OSG9第二章 人员安全和风险管理的概念

第二章 人员安全和风险管理的概念，CISSP（Certification for Information System Security Professional）即信息系统安全专业认证，这一证书代表国际信息系统安全从业人员的权威认证

第二章 人员安全和风险管理的概念

• 2.1 人员安全策略和程序
  • 2.1.1 岗位描述与职责
    • 岗位职责Gob responsibilities)指员工常规执行的具体工作任务。
    • 岗位描述并非专用于招聘过程，应在组织的整个生命周期中对它们进行维护
  • 2.1.2 候选人筛选及招聘
    • 对特定岗位候选人的筛选基于岗位描述所定义的敏感性和分类级别
    • 背景调查包括
      • 获得候选人的工作和教育背景
      • 检查推荐信
      • 验证学历
      • 访谈同事
      • 核查有关被捕或从事非法活动的警方和政府记录
      • 通过指纹、驾照或出生证明验证身份
    • 通过查看个人社交网络的在线信息，可快速收集到个人的态度、智慧、忠诚、常识、勤奋、诚实、尊重、一致性和遵守社会规范和／或企业文化的总体情况
    • 对合格的求职者进行面试
    • 如何招到满意的员工，需要详细描述工作职责
  • 2.1.3 入职：雇佣协议及策略
    • 入职是在组织中添加新员工的流程
    • 签署雇佣协议
    • 保密协议(Non-disclosure agreement, NDA)
    • 竞业协议（Non-competition Agreement，NCD）
  • 2.1.4 员工监管
    • 在员工的整个雇佣期内，管理者应该定期审查或审计每位员工的岗位描述、工作任务、特权和职责
    • 用户行为分析(user behavior analytics, UBA)
    • 用户与实体行为分析(user and entitybehavior analytics, UEBA)
    • UBA/UEBA 监控收集的信息可用于改进人员安全策略、程序、培训和相关的安全监督计划。
  • 2.1.5 离职、调动和解雇流程
    • 离职是与入职相反的一个流程，指在员工离开公司后，将其身份从 IAM 系统删除
    • 一个完整的离职流程： 可能包括禁用和／或删除用户账户、撤销证书、取消访问代码以及终止其他被特别授予的特权。通常要禁用以前员工的账户，以便将其身份信息保留几个月以进行审计
    • 在解雇过程中，安全部门和人力资源(HR)部门之间建立牢固的关系对于维持控制和最小化风险是非常重要的。
    • 离职安全事宜
      • 资源(HR)部门之间建立牢固的关系对于维持控制和最小化风险是非常重要的。
      • 确保员工已将其交通工具中与家中的所有公司设备或用品们还。
      • 安排一名安保人员陪同被解雇员工在工作区域收拾个人物品。
      • 通知所有安保人员、巡查人员或监控出入口的人员，以确保前雇员在没有护送的清祝下无法再次进入办公大楼。
      • 子主题
    • 解雇：时间就是一切
      • IT 部门要求归还笔记本电脑。
      • 禁用网络账户
      • 停用办公场所入口的个人身份识别码或智能卡
      • 撤销停车证
      • 分发公司的重组图表
      • 把新员工安排在他们的隔间内或者工作区域内。
      • 允许将解雇信息泄露给媒体
  • 2.1.6 供应商、顾问和承包商的协议和控制
    • 服务水平协议(SLA)是一种确保提供服务的组织在服务提供商、供应商或承包商以及客户组织达成协议的基础上保持适当服务水平的方法
    • SLA 以及供应商、顾问和承包商的控制是降低风险和规避风险的重要部分
    • 供应商管理系统(VMS)：VMS 是一种软件解决方案，可以协助人员配备服务、硬件、软件和其他所需产品和服务的管理和采购。
    • 外包是一个术语，通常是指使用外部第三方，如供应商、顾问或承包商，而不是在内部执行任务或操作。外包可以作为一种风险应对选项，称为转移或转让风险
  • 2.1.7 合规策略要求
    • 合规是符合或遵守规则、策略、法规、标准或要求的行为
    • 合规是一种行政或管理的安全控制形式
