他打电å话回职员办公室，提供了账户代码，原谅他进步利用了这位女士：他要她上楼去拿那ว些副件来传真。
他打电话回职员办公室，提供了账户代码，原谅他进步利用了这位女士：他要她上楼去拿那些副件来传真。
最近几年来，计算机技术的发展已经使声音信息的加密成为可能ม。在工ื程师们不断的找到方法把越来越多的计算能力塞进块微芯片时，他们也开始制造小巧的加密无线设备，帮助执法部门来防范坏人和怀有好奇心的人窃听。
最近几年来，计算机技术的发展已๐经使声音信息的加密成为ฦ可能。在工程师们不断ษ的找到เ方法把越来越多的计算能力塞进块微芯片时，他们也开始制造小巧的加密无线设备，帮助执法部门来防范坏人和怀有好奇心的人窃听。
安德瑞亚·洛偑兹在她工作的音像店接到了个ฐ电话，她立刻๑微笑起来当位客户特意打来电话对服务表示满意时，总会让人高兴。打电话的人说，在他们店里得到了非常好的服务，他想给写封信告诉他们的经理。他询问经理的名字和通信地址，她告诉他名字是汤米·艾里森，并把通信地址也给了他。就在要挂电话时，他又有了个想法，他说：“我还想写给你们公司总部，那ว儿的电å话是多少？”她也告诉了他。他道了谢谢，并说了些她的服务十分让人满意之类的话，然后再见了。“像这样的电话，”她想，“总能让上班的时间过的快些，如果多有些这样的人就好了。”
安德瑞亚·洛偑兹在她工作的音像店接到了个电话，她立刻微笑起来当位客户特意打来电话对服务表示满意时，总会让人高兴。打电å话的人说，在他们店里得到เ了非常好的服务，他想给写封信告诉他们的经理。他询问经理的名字和通信地址，她告诉他名字是汤米·艾里森，并把通信地址也给了他。就在要挂电å话时，他又有了个ฐ想法，他说：“我还想写给你们公司总部，那儿的电话是多少？”她也告诉了他。他道了谢谢，并说了些她的服务十分让人满意之类的话，然后再见了。“像这样的电话，”她想，“总能ม让上班的时间过的快些，如果多有些这样的人就好了。”
作者简介：
作者简介：
开什么店好呢？没过多久他就决定了，他知道修车，就零配件商店好了。
怎样才能保证成功呢？他很快就想到了答案：确定零配件批发商出售给他的商品都是他想要的成本价。
他们当然不会自动说出来，但是安东尼知道怎样骗人，他的朋友米奇知道如何入侵别ี人的电å脑，他们起制ๆ定了个ฐ巧妙的计划。
那天他假扮成个ฐ名叫彼得米尔顿的员工，进入了光荣汽车零配件公司内部并把他的便携式电å脑连上了他们的局域网，切顺利ำ，但还只是第步，接下来他要做的事情并不容易，特别是之ใ前安东尼为自己设置了个ฐ十五分钟的极限时间——如果更久ื的话他认为被发现的风险太高了。
米特尼克信箱
不要让你的员工只看到封面就判ศ定本书的好坏——穿着整洁并不能ม为某个ฐ人带来更多的可信度。
在之前的电话中他伪装成他们电脑แ供应商的支持人员花言巧语地表演了番，“你们公司购买了两ä年的技术支持，我们正在把你们加入数据库，这样当你们使用的某个软件程序有了补丁或是更新า版本时我们就可以知道，我需要你告诉我你们使用哪些程序。”然后他得到张程序列表，位会计师朋友确定其中个调用了90่译者注：款财务软件——这个程序管理着他们的厂商列表和折扣与各自的付款方แ式。
有了这些关键信息，他下步用个ฐ软件程序扫描了局域网中所有的存活主机，没花多少时间他就找到了财务部门服务器的正确位置。从他的便携式电脑的黑客工具兵器库中ณ，他运行了个ฐ程序并用它来扫描目标服务器上所有的授权用户。得到เ了这些之后，他开始尝试了系列常用的密码，比如“空”和“r”，“r”起作用了，没什么好吃惊的，在选择密码的时候人们总是缺乏创造力。
才过了六分钟็，游戏就完成了半，他进入了目标服务器。
