你拥有网络防火墙的所有功能，你所在大楼的安全系统拥有最先进的接入系统。你已经在技术上投资了。但是员工呢?
社会工程师，或者利用人类行为进行诈骗的罪犯，并不担心徽章系统。他们会径直走进来，自信地请人帮助他们进入。这防火墙?如果你的用户被诱骗点击了一个他们认为来自Facebook好友的恶意链接，这就没有多大意义了。
在本指南中，我们概述了社会工程师经常使用的常用策略，并为您提供了如何确保您的员工保持警惕的提示。
什么是社会工程?
从本质上讲，社会工程是一门利用人类心理来进入建筑物、系统或数据的艺术，而不是通过入侵或使用技术黑客技术。例如，社会工程师可能不去寻找软件漏洞，而是打电话给一名员工，并假装成IT支持人员，试图欺骗该员工泄露密码。
著名的黑客凯文·米特尼克帮助推广了“社会工程”在90年代，尽管这种想法和许多技术已经存在，只要有任何形式的诈骗艺术家。
我的公司有什么风险?
社会工程已经被证明是罪犯“进入”你的组织的一种非常成功的方式。在上面的例子中，一旦社会工程师有了一个可信任的雇员的密码，他就可以简单地登录并窥探敏感数据。另一种尝试可能是诈骗某人的门禁卡或密码，以进入一个设施，无论是访问数据，窃取资产，甚至伤害人。
科罗拉多州安全咨询公司Lares的创始人尼克森(Chris Nickerson)利用社会工程技术为客户进行“红队测试”，以了解一家公司的弱点在哪里。尼克森向中央情报局详细说明了进入建筑物内部是多么容易，毫无疑问。
在一次渗透测试中，尼克森使用了时事、社交网站上的公开信息，以及他在旧货店里买的一件4美元的思科衬衫，为他的非法进入做准备。这件衬衫帮助他说服大楼前台和其他员工，他是思科公司的一名员工，正在进行技术支持访问。一旦进入，他也能让他的其他队员非法进入。他还成功地放下了几个装有恶意软件的usb，并侵入了公司的网络，而这一切都发生在其他员工的视线之内。读黑客解剖跟随Nickerson完成这个练习。
社会工程师是如何完成他们的把戏的?
罪犯们通常要花上几个星期甚至几个月的时间来了解一个地方，甚至在他们进门或打电话之前。他们的准备工作可能包括查找公司电话列表或组织结构图，在LinkedIn或Facebook等社交网站上调查员工。
尼克森说，一旦他们做好了准备，一个未经授权的人要想进入某个设施或获取敏感数据，就需要知道该说什么，知道该问谁，并有信心。
目标始终是获得一个或多个员工的信任。在《心理游戏:社会工程师如何赢得你的信心》一书中，网络视频系列《骗局学校》的主持人Brian Bushwood说，描述了一些骗子使用的伎俩来获得信任，这取决于不同的沟通媒介:
——在电话里:
社会工程师可以打电话并假装自己是同事或受信任的外部机构(如执法部门或审计人员)。在纽约市警察局(New York City Police Department)工作了20年的萨尔?里弗利里(Sal Lifrieri)说，犯罪分子试图让人感到熟悉而自在。他现在通过一个名为“保护行动”(Protective Operations)的组织向企业传授社会工程策略。他们可能会学习公司的行话，这样对方就会认为他们是内部人士。另一项成功的技术是当打电话的人处于等待状态时，录制公司使用的“hold”音乐。看到更多这样的把戏社会工程:八种常见策略。
——在办公室:
“你能帮我扶住门吗?”我没带钥匙/门禁卡。”How often have you heard that in your building? While the person asking may not seem suspicious, this is a very common tactic used by social engineers.
在同样的练习中，尼克森用他的二手衬衫进入一栋大楼，他让一名团队成员在外面的吸烟区附近等候，那里是员工经常去休息的地方。假设这个人只是一个在办公室抽烟的同事，真正的员工会毫无疑问地让他从后门进来。尼克森说:“香烟是社会工程师最好的朋友。他还指出了社会工程师可以轻松进入的其他领域办公室有5个安全漏洞。
据尼克森说，这种事情一直在发生。这种策略也被称为尾随。许多人只是不要求别人证明他们有许可去那里。但他说，即使在需要佩戴徽章或其他证明才能在大厅里走动的地方，造假也很容易。
“我通常会用一些高端照片来打印徽章，让它看起来真的像我应该在那种环境中一样。”但他们通常都不去检查。我甚至还佩戴了一个徽章，上面写着‘把我踢出去’，但我仍然没有受到质疑。”
——在线:
英国的高级技术顾问Graham Cluley说，社交网站为社会工程诈骗打开了一扇全新的大门总部设在Sophos的安全公司。在最近的一起案件中，罪犯假扮成Facebook上的“好友”。But one can never be certain the person they are talking to on Facebook is actually the real person, he noted. Criminals are stealing passwords, hacking accounts and posing as friends for financial gain.