    • 合规执法是指对未能遵守策略、培训、最佳实践和／或法规而实施的制裁或后果
    • 合规也是一个监管问题
  • 2.1.8 隐私策略要求
    • 隐私的一些定义
      • 主动防止未经授权访间个人可识别的信息（即直接关联致个人或组织的数据），被称为个人身份信息(PII)
      • 防止未经授权访问个人的或机密的信息
      • 防止在未经同意或不知情的情况下被观察、监视或检查。
    • 个人身份信息（Personally identifiable information ,PII）
      • 电话号码
      • 电子邮件
      • 邮寄地址
      • 社会保险号
      • 姓名
      • IP和mac（德国和欧盟成员国在某些情况下也被认定为PII）
    • 欧盟的《通用数据保护条例》 (GDPR)（条例[EU]2016/679)
    • 美国隐私法律法规
      • 《健康保险流通与责任法案》(Health Insurance Portability and Accountability Act, HIPAA)、
      • 《萨班斯－奥克斯利法案》 (Sarbanes-Oxley Act, SOX)
      • 《家庭教育权利和隐私法案》 (Family Educational Rights and Privacy Act, FERPA)
      • 《金融服务现代化法案》
• 2.2 理解并应用风险管理概念
  • 概念
    • 风险管理是一个详细的过程
      • 识别可能造成资产损坏或泄露的因素
      • 根据资产价值和控制措施的成本评估这些因素
      • 实施具有成本效益的解决方案来减轻风险
    • 风险管理的主要目标是将风险降至可接受的水平
    • IT 基础设施面临的风险不只源于计算机方面
      • 事故
      • 自然灾害
      • 金融威胁
      • 内乱
      • 流行病、物理威胁
      • 技术利用
      • 社会工程等
    • 风险管理两个基本要素
      • 风险评估或风险分析：是指检查环境中的风险，评估每个威胁事件发生的可能性和实际发生后造成的损失，并评估各和风险控制措施的成本。
      • 风险响应：包括使用成本／收益分析的方式评估风险控制措施、防护措施和安全控制，根据其他条件、关注事项、优先事项和资源调整评估结果，并在向高级管理层汇报的报告中给出建议的响应方案。
    • 风险意识是为提高组织内部风险认知而开展的工作，风险意识有助于组织了解遵守安全策略的重要性以及安全失效的后果
    • 风险容忍度
  • 2.2.1 风险术语和概念
    • 资产(asset) ： 资产可以是业务流程或任务中使用到的任何事物，核心是保护资产且符合成本效益。
    • 资产估值： 资产估值是根据多个因素给资产指定的货币价值，包括对组织的重要性、在关键流程中的使用情况、实际成本和非货币性支出（如时间、关注度、生产效率和研发等）。
    • 威胁(threat) ： 任何可能发生的、对组织或特定资产造成不良或非预期结果的潜在事件都是威胁
    • 威胁代理／主体： 威胁代理或威胁主体有目的地利用脆弱性。
    • 威胁事件 ：威胁事件是对脆弱性的意外和有意利用
    • 威胁向量： 威胁向显或攻击向量指攻击或攻击者为了造成伤害而访问目标时所采用的路径或手段。外部的不能消除，比如黑客自己无法控制
    • 脆弱性(vulnerability)： 脆弱性是资产中的弱点，是防护措施或控制措施的弱点，或防护或措施／控制措施的缺乏，内部的，脆弱性多时会形成债务（技术或管理）
    • 暴露(exposure)： 暴露是指威胁导致资产受到破坏的可能性
    • 风险(risk) ： 风险是威胁利用脆弱性对资产造成损害的可能性或概率以及可能造成损害的严重程度
      • 风险=威胁*脆弱性
      • 风险=损害的可能性*损害的严重程度
      • 风险=概率*影响
    • 防护措施(safeguard) ： 防护措施、安全控制、保护机制或控制措施指任何能消除或减少脆弱性，或能抵御一个或多个特定威胁的事物。
    • 攻击(attack) ： 攻击是指威胁主体故意尝试利用脆弱性造成资产破坏、丢失或泄露
