网络安全之社会工程学（Social Engineering，又被翻译为：社交工程学），以下简称社工。

      说到社会工程学，很多人第一反应是Hacker、信息窃取、非法手段获取等。如果要对社工做一个定义的话，社工是通过一系列分析的手段，通过手段应用、组合分析从而达到目的的过程。其具体可以应用在网络攻防中，或商业谈判，具体定义不同，其展现的方式也不相同。

      网络信息安全中的社会工程学，是指利用人的粗心、轻信、疏忽、警惕性不高，来操作其执行预期的动作或泄露信息的一门艺术与学问，属于网络信息安全中的一个分支，其主要特点就是利用人的弱点进行攻击，如比较出名的APT攻击，就是典型的利用社工而进行的攻击。

      是指某些人物的资料：部门、职位、邮箱、手机号、座机分号等等；机构内部某些操作流程步骤，组织关系，行业术语等。通过这些看似不敏感的非重要信息，最终组合成一套具有针对性的基础数据。所有目标的散布于网络中的信息，都是能被Hacker获取到，利用社工重新进行组合、分析，利用这些数据生成字典库，获取ID信息，进行猜解，能够更有效的破译目标密码等行为，实现最终目的。

      例如：社交软件——QQ展示资料、QQ空间展示、微信朋友圈、微博等，通过分析目标的信息，从而间接的了解目标的兴趣、爱好、交友、关联关系、生日、性别、性格特点等。

      例如：目标曾在某个APP或是某网站有求职信息、租赁信息等，这些信息都是极易泄露的。另外有些不合规网站，缺乏合理监督，从而造成用户信息泄露。更有部分违法者，在用户不知情的情况下，将用户的信息进行售卖，成为地下黑产的产业链，近年来国家大力整治这些违法违规行为。

      是指利用购买或是其他渠道得来的某些社工库数据、特征词典，从这些库中得到目标的有用信息，从而进行破解分析。

      其常用信息刺探流程：充分获得已知或易获取信息、顺藤摸瓜、扩展信息、侦探伪装（并非必须）、信息重组利用，或是通过工具软件，伪装成目标感兴趣网站、或是链接、登录对话框、利益诱导目标点击黑链等，通过操作获取到目标用户的一系列信息。

      对特定的环境进行渗透，是社工为了获取所需的情报或敏感信息经常采用的手段之一，攻击者通过观察目标对电子邮件的响应速度、重视程度以及可能提供的相关资料，比如一个人的姓名、生日、ID电话号码、管理员IP地址、邮箱等，通过收集这些信息来判断目标的网络构架或系统密码的大致内容，从而获取情报。

      让被攻击者求助于攻击者。反向社工是指攻击者通过技术或者非技术的手段给网络或应用制造“问题”，使其员工深信，诱使工作人员或网络管理人员透露或者泄露攻击者需要的信息。这种方法比较隐蔽，很难发现，不易防范。通过发起破坏->发送广告->接受服务->安装后门等一系列手段，逐步诱惑目标进入陷阱，最终成为被攻击的目标。

      分析目标的心理以利于获得信息；

      明文密码本地储存、便于管理简洁化登录；

      容易忽视本地和内网安全、对安全技术（如：防火墙、杀毒软件等）盲目信任、信任过度；

      分析目标组织的常见行为模式，为社工提供解决方案。

      前面所说的是社工的基础数据获取，那么这些数据是哪里来的？答案肯定是“人”，社工研究的对象是“人”，而不是数据，数据只是作为达到目的的一种构成条件，数据的来源是人。

      人作为操作使用者，属于计算机信息安全链中最薄弱的环节，人具有贪婪、自私、好奇、信任等弱点，所以社工是通过研究人的弱点而达到目的的，利用人的特征点，通过欺骗、分析、暴力猜解等手段实现入侵攻击。

      目标可能采取了很周全的技术安全控制措施，例如：身份鉴别系统、防火墙、入侵检测、加密系统等，但由于目标无意中通过电话或者电子邮件泄露信息（如：系统口令、IP地址），或被非法人员欺骗获取到信息，就可能对目标的信息安全造成损害。

      在心理上，预防指向性暗示，面对诱惑保持冷静，提高警惕性，增强安全防范意识。

      在技术上，制定易被利用环节的可能性预案，以便及早识别攻击，使风险在某一环节无法延续，接住第三方工具减少风险。

      目前网络环境中，论坛、博客、新闻系统、电子邮件等多种应用中都包含了用户个人注册的信息，其中很多也包含用户名账号密码、电话号码、通讯地址等私人敏感信息，尤其是目前网络环境中大量的社交网站，是用户无意识泄露敏感信息的最好地方。因此，在网络上注册信息时，如果需要提供真实信息的，需要查看注册的网站、APP是否提供了对个人隐私信息的保护功能，是否具有一定的安全防范措施，尽量不要使用真实信息，提高注册过程中使用密码的复杂度，尽量不要使用与姓名、生日等相关的信息作为密码，以防止个人资料泄露或被恶意暴力破解。