資訊處教育訓練活動~防範惡意電子郵件社交工程演練

臺北醫學大學資訊處於7月18日假杏春樓電腦教室舉辦本年度的「防範惡意電子郵件社交工程演練」教育訓練,特邀請本處網路組林恩德組長擔任講師,分享如何防範惡意電子郵件社交工程的應用案例。

■何謂社交工程(Social Engineering)
「社交工程」係利用人性弱點,應用簡單的溝通和欺騙技倆,以獲得有用的資訊,如:帳號、通行碼、身分證號碼或其他機敏資料,來突破資通安全防護,遂行其非法的取存、破壞行為。

社交工程造成極大的威脅,在於惡意人士不需具備頂尖的電腦專業技術,衹要一般使用者對於防範詐騙沒有足夠的認知,就可以輕易地避過組織的硬體安全防護,而騙取到各項的帳號、通行碼、個人資料、財務資料或組織重要資料等資訊,對個人或組織所造成的損害與威脅,並不亞於網路上各種駭客攻擊。

一般使用者對安全防護認知不足及輕忽,將構成組織資通安全的一大漏洞,即使組織投資了各種網路防護的硬軟體、良好的保全系統保護機房安全,結果仍可能是不堪一擊,因為社交工程利用了人性的貪婪、情色、好奇、驚恐、容易信任、不在意及警覺力不高等弱點,只應用了簡單的溝通技巧,很輕意地就避開了不易破解的網路防火牆,突破組織的安全防護,而突破這耗資千百萬的層層安全防護,所花費的成本竟只是一、兩通電話費用或一封電子郵件。【圖:林恩德講師分享如何防範惡意電子郵件社交工程】

■社交工程常見的攻擊手法
除了利用電話詐騙外,常見的社交工程攻擊還包含:
1.電子郵件隱藏電腦病毒:駭客利用社交工程的概念,將病毒、蠕蟲、木馬及惡意程式等隱藏於電子郵件的「附件連結、附件檔案、附件圖片」中,利用人性的弱點誘騙使用者開啟它,這些看似好友寄來的郵件,卻是社交工程攻擊的陷阱。
2.網路釣魚:網路釣魚(Phishing)是由「Phone」、「Fishing」兩英文單字合成。網路釣魚是藉由社交工程與詐騙手法,偽造電子郵件或金融機構等知名網站,甚至是綁架網址的手法,以偷取使用者的身分資料及金融帳號與通行碼等機密資料。由於Web2.0的便利性,讓消費者不走出門,也可輕鬆購物、轉帳、工作等。但這便利性也是一刀兩刃,促使駭客不需直接入侵網站伺服器獲取資料,反而透過網站攻擊用戶端、或是讓使用者自行上鈎。
3.圖片中的惡意程式:明星或色情圖片是許多惡意程式慣用的社交工程技巧之一。利用使用者的好奇、八卦心態來散佈惡意程式,當網友點開了該圖片就會感染電腦病毒或被植入木馬程式。
4.偽裝修補程式:另一種社交工程的欺騙手法,就是偽裝成系統或應用程式的修補更新程式,因一般使用者不會覺得這是來路不明的程式,沒有防範社交工程會利用這個漏洞,而將藏有惡意程式的偽修補程式安裝於電腦系統中,如此不但不能修補系統或應用程式的任何漏洞,還可能安裝了遠端竊取資料的木馬程式、或成為僵屍電腦。
5.即時通亦是社交工程的新途逕:即時通的方便性,已成為日常上網行為的一部分,當親朋好友送來的訊息(網路連結或檔案),不疑有它就點選打開,有可能將是夢魘的開始,這個隱藏著惡意程式的連結或檔案,會將電腦病毒或蠕蟲安裝於電腦系統中,並利用即時通連絡人上的朋友清單,自動狂發含有惡意程式的連結或檔案。【圖:參與教育訓練同仁上課實況】

■APT進階持續性滲透攻擊
簡單的說就是針對特定組織與人員所做的複雜且多方位的網路攻擊,駭客以達到竊取有興趣的情資。而APT攻擊特色如下:
‧鎖定特定目標:針對特定政府或企業,長期進行有計畫性、組織性竊取情資行為,可能持續幾天、幾週、幾個月,甚至更長的時間。
‧假冒信件:針對被鎖定對象寄送幾可亂真的社交工程惡意信件。
‧低調且緩慢:為了進行長期潛伏、惡意程式入侵後具有自我隱藏能力避免被偵測,伺機竊取管理者帳號、密碼。
‧客製化惡意元件:除了使用現成的惡意程式外亦使用客制化的惡意元件。
‧安裝遠端控制工具:建立類殭屍網路(Botnet)的遠端控制架構,並定期傳送有潛在價值文件的副本給命令和控制伺服器(C&C Server)審查。
‧傳送情資:將過濾後的機敏資料加密後外傳。

APT不是一種新的攻擊手法,也不是可以藉由阻止或破壞一次攻擊就讓問題消失。APT可以被視為更像是一個網路攻擊活動而不是單一類型的威脅,可以想成是進行中的過程。要避免APT攻擊則更需重視社交工程攻擊防禦的重要性。

■社交工程攻擊的自我防護
在了解社交工程的攻擊手法後,應建立正確防範社交工程的觀念,以提高自我防護的能力。
1.在技術層面上:修補系統漏洞、安裝防毒軟體、安裝間諜程式檢查軟體、關閉電子郵件預覽功能。
2.在行為層面上:在開啟電子信件前、網路連結時及檔案附件時請三思。社交工程其實是一種利用人性弱點的詐騙技術,來避開嚴密的資通安全技術防護,是一讓人防不勝防的攻擊模式,惟有時時提高警覺、加強危機意識,確實做好實體隔離以及存取控管來保護機敏資料,並搭配定期的管理稽核和使用者認知之教育訓練,才是減少社交工程攻擊傷害的根本解決之道。(文/資訊處)【圖:上課實況】

分類: 前期, 前期:校園新聞。這篇內容的永久連結