    • 破坏(breach) ： 破坏、入侵或渗透是指安全机制被威胁主体绕过或阻止
  • 2.2.2 资产估值
    • 风险分析是从清点所有组织资产开始的，一旦完成清点，就需要对每项资产进行估值
    • 防护措施的年度成本<产的年度损失期望
    • 评估价值的方法
      • 采购成本
      • 开发成本
      • 行政或管理成本
      • 维护或保养费用
      • 资产购置成本
      • 护或维持资产的成本
      • 所有者和用户的价值
      • 对竞争对手的价值
      • 知识产权或股票价值
      • 场估值（可持续的价格）
      • 重置成本
      • 生产率的提高或下降
      • 产存在和损失的运营成本
      • 资产损失责任
      • 实用性
      • 研究和开发的关系
  • 2.2.3 识别威胁和脆弱性
    • 风险管理的一个基础部分是识别与检查威胁
    • 这涉及为组织已识别的资产创建一个尽可能详尽的威胁列表。该列表应该包括威胁主体以及威胁事件
    • 在编制威胁列表时，一定要考虑到各种来源的威胁。
    • 有关威胁示例、概念和分类的详细且正式的清单
      • NIST SP 800-30 Rev.I 中的附录 D“威胁来源”和附录E“威胁事件”
    • 大多数情况下，执行风险评估和分析的应该是一个团队
  • 2.2.4 风险评估／分析
    • 风险评估／分析主要是高层管理人员的职责
    • 高级管理人员负责通过定义工作的范围和目标来启动和支持风险分析和评估
    • 风险是因人而异的，或至少是因组织而异的，基于其资产、威胁、威胁代理／威胁主体及其风险容忍度。
    • 风险评估方法
      • 定量风险：分析基于数学计算，用实际的货币价值来计算资产损失
      • 定性风险：分析用主观的和无形的价值来表示资产损失，并考虑观点、感受、直觉、俜好、想法和直觉反应，高中低
    • 风险评估的目标是识别风险（基于资产－威胁组合）并按重要性进行优先级排序
    • 将定量分析和定性分析混合使用到组织最终的风险评估过程的方式被称为混合评估或混合分析
    • 定性风险分析方法
      • 头脑风暴
      • 故事板
      • 焦点小组
      • 调查
      • 问卷
      • 检查清单
      • 一对一会议
      • 采访
      • 场景
        • 场景是对单个主要威胁的书面描述
        • 重点描述威胁如何产生，以及可能对组织、 IT 基础结构和特定资产带来哪些影响
      • Delphi 技术
        • 德尔菲elphi 技术只是一个匿名的反馈和响应过程，用于在 个小组中匿名达成共识。
        • 目的是从所有参与者中得到诚实且不受影响的反馈。
        • 专家、匿名、多轮
    • 定量风险分析方法
      • 定量风险分析可计算出具体概率指数或用数字指示出相关风险的可能性
      • 定量风险分析主要步骤
        • 编制资产清单，并为每个资产分配资产价值(asset value, AV)
        • 研究每一项资产，列出每一项资产可能面临的所有威胁。形成资产-威胁组合
        • 对于每个资产－威胁组合，计算暴露因子(exposure factor, EF)
        • 对于每个资产－威胁组合，计算单一损失期望(single loss expectancy, SLE) 。
        • 执行威胁分析，计算每个威胁在一年内实际发生的可能性，年度发生率（annualized rate occurrence, ARO）
        • 通过计算年度损失期望(annualized loss expectancy, ALE)得到每个威胁可能带来的总损失
        • 研究每种威胁的控制措施，然后基于已采用的控制措施，计算 ARO、 EF 和 ALE 的变化
        • 针对每项资产的每个威胁的每个防护措施进行成本／效益分析。为每个威肋选择最合适的防护措施
          • 子主题
