廖寿丰

（湖南省委党校，长沙 410001）

1 引言

信息新时代，随着物联网、人工智能等新技术新应用层出不穷，全球各类信息安全事件不断频发，国内信息安全态势渐显严峻。信息安全问题的根源就在于信息技术的脆弱性和人的脆弱性，其中人的脆弱性就包括管理的脆弱性和人本身的脆弱性。正如木桶原理所描述的信息安全：一个组织的信息安全水平将由与信息安全有关的所有环节中最薄弱的环节所决定的。其实信息安全系统中最薄弱的环节就是人，而社会工程学就是攻击人的弱点，社会工程学攻击相对于其他网络攻击，成本最低，方法最有效。

2 社会工程学概念

社会工程学的概念是凯文.米特于2002年在《欺骗的艺术》一书中提出来的，有学者将其总结为“社会工程学是通过自然地社会的和制度上的途径，利用人的心理弱点、以及规则制度上的漏洞，在攻击者和被攻击者之间建立起信任关系，获得有价值的信息，最终可以通过未授权的路径访问某些重要数据。”通俗理解，社会工程学是一门以顺从人的意愿、满足人的欲望的方式，利用人的弱点，让人上当的方法、艺术与学问。

3 社会工程学攻击的组成要素

社会工程学攻击具备三个要素：收集信息、取得信任、实施攻击。

3.1 收集信息

攻击者发起一次社会工程学攻击之前，必须先收集信息。信息是关键，获取信息越多，攻击成功率就越高。信息来源可以来自：（1）网络收集如搜索引擎、域名信息查询、公共服务期、各网络社交媒体；……