最近使用的一种流行策略是，骗子侵入Facebook账户，在Facebook上发送消息，声称自己被困在一个外国城市，需要钱。
Cluley说:“通常的说法是，他们在旅行时被抢劫了，劫匪要求Facebook上的朋友汇款，这样一切都可以解决。”
他说:“如果一个人选择了一个错误的密码，或者密码被恶意软件窃取，骗子就很容易披上信任的外衣。”“一旦你进入了一个人的账户，你就可以看到他的配偶是谁，上次去哪里度假了。假装不是你自己很容易。”
看到九招:社会工程师最爱的搭讪语更多的例子。
为什么人们会爱上社会工程技术?
人们每天都被这些缺点所愚弄，因为他们没有得到关于社会工程师的充分警告。CSO的博主Tom Olzak指出，人类行为是任何安全程序中最薄弱的环节。谁又能责怪他们呢?没有受过适当的教育，大多数人都认不出社会工程师的把戏，因为他们通常都很老道。
社会工程师对毫无戒心的受害者使用许多心理战术。正如布什伍德在《思维游戏》一书中所描述的那样，成功的社会工程师是自信的，并且能够控制谈话。他们只是表现得好像自己属于某个机构，即使他们不应该属于某个机构。他们的自信和身体姿势让别人感到放松。
布鲁斯伍德说:“演唱会安保人员通常都不会去找徽章。”“他们在寻找姿态。他们总是能分辨出谁是想偷偷溜回去看明星一眼的粉丝，以及谁在主持这个活动，因为他们似乎属于这里。”
社交工程师也会在谈话中使用幽默和赞美。他们甚至会给前台等门卫员工送一件小礼物，以表示对未来的好感。布什伍德说，这些通常是获得信任的成功方式，因为“喜欢”和“感觉需要回报”都是固定的行为模式，人类在合适的环境下自然会使用。
在网上，许多社会工程骗局利用了人类的恐惧和好奇。问“你看过你的这个视频吗?”如果你不知道这只是一个社会工程师想要诱骗你点击一个坏链接的话，你是无法抗拒的。
成功的钓鱼攻击通常会发出警告:“你的银行帐户已被攻破!”点击这里登录并验证你的帐户。”Or "You have not paid for the item you recently won on eBay. Please click here to pay." This ploy plays to a person's concerns about negative impact on their eBay score.
“由于人们花了数年时间来建立eBay的反馈分数或‘声誉’，人们对这类邮件反应很快。但是，这当然会导致一个钓鱼网站，”Shira Rubinoff说，他是Green Armor Solutions公司的创始人，这家公司位于新泽西州的哈肯萨克市。许多人使用eBay，用户经常在购买物品完成前几天就出价。所以，一个人认为他或她忘记了一个星期前的出价也不是不合理的。”
最近的钓鱼诱饵甚至利用了经济衰退的机会，鲁宾诺夫说。我们经常会收到来自人力资源部的假邮件，上面写着:“你因裁员被解雇了。”如果你想注册遣散费，请在这里注册，并包含一个恶意链接。
鲁宾诺夫指出，在当前的经济形势下，没人想成为自己招惹麻烦的人，所以任何看似来自雇主的电子邮件都很可能会招来对方的回复。Lares的Nickerson也看到了使用虚假雇主邮件的犯人。
尼克森说:“它可能会说，‘为了削减成本，我们今年将电子发送W-2表格。’”
我如何教育我的员工防止社会工程?
意识是第一防御措施。员工应该意识到社会工程的存在，也应该意识到最常用的策略。
有关有效的安全意识程序的元素，请参见关于安全意识的七个实用的想法和现在听到这个!。
幸运的是，社会工程意识有助于讲故事。故事比技术缺陷的解释更容易理解，也更有趣。克里斯·尼克森(Chris Nickerson)成功地装扮成一名技术人员，就是一个以有趣的方式传达信息的例子。小测验、吸引眼球或幽默的海报也能有效地提醒人们，不要想当然地认为每个人都是他们所说的那个人。
她说:“在我的教育课程中，我告诉人们，你总是需要有点偏执和挑剔，因为你永远不知道别人想从你身上得到什么。”针对员工的目标“从前台开始，也就是看管停车场的门卫。这就是为什么员工必须接受培训。”
社会工程的技巧总是在不断发展，所以意识训练必须保持新鲜和与时俱进。例如，随着社交网站的发展和演变，社会工程师们试图在那里使用的诈骗手段也在不断增加;看到脸谱网、推特网的骗局要避免和还要避免5个Facebook、Twitter的骗局。
这个故事，“社会工程:基础”最初是由方案 。