      • 暴露因子（EF）：表示如果已发生的风险对组织的某个特定资产造成破坏，组织将因此遭受的损失百分比。
      • 单一损失期望(SLE)：是特定资产发生单一真实威胁的潜在损失
        • SLE ＝资产价值(AV) ＊暴露因子(EF)
        • SLE=AV*EF
      • 年度发生率(ARO)：是在一年内特定威胁或风险发生（即真实发生）的预期频率。
      • 年度损失期望(ALE)：是针对特定资产的单一特足威胁实际发生的所有实例，在年度内可能造成的损失成本。
        • ALE ＝单一损失期望(SLE) ＊年度发生率(ARO)
          • ALE= SLE * ARO
        • ALE ＝资产价值(AV) ＊暴露因子(EF) ＊年度发生率(ARO)
          • ALE =AV* EF* ARO
      • 定量风险分析与定性风险分析的比较
  • 2.2.5 风险响应
    • 风险缓解、减轻、降低(risk mitigation) ： 降低风险或缓解风险是指通过实施防护措施、安全控制
      • 实施加密措施
      • 防火墙
    • 风险转让(risk assignment)： 风险转让或风险转移指将风险带来的损失转嫁给另一个实体或组织
      • 购买网络安全保险
      • 外包
    • 风险威慑(risk deterrence)： 风险威慑是对可能违反安全和策略的违规者实施威慑的过程。
      • 实施审计
      • 安全摄像头
      • 警告横幅
      • 使用安保人员
    • 风险规避(risk avoidance) ：风险规避是选择替代的选项或活动的过程，替代选项或活动的风险低于默认的、通用的、权宜的或廉价的选项。例如，选择飞往目的地（而不是驾车前往）是一种规避风险的方式
    • 风险接受(risk acceptance) ： 风险接受或风险容忍是成本／收益分析表明控制措施的成本将超过风险可能造成的损失之后的结果
    • 风险拒绝(risk rejection)： 一个不可接受的但可能发生的风险响应是拒绝风险或忽略风险。
    • 固有风险（初始/起始风险）：是在执行任何风险管理工作之前，环境、系统或产品中存在的自然、原生或默认的风险水平。
      • 举例：消防员比普通人员搜到火灾风险更大，职业决定
    • 残余风险（Residual risk）:是管理层选择接受而不去减轻的风险
    • 总风险:指在没有实施防护措施的情况下组织面临的全部风险。
      • 威胁＊脆弱性＊资产价值＝总风险
    • 控制间隙：指通过实施防护措施而减少的风险
      • 总风险－控制间隙=残余风险
  • 2.2.6 安全控制的成本与收益
    • 对于每个资产－威胁组合（即已识别的风险），必须编制一份可能的和可用的防护措施清单。
    • 防护措施的年度成本(ACS)影响因素
      • 购买、开发和许可的成本
      • 实施和定制的成本
      • 年度运营、维护、管理等费用
      • 年度修理和升级的成本
      • 生产率的提高或降低
      • 环境的改变
      • 测试和评估的成本
    • 针对特定资产的特定风险所采用的特定防护措施的成本I 收益计算公式
      • （防护措施实施前的 ALE－防护措施实施后的 ALE)-ACS
      • (ALEl -ALE2)-ACS
    • 定量风险分析相关的各种公式
      • 子主题
  • 2.2.7 选择与实施安全对策
    • 安全控制、安全对策和防护措施可以是管理性、逻辑性/技术性、物理性的。这三种安全机制应以分层的概念、纵深防御的方式去实现，以提供最大收益（见图 2.4) 。三管齐下
    • 管理性控制措施：是依据组织的安全策略和其他法规或要求而规定的策略和程序
      • 策略
      • 程序
      • 招聘实践
      • 背景调查
      • 数据分类和标签
      • 安全意识和培训工作
      • 报告和审查
      • 工作监督
      • 人员控制和测试
    • 逻辑性/技术性控制：措施包括硬件或软件机制，可用于管理访问权限以及为 IT 资源和系统提供安全保护。
