避免社会工程和网络钓鱼攻击

什么是社会工程学攻击？

在社会工程攻击中，攻击者使用人机交互（社交技能）来获取或损害有关组织或其计算机系统的信息。攻击者可能看起来并不张扬和受人尊敬，可能声称自己是新员工，维修人员或研究人员，甚至提供凭据以支持该身份。但是，通过提出问题，他或她也许能够整理出足够的信息以渗透组织的网络。如果攻击者无法从一个来源收集足够的信息，则他或她可以与同一组织内的另一个来源联系，并依靠来自第一个来源的信息来增加其可信度。

什么是网络钓鱼攻击？

网络钓鱼是社会工程学的一种形式。网络钓鱼攻击通过伪装成可信赖的组织来使用电子邮件或恶意网站来获取个人信息。例如，攻击者看似可能是从信誉良好的信用卡公司或金融机构发送电子邮件来请求帐户信息，这通常表明存在问题。当用户响应所请求的信息时，攻击者可以使用它来访问帐户。

网络钓鱼攻击也可能来自其他类型的组织，例如慈善组织。攻击者经常利用时事和一年中的某些时间，例如：
自然灾害（例如卡特里娜飓风，印度尼西亚海啸）
流行病和健康恐慌（例如H1N1）
经济问题（例如，国税局诈骗）
重大政治选举
假期

什么是告密攻击？

许愿是一种利用语音通信的社会工程方法。该技术可以与其他形式的社会工程学结合使用，诱使受害者拨打一定数量的电话并泄露敏感信息。通过利用Internet协议语音（VoIP）解决方案和广播服务，可以完全通过语音通信进行高级的垃圾邮件攻击。VoIP可以轻松地欺骗呼叫者身份（ID），从而可以利用公众对电话服务（尤其是固定电话服务）安全性的错误信任。没有物理访问线路就无法截断座机通信；但是，当与恶意行为者直接通信时，此特征无益。

什么是欺诈攻击？

污名化是利用SMS或文本消息的一种社会工程形式。文本消息可以包含指向诸如网页，电子邮件地址或电话号码之类的链接，单击该链接可能会自动打开浏览器窗口或电子邮件消息或拨打电话号码。电子邮件，语音，文本消息和Web浏览器功能的这种集成增加了用户成为工程恶意活动的受害者的可能性。

网络钓鱼尝试的常见指标是什么？

可疑发件人的地址。发件人的地址可以模仿合法业务。网络犯罪分子经常使用电子邮件地址，该电子邮件地址通过更改或省略一些字符而与知名公司的电子邮件地址非常相似。

通用的问候和签名。通用问候语（例如“尊敬的客户”或“先生/女士”）和签名块中缺少联系信息，都是网络钓鱼电子邮件的重要标志。受信任的组织通常会通过姓名向您发送地址并提供其联系信息。

欺骗的超链接。如果将光标悬停在电子邮件正文中的任何链接上，而这些链接与悬停在它们上方时出现的文本不匹配，则该链接可能被欺骗。恶意网站可能看起来与合法网站相同，但URL可能使用拼写形式的变化或不同的域（例如，.com与.net）。此外，网络罪犯可能使用URL缩短服务来隐藏链接的真实目的地。

拼写和布局。语法和句子结构不良，拼写错误以及格式不一致是其他可能的网络钓鱼尝试的指标。信誉良好的机构有专门的人员来产生，验证和校对客户信件。

可疑附件。不请自来的电子邮件请求用户下载并打开附件是恶意软件的常见传递机制。网络犯罪分子可能会使用错误的紧迫感或重要性来帮助说服用户下载或打开附件，而无需先对其进行检查。

您如何避免成为受害者？

对来自个人的询问员工或其他内部信息的电话，拜访或电子邮件消息保持怀疑。如果未知的人声称来自合法组织，请尝试直接向公司验证其身份。

除非您确定某人有权获得该信息，否则请勿提供有关您的组织的个人信息或信息，包括其组织结构或网络。

不要在电子邮件中泄露个人或财务信息，也不要响应电子邮件对此类信息的请求。这包括通过电子邮件发送的以下链接。

在检查网站的安全性之前，请勿通过Internet发送敏感信息。（有关更多信息，请参阅保护您的隐私。）

请注意网站的统一资源定位符（URL）。

如果不确定电子邮件请求是否合法，请尝试直接与公司联系以进行验证。不要使用与请求相关的网站上提供的联系信息；相反，请检查以前的语句以获取联系信息。还可以从诸如反网络钓鱼工作组之类的组在线获取有关已知网络钓鱼攻击的信息。（请参阅APWG eCrime研究论文）。

