见的目标。每个企业对这类信息都要有一个成文的使用政策，并让所有的员工都知道。保安人员则应保留一份备查日志，用以记录敏感信息透露给企业外人员的情况。像员工号码这样的信息，它本身不能用做任何形式的验证，内部员工不仅要验证查询信息者的身份，还要确定对方是否具有相关信息的知情权。

    在进行安全培训时，试一下这个方法：无论什么时候在接受一个陌生人询问时，首先要礼貌的拒绝，直到确认对方身份。然后，在做好心人之前，先遵循公司对非公共信息的验证和使用政策。这种工作方式也许违背了我们乐于助人的天xìng，但多一点有益的怀疑也许是必要的，以免成为社会工程师的下一个受骗者。

    正如本章故事中所叙述的，看似无害的信息也许会成为打开企业最有价值的秘密信息的钥匙。

    电话公司的人都知道，对于非公开的号码查询信息只能让已授权的电话公司知道，线路分配中心的的号码只能告诉本公司的职员。然而，即使他们从不会将这些信息公之于众，谁又能拒绝帮助一位身负繁重工作任务的公司员工呢？她对他保罗起了同情之心，她今天的工作也很不顺，于是她小小地破了个例，来帮助这个遇到麻烦的同事。她告诉他电缆线的配对，以及每个分配到相应地址的号码。

    米特尼克信箱

    人们都很容易相信自己的同事，尤其是在其要求满足合理的测试之后。社会工程师便利用这种知识从受骗者身上获取信息以达到他们的目标。

    过程分析

    正如你不断地在这些故事中看到的，企业专业术语的知识和它的结构组织——各个办公室和部门都是做什么的、具备什么样的信息，是一个优秀社会工程师的骗术箱中的必备品。

    逃亡者

    一个我们将称之为弗兰克?帕森斯（Frank Parsons）的人已经在逃多年，作为60年代地下反战组织的一分子，他仍然被联邦政府通辑。在餐馆里，他总面对着门口坐着，习惯于左顾右盼，偶尔会被人注意到神色紧张。

    弗兰克每隔几年都会搬家。有一次，他来到一个陌生的城市，准备找个工作。对于弗兰克这样有着精湛计算机技术的人（同样，还有娴熟的社会工程学技术，即便他从不会把这写到应聘简历上），找到一个不错的工作还是很容易的。只要不是处于经济特别紧张的时期，具备良好计算机知识的人很容易得到施展才能的机会并摆脱困境。弗兰克很快的看中了一份薪资优厚的工作，一家庞大、高级的长期疗养院，而且离他住的地方很近。

    他想，这真合适。但当他埋头苦干地填写申请表时，忽然碰到一个麻烦。雇用方要求应聘者提供一份犯罪历史记录的复印件，这份复印件他只能亲自去州警察局去拿。在工作申请表里就包含着一张需要这个复印件的表格，上面还有一个用来按指纹的地方。即便他们只需要右手食指的指纹，但如果把这个指纹与联邦调查局数据库中的指纹做比较的话，他可能很快就要到联邦政府资助的地方（译者注：指监狱）食堂工作了。

    另一方面，对于弗兰克来说，还可能（仅仅是可能），仍然平安无事，州警察局也许根本不会把指纹样发到联邦调查局。但他如何获知这一点呢？

    怎么办？他是一个社会工程师，你认为他会怎么做呢？

    弗兰克往州警察局拨了一个电话：“嗨，我们正在为州司法部执手一项研究，调查是否有必要实施一个新的指纹认证系统。可以找一个你们内部熟悉此项工作的人帮我们一下么？”

    当本地的专家拿起电话时，弗兰克询问了一系列有关他们使用的指纹系统的问题，以及检索和储存指纹数据的能力。他们的系统是否出过故障？他们在国家犯罪信息中心（NCIC）还是仅在

『加入书签，方便阅读』