      • 身份认证方法（如密码、智能卡和生物 识别技术
      • 加密
      • 限制接口
      • 访问控制列表
      • 协议
      • 防火墙
      • 路由器
      • 入侵检测系统（IDS）
      • 阀值级别
    • 物理性控制措施：是专为设施和真实世界对象提供保护的安全机制
      • 保安
      • 栅栏
      • 动作探测器
      • 上锁的门
      • 密封的窗
      • 灯
      • 电缆保护
      • 笔记本电脑锁
      • 徽章
      • 刷卡
      • 看门狗
      • 摄像机
      • 访问控制门厅
      • 报警器
  • 2.2.8 适用的控制类型
    • 安全控制”指执行各种控制任务
    • 预防控制：部署预防控制以阻挠或阻止非预期的或未经授权的活动的发生，事前
      • 栅栏、锁、身份认证、访问控制门厅、报警系统、职责分离、岗位轮换、数据丢失预防(DLP)
      • 渗透测试、访问控制方法、加密、审计、安全策略、安全意识培训、杀毒软件、防火墙和入侵预防系统(IPS) 。
    • 威慑控制：部署威慑控制以阻止违反安全策略的行为，事前
      • 策略、安全意识培训、锁、栅栏、安全标识
      • 保安、访问控制门厅和安全摄像头。
    • 检测控制：部署检测控制以发现或检测非预期的或未经授权的活动，事中
      • 保安、运动探测器、记录和审合安全摄像头或闭咯电视捕捉到的事件
      • 岗位轮换、强制休假、审计踪逵、蜜罐或蜜网
      • 入侵检测系统(IDS）、违规报告、对用户的监督和审查以及事件凋查。
    • 补偿控制：为其他现有的控制提供各种选项，从而帮助增强和支持安全策略。
      • 例如，如果预防控制未能阻止删除文件的 行为，那么作为后备选项的补偿控制可恢复该文件。
    • 纠正控制：会修改环境，使系统从发生的非预期的或未经授权的活动中恢复到正常状态小事件。事后
      • 例如终止恶意活动或者重新启动系统
      • 数据备份，BCP,DRP
      • 杀软检测到病毒隔离
    • 恢复控制：是纠正控制的扩展，但具有更高级、更复杂的能力，事后
      • 恢复控制的例子包括备份和灰复、容错驱动系统、系统镜像、服务器集群、杀毒软件、数据库或虚拟机镜像
      • 热站点、温站点、冷站点、备用处理设施、服务机构、互惠协议、云服务提供商、流动移动操作中心和多站点解决方案
    • 指示控制：用于指导、限制或控制主体的行为，以强制或鼓励主体遵守安全策略
      • 安全策略要求或标准、发布的通知、保安指引、逃生路线出口标志、监控、监督和程序
  • 2.2.9 安全控制评估
    • 安全控制评估(security control assessment, SCA)：是根据基线或可靠性期望对安全基础设施的各个机制进行的正式评估。
    • SCA 的目标是确保安全机制的有效性，评估组织风险管理过程的质量和彻底性，并生成关于已部署的安全基础设施的优缺点的报告。
    • 联邦机构基于NIST SP 800-53 Rev.5“ 信息系统和组织的安全和隐私控制”实施SCA
    • SCA 被定义为一个政府流程
  • 2.2.10 监视和测量
    • 安全控制提供的收益应该是可被监视和测量的
  • 2.2.11 风险报告和文档
    • 风险报告：包括编制风险报告，并将该报告呈现给利益相关方
    • 风险登记册或风险日志：是一份风险清单文档，它列出组织或系统或单个项目内的所有已识别的风险
      • 已识别的风险
      • 估这些风险的严重性并确定其优先级
      • 制订响应措施以减少或消除风险
      • 踪风险缓解的进度
    • 风险矩阵或风险热图：是一种在基本图形或图表上执行的风险评估形式。它有时被称为定性风险评估
    • 考点：考虑看的相关方、受众是谁
    • 考点：考虑报告的内容，改进措施，或改进建议
  • 2.2.12 持续改进
    • 安全在不断变化。因此，随着时间的推移，任何已实施的安全解决方案都需要进行更新。
