人是最坚固的防火墙(2)

　　e时代的信任危机

　　在2000--2003年的时候，如果你利用漏洞扫描软件在10分钟内就能轻易地发现100台以上的脆弱主机。在网络安全技术不断发展的今天，各种安全防护设备与措施使得网络和系统本身的漏洞已经较少了。然而黑客入侵事件却总在不断上演，这是为什么?网络使用者的安全防护意识起着关键作用。我们可以将服务器系统安全加固交给网络安全服务商完成；可以将网络安全的常识通过培训介绍给企业的每一个员工，但是，任意设置简单易猜的口令、随处留下自己的邮箱行为还是比比皆是，这都使得善于利用社会工程学的黑客能够很轻易地完成对某些目标的入侵。

　　可以说现在CIO们最怕的不是系统灾难，因为完整的灾难恢复机制已经让他们可以坦然面对。最近流行的“网络钓鱼”，其实并不是一种新的入侵方法，而是入侵者通过技术手段伪造出一些以假乱真的网站诱惑受害者根据指定方法操作的Email等，使得受害者“自愿”交出重要信息或被窃取重要信息（例如银行账户密码）。入侵者并不需要主动攻击，他只需要静静等候这些钓竿的反应，就像是“姜太公钓鱼，愿者上钩”。我们可以将它归纳为有一定技术含量的、被动的社会工程入侵。那么，没有任何黑客技术含量的主动入侵存在吗？回答当然是肯定的。

　　我们举一个例子：对方公司的销售人员想获得你的客户信息，他会通过电话、Mail或者QQ等了解到贵公司销售人员的通信方式。在通过冒充客户咨询的电话中，你都可能透露出真实的个人信息，然后以你的身份再次打进电话来，询问其他员工来获取网管员的电话。剩下的事情只需要向网管员申诉自己的邮箱出现问题了，要求将密码更改过来，如果网管员稍有疏忽，这一入侵行为就已成功结束了。

　　还有一种攻击也最为常见，那就是胁迫攻击。攻击者假装成权威人士，要么是组织内的高层人员，要么是执法人员。攻击者会选择其职位之下的几个不同层次的人作为目标。攻击者会制造一个借口来要求重设口令、改变账号、访问系统或敏感信息。如果遇到抵制，攻击者会利用职权胁迫这些员工就范。社会工程学基于最基本的生活常识，最简单的心理学原理：越简单的东西越不容易出错，而越复杂的事物越可能出现漏洞，世界上最复杂的就是人和人的思想，利用人们的信息信任--这就是“社交工程学”被信息安全专业人员所恐惧的主要原因。