定向攻击与钓鱼诈骗
頻出约 48 分钟8 个术语过去问 15 题
本单元目标
- 能说明以人而非机器为目标的手法总称 社会工程学，并把每种手法与相应的对策联系起来。
- 能根据接近目标和持续攻击的方式（主动发送邮件、在网站埋伏、反复往来、长期潜伏），区分针对特定对象的攻击。
- 能根据骗取的是信息还是钱款，区分欺骗用户的诈骗手法。
术语总表（8 个）
术语
社会工程学（ソーシャルエンジニアリング）是指不借助计算机技术，而是利用人的 疏忽 和想当然，获取密码等机密信息的手法的总称。
它攻击的不是系统的漏洞而是人，所以仅靠通信加密、杀毒软件之类的技术手段无法防范。例如从背后偷看屏幕的 肩窥（ショルダーハック），以及从当作垃圾扔掉的纸张和介质中寻找线索的 垃圾搜寻（トラッシング），这类不使用计算机的行为也包括在内。因此，对员工进行教育、规定传达信息的流程等针对人的行为的对策也必不可少。
类比就像一个不撬锁的小偷，假扮成快递员，让住户自己打开家门。他瞄准的不是锁，而是住户的想当然。
记法把它理解为借助“社会”（人际交往）进行的“工程”（操纵），就能明白下手的对象是人而不是机器。
考点
- 常考社会工程学（ソーシャルエンジニアリング）是不使用技术手段的攻击，利用人心的漏洞和粗心获取机密信息。安全意识薄弱是容易招致损失的弱点。
- 常考针对 社会工程学 的对策，例如对员工进行安全教育，以及规定通过电话传达重要信息时的确认流程。
- 常考从肩后偷窥的 肩窥（ショルダーハック）也属于这一类，防窥膜可以作为对策。翻找丢弃的存储介质的行为也是其中一种，称为 垃圾搜寻（トラッシング）。
该术语的过去问 3 题 ソーシャルエンジニアリング →
定向攻击（標的型攻撃）是锁定特定的组织或个人，用针对对方量身定制的邮件等投放 恶意软件，进而窃取信息的攻击。
它会伪装成客户或业务联络，让收件人毫不怀疑地打开。从对方打开的所附文件或 URL 侵入后，攻击者会使用从外部操控 PC 的远程操作程序（RAT）等工具带走重要信息。根据持续方式和接近方式的不同，它又分为 APT、水坑式攻击等类型。
类比就像先查清某公司部长的名字，再把一份以假乱真的公司内部信件送到他的下属手上，让对方拆开。
考点
- 常考伪装成业务联络、让特定负责人打开所附文件或 URL 的手法属于 定向攻击（標的型攻撃），要与无差别群发的垃圾邮件区分开。
- 常考侵入后使用的 RAT 是从外部操控被攻击 PC 的工具，可以让它收发文件、执行命令。
该术语的过去问 2 题 標的型攻撃 →
APT（Advanced Persistent Threat，高级持续性威胁）是针对特定组织或个人，组合多种手法 长期 持续攻击的定向攻击。
它不会侵入一次就结束，而是潜伏在组织内部，逐步扩大可操控的范围，有时会连续数月带走机密信息。由于行动隐蔽，除了防止侵入的对策之外，还需要监视向外发出的可疑通信。把攻击从侦察到实现目的分阶段推进的过程表示出来的模型，称为 网络杀伤链（サイバーキルチェーン）。
类比它不是一夜之间偷完就跑的小偷，而像一个假装成同住家人住下来、花很长时间一点点带走贵重物品的间谍。
记法三个字母中的 P（Persistent = 持续不断）体现了它与其他定向攻击的区别。
考点
- 常考APT 的特点是为了窃取机密信息等目的而盯住特定对象，使用多种手法长期不停地攻击。
- 常考网络杀伤链（サイバーキルチェーン）是把对系统的攻击从侦察到实现目的划分为若干阶段来表示的模型。
该术语的过去问 2 题 APT →
水坑式攻击（水飲み場型攻撃）是事先 篡改 目标经常浏览的网站，让前来访问的目标的 PC 感染恶意软件的攻击。
攻击者在目标会主动前来的地方设下陷阱等待。被篡改的是目标平时就信任的正规网站，因此用户很难提高警惕。有时还会设置成只在目标组织访问时才进行感染，让其他访客难以察觉。
类比就像在只有熟客光顾的店门口偷偷做手脚。客人以为是常去的那家店，便放心地走了进去。