    • 使用风险成熟度模型(risk maturity model, RMM)评估企业风险管理(enterprise risk management, ERM)计划
    • RMM级别
      • 初始级(ad hoc）：所有组织开始进行风险管理时的混乱状态。
      • 预备级(preliminary)：初步尝试遵守风险管理流程，但是每个部门执行的风险评估可能各不相同
      • 定义级(defined)：在整个组织范围内采用通用或者标准化的风险框架
      • 集成级(integrated) ： 风险管理操作被集成到业务流程中，收集有效性指标数据，风险被视为业务战略决策中的一个要素。
      • 优化级(optimized) ： 风险管理侧重于实现目标，而不仅仅是对外部威胁做出响应；增加战略规划是为了业务成功，而不只是避免事故；并将吸取的经验教训重新纳入风险管理过程
    • 遗留设备风险
      • 生产期终止(end-of-life, EOL)：是指制造商不再生产产品的时间点
      • 服务期终止(end-of-service life,EOSL）：指那些不能再从供应商处获得更新和支持的系统
  • 2.2.13 风险框架
    • 风险框架是关于如何评估、解决和监控风险的指南或方法
    • 风险管理框架(risk management framework, RMF)
      • 联邦机构制定强制性要求
      • NIST SP 800-37 Rev.2 对其进行了定义，考试参考的主要风险框架。
      • RMF中有六个循环阶段
        • 准备 通过建立管理安全和隐私风险的上下文和优先级，准备从组织级和系统级的角度执行RMF
        • 分类 根据对损失影响的分析，对系统以及系统处理、存储和传输的信息进行分类
        • 选择 为系统选择一组初始控制并根据需要定制控制，以根据风险评估将风险降低到可接受的水平
        • 实施 实施控制并描述如何在系统及其操作环境中使用控制。
        • 评估 评估控制以确定控制是否正确实施，是否按预期运行以及是否产生满足安全和隐私要求的预期结果
        • 授权 在确定组织运营和资产、个人、其他组织和国家／地区面临的风险是可接受的基础上，授权系统或共同控制
        • 监控 持续监控系统和相关控制，包括评估控制有效性，记录系统和操作环境的变化，进行风险评估和影响分析，以及报告系统的安全和隐私状况。
    • 威胁建模在设计阶段，设计安全
    • 网络安全框架(cybersecurity framework,CSF)
      • 关键基础设施和商业组织
      • 五个功能组成
        • 识别
        • 保护
        • 检测
        • 响应
        • 恢复
    • ISO/IEC 31000“ 风险管理－指南”文档
      • 任何组织
      • 的指南文件一ISO/IEC31004“风险管理－ISO 31000 实 61施指南”以及 ISO/IEC27005“信息技术－安全技术－信息安全风险管理”
    • 其它框架
      • Treadway 委员会的 COSO 企业风险管理－综合框架
      • ISACA 的 IT 风险框架
      • 可操作的关键威胁、资产和脆弱性评估(Operationally Critical Threat, Asset, and Vulnerability Evaluation, OCTAVE)
      • 信息风险因素分析(Factor Analysis oflnformation Risk, FAIR)
      • 威胁代理风险评估(Threat Agent Risk Assessment, TARA)
• 2.3 社会工程
  • 社会工程是一种利用人类天性和人类行为的攻击形式
  • 社会工程攻击有两种主要形式
    • 说服某人执行未经授权的操作
    • 说服某人泄露机密信息。
  • 防御社会工程攻击的方法
    • 对人员进行培训，介绍社会工程攻击以及如何识别常见的攻击特征。
    • 通过电话为人员执行活动时需要进行身份认证。
    • 定义受限信息，这些信息绝对不能通过电话或标准电子邮件等纯文本通信方式传达。
