~「社会工程：安全体系中的人性漏洞」读书卡片

书籍信息

什么是「社会工程」

反常识卡

在不少人心目中，「社会工程」与欺骗、窃取、撒谎等负面词语息息相关。殊不知，「社会工程」存在于你我之间，存在于生活各处。或许你我也正在应用着「社会工程」。如小孩使用社会工程从父母那里得到自己想要的东西；医生、心理学家及临床医学家通常会使用社会工程的一些因素「操纵」病人，使其采取对病人有益的行动。

术语卡

社会工程：一种操纵他人采取特定行动的行为，该行为不一定符合「目标人」的最佳利益，其结果包括获取信息、取得访问权限或让目标采取特定的行动。

人名卡

穆拉斯基（J. Keith Mularski）：美国联邦调查局的一名探员。2009 年，他秘密打入名为「黑市」的地下组织，管理其网站长达 3 年之久，潜伏期间，伪装成恶意黑客、恶意垃圾邮件发送者。3 年之后整个身份盗用团伙被摧毁，这场社会工程渗透行动让 59 名罪犯落网，阻止了 7000 多万美元的银行欺诈。

金句卡

真正的社会工程不仅是以为自己在扮演角色，而且是在那个时刻，你就是那个人，你就是那个角色，你的生活就是那样的。——克里斯·尼克森

行动卡

学习「社会工程」，有两个策略——学习和练习。

不清楚恶意社会工程人员的思维方式，其结果就是很容易被攻击

任意卡

通过对反面示例的研究和分析，你会看到他们怎样综合应用这些技巧影响他人，让人们做出一些自己都想不到的事情。

我们并非执行审计人员，为什么要学习社会工程呢？掌握这些信息可以提高日常沟通能力。知道如何通过表情或如何提问会让他人更加轻松并引出正面回应；此外，它也可帮助你成为一位好的倾听者，让你更加关注他人的感受。

像社会工程者一样思考、交流

~ 社会工程的第一剂「秘方」——信息收集

反常识卡

学习成为一名信息收集大师，然后与交流模型相结合予以实践。这只是个开始，但是它能改变你作为社会工程人员在日常生活中与他人交流的方式。

术语卡

交流形式的三个条件：发送者、信息、接收者。对于社会工程人员，建立交流模型将帮助确定最好的传送和反馈方法，以及最合适的传输内容。

香农-韦弗模型/「鼻祖模型」：一个创建信息的信息源；一个把信息编码为信号的发送方；一个适合传送信号的信道；一个从信号中解码（重构）出信息的接收方；一个信息发送的目的地。

大卫·贝罗（David Berlo）的发送者-信息-信道-接受者（SMCR）通信模型：

  • S-信息源-常规技巧、态度、知识、社交系统、文化；
  • M-信息-内容、元素、处理、结构、编码；
  • C-信道-看到、听到、触到、闻到、尝到；
  • R-接收方、态度、知识、社交系统、文化。

人名卡

强尼·龙（Johnny Long）：为渗透测试人员写了本著作，叫「Google Hacking for Penetration Testers」。他总结出了一系列用来查询公司信息的语法。例如，在谷歌搜索框中输入 site:microsoft.com filetype:pdf，就能得到 microsoft.com 网站上的所有 PDF 文档列表

金句卡

信息收集的关键一步是要转换自己的思维方式。在信息大爆炸的世界，我们必须改变平常的思维方式，学会质疑一切，看到信息时就按照社会工程人员的思维方式来思考。

行动卡

收集信息首先要创建一个文件或信息收集服务来收集信息。在渗透测试和社会工程审计中，可使用 Linux BackTrack 发行版，BackTrack 是专为这一目的而设计的。其中两个特别适用于信息收集和存储的工具—— BasKet（强大的记事本）和 Dradis（供多用户共享数据）。

如何制定交流模型：

  • 信息源：社会工程人员就是要传递的信息或交流的源。
  • 信道：就是传达方式。
  • 信息：向接收者传达的内容。
  • 接收方：即目标。
  • 反馈：当有效地将信息传达出去之后，你希望对方给予的回应。

任意卡

让我们一起来看看最近出现的一个网站——www.icanstalku.com. 不同于它的域名，这个网站并不是鼓励人们去跟踪别人，它跟踪的是那些毫无防范意识的 Twitter 用户。它遍历 Twitter 网站，寻找那些蠢到用自己的智能手机拍摄照片并上传的家伙。很多人都没意识到智能手机拍摄的照片会隐藏 GPS 信息。你上传这些照片的同时，也泄露了自己的拍摄位置信息。

信息泄露与信息收集距离我们并不遥远。我曾感叹智能手机可以快速按照拍摄地点整理照片，由此想来，便细思极恐。倘若手机被盗，犯罪团伙便可轻而易举分析出你的常在地，且定位十分精确，接下来的安全隐患不言而喻。好在一般盗贼只是贪恋财物，大规模地追踪被盗者的情况并不多见。另外，我也想到在秘密的军事重地中，不允许军人随意发布照片，特别是包含个人相貌、地点的信息，现在看来，这样的措施虽略显无情，但着实合情合理。

公众号：麦穗时间（myselftimes）

读书这件小事儿，希望你和我一起坚持❤️Deep Reading, Deep Thinking!

愿化作火炭上一滴麦芽糖，在翻腾不休的时间里，“滋滋”地响