Ch2-06 社会工程（Social Engineering）
一句话秒懂：社会工程不是”黑电脑”，而是”骗人”——攻击者利用人的善意、压力和疏忽，绕过所有技术防线。
① 生活类比
你家装了指纹锁、报警器和监控（技术防线拉满），但快递员说”帮个忙开下门”，你就让他进去了。社会工程就是那个”帮个忙”——人，往往是安全链条最软的一环。技术再硬，也挡不住一个愿意开门的人。
② 核心概念（忠于 Sybex 第10版）
社会工程（Social Engineering）是操纵人而非系统的攻击。它破坏的是 CIA 三要素中的”保密性”和”完整性”（获取不该知道的信息、诱导做出错误操作），有时也影响可用性。
Robert Cialdini 提出的 七大说服原则（Seven Principles） 是攻击者常用的心理杠杆：
- 权威（Authority）：冒充老板/IT/警察，让人不敢质疑。
- 稀缺（Scarcity）：”限时！不马上做就损失”，制造紧迫感。
- 喜好（Likeness）：伪装成与你相似/友善的人，降低戒心。
- 信任/忠诚（Trust/Loyalty）：利用”都是自己人”的情感。
- 共识/从众（Consensus/Social Proof）：”大家都在做，不会错”。
- 紧迫（Urgency）：类似稀缺，强调时间压力。
- 互惠（Reciprocation）：先给点小恩惠（如”帮你按住门”），让你不好意思拒绝。
钓鱼家族对照表
| 类型 | 渠道 | 目标/特征 | 案例级考点 | |—|—|—|—| | Phishing 钓鱼 | 邮件 | 广撒网，诱点链接/下恶意 | 最基础，防御通用 | | Spear Phishing 鱼叉钓鱼 | 邮件 | 定向到某群体，盗用客户库伪造 | 用 stolen DB 定制话术 | | Whaling 鲸鱼钓鱼 | 邮件 | 高价值个人（CEO/C-level） | 需大量前期调研 | | BEC 商业邮件诈骗 | 邮件 | 冒充高管骗财务转账 | 又称 CEO Fraud；损失达数十亿 | | Vishing 语音钓鱼 | 电话/VoIP | 伪造来电显示（Caller ID） | 永远假设来电显示是假的 | | Smishing 短信钓鱼 | SMS/IM | 短信带链接或诱导回拨 | 回拨可能触发 cramming 乱扣费 | | Spam 垃圾邮件 | 邮件/IM/社交 | 载体，可带恶意码或骗局 | 对策：SPF/DKIM/DMARC + 过滤 |
物理与社会型手法（必记）
- Tailgating 尾随：趁员工开门后门未关，悄悄跟进——受害者不知情。
- Piggybacking 捎带：假装”抱着箱子腾不出手”，骗员工主动开门——受害者知情但被骗。
- 防御：门禁前室（vestibule/旧称 mantrap）、闸机、警卫、摄像头。
- Shoulder Surfing 肩窥：偷看键盘/屏幕；对策：屏幕滤光片、密码掩码、敏感区不临窗。
- Baiting 诱饵：丢弃带毒 U 盘/光盘，赌你捡来插；对策：禁用自动播放、不捡陌生介质。
- Dumpster Diving 垃圾翻找：翻垃圾桶找便签/报表；对策：碎纸/焚烧、介质安全销毁。
- Impersonation/Masquerading 冒充：伪装他人身份；物理对策：访客证、陪同伴行、提前报备。
- Invoice Scams 发票诈骗：伪造发票骗财务付款，常与 BEC 结合；对策：职责分离（下单≠付款≠审计）+ 采购单号核对。
- Hoax 恶作剧：谎称”病毒来了快删文件”，诱你自毁；遇疑查 snopes.com / phishtank.com。
③ 真实案例
- BEC 商业邮件诈骗：攻击者冒充 CEO 给财务发”急！把款打到这个新账户”，几年来全球企业被骗数十亿美元，是损失最大的社会工程变体。
- Stuxnet 之外的日常：大量企业失陷的起点，就是一封鱼叉钓鱼邮件——员工一点，马就进内网。
④ 记忆口诀
- 七大原则首字母：A STUR（Authority, Scarcity, Trust, Urgency, Reciprocation）——外加 Likeness/Likability、Consensus。考场上认”哪个原则被用”即可。
- 尾随 vs 捎带：尾随=偷偷跟进（不知情）；捎带=骗你开门（知情）。一句话区分：“尾随不吱声，捎带求帮忙”。
- BEC = CEO Fraud = 鱼叉钓鱼的高管版。
⑤ 考试怎么考（陷阱）
- 给场景问”这是哪种攻击”：看到冒充高管要转账→BEC；看到跟着人进门→Tailgating；看到骗人开门→Piggybacking；看到丢 U 盘→Baiting。
- 防御 BEC 关键考点：确认可疑指令时，必须用带外（out-of-band）方式（打电话/当面），不能用对方发来消息的同一条渠道确认。
- 反垃圾邮件三大协议 SPF / DKIM / DMARC 常考（详见 Domain 3/通信安全），DMARC 专门过滤伪造邮件。
⑥ 自测
- （题型：场景归类）攻击者抱着一堆文件请求员工”帮按住门”，员工照做后攻击者进入机房。这属 Tailgating 还是 Piggybacking？为什么？
- （题型：对策）针对 BEC 诈骗，最关键的确认原则是什么？为什么不能用同一邮件渠道确认？
关键定义以原书（Sybex 10th, Ch2）为准。