又过了三分钟็，他非常小心地往客户列表里添加了他的新公司地址电话号码和联系人，然后找到เ个至关重要的条款，在上面标明所列商品以高于光荣汽车零配件成本1的价格卖给他。
十分钟不到เ，他完成了。然后他停留了足够长的时间向凯拉表示感谢，并说他仔细查看了电子邮件，了解到计划有变动，迈克塔尔伯特已经在去客户办公室开会的路上了，他也不会忘了要把她推荐到营销部门的事。
过程分析
这个ฐ自称为ฦ彼得米尔顿的入侵者运用了两次心理战术——次是有计划ฐ的，另次是临时准备的。
他穿得像是工资很高的管理人员，精心设计的衣服领带和发型——这些细节看上去很小，但是它们能建立第印象。我自己是无意中发现了这些的，以前我在加利ำ福尼亚州译者注：美国通用电器公司当程序员时，我发现如果有天我没有带证件，穿着整洁但随意——比如，运动衫休闲裤与r译者注：卡其裤ไ经典品牌——我就会被叫住被盘问，你的证件，你是谁，你在哪里工作？第二天我再来的时候，依然没有证件但是衣服和领ๆ带看上去非常正规，我用了个古老的技术混入人群，和他们起走进公司或安全入口，和他们聊天，好像我就是他们中ณ的员。我顺利通过了，即使警卫注意到我没有证件，他们也不会打扰我，因为ฦ我看起来像是管理人员并且还和带着证件的人在起。
从这些经验中，我了解到应该怎样预ไ测安全警卫的行为，像是我们中的其他人，他们会根据表面现象进行判断——社会工程师知道怎样利用这个致命弱点。
当攻击者注意到เ那位接待员不同寻常的努力之后，他的第二个ฐ心理战术起作用了。同时处理很多事情没有让她变得不耐烦，不仅如此，她还让每个人都觉得他们获得了她全部的注意力，他觉得这些是有上进心想证明自己้的人的标志。然后当他声称在营销部ຖ门工作时，他观察了她的反应，看他是否在她心中建立了友好的形象，他做到了。对于攻击者而言，这意味着他可以通过承诺帮她找到份更好的工作来利用她。当然，如果她说她想去财务部门，他就会声称自己้可以在那里为ฦ她联系份工作。
入侵者也喜欢在这个ฐ故事里使用的另个心理战术：用两段攻击建立信任。他首先聊到营销部的工ื作，然后“提到某个ฐ人”——说出另个员工的名字——个真实的人，顺便说句，那的确是个真实员工的名字。
他可以马上请求到间会议室去，但他选择了暂时坐下来，假装在工作并等待他的同事，这样就可以避免任何可能ม的猜疑，因为ฦ个入侵者是不会待在附近的。他没有待很长时间，然而，社会工程师在必要的情况下会待在犯罪现场更长时间。
米特尼克信箱
允许个陌生人进入到可以把便携式电å脑连入公司内部网络的地方，会大大增加安全风险。这对于名员工而言非常合理，但是对于个想要到เ会议室查看他或她的电å子邮件的外部ຖ人员，除非已经确定这名访客为ฦ可信任的员工或者网络已经被分割出来，阻止未经授权的连接，这可能ม是危及公司文件的薄弱环节。
必须明确指出的是：从法律的角度上看，安东尼进入大厅时，他并没有犯法；当他利用个ฐ真实员工的名字时，他也没有犯法；当他进入会议室时，他也没有犯法；当他连入公司的内部网络并搜索目标主机时，他也没有犯法。
实际上直到他侵入了计算机系统时，他才违反了法律。
偷窥的凯文
很多年前，当我在个小公司工作时，我注意到เ当我走进和其他三个人共用的部门办公室时，有个特殊的人乔，我在这里这样称呼他会迅速地把他的电å脑显示ิ器切换到另个窗口，我马上觉得这很可疑ທ，当同天发生超过两ä次这样的事时，我确信自己将要了解到某些事，这个人到底不想让我看见什么呢？
乔的电脑是公司小型机的终端，所以我在小型机上安装了个控制ๆ程序，这样我就可以监视他的举动。这个ฐ程序类似于个ฐ在他肩膀上面的电视摄像机，把他在电脑แ上看到เ的东西精确地展示给我。
我的桌子就在乔的旁边：我可以把显示ิ器转过来让他看不见，但是他随时都可以走过来，然后发觉我在监视他。这不是问题：他太专注于所做的事情了。