安装和维护防病毒软件，防火墙和电子邮件过滤器，以减少部分此类流量。（有关更多信息，请参阅了解家用和小型办公室使用的防火墙，防止恶意代码和减少垃圾邮件。）

利用您的电子邮件客户端和Web浏览器提供的任何反网络钓鱼功能。

原文出至ots网络安全门户：http://www.ots-sec.cn/ots911/vip_doc/15674452.html

公众号：ots安全

避免社会工程和网络钓鱼攻击相关推荐

Radware：防御现代鱼叉式网络钓鱼攻击的方法
在网络安全领域工作的人都知道,网络钓鱼攻击,特别是针对大型企业的网络钓鱼攻击正在崛起.由于攻击依赖的是任何可利用的人为因素,因此,攻击者对这类攻击十分青睐. 多年以来,网络钓鱼攻击在不断地发展,而在过 ...
网络钓鱼攻击类型，载体及其技术途径
A survey of phishing attacks: Their types, vectors, and technical approaches 一份调查网络钓鱼攻击类型,载体及其技术途径得报 ...
Web 3.0 中常见的网络钓鱼攻击
Web 3.0 中常见的网络钓鱼攻击简要介绍 Web 3的网络钓鱼日益增多,一些主要的网络钓鱼技术包括: 使用不安全的Discord机器人在一些官方的Discord服务器上发布钓鱼链接: 直接发送钓 ...
2020年第三季度的垃圾邮件和网络钓鱼攻击分析
垃圾邮件和网络钓鱼攻击的花样百出如今,许多公司通过在线平台发布营销新闻,在功能方面,此类平台的功能非常多样化:它们发出广告和信息性消息.收集统计数据(例如,有关电子邮件中点击的链接的信息)等.与此同 ...
网络钓鱼攻击技术分析及防范
网络钓鱼攻击技术分析及防范网络钓鱼攻击技术分析及防范 Author: rayh4c [80sec] EMail: rayh4c#80sec.com Site: http://www.80sec.co ...
6.2 网络钓鱼攻击
目录一.了解网络钓鱼二.实验环境三.实验步骤四.实验过程中出现的一些问题一.了解网络钓鱼网络钓鱼(phishing)由钓鱼(fishing)一词演变而来.在网络钓鱼过程中,攻击者使用诱饵( ...
实例解析网络钓鱼攻击的幕后
实例解析网络钓鱼攻击的幕后网络钓鱼是通过大量发送声称来自于银行或其他知名机构的欺骗性垃圾邮件,意图引诱收信人给出敏感信息(如用户名.口令.帐号ID.ATM PIN码或信用卡详细信息)的一种攻击方式. ...
常见网络钓鱼攻击类型
常见网络钓鱼攻击类型 CEO欺诈或商务邮件欺诈(BEC)--假装公司的CEO或其他高管,向级别较低的员工(通常是会计或财务部门的员工)发送电子邮件,这些电子邮件的目的是获取商业机密信息或让受害者将资金 ...
网络类型_多种类型的网络钓鱼攻击和诈骗
点击标题下「蓝色微信名」可快速关注网络钓鱼攻击每年都会对企业造成重大损失和损害谷歌和Facebook的损失总计超过1亿美元.比利时克里兰银行向网络犯罪分子交付了超过7500万美元.奥地利航空零部件 ...
网络钓鱼大讲堂 Part4 | 网络钓鱼攻击战术
要防护网络钓鱼攻击并制定相应计划,深入了解攻击者很关键,需要更多地了解此类攻击过程,包括从初始计划及准备阶段到钓鱼网络如何协助攻击发生,再到提交诱饵并收集数据这些信息不仅可以帮助企业和组织对不可避免 ...

避免社会工程和网络钓鱼攻击

避免社会工程和网络钓鱼攻击相关推荐

最新文章

热门文章