记法名字来自食肉动物在猎物聚集的水坑（watering hole）边埋伏的样子。
考点
- 易混水坑式攻击（水飲み場型攻撃）中充当陷阱的是被篡改的正规网站，这与把人引诱到仿冒假网站的 钓鱼（フィッシング）不同。
往来式攻击（やり取り型攻撃）是一种定向攻击：起初伪装成无害的咨询等与对方往来几封邮件，等对方 信任 之后，再发送带病毒的文件等。
第一封邮件里没有任何恶意内容，所以收件的负责人不会警惕。回复几次之后，负责人就会认定对方是普通的咨询者，之后收到的所附文件也会毫不怀疑地打开。工作内容就是回应外部咨询的窗口负责人最容易成为目标。
类比就像一个骗子不急着逼人签约，而是先闲聊几次，让人觉得“这人挺不错”，再提出真正的坏主意。
考点
- 易混通常的定向攻击（標的型攻撃）邮件从第一封起就带着陷阱，而 往来式攻击（やり取り型攻撃）在发送陷阱之前，会先插入无害的往来以取得信任。
该术语的过去问 1 题 やり取り型攻撃 →
钓鱼（フィッシング）是冒充金融机构等真实存在的机构，用邮件等把人引诱到与真网站一模一样的 假网站，骗取 ID、密码、卡号等信息的诈骗。
典型的流程是用“不赶紧处理就会出麻烦”的文字让用户慌张，再让其通过链接打开假网站。输入信息的是用户自己，所以不使用收到的链接，而是从事先收藏好的官方网站打开，就是有效的防范。
类比就像寄出一个与真银行一模一样的信封，里面装着写有“为确认身份，请填写密码后寄回”的假表格，让人填写后盗取信息的书信骗局。
记法拼写是 phishing，读音却与钓鱼（fishing）相同，正好对应用诱饵把信息“钓”上来的样子。
考点
- 常考钓鱼（フィッシング）的典型流程是：用自称正规机构的联络让人打开假网站，再窃取用户在那里亲自输入的信息。
- 常考防范 钓鱼 的核心，是在输入信息之前确认该网站和提出请求的对方是否真实。
- 易混只要显示页面就利用浏览器漏洞、把恶意软件装进 PC 的攻击是 路过式下载（ドライブバイダウンロード），与用假网站等欺骗用户的 钓鱼 不是一回事。
该术语的过去问 3 题 フィッシング →
短信钓鱼（スミッシング）是 钓鱼 的一种，以发送到手机号码的短消息（SMS）为入口，把人引诱到假网站。
例如发送伪装成快递未投递通知或欠费提醒的 SMS，让人通过正文中的链接打开假网站并输入 ID 等。也有通过假网站诱导安装不正当的应用、再由该应用窃取信息的形式。智能手机上简短的通知很难分辨发件人，人们往往以为是真的就点开了。
类比就像在信箱里放一张与快递公司未投递通知一模一样的纸条，让人联系上面写的假客服，再套出信息。
记法这是把 SMS 和 phishing 组合起来造出的词。
考点
- 易混短信钓鱼（スミッシング）不是与 钓鱼 并列的另一种攻击，而是指钓鱼中以 SMS 为入口的那一类。
单击诈骗（ワンクリック詐欺）是指只在网页或邮件中的链接上点击一次，就显示“注册已完成”等信息，单方面逼迫人支付 费用 的诈骗。
用户既没有确认申请内容也没有确认金额，所以仅凭一次点击并不构成合同，也无需付款。页面上有时会显示 IP 地址或终端信息，威胁说“已经锁定了你的身份”，但仅凭这些并不能知道姓名或住址。慌忙联系对方，反而会把自己的电话号码或邮箱地址告诉对方。
类比就像只是碰了一下店门口的招牌，店员就逼上来说“合同成立了，请付款”。光是碰一下，什么也没有买。
考点
- 易混钓鱼 是骗取信息，而 单击诈骗（ワンクリック詐欺）则是企图让人支付根本不存在的费用。
要点
- 社会工程学 针对的是人而不是机器，因此仅靠技术手段无法防范。
- 定向攻击 锁定对象并精心伪装，侵入后用远程操作程序等带走信息。
- APT 不会一次就结束，而是潜伏在组织内部长期持续攻击。
- 水坑式攻击 篡改目标平时浏览的正规网站，等待目标来访。
- 即使出现 单击诈骗 的付款要求页面，也不要联系，更不要付款。
查看这个领域的全部过去问 →