社会工程学对企业的渗透及未来可能趋势的防御策略探究

吴蕴喆 周熙

苏州高新有轨电车培训学院 江苏 苏州 215000

1 常规渗透的形式

渗透的主要目的，是通过搭建带有目的性的人际关系网，获取重要信息，为后续的入侵提供可靠的情报支撑。目前针对企业的渗透形式有伪造身份的物理渗透、通过操控员工完成的渗透和非交互式渗透三种，以下将对上述渗透行为做出分析。

（1）伪造身份的物理渗透。常见的形式为冒充可以直接访问企业关键设备和具有内网访问权限的设备供应商人员，对目标企业网络进行渗透;该手法利用收集到的信息，分析供应商人员的行为，并使用真实事件对目标企业进行误导，在取得目标公司人员的信任后，通过对目标设备直接操作或执行后台程序，实现对目标的渗透和信息收集。

（2）通过操控雇员完成的渗透。此类渗透是由外部渗透团队和企业内部被渗透人员共同完成，受其性质的影响，可分为主动配合的和无意识配合两种。

主动配合是指由内部雇员发起的，通过主动提供公司内部网络的登陆及访问权限及公司关键情报和资料，以报复公司或获取利益为目的，其常用手法包括拷贝重要数据资料、发送邮件、对关键资料进行拍照或拍摄带涉密视频，并将其发送给渗透人员的行为。

无意识的作案是指受到误导或由于知识结构缺陷，在自身不知情的情况下访问鱼网站、邮件，与社交软件中所谓的同事或朋友进行聊天，或将不可靠的设备接入公司内部网络，导致攻击者通过间接的方式获得对公司网络的访问权限，并以此为基础进行横向渗透，从而开展信息收集的行为，这种行为本身不存在主观性，但因不知情而具有极强的隐蔽性[1]。……