如何防范社会工程攻击?

安全
在 Veriozon 出具的《2017年数据泄露调查》报告中,90%的成功入侵都是通过社交工程实现。与其说社交工程是电脑入侵,不如说是人与人的斗争。

在 Veriozon 出具的《2017年数据泄露调查》报告中,90%的成功入侵都是通过社交工程实现。与其说社交工程是电脑入侵,不如说是人与人的斗争。

现代黑客发现,从人着手获取数据,比暴力夺取要简单。这些攻击者欺骗秘书或 CEO(首席执行官)们,直至获得密码,网络访问权限等一切他们想要的东西。要防止数据被黑,云服务厂商们需要的不是更强的防火墙,二是学会任何甄别人与人之间的欺骗。

[[236553]]

黑客想要什么?

社交工程实施者目的不尽相同,但是这些黑客通常无外乎两个原因:一己私利或是国家资助型的知识产权盗窃。

第一种黑客窃取个人数据(如信用卡和社保卡号)为的是拿去暗网交易。2017年,据 NBC 新闻报道,以金钱为目的的入侵数量在上升,特别是针对社保卡的攻击在增加,这意味着黑客对这种策略的使用越来越顺手。

但是不要小看第二种攻击者,即国家支持型黑客。私企或许还没有感受到国家支持型社交工程师的威胁,但其实他们应该具备威胁意识。在 Verizon 的报告中,2017年制造商中发生的620起入侵事件中,94%都跟间谍活动有关。任何拥有知识产权,且这些产权可能被盗窃或复制的公司都应该警惕外国机构的攻击。

[[236554]]

组织机构如何防范社会工程攻击?

每个行业都应该担忧一次成功攻击带来的后续影响。黑客们通常针对金融服务,政府,医疗和零售行业,但是他们是随机的。如果一家公司没有保护好自己的数据,黑客最终会找到缺口并拿走自己想要的。虽然,他们费心暴力入侵,而是想办法让受害者主动交出所需的东西。

社工行为有多种表现形式。黑客可以给目标公司发送大量邮件,或者在停车场留下一个 U 盘,以邮件形式发送物理媒介,也可以假借其他人身份打电话进行欺骗。即便他们有99%的方法都失败了,偶尔的一次成功也足以让他们找到继续的动力。

为了保护公司不受到社工攻击,可以采取下列步骤:

1. 清点数据,采用恰当的访问控制策略

如果你不知道自己的信息在哪里,就无法保护信息。所以先要识别数据,并进行分类。不要忘记你的用户手上还保留有一些数据。所以不能只看你自己的数据库。

换位思考,站在黑客的角度问一问:将获取的客户数据拿去干什么?你把敏感的知识产权信息保存在哪里?谁有访问这些信息的权限?如果黑客向获取你的财务记录或是生产设计,他们骗取哪些人的信任后可接触到这些数据?

按敏感级别对数据进行分类。客户数据和知识产权都值得做最严格的安全防护。在全面审视过后,可以设定一个数据再访问的周期,及时发现潜在泄露风险。

2. 多因素验证

据 Verizon 的报告透露,81%的攻击案例中都涉及弱密码或密码被盗。事实上,Deloitte 就是因为这一简单的错误而出现数据泄露,而原本这是可以避免的。在黑客获取管理员账户的密码后,他们会进入邮件服务器,并从中窃取数据。如果管理员部署了多因素验证,那么黑客就不会这么轻易得手。

要求所有账号在访问敏感数据时都使用多因素验证。短信验证码是最常见的多因素验证技巧,虽不是百分百安全,但也好过没有。软令牌,如推送通知,是更强的多因素验证。掌管数据库大门的管理员要使用硬令牌(如U盘)确保输入密码的人确实获得具备权限。

3. 用端到端加密使用传播媒介

数据保存和传输过程中都要进行加密。这种端到端的加密确保黑客不能实际使用任何他们攫取的数据。

对重要数据,从客户信用卡到员工邮件,都要使用端到端加密。微软最近将端到端加密引入了 Outlook,它可以保护用户的邮件,避免未授权的第三方访问敏感数据。

4. 创建一种安全文化

最后,数据保护最重要的一条防御线就是社交工程师的目标:你的员工。现在,大多数都知道“尼日利亚王子”邮件诈骗套路,但并不是每个人都知道如何揭露包装精美的黑客伪装。例如,美国 UC Davis Health 2017年就遭遇了一次数据泄露,当时,黑客通过邮件假冒其员工,并获得了该大学医疗数据的访问权限。

要对员工进行钓鱼式攻击的常规教育。告诉不同岗位的员工,黑客可能接触他们并获得非法授权的方式。提醒员工内部安全的重要性,帮助他们报告可疑请求。

这些技巧将有助于你保护抵挡社交工程师。然而,如果仍有人想方设法访问了你的数据,不要试图掩盖这一事实——应立刻报警。即使数据被黑,你或许还有可能在黑客造成更大的破坏前阻止他们。

责任编辑:赵宁宁 来源: E安全
相关推荐

2015-05-07 09:16:46

2019-12-24 08:29:56

社会工程学网络攻击漏洞

2010-09-16 15:39:18

2020-02-17 16:52:06

误植攻击网络攻击网络安全

2010-09-13 10:14:30

2013-05-09 09:19:55

2022-07-31 00:12:08

Deepfakes数据图像

2010-08-31 13:05:25

2010-09-13 10:45:04

2011-08-09 15:09:45

2023-08-08 13:22:10

2022-04-02 11:17:43

勒索软件网络安全网络攻击

2011-05-16 09:19:51

2009-08-13 17:40:55

2022-04-14 15:28:46

安全勒索软件赎金

2013-01-15 09:45:16

2019-09-02 23:12:58

2013-03-27 13:50:32

2019-08-28 13:34:10

2023-09-23 08:09:32

点赞
收藏

51CTO技术栈公众号