社会工程学防御措施

社会工程学攻击是一种利用人的弱点如人的本能反应、好奇心、信任、贪便宜等弱点进行诸如欺骗、伤害等危害手段，获取自身利益的手法。针对社会工程学攻击，企业或单位还应主动采取一些积极的措施进行防范。这里将防范措施归纳为两大类，即网络安全培训和安全审核：

• 网络安全培训

  社会工程学主要是利用人性的弱点来进行各种攻击的。所以说“人”是在整个网络安全体系中最薄弱的一个环节。为了保证企业免遭损失，要对员工进行一些网络安全培训，让他们知道这些方法是如何运用和得逞的，学会辨认社会工程学攻击，在这方面要注意培养和训练企业员工的几种能力，包括辨别能力、防欺诈能力、信息隐藏能力、自我保护能力、应急处理能力等。

  • 网络安全意识培训

    在进行安全培训时要注重社会工程学攻击以及反社会工程学攻击防范的培训，无论是老员工还是新员工都要进行网络安全意识的培训，培养员工的保密意识，增强其责任感。在进行培训时,结合一些身边的案例进行培训，如QQ账号的盗取等，让普通员工意识到一些简单社会工程学攻击不但会给自己造成损失，而且还会影响到公司利益。

  • 网络安全技术培训

    虽然目前的网络入侵者很多，但对于有着安全防范意识的个人或老公司网络来说，入侵成功的概率很小。因此对员工要进行一些简单有效的网络安全技术培训,降低网络安全风险。网络安全技术培训主要从系统漏洞补丁、应用程序漏洞补丁、杀毒软件防火墙运行可执行应用程序等方面入手，让员工主动进行网络安全的防御。

• 安全审核

  加强企业内部安全管理，尽可能把系统管理工作职责进行分离，合理分配每个系统管理员所拥有的权力，避免权限过分集中。为防止外部人员混入内部，员工应佩戴胸卡标识，设置门禁和视频监控系统;严格按照办公垃圾和设备维修报废处理程序;杜绝为贪图方便，将密码随意粘贴在记事本中或通过QQ等方式进行系统维护工作的日常联系等。

  • 身份认证

    认证是一个信息安全的常用术语。通俗地讲，认证就是解决某人到底是谁。由于大部分的攻击者都会用到“身份冒充”这个步骤，所以认证就显得非常必要。只要进行一些简单的身份确认，就能够识破大多数假冒者。例如，碰到公司内不认识的人找你索要敏感资料，你可以把电话打回去进行确认（最好是打回公司内部的座机)。而对于公司网络进出口的身份审核，一定要认真仔细，层层把关，只有在真正的核实身份之后并进行相关登记后才能给予放行。在某些重要安全部门，还应根据实际情况需要,采取指纹识别、视网膜识别等方式进行身份核定，以确保网络的安全运行。

  • 审核安全列表

    定期对公司的个人计算机进行安全检查,这些安全检查主要包括计算机的物理安全检查和计算机操作系统安全检查。计算机物理安全是指计算机所处的周围环境或计算机设备能够确保计算机信息不被窃取或泄露。

  • 审核操作流程

    要求在操作流程的各个环节进行认真的审查,杜绝违反操作规程的行为。一般情况下，遵守操作流程规范，进行安全操作,能够确保信息安全;但是如果个别人员违规操作就有可能泄露敏感信息,危害网络安全。

  • 建立完善的安全响应应对措施

    应当建立完善的安全响应措施，当员工受到了社会工程学的攻击或其他攻击，或者怀疑受到了社会工程学和反社会工程学的攻击，应当及时报告，相关人员按照安全响应应对措施进行相应的处理,降低安全风险。