正文

从全球石化行业【23起】网络安全事件 | 看社交工程攻击及其具体【防范】措施

admin
admin V管理员 /0 评论 /106 阅读
1126
此篇文章发布距今已超过95天，您需要注意文章的内容或图片是否可用！

安小圈

第553期

全球石化 网络安全事件与防范 

编者按：

通过搜索汇总和分析十二年来全球石油天然气行业发生的23起典型网络安全事件，可以发现其中9种常见的攻击类型，社交工程攻击便是其中之一。本文列举了2个社交工程攻击案例，概括了社交工程攻击的12种常见手法，提出了企业防范社交工程攻击以及提升员工对社交工程攻击识别能力的12种对策。
十二年来全球石油天然气行业发生的典型23件网络安全事件

9种常见的攻击类型
  1. 勒索软件攻击：通过加密用户数据并要求支付赎金来解锁数据。
  2. 定向钓鱼攻击：通过发送看似合法的电子邮件来诱骗用户泄露敏感信息。
  3. 病毒攻击：包括蠕虫病毒和其他类型的病毒，旨在破坏系统或窃取数据。
  4. 数据泄露：未经授权访问或泄露敏感数据。
  5. 分布式拒绝服务攻击（DDoS）：通过大量流量淹没目标服务器，使其无法响应合法请求。
  6. 间谍软件攻击：通过间谍软件收集敏感信息。
  7. 网站攻击：针对网站或网络服务的攻击，可能导致服务中断。
  8. 技术故障：由于攻击或其他原因导致的技术问题，影响正常运营。
  9. 社交工程攻击：通过操纵人的心理和情感来获取敏感信息或执行恶意操作。
以上攻击类型在实际应用中通常会组合使用。定向病毒攻击和勒索软件攻击因其对关键基础设施的直接影响，以及可能导致的严重后果，通常被视为对国家安全构成最大威胁的攻击类型。
2个社交工程攻击案例
  1. 乌克兰Burisma Holdings钓鱼攻击：
  • 攻击者通过窃取Burisma Holdings及其下属子公司和合作伙伴公司员工的电子邮件凭证，利用电子邮件账户中的数据以及操作权限进行网络钓鱼活动。攻击者将使用的木马伪装成Burisma Holdings常用业务相关应用程序，以迷惑员工。
  • Agent Tesla间谍软件攻击：
    • 攻击者利用精心伪造的电子邮件投递Agent Tesla间谍软件。攻击者以埃及国有石油公司Enppi之名发送电子邮件，邮件中邀请收件方为某真实存在的项目设备和材料投标，并标明投标截止日期，以此引诱收件人打开邮件中用于投递Agent Tesla间谍软件的恶意附件。

    社交工程攻击通常涉及操纵人的心理，诱使他们泄露敏感信息、点击恶意链接或打开恶意附件，这些攻击手段在网络安全事件中相对常见。上述两个事件都是典型的社交工程攻击案例。

    社交工程攻击有哪些常见手法？
    社交工程攻击是一种心理操纵技巧，攻击者通过与目标人的互动来获取敏感信息或执行恶意操作。以下是12种常见的社交工程攻击手法：
    1. 钓鱼攻击（Phishing）：通过伪造的电子邮件、短信或社交媒体消息，诱骗目标点击恶意链接或提供敏感信息，如用户名、密码或财务信息。
    2. 预文本攻击（Pretexting）：攻击者构建一个可信的情境或故事，使目标在不知情的情况下泄露信息。
    3. 尾随攻击（Tailgating）：攻击者在物理环境中跟随授权人员进入安全区域，无需使用自己的凭证。
    4. 冒充攻击（Impersonation）：攻击者冒充权威人士，如老板、IT支持人员或政府官员，以获取敏感信息或执行操作。
    5. 诱骗攻击（Quid Pro Quo）：攻击者提供某种形式的奖励或帮助，以换取目标的登录凭证或其他信息。
    6. 水坑攻击（Watering Hole）：攻击者识别目标群体常访问的网站，然后在这些网站上植入恶意软件，等待目标访问并感染他们的系统。
    7. CEO欺诈（CEO Fraud）：攻击者冒充公司的高层管理人员，要求员工或供应商进行紧急的财务转账。
    8. 疫苗接种攻击（Vaccine Scams）：利用人们对疫苗的迫切需求，通过虚假的疫苗预约或疫苗卡骗局来获取个人信息。
    9. 技术支持诈骗（Tech Support Scams）：攻击者冒充技术支持人员，声称用户的计算机存在问题，并要求远程访问权限来“解决问题”。
    10. 浪漫骗局（Romance Scams）：在线上交友平台或社交媒体上建立虚假的浪漫关系，以获取金钱或个人信息。
    11. 恐惧诉求（Fear Tactics）：通过威胁或恐吓，如声称目标的计算机已被感染或他们已违法，迫使目标采取行动。
    12. 内部威胁（Insider Threats）：利用内部人员的信任和访问权限，获取敏感信息或进行恶意活动。

