Day 8 - 社交工程 101

出於书本 Chapter 5. Social Engineering

常见的社交工程攻击

• 向使用者宣称下载补丁 (patch) 安装更新软件，实则获得远端控制的权限
• 向公司宣称因为要更新会计或是电话系统，需要 admin 的密码以获得完整的存取权限
• Phishing e-mails - 指从外部攻击者寄送用来搜集帐号密码的邮件。坏人用这些帐号密码存取银行帐户等等资讯。
• False employees - 用些小把戏获得进入机房或是其他安全性金钥，存取实体或电子资讯。

Case Study

一个知名的社交工程师，Ira Winkler，他的客户想要知道一般衡量组织安全意识的标准。Winkler 发现接待区以及安检柜台位於一个超大的大厅中间。隔天，Winkler 与他的夥伴趁一早人潮比较多的时候，在远处假装讲电话，并且趁隙进入公司。进入公司之後，他们设局向保全要到了这家公司的能进入到机房识别证。他们进入了机房後，使用 admin 工具建立了一个属於 admin 权限的内部使用者帐号，匆匆离开。後果可想而知...

谜：我是看了什麽间谍片？

在所有人都了解了整件事情的真相後，负责保全的主管问 Winkler ，是谁去向保全申请识别证的？Winkler 则说，这个就是个问题 - 怎麽在不知道对方是谁的情况下就发出一张能进入机房的识别证

另外，接待区与安检柜台的位置必须要离入口近一点 - 空间利用方式也可能会造成安全性漏洞。

了解影响范围

上面的故事说明了接待柜台以及被训练要以帮助对方为宗旨的客服中心往往就是弱点。甚至没有被训练过的员工也有可能遭受攻击。

实现社交工程攻击的目的是获得他人资讯，来获得非法的收入或是其他一切有可能的东西。一个有效的社交工程师能获得

• 使用者或管理者的密码
• 能进入建筑物内部甚至机房的通行证或着钥匙
• 开发或研究文件
• 机密的财报
• 员工个资
• 客户列表与销售展望

社交工程攻击很难被保护，太多方式能实现社交工程。灾後的保护以及重建也相当不容易，而太过敏感的安全性侦测系统可能会让事情变得更糟。

实现社交攻击

通常有下面四个简单的步骤

• 做点研究
• 建立信任
• 利用文字、行为或是技术在信任的基础上撷取资讯
• 为恶意的目的使用所收集到的资讯

好罗～明天就从实现社交攻击继续研究下去～