了解安全风险
学习目标
完成本单元后，您将能够：
- 解释网络犯罪可能损害您的公司的方式。
- 列出入侵者最常利用的人类行为。
- 描述犯罪分子获取信息最常用的方法。
安全的员工行为与安全的技术同样重要
我们在个人生活和工作中整天都在使用技术，因此理所当然每个人都会关注网络犯罪。2021 Verizon 数据泄露调查报告（需要注册）中报告了创纪录的 157,525 起事件，类别涵盖恶意软件、黑客攻击、社交工程泄露和勒索软件。而且网络犯罪还在不断演进。近期一些最成功的攻击媒介（例如网络钓鱼）的目标是人，而不是技术。根据 2022 年报告，网络钓鱼和用户凭据被盗是 2021 年的最大威胁媒介。
威胁形势比以往任何时候都更加复杂，安全团队预防、检测、分析和响应威胁也越来越困难。网络犯罪分子已将其策略从技术攻击转向利用基本人类行为对员工进行有针对性的攻击。随着安全技术变得越来越先进，黑客们想要访问网络中的最薄弱环节——最常见的就是人为错误。像此徽章这样的安全培训机会比以往任何时候都更加重要。由于员工是黑客最容易攻击的目标，因此每个人都必须学会如何保护自己和公司，这一点至关重要。无论其职能或职位是什么，每个人对安全的影响比以往任何时候都大。
只需一名员工打开一封网络钓鱼电子邮件，就会引发一系列可能危及公司数据的事件。这意味着安全应该成为每个人工作的组成部分。在本模块中，我们将探讨每个员工都可以采取的一些基本行为，以帮助提高公司的安全性。
入侵者利用人类行为
让我们谈谈人性如何影响网络犯罪。犯罪分子已经了解到，他们可以利用典型的人类情感（例如好奇心和取悦他人的欲望）来窃取凭据并渗透到您的网络中。让我们深入研究一些引发这些情感的信息。
- 恐惧：“如果你不给我信息，我就会向你的经理举报你。”
- 信任：“您的银行账户刚才已被关闭。单击此处重新激活。”
- 道德感：“能帮我开一下办公室门吗？我的胳膊受伤了，这个包裹又很重。”
- 奖励：“我的公司正在考虑投资你们的产品。你能先回答几个有关你们组织的问题吗？”
- 从众：“一直是财务部门的 Bill Stevens 向我提供有关第二季度收益的最新信息，但我无法联系到他。你能帮我做一下报告吗？”
- 好奇心：“哇…快看这个视频！一条大蟒蛇正在吞掉动物园管理员！”
发现基本攻击方法
黑客可以通过多种方式接触到他们的目标。下面列出的入口点方法是网络犯罪分子的一些常用手段，他们以此来利用我们的人类行为并获取敏感信息或网络访问权限。
- 网络钓鱼：尝试通过伪装成值得信赖的个体来获取敏感信息，例如用户名和密码（也称为用户凭据）、信用卡详细信息和银行信息。网络钓鱼分为多种类型。最常用的方法包括电子邮件网络钓鱼、通过电话进行网络钓鱼（电话钓鱼）、通过短信或 SMS 进行网络钓鱼（短信钓鱼）以及针对拥有高级访问权限的人员的有针对性的网络钓鱼（鱼叉式网络钓鱼）。
- 恶意软件：诱骗用户下载旨在访问、损坏或控制设备或网络的恶意软件——通常通过网络钓鱼电子邮件中的链接或附件进行传递。
- 社会工程：操纵人们采取行动或泄露机密信息。
- 利用公共信息：使用互联网（例如社交媒体平台）上公开的信息来帮助设计社会工程攻击、破解密码或创建有针对性的网络钓鱼电子邮件。
- 尾随：通过尾随合法持卡人或说服某人让他们进入而进入安全区域。
- 窃听：偷听私人谈话。
- 垃圾搜寻：从未适当销毁的回收物或垃圾中收集敏感信息。
- 安装恶意设备：通过安装包含恶意软件的无线路由器或 U 盘来访问安全网络。