    • 始终验证维修人员的身份凭证并验证是否有授权人员拨打了真实的服务屯话。
    • 切勿在未通过至少两个独立且受信任的来源验证信息的情况下，执行来自电［邮件的指令
    • 与任何你不认识或不认识你的人打交道时，无论是面对面、通过电话还是通过互联网／网络，都需要谨慎行事
    • 防御社会工程攻击最重要的措施是用户教育和意识培训
  • 2.3.1 社会工程原理
    • 权威：是一种有效的技巧，因为大多数人可能会顺从池响应权威。关键是让目标相信攻击者是拥有有效内部或外部权限的人
    • 恐吓：有时可以被视为权威原理的衍生品。恐吓利用权威、信任甚至威胁伤害来推动某人执行命令或指示
    • 共识：或社会认同是利用一个人的自然倾向的行为。人们倾向于模仿他人正在做的事情或过去做过的事情
    • 稀缺性：是一种用于使某人相估某个目标因其稀缺性而具有更高价值的技术。这可能与仅少量生产的产品或有限的机会相关，也可能与大部分库存售出后剩下的少数产品有关。
    • 熟悉：或喜欢是一种社会工程原理，它试图利用一个人对熟悉事物的固有信任。
    • 信任：这一社会工程原则中，攻击者努力与受害者建立关系。
    • 紧迫性：通常与稀缺性相呼应，因为稀缺性代表错失的风险更大，所以迅速采取行动的需求就会增加。
  • 2.3.2 获取信息
    • 获取信息是指从系统或人员那里收集或汇聚信息的活动。
  • 2.3.3 前置词
    • 前置词是在其他通信的开头或标题中添加的一个术语、表达式或短语。通常使用前置词是为了进一步完善或建立补会工程攻击的借口，例如垃圾邮件、恶作剧和网络钓鱼
  • 2.3.4 网络钓鱼
    • 网络钓鱼(phishing)是一种补会工程攻击形式，主要是从任何潜在的目标窃取凭证或身份
    • 偷渡下载：是指当用户访问网站时，在其不知情的情况下自行安装恶意软件。偷渡下载利用了浏览器或插件中的漏洞
    • 防御网络钓鱼措施
      • 警惕意外的电子邮件或来自未知发件人的电子邮件
      • 勿打开意外的电子邮件附件。
      • 切勿通过电子邮件分享敏感信息
      • 避免点击电子邮件、即时消息或社交网络消息中收到的任何链接。
  • 2.3.5 鱼叉式网络钓鱼
    • 鱼叉式网络钓鱼(spear phishing)是一种更有针对性的网络钓鱼形式，其中信息是专门针对一个特定用户群体制作的
    • 防范鱼叉式网络钓鱼
      • 用价值、重要性或敏感程度对信息、数据和资产打标签。
      • 培训人员基于标签来正确处理相关资产。
      • 求澄清或确认任何看似异常、偏离流程或对组织有过度风险的行为。
  • 2.3.6 网络钓鲸
    • 网络钓鲸(whaling)是鱼叉式网络钓鱼的一种变体，针对的是特定的高价值人员（按照头衔、行业、媒体报告等），如首席执行官(CEO)和其他 C－层高管、管理员或者高净值客
  • 2.3.7 短信钓鱼
    • 短消息服务(SMS)网络钓鱼或短信钓鱼(smishing, 叩时消息垃圾邮件）是一种社会工程攻击，它发生在标准文本消息服务之上或通过标准义本消息服务进行
  • 2.3.8 语音网络钓鱼
    • 语音网络钓鱼(vishing, 即基于语音的网络钓鱼）或 SplT（互联网电话垃圾邮件）是通过任何电话或语音通信系统进行的网络钓鱼。
    • 方式
      • 传统电话线
      • IP 语音(VOIP) 服务
      • 移动电话。
  • 2.3.9 垃圾邮件
    • 垃圾邮件(spam)是任何类型的不受欢迎和／或未经请求的电子邮件
  • 2.3.10 肩窥
    • 肩窥(shoulder surfing)是一种通常发生在现实世界或以面对面形式发生的社会工程攻击。
    • 当有人能够看到用户的键盘或显示器时，就会发生肩窥。
  • 2.3.11 发票诈骗
    • 发票诈骗(invoice scam)是一种社会工程攻击，通常通过提供虚假发票然后强烈诱使付款，以期从组织或个人那里窃取资金。
  • 2.3.12 恶作剧
    • 恶作剧(hoax)是一种社会工程，旨在说股目标执行会导致问题或降低其 IT 安全性的操作。
  • 2.3.13 假冒和伪装
    • 假冒(impersonation)是假冒他人身份的行为
