防范社会工程学攻击体系建设与实践

社会工程学攻击因其成本低廉、成功率高、易于实施和难以防范，成为黑客实施网络攻击的首选攻击手段之一。在日常生活和工作中，需要加强相应的风险认识和防范能力。社会工程学攻击的特点主要包括以下几个方面。

1.针对性强

社会工程学攻击通常伪装成可信任的实体，如朋友、同事、银行工作人员等，获取用户的个人信息或进行其他恶意活动。该类攻击具有很强的欺骗性，它的主要目的是窃取机密信息，如用户名、密码等账号信息，或者获取客户更多其他信息，造成客户信息的泄露。

2.预防难度大

由于社会工程学攻击主要依赖于人的心理和行为习惯，因此预防这种攻击的难度非常大。即使用户提高了警惕，也可能会因为一时的疏忽而成为攻击的目标。攻击者可能利用人们的好奇心、恐惧、贪婪等心理特点来诱使他们做出不明智的决策。

3.隐蔽性高

社会工程学攻击通常是通过人与人之间的交流进行的，很难追踪到真正的攻击者。因此，与传统的病毒、木马等网络攻击相比，社会工程学攻击很难被传统的安全软件检测到。传统的技术防御措施如防火墙、杀毒软件等，对于社会工程学攻击可能起不到应有的作用。

4.持续时间久

通过社会工程学攻击，攻击者往往可以获取到大量的敏感信息，如密码、银行账户等，这些信息的价值远远超过了实施攻击的成本。一旦成功实施攻击，社会工程学攻击可能会持续很长时间，造成持续的损害。

社会工程学攻击的威胁源监控与识别需要多方面的努力和配合。通过建立完善的安全管理制度、强化身份认证和访问控制、实施安全培训和意识提升、建立信息审核机制、建立风险评估和监测机制、严格控制物理环境以及建立合作机制等措施，形成综合的防范体系，有效降低社会工程学攻击的风险。图1为社会工程学攻击及阻断网络图。

图1  社会工程学攻击及阻断网络图

1.建立完善的安全管理制度

安全管理制度为员工有效规避社会工程学攻击提供了行为准则，从行为规范上保护企业的网络和信息资产安全。通过制定明确的安全管理制度和流程，规范员工的行为和操作，包括信息安全保密制度、网络使用规范、数据保护措施等，确保员工了解并遵守相关规定。

2.部署流量和病毒监控防护系统

建立完善的安全监控机制，包括对内部和外部的通信、数据流动等进行监控和分析。通过设置安全审计日志、异常行为检测等系统，对可疑行为和异常情况进行实时报警和记录，及时发现和处理潜在的安全威胁。

3.运用技术手段进行监测和识别

利用技术手段，对网络流量、用户行为等进行实时监测和分析，识别异常数据和潜在威胁。例如，运用机器学习和大数据分析技术，对收集到的日志、流量等数据进行深入挖掘，发现并预警社会工程学攻击行为。

4.增强信息系统安全投入

对重要信息系统和数据存储设备的物理环境进行严格控制，如设置门禁系统、监控摄像头等，确保设备的安全性和保密性。建立多层次的身份认证机制，如双因素认证、动态口令等，确保只有授权人员能够访问敏感信息和重要系统。同时，对不同级别的员工设置不同的访问权限，避免权限过度集中。

5.加强员工安全意识培训

员工是企业的第一道防线。可定期对员工进行安全意识培训，提高员工对社会工程学攻击的认知和防范意识。培训内容包括识别可疑邮件、陌生链接、虚假电话等常见社会工程学攻击手段，以及如何避免泄露敏感信息和执行恶意行为。

6.组织开展安全审计和演练

模拟常见的社会工程学攻击场景，测试企业的安全防御体系和人员的安全意识是否完备。通过评估和改进，提高企业对安全威胁的应对能力和防范意识。同时，建立应急响应计划，一旦发生攻击事件，能够及时采取措施进行应对和恢复。

为了保护企业和员工免受钓鱼攻击的威胁，需要建立一个立体化、全方位和可持续的防护体系，提高企业的整体防范社会工程学攻击水平。笔者单位积极推行创建安全型企业，从建立完善的技术防御体系、安全管理制度和文化体系三个方面建设防钓鱼攻击防护体系，从而达到标本兼治的目的，并取得了显著成效。

企业防护社会工程学攻击防护实施方案如图2所示。

图2  企业防护社会工程学攻击防护实施方案

首先，文化建设体系是底蕴条件。

企业安全文化建设是一个系统性、持续的过程，它涉及企业在安全管理方面的价值观、理念、行为规范以及相应的制度安排。这一过程旨在通过培育和强化企业员工的安全意识，提高企业的安全生产水平，从而确保企业的长期稳定发展。以安全理念渗透为先导，推行安全企业文化，结合岗位场景进行差异化的安全意识宣传教育，形成人人讲安全、事事讲安全的工作氛围。在企业内部实施攻击演练，通过案例和数字化，确保安全可持续化运营。

其次，管理体系建设是重要保障。

它涵盖了组织结构、流程设计、人员配置等多个方面，旨在通过科学的管理方法和工具，建立红线制度规范、考核制度与应急方案，提高员工的安全意识和警惕性，筑牢红线和底线意识，加大统筹力度，构建企业多部门协同的组织保障体系。为提高企业防范社会工程学攻击的水平，完备的企业规范制度是防范社会工程学攻击关键因素之一。

最后，技术体系建设是支撑基石。

拥有一套完善的技术体系对于防范社会工程学攻击至关重要。主要的技术硬件防护包括上网行为监控、网络全流量分析，软件防护包括终端入网实名认证和基线合规检测，专业技术服务团队可以实施防钓鱼攻防演练和钓鱼样本分析研判。建设监控和防范体系，用数字化技术辅助支撑企业文化和管理制度落地，确保企业的各项规章制度要求落地可感知、可控制和可衡量。

社会工程学攻击防护体系的建设是一个长期、复杂的过程，需要企业、员工都积极行动起来。本文结合长期建设和运营实践，总结归纳出一种有效可行方案，将防范社会工程学攻击的任务分解为一系列的具体步骤，形成有效的体系化、数字化和可持续的防范社会工程学攻击安全实践参考指南，帮助企业更好地防范社会工程学攻击，守护企业网络和信息安全。该方案旨在形成一个系统化、数字化和可持续的社会工程学攻击防范体系，为企业提供一套实用的安全实施实践参考指南，帮助企业更好地防范社会工程学攻击。

来源：《网络安全和信息化》杂志

作者：张义超  张海洋  郝亚彬  徐灏

（本文不涉密）