子鱼 ' Blog

在今天的计算机犯罪领域中，罪犯不需要借助英特网进入，他们只要通过简单的询问就能获得信息。当心友好的内部人员或是职务上看起来是外部的人员，他们可能会利用你的好心或天真来获得他们要的东西。举几个例子来说明吧…
一位部门秘书接到一个电话,"我是Josie Bass,有什么能帮您的吗?"
“你好，我是计算机中心的Martin White,我们认为可能有人入侵了文件服务器，我能和你们技术主管谈谈吗?”
“现在是周五下午，这里只有我一个人 。”Josie说。
“你的工作怎么样，Josie？”
“还好，你呢？”
深呼一口气，“不算太坏,除了现在是周五的下午而且我们要处理堆积如山的文件。总之，如我所说的，我们认为你的文件服务器受到了威胁。”
“你为什么这么认为呢？”
“你的帐号是jbass,是吗？”
“是。”
“我们在你的文件服务器上检测到了异常的通信。”
“好，你能不能具体点告诉我这是怎么回事？”
“当然,我正在搜索,但有太多文件了。”翻页的声音。“我真正担心的是,当我这样搜索时,坏人可以从你们的服务器下载并修改资料，也许你应该把你的服务器与网络断开或者修改你的系统密码。”
“Jeez,我不知道该怎么做。”
Martin叹息，“这真糟糕，入侵者可能没有完全地破坏你的系统。”手指翻动书，发出翻页的声音。“我刚才想到一件事，我正好在线，如果我有你的密码的话，只要几分钟就可查出来了。”沉重的叹息，“为什么我之前没有想到呢？持续一个星期了—看了很多小时的数字。”一番停顿后，“Ok,你的密码多少？”
“我…er….”Josie犹豫了。
“哦，好的，你不会把它拿出来，我明白了。”翻页的声音。“这也是个好办法。”停顿了一下，“这些家伙会尝试不同的方法入侵…”翻页。
“嘿，”Josie说，“我们会整晚都在这里，忘了告诉你：我的密码是jb2cats。”
“谢谢，好的，稍等。”密码输入的声音。“好了，让我仔细检查一下。”更多的输入。“找到了，好消息，他们没能进入你的系统。”停顿，“非常感谢，Josie，我们一起为这件无效的事上折腾了半夜，顺便说一声，一旦他们跳过了你的服务器，再回来就是很罕见的事了，你的系统现在状况良好。”
“谢谢，祝你有一个愉快的周末。”Josie放心地回答。
“你也是。”

“Martin White”和他的同伙将会有一个愉快的周末，从这个部门修改他们选修课程的学生等级——为了学费，当然。（译者注：这里的意思应该是Martin的课程没及格，需要重修，把成绩修改了，自然就不需要交纳学费了。）

这是一个被称为“社会工程学”的例子，一个信息技术犯罪的非技术表象描述。用其它方法表达就是“欺骗艺术家”Martin玩的一个“行骗游戏”。意思很简单：欺骗受害人，获得有用的机密信息，或采取不正当行动为攻击者获得利益。
大部分人对我们都是有益并且值得信赖的—许多人这样认为。我们想要做好邻居并有许多好邻居，社会工程师利用了人类这一合作倾向。他们经常使用胁迫和扮演角色手段，也使用老式但清晰的摄像头进行偷窥和偷听。
当被偷窃的信息增加时，我们需要知道更多信息盗窃使用的迂回方法。
例如：
一个糊涂的醉鬼会打电话给办事员请求更改他的密码。
一个似乎很重要的人扮成主管人员打电话给新来的网络管理员要求马上开通他的账户！
在机场当你输入你的电讯信用卡或ATM号码时有人会往你肩膀上看（肩窥），他们甚至使用双筒望远镜和摄象机。
一个访客会偷看你在键盘上输入的注册ID和密码。
一个自信的人打电话给电脑工作人员并要他或她在控制台输入几行指令。
一个攻击者搜集你的废纸（垃圾数据探究），寻找线索解开你的保密信息。
不同于技术的目标，社会工程学是一个古老行当的新名字，它常常成功，因为我们的文化没有赶上我们拥有的技术。一个社会工程师从一个保险箱里获得东西比获得密码要更困难，即使这个东西就在健康俱乐部的带锁储物柜里。最好的防御很简单：教育，训练和意识。

记住：密码就像一把牙刷一样，每三个月更换一次，并不让其他人使用它。（即使有人声称自己来自处理Internet上各项安全问题的专责机构）。