述欺騙性電話(huà)，但迄今為止，最大的網(wǎng)絡(luò )釣魚(yú)場(chǎng)所是電子郵件。據估計，在成功插入惡意軟件的攻擊中，超過(guò)80％的都是通過(guò)網(wǎng)絡(luò )釣魚(yú)電子郵件詐騙進(jìn)行的。網(wǎng)絡(luò )釣魚(yú)有幾種形式：魚(yú)叉式——對一個(gè)人或一個(gè)設施的針對性攻擊；捕鯨——對高價(jià)值受害者或“鯨魚(yú)”的針對性攻擊；電話(huà)釣魚(yú)——使用電話(huà)（語(yǔ)音和網(wǎng)絡(luò )釣魚(yú)）進(jìn)行攻擊；短信釣魚(yú)——使用文本消息進(jìn)行攻擊。令人擔心的是，如果攻擊者對預期目標進(jìn)行了徹底的偵查，則網(wǎng)絡(luò )釣魚(yú)可能非常有效，并且難以檢測和緩解。 2.假托：假托（Pretexting）是創(chuàng )造虛假和令人信服的情境，使受害者信任攻擊者并幾乎愿意給出其個(gè)人信息或訪(fǎng)問(wèn)憑據。攻擊者使用開(kāi)放源代碼情報，即公開(kāi)文件，無(wú)論是在互聯(lián)網(wǎng)上容易獲得的信息，還是在社交媒體中獲得的豐富信息。這些騙局讓您相信有機會(huì )分享遺產(chǎn)、中彩票或其它“天上掉餡餅”的說(shuō)法，前提是您需要給騙子匯錢(qián)來(lái)幫助他們“把錢(qián)取出來(lái)”。 3.誘餌：如果您單擊網(wǎng)站上的鏈接是為了獲取一些免費的東西，那么你的貪心很可能會(huì )被一些人利用。這與旨在提高網(wǎng)站點(diǎn)擊率的“點(diǎn)擊誘餌”不同，誘餌攻擊會(huì )在受害者的計算機上安裝惡意軟件。例如，看起來(lái)無(wú)辜的網(wǎng)站提供免費的財務(wù)計劃電子表格供下載。當電子表格加載反向shell程序時(shí)，攻擊者就可以訪(fǎng)問(wèn)所有受害者。另外一種形式是使用被感染的USB驅動(dòng)器，這些驅動(dòng)器被遺留在咖啡店或停車(chē)場(chǎng)周?chē)�，沒(méi)有經(jīng)驗的用戶(hù)出于好奇而拿起它們，然后插入他們的計算機。這也是將Stuxnet蠕蟲(chóng)病毒安裝到伊朗核設施中的方法，否則的話(huà)該設施被保護的密不通風(fēng)，根本無(wú)法接近。 4.等價(jià)交換：類(lèi)似于誘餌，此攻擊通過(guò)為受害者提供好處以換取信息。這在社交媒體中特別有效。一種常見(jiàn)的形式是冒充公司內部技術(shù)人員或者問(wèn)卷調查人員，要求對方給出密碼等關(guān)鍵信息。這些攻擊不必非常復雜，并且通常是即時(shí)進(jìn)行的，受害者是隨機選擇的。幾年前在英國進(jìn)行的一項研究表明，人們在地鐵中隨意停下，會(huì )為換取一塊巧克力或一支廉價(jià)筆或其它小裝飾品而泄露他們的網(wǎng)絡(luò )密碼。 5.尾隨：尾隨是一種非常常見(jiàn)的物理攻擊，攻擊者冒充其他員工或送貨員，利用合法員工的訪(fǎng)問(wèn)權限來(lái)訪(fǎng)問(wèn)安全區域。一種常見(jiàn)的方法是要求某人帶攻擊者進(jìn)入，因為他們“忘記帶通行證了”。此方法用于訪(fǎng)問(wèn)安全區域，并且還要求攻擊者編個(gè)借口，說(shuō)服起疑心的員工以獲得信任和合法性。一個(gè)攻擊的變種是，攻擊者謊稱(chēng)借用員工的通行證“一分鐘”，以便他們可以去車(chē)上取回被遺忘的東西或其它事項，從而導致身份證被復制或損壞。大多數人都愿意信任別人，攻擊者知道這一點(diǎn)并充分利用。 預防措施 5種預防措施可以降低導致網(wǎng)絡(luò )安全風(fēng)險的人為錯誤。 1.減少攻擊面。這就需要從攻擊者的角度對設施的IT基礎架構進(jìn)行徹底的分析。關(guān)閉打開(kāi)的端口，并保護防火墻。將對關(guān)鍵系統的訪(fǎng)問(wèn)限制在盡可能少的人員范圍內。 2.對關(guān)鍵人員進(jìn)行全面的背景調查。人力資源是安全環(huán)節中最薄弱的，下一步最合乎邏輯的做法是盡可能消除潛在的人為因素。這意味著(zhù)在可行的情況下，系統地消除人與人之間的互動(dòng)。這聽(tīng)起來(lái)有點(diǎn)奇怪，但我們面臨的危機有時(shí)就是由某些粗心的員工或未能理解攻擊的員工而引起的。實(shí)際上，許多人認為網(wǎng)絡(luò )安全是尋找問(wèn)題的解決方案，這種思維使熟練的社會(huì )工程師面露微笑。 3.網(wǎng)絡(luò )安全團隊：建議加強對關(guān)鍵人員進(jìn)行培訓以監控威脅和泄露，并設置網(wǎng)絡(luò )安全專(zhuān)員，由其定期審核安全程序并審查其他人員的網(wǎng)絡(luò )衛生狀況。這些人必須有權關(guān)閉漏洞，并且有能力及時(shí)糾正問(wèn)題員工的行為。由網(wǎng)絡(luò )管理員、安全人員和高級員工組成的網(wǎng)絡(luò )安全“反擊團隊”可以迅速采取行動(dòng)，以檢測并密封漏洞，然后進(jìn)行事后檢查以確定漏洞是如何發(fā)生的。 4.基于角色的訪(fǎng)問(wèn)：無(wú)法阻止員工在便箋上寫(xiě)密碼或將網(wǎng)絡(luò )安全視為無(wú)用的行為。在允許員工在工作過(guò)程中訪(fǎng)問(wèn)網(wǎng)絡(luò )和資源時(shí)，這種心態(tài)很難處理�；诮巧脑L(fǎng)問(wèn)是解決問(wèn)題的一種有效方法。另一種技術(shù)是要求正式的訪(fǎng)問(wèn)請求，然后在訪(fǎng)問(wèn)關(guān)鍵數據或系統時(shí)監視員工。多因素身份驗證很有用，但如果員工沒(méi)有認真對待它，并且對電話(huà)或其他第二種身份驗證方法不注意，也是無(wú)濟于事。 5.智能密碼：強制執行智能密碼策略可以有效防止員工使用容易猜到的密碼，例如“1234567”或流行的“password”。培訓員工養成正確的網(wǎng)絡(luò )衛生習慣和網(wǎng)絡(luò )安全意識。 很多企業(yè)可能在自動(dòng)化系統、主動(dòng)入侵者檢測、緩解和預防以及主動(dòng)對策方面花費數百萬(wàn)美元用于提升企業(yè)安全性，但這一切可能被粗心或無(wú)能的員工輕易破壞。盡可能消除人為因素可以有效降低網(wǎng)絡(luò )安全風(fēng)險。 （作者：Dan Capano） 
|