    • 可以通过个人、电话、电子邮件、登录某 人的账户或通过任何其他通信方式进行。假冒也可被称为伪装、欺骗，甚至是身份欺诈
  • 2.3.14 尾随和捎带
    • 一个未经授权的实体利用一个合法员工的授权，在该员工并不知情的情况下进入一个设施时，就发生了尾随(tailgating)行为。
    • 一个类似于尾随的问题是捎带(piggybacking) 。当未经授权的实体通过诱骗获得受害者的同意并在合法工作人员的授权下进入设施时，就发生了捎带
    • 诱饵是指攻击者将 USB 存储器、光盘甚至钱包放在员工可能会遇到的位置。
    • 可用双重门防止
  • 2.3.15 垃圾箱搜寻
    • 垃圾箱搜寻(dumpster diving)是通过挖掘垃圾、废弃设备或废弃地点来获取有关目标组织或个人的信息的行为
    • 型的收集内容包括旧日历、通话洁单、手写的会议记录、废弃表格、产品盒、用户手册、便利贴、打印的报告或打印机的测试表
  • 2.3.16 身份欺诈
    • 身份盗窃和身份欺诈指的是所有类型的以欺诈或欺骗的方式非法获取和使用他人的个人数据的犯罪，通常是为了获得经济利益
    • 欺诈:是指将虚假的东西称作真实的。身份欺诈是指通过使用从受害者那里窃取的信息，虚假地声称自己是他人
      • 使用他人的社会保险号码就业
      • 利用他人的名义开通电话服务或公共设施
      • 使用他人的健康保险获得医疗服务
    • 欺骗：指的是任何隐藏有效身份的行为， 通常通过使用其他身份来实现。
      • 黑客经常仿冒电子邮件地址、 IP 地址、媒体访问控制(MAC)地址、地址 解析协议(A阳汛）通信、 Wi-Fi 网络、网站、手机应用程序等
  • 2.3.17 误植域名
    • 误植域名(typo squatting)是一种在用户错误输入目标资源的域名或 1P 地址时捕获和重定向流量的做法
    • 错误拼写输入域名
    • URL劫持
  • 2.3.18 影响力运动
    • 影响力运动(influence campaign)是试图引导、凋整或改变公众舆论的社会工程攻击。黑客可能会对个人或组织发起此类攻击，但大多数影响力活动似乎都是由民族国家针对其真工的或其所认为的外部敌人发起的。
    • 混合战争
      • 将传统的军事战略与现代能力相结合，包括社会工程、数字影响力运动、心理战、政治战术和网络战争能力。这就是所谓的混合战争(hybrid warfare）
    • 社交媒体
      • 社交媒体(social media) 已经成为民族国家手中的一件武器，因为他们对目标发动混合战争
  • 预防社工最有效的方法，安全意识培训
• 2.4 建立和维护安全意识、教育和培训计划
  • 成功实施安全解决力案，必须改变用户行为。这些改变主要包括改变常规工作活动以遵从安全策略中规定的标准、指南和程序。
  • 2.4.1 安全意识
    • 实施安全培训的一个前提条件是建立安全意识。建立安全意识的目标是让用户将安全放到首位并认可这一点
    • 所有人员都应充分认识到自身的安全责任和义务。他们通过接受培训，知道该做什么和不该做什么。
  • 2.4.2 培训
    • 培训是指教导员工执行他们的工作任务和遵守安全策略。培训通常由组织主办，面向具有类似岗位职能的员工群体。
  • 2.4.3 教育
    • 教育是一项更详细的上作，学生／用户学习的内容比他们完成其工作任务实际需要知道的内容多得多
  • 2.4.4 改进
    • 改变培训的目标重点。有时关注个人，有时关注客户，有时关注组织。
    • 改变培训主题顺序或重点。可将某次培训聚焦于社会工程，然后将下一次培训聚佳在移动设备安全，还可将之后的培训聚焦在家居和旅行安全
    • 用多种演示方法，如现场介绍、预先录制的视频、计算机软件／模拟软件、虚拟现实(VR)体验、非现场培训、互动式网站，或指定阅读准备好的课件或现成的书籍
    • 过角色扮演的方式，计参与者扮演攻击者和防御者，并且允许不同的人提供与攻击的防御或应对相关的想法。
  • 2.4.5 有效性评估
    • 必须对所有培训材料进行定期的内容审查，这很重要。审查有助于确保培训材料和演示文稿与业务目标、组织使命和安全目标保持一致
    • 最有效的检测评估方式进行社工
  • 培训需要全体参与