【反欺骗的艺术】：入侵警报（一）

   中断了好久，本想周末整理更新一篇，不想突然烧到39.5度，呼吸憋气费力，一个人去医院打针吃药，今天终于慢慢缓过劲来，赶紧拾起上周五看的章节，趁印象还清晰，来记录下这章节的收获。之前介绍了社工工程师实施攻击的一些具体方法，接下来要以企业作为目标，开展社工攻击。这部分的事例由于企业的防护要比个人或私人组织更为严密高级，因此攻击的门槛有所提升，完整复述整个攻击案例也不现实。因此我们会重点介绍如何防范对应的社工攻击，同时简要地提带相应的攻击事例。
一、非工作时的保护
   工作时间由于人员齐备，社工工程师想下手或者亲临现场都是有很大风险的，但是当下班后，非工作时间内，社工工程师面对的也就只有寥寥的保安人员了。尽管保安人员意识高，社工工程师依旧可以欺骗他们。比如下面这个简单的例子，Joe想晚上去某航空公司的加工厂参观，实地考察各种飞机，但是作为一个外部人员，如何能够成功呢？
Step-1. Joe先给市场部打电话，询问市场部的头和职员，拨打他们的分机，从分机的无人提示语音中得知了领导和职员的姓名以及分机号；
Step-2. Joe假冒职员Tom的身份给保安亭打电话，说市场部夜里2点会有两个同事来帮助项目，请求放行；
Step-3. Joe晚上如约而来，保安亭没有看证件直接放行；
Step-4. Joe在加工厂自由参观时被巡逻保安发现，并被带到保安办公室详细查问；
Step-5. Joe主动提出给其上司打电话核实身份，电话接通后自顾自地说完，直接挂断电话，不给保安直接从电话中核实身份的机会；
   如此，一个社工工程师巧妙地混入了安保严密的航空公司的加工厂。这个事例告诉我们，在非工作时间必须要求进出人员携带必要的身份标识牌，尤其是对于敏感信息保护的部门，应当教育和鼓励员工盘问哪些没有佩戴证件的人，高层员工必须学会接受这样的质疑，不要让拦住自己的人尴尬。甚至公司制定政策，对于不按要求携带证件的人进行惩罚，比如当日工作无效没有工资等等。

二、垃圾翻寻
   这部分感觉不需要过多叙述了，看看现在每个公司都配备的碎纸机，就晓得现在公司是多么注意保护重要文件了，当然，对于一些机密人员的安全意识当然毋庸置疑，对于一些可以偶尔接触机密信息的一般人员的文件垃圾处理要求，也应当严格要求。
   除了文件材料，还有不用的计算机介质，必须确保其变得不可再用或完全删除；管理好清洁人员，他们其实能够经常接触机密的公司材料，比如早上打扫卫生的时候，你的办公室是不是开着门桌上放着项目材料等着保洁员来光顾？
三、向员工说再见
   这里要说的是，我们要提防心怀不满的员工，尤其是那些被解雇或降职的员工，他们很有可能利用熟悉公司内部环境的便利，报复公司或领导。这就要求制定严格的员工离职手续，有政策立即停止员工的计算机访问权，回收员工的身份证件以及任何钥匙和电子访问设备。
四、不要忽略任何人
   这里主要讲的是对于那些衣冠楚楚的人不要放低警惕，网上有很多西服革履的诈骗犯，同样的心理规律也会被社工工程师利用，当然，社工的目的不是金钱，而是信息，有点类似于经济间谍，但是却不仅于此。举止友好、穿戴整齐、像是专业人士、自称来自异地部门同事的人可能并不是表面的那样。
五、安全的IT
   不知道大家是否意识到，其实公司中最容易接触隐秘信息的正是IT部门的员工，他们可以轻易地查看每个人的工资、薪酬、出差记录，凡是电子记录的信息，IT部门的员工都可以近水楼台先得月。对应措施是建立严格的访问审计、授权机制，控制信息的非法访问。