反欺骗的艺术
最新书摘：
-
Guri2021-03-2915.2.5 跟其他人一样如果一个人做事情的风格看上去跟其他人比较一致，则人们就会倾向于满足他的请求。其他人的行为已经被人们所接受，因而眼前的人的做法也被认为是正确的、恰当的举动。攻击例子：打电话的人说自己正在做一项调查，并提到了部门中其他人的名字，说他们已经跟自己合作过了。受害者认为其他人的合作已经证明了该请求的真实性，于是就同意参与。然后，打电话的人问了一系列问题，其中包括让受害者透露自己的计算机用户名和密码。
-
Guri2021-03-2915.2.1 权威 如果一个请求是由权威人士提出的，则人们就会倾向于满足该请求。就像在本书其他部分所讨论过的，如果一个人认为提出请求的人是具有权威的，或者是被授权的人，则他可能很容易被说服，从而满足别人的请求。在 Cialdini博士的《影响》一书中，他描述了在中西部三家医院所做的一项研究。那里的2个独立的护台都接到了一个电话，对方声称自己是住院医生，并对一位住院病人的处方做了指示。接到指示的护士都不认识来电话的人。她们甚至不知道他是否真的是位医生（他不是）。她们接到了从电话中传来的处方指示，而实际上，通过电话指示处方是违反医院规定的。在电话中指示她们给病人服用的药是不允许在病房使用的，而且其用药量也是最大日用量的两倍，因此可能会危及病人的生命。但是，Cialdini报道说，在95%的情况下，“护士开始从病房的药柜中取出必要的用量，然后去给病人服药”。后来她们被观察者拦住，告诉她们这是一个试验。攻击例子：社交工程师总是声称自己来自T部门，或自己是个主管或主管的助理，企图给自己披上一件权威的外衣。
-
Guri2021-03-2915.2.3 回报当别人给了我们某些有价值的东西，或者承诺要给我们此类东西的时候，我们可能会不由自主地满足他的请求。对方给予的礼物可能是实实在在的物品，也可能是建议，或者帮助。当别人为你做了某件事情的时候，你总是会有一种要回报的倾向。就算这份礼物并不是你主动要来的，这种强烈的回报倾向也是存在的。影响别人帮我们一个“忙”（满足请求）的最有效方式之一是，给他（或她）一个礼物或帮助，从而形成潜在的义务（人情债）。Hare Krishna教派中的人特别善于影响别人来捐助自己的事业，他们首先给别人一本书或一束鮮花作为礼物，如果接受者试图归还礼物，则给予者就会拒绝收回，并且说，“这是我们给你的礼物。”Krishna教徒利用人们的这种回报行为规则，有效地争得了更多捐助。攻击例子：一名员工接到一个电话，对方声称来自T部门。打电话的人解释说，公司中的某些计算机感染了一种反病毒软件不能识别的新病毒，该病毒可能会破坏计算机上的所有文件。他主动告诉该员工，通过哪些步骤可以防止问题的发生。随后，打电话的人请这名员工帮忙测试一个软件工具，该软件最近刚被更新过，它允许用户更改密码。这名员工不愿意拒绝，因为对方刚刚帮过自己，教会了自己如何免遭病毒的侵害。最后，他满足了打电话者的请求，以此作为回报。
-
核2017-12-28人们都很容易相信自己的同事，尤其是在其要求满足合理的测试之后。社会工程师便利用这种知识从受骗者身上获取信息以达到他们的目标
-
核2017-12-28在进行安全培训时，试一下这个方法：无论什么时候在接受一个陌生人询问时，首先要礼貌的拒绝，直到确认对方身份。然后，在做好心人之前，先遵循公司对非公共信息的验证和使用政策。这种工作方式也许违背了我们乐于助人的天性，但多一点有益的怀疑也许是必要的，以免成为社会工程师的下一个受骗者。
-
核2017-12-28实施这样一个政策还是必要的：禁止对外公开内部职员、合同工、顾问和临时雇员的电话号码。 部门或工作组的财务制度，还有企业通讯录（无论是复印件还是资料文件或是内网上的电子版），都是社会工程师常见的目标。
-
核2017-12-28一个好的私人侦探还知道，千万不要在得到关键信息后马上结束谈话。多问两三个问题，小聊一会儿，然后再说拜拜。如果对方稍后想起你提过的问题，很可能是你最后提出的问题，其它的通常会忘记。
-
核2017-12-28在我的第二个电话中，调查表的把戏很能迷惑人。我把重要的问题插进可以建立信任感的无关紧要的问题中， 私人问题就像一颗地雷，有些人会毫不注意的踩上去，有些人则知道它会爆炸，赶紧躲开。因此，如果我问及一个私人问题，她在回答的语气上没有变化，这就意味着她很可能没有对提问产生怀疑，我可以在她没有疑心的问题之下安全地提出关健问题。
-
核2017-12-28第一步：了解专业术语，设计出获取信息时所需要的对话，以便听起来不会露出马脚。
-
核2017-12-28大多数情况下，成功的社会工程师都有着很强的人际交往能力。他们有魅力、讲礼貌、讨人喜欢，并具有快速建立起可亲、可信感的特点。
-
核2017-12-28因为人为因素才是安全的软肋。
-
杀杀人跳跳舞2017-03-12安全，通常情况下仅仅是个幻想，由其是轻信、好奇和无知存在的时候。二十世纪最受尊敬的科学家爱因斯坦这样说道：“只有两种事物是无穷尽的――宇宙和人类的愚蠢。但对于前者，我不敢确定。”最终，社会工程学的攻击，成功于人们的愚蠢或更为普遍的对信息安全实践上的无知。坏人渗透企业安全的第一步就是获得某些似乎无利害关系的信息和文件，这些信息和文件看起来十分平常，也不重要，公司里的人大都不明白为什么这些东西会被限制和保护。第十五章和第十六章的内容值得注意。