    社交工程攻击的成功很大程度上依赖于人类的心理弱点，如信任、恐惧、好奇心或贪婪。因此，提高对这些手法的认识和培训员工识别这些攻击是防范社交工程攻击的关键。

    企业如何防范社交工程攻击？
    企业防范社交工程攻击需要采取多层次的安全策略，包括技术措施、政策和员工培训。以下是需要关注应用的12种防范措施：
    1. 员工培训和意识提升：定期对员工进行安全意识培训，让他们了解社交工程攻击的常见手法和如何识别。教育员工不要轻信未经验证的请求，尤其是涉及敏感信息的请求。
    2. 制定严格的安全政策：制定明确的安全政策，包括密码管理、数据访问控制和信息共享规则。实施双因素认证（2FA）增加账户安全性。
    3. 技术防护措施：使用防病毒软件和防火墙来阻止恶意软件和钓鱼网站。部署电子邮件过滤系统来识别和拦截钓鱼邮件。
    4. 信息验证和审计：对于所有请求敏感信息的通信进行严格验证，确保来源可靠。定期审计通信和访问日志，以便发现异常行为。
    5. 物理安全：加强对企业物理区域的控制，防止未授权人员进入敏感区域。实施访客登记和身份验证流程。
    6. 限制信息披露：教育员工不要在社交媒体或公共场合透露公司敏感信息或工作细节。限制对外公开的员工和管理层联系信息。
    7. 模拟攻击演练：定期进行模拟社交工程攻击演练（如钓鱼测试），以评估员工的应对能力和识别潜在的脆弱点。
    8. 应急响应计划：制定和维护一个应急响应计划，以便在发生安全事件时迅速采取行动。定期更新和测试应急响应流程。
    9. 技术更新和补丁管理：保持操作系统、应用程序和软件的最新版本，及时应用安全补丁。定期检查系统漏洞并进行修复。
    10. 数据备份和恢复策略：定期备份关键数据，并确保可以迅速恢复，以减少数据丢失的影响。
    11. 法律和合规性检查：确保所有安全措施符合相关法律法规要求。定期进行合规性审查和风险评估。
    12. 合作与信息共享：与行业伙伴、安全社区和执法机构合作，共享安全威胁信息。

    通过这些措施，企业可以显著提高对社交工程攻击的防御能力，减少安全风险，并保护企业资产和客户信息不受侵害。

    如何提升员工对社交工程攻击
    的识别能力？
    提升员工对社交工程攻击的识别能力是一个涉及教育、培训和持续沟通的过程。关注以下12种具体方法：
    1. 定期培训：定期举办安全意识培训，让员工了解最新的社交工程攻击手法和案例。通过互动式培训和模拟攻击，提高员工的实战识别能力。
    2. 模拟演练：定期进行模拟社交工程攻击演练，如发送钓鱼邮件或设置假的安全提示，观察员工的反应。对员工在模拟演练中的表现进行反馈，指出正确的应对措施。
    3. 制定安全政策：制定明确的安全政策，包括如何识别和报告可疑行为。确保员工了解并遵守这些政策。
    4. 创建安全文化：在公司内部营造一种安全文化，鼓励员工对可疑行为保持警惕并及时报告。表扬那些正确识别和报告可疑行为的员工。
    5. 提供资源和工具：提供易于理解的安全手册和在线资源，帮助员工识别不同类型的社交工程攻击。使用安全软件和工具帮助员工识别钓鱼网站和恶意链接。
    6. 案例研究：分析真实的社交工程攻击案例，讨论攻击手法和受害者的反应。从案例中提取教训，教育员工如何避免成为受害者。
    7. 沟通和反馈：鼓励员工就可疑的通信和请求进行沟通和咨询。建立一个快速反馈机制，让员工可以轻松报告可疑行为。
    8. 角色扮演：在培训中使用角色扮演，让员工扮演攻击者和受害者，以增强对攻击手法的理解。
    9. 强调个人责任：强调每位员工在保护公司信息安全方面的责任和作用。让员工明白他们的警觉性对公司安全至关重要。
    10. 更新和提醒：定期更新员工关于最新威胁和攻击手法的信息。通过定期的邮件、会议或公告板提醒员工保持警惕。
    11. 多语言和文化适应性：如果员工群体多元化，提供多语言的培训材料，并考虑不同文化背景下的社交工程手法。
    12. 奖励和激励机制：设立奖励和激励机制，鼓励员工参与安全培训和演练。对于在识别和防范社交工程攻击中表现出色的员工给予奖励。
    通过这些方法，企业可以提高员工对社交工程攻击的识别能力，减少安全风险，并保护公司免受潜在的网络威胁。
    主要学习参考资料：

    1、近年全球石油天然气行业网络安全事件汇总分析， CNCERT国家工程研究中心，2024-04-30。

    2、石油巨头哈里伯顿网络遇袭，能源行业网安警钟再响，网藤科技，2024年08月28日。

    3、美石油管道遭勒索攻击一周年，如何看待我国油化行业安全，安小盟，安盟股份，2022年05月07日。

    • 阿里云机房着火超30个小时，云服务宕机，AWS趁火打劫？

    【原文来源：  CIO户外  】


    推荐站内搜索：最好用的开发软件、免费开源系统、渗透测试工具云盘下载、最新渗透测试资料、最新黑客工具下载……
    ZhouSa.com-宙飒天下网