网络安全技术与实训-第2章-第2节-社会工程学攻击与防范

第2章 网络攻击与防范

前面讲的扫描、爆破，都是对着机器使劲。但现实中大量的入侵，走的是另一条成本极低、成功率却极高的路——直接骗人。这条路叫社会工程学（Social Engineering）。它有一句很形象的概括：不攻机器，攻人心。

一、为什么它防不住？因为它绕开了所有技术防线

防火墙可以拦住一个陌生 IP 的扫描包，却没法拦住一封“我是 HR，请把员工名册发我”的邮件——因为这封邮件来自一个合法的邮箱，附着一个合法的文档，请求的内容也“看起来很合理”。技术设备判断的是“流量特征”，而社会工程学利用的是“人的信任与惯性”。

二、最常见的几副面孔

• 冒充权威：假冒领导、财务总监、IT 管理员，用“急事、保密、别声张”制造压力，让你来不及核实就把文件或密码交出去。
• 假客服骗验证码：自称银行、快递、平台客服，说“帮你处理异常订单”，实际目的是套取你手机上那条短信验证码。记住——验证码是最后一道锁，任何人以任何理由索要都不要给。
• 钓鱼邮件 / 钓鱼网站：邮件里一个“查收账单”的链接，点进去是和真实登录页几乎一模一样的假页面，输入的账号密码直接进了攻击者的数据库。
• 诱饵投放：工位上“捡到”的 U 盘、共享盘里“工资表.exe”，利用好奇心让人主动运行。真实的攻击演练中，这一招的命中率常常高得惊人。
• 电话套话：以“配合调查”“系统升级需要核对信息”为由，一点点拼凑出内部人员姓名、部门、系统名称，为后续精准攻击做准备。

三、个人层面的四个习惯

• 先挂断，再回拨：涉及转账、密码、验证码的电话，挂掉之后用自己掌握的官方号码回拨核实，不要用对方给的号码。
• 看域名，不只看页面：登录前养成瞄一眼地址栏的习惯。假站点的域名往往只差一两个字母或换了个后缀。
• 陌生文件先别双击：尤其是可执行文件、压缩包、Office 文档。Office 提示“启用宏”时，除非你完全清楚来源，否则一律点“禁用”。
• 捡到的东西不是你的：来路不明的 U 盘不要插进任何电脑，交给 IT 或直接销毁。

四、企业层面的三道闸

• 流程闸：把敏感操作写进制度——任何转账、任何数据导出都要第二人复核，让“一个人被骗就全盘失守”变成不可能。
• 技术闸：邮件网关做附件与链接检测、开启多因素认证（MFA）、对敏感系统做最小权限管理。
• 意识闸：定期做钓鱼邮件演练与安全培训。演练不是为了抓谁点了链接，而是让所有人形成“先怀疑、再核实”的条件反射。

五、配套实训

本章不单独设社会工程学实训（涉及真实人员欺骗，不适合在课堂上对真人开展）。但它是 实训 2（Burp Suite 抓包与网站爆破） 的前置认知：很多爆破之所以成功，起点往往是一个被骗走的账号，或者一份从公开渠道扒出来的员工名单。理解了“人是最弱一环”，你在后面的每个实训里都会多一层警惕。