我看到的东西让我目瞪口呆，这个坏蛋调出了我的工ื单数据，他在查看我的工资！那时候我在那里才几个月，我猜乔是无法容忍我的工ื资比他高。
几分钟后我看见他在下载菜鸟黑客自己写不出来的黑客工具，这样看来乔๒没什么本事，并且还没有意识到美国最有经验的黑客就坐在他的右边，我觉得这很好玩。
他已经获得了我的工资信息：要阻止他已经太晚了。此外，任何电脑可以访问r译者注：美国国税局或社ุ会保障总署的员工都可以看见你的工ื资。我当然不想让他发现我知道了他在干什么เ，我此时的主要目标是保持低调，个好的社会工ื程师不会去到เ处宣传他的知识与才干。你通常想让人们低估你，不把你当成威胁。
所以我没有管他了，并且为乔๒认为他知道了我的些秘密而暗自发笑。当这些都反过来时：我获得的信息会比他多得多。
我发现我在部门的三个同事全都喜欢查看这个或那ว个可爱秘书或为公司里的个ฐ女孩子他们盯上的某位帅哥的实得工资，并且他们还喜欢找出公司里任何令他们好奇的人包括高层管理人员的工资和奖金。
过程分析
这个故事说明了个很有趣的问题，维护公司电脑系统的人可以轻易地访问工资表文件，这带来的问题是：确定谁可以被信任。在某些情况下，人员会在四处察看时无法避免地看到它，他们可以这样做，因为他们有特权允许他们忽略这些文件的访问控制。
个安全措施ๅ是审核对特别ี敏感的文件的访问，比如工资表。当然，任何必需有特权的人都可以关闭审核或移除任何指向他们的纪录，但是每步额外的步骤都会使不道德的员工在隐藏部ຖ分上花费更多的时间。
预防措施
从翻寻你的垃圾到欺骗安全警卫或接待员，社会工ื程师可以全面侵入你的公司内部ຖ，但是你会很高兴听到这里有些你可以采取的预ไ防措施ๅ。
临ภ时通行证
所有上班时忘记带证件的员工都必须到เ大厅前台或警卫室办理张临时证件，如果这章第个故事中的安全警卫在遇到เ没有携带员工证件的人时仔细地进行了处理，切就会大不相同。
对于安全等级不高的公司或公司区域，也许并不需要强调每个ฐ人每时每刻都带着有效证件，但是对于公司中的敏感区域，这些就需要被严å格地强制实行。必须培训员工去质疑没有佩戴证件的人，高级员工必须允许这些质疑ທ，不去为难那些把他们叫住的人。
公司政策应该忠告那些直没有佩戴证件的员工：他们所受的处罚可能ม是直接回家并且拿不到任何报酬，或者在他的个人档案上写上笔。些公司制ๆ定了系列更严厉的处罚，包括向员工经理报告问题，然后发布正式警告。
另外，在有受保护的敏感资料的地方，公司应该制定在非商业时间访问的授权程序。个ฐ解决方แ案是：让公司的安全部ຖ门或某个其它指定组管理这些请求，这个组将通过回电给主管或其它些相当合理的方法来核实任何请求在非工作时间访问的员工的身份。
慎重处理垃圾
垃圾搜寻的故事揭示ิ了公司的垃圾存在的潜在危险。
下面是八条与之相关的至理名言：
1้基于敏感程度对敏感资料进行分类。
2在整个ฐ公司范围内建立敏感资料é丢弃程序。
3坚持在丢弃敏感信息时先将其粉碎，并使用个安全的方法去除无法再剪ຘ碎的小纸片上的重要信息。碎纸机绝对不能处于低档粉碎状态，个坚定的攻击者，加上足够的耐心，就可以把这些低档粉碎出来的纸片拼起来。只要很好的使用了交叉碎纸机，他们得到เ的就会是无用的纸浆。
4将那ว些电脑媒体——软盘盘被用来存储文件的和可移动磁盘旧硬盘等——完全清除或使其无法使用，在它们被丢掉之前。记住，删除文件事实上并没有将其清除，它们还可以被恢复——就像r主管和其他许多人从他们的惊讶中学到เ的那样，把电å脑แ媒体扔到垃圾桶里是在向当地友好的垃圾搜寻者发出邀请。处理媒体与设备的详细指导方针见第16๔章
5在选择清洁队成员上保持适当程度的控制，如果允许的话进行后台检查。