網頁

http://140.127.56.36/t2/410075018/mysite/homepage.html

科技與社會報告─社交工程

社交工程

一、 社交工程說明

社交工程 (Social Engineering) 係利用人性弱點，應用簡單的溝通和欺騙技倆，以獲取帳號、通行碼、身分證號碼或其他機敏資料，來突破校園的資通安全防護，遂行其非法的存取、破壞行為。

二、	社交工程常見的攻擊方式

個人對社交工程的輕忽，給予不法份子有機可乘的機會，將構成校園資通安全的漏洞，其結果輕則影響個人權益，重則威脅校園資通安全，實不可不慎。瞭解社交工程的各種攻擊方式，有助於個人防範各種攻擊事件，以下列示常見的社交工程攻擊方式以供參考︰

● 利用電話佯裝資訊人員，騙取帳號及通行碼。

● 偽裝委外廠商之維護人員或上級單位人員，乘機騙取帳號及通行碼。

● 利用電子郵件誘騙使用者登入偽裝之網站以騙取帳號及通行碼，如網路釣魚。

● 利用電子郵件誘騙使用者開啟檔案、圖片，以植入惡意程式、暗中收集機敏性資料。

● 利用提供工具、檔案、圖片為幌子，誘騙使用者下載，如偽裝的修補程式 、 p2p 下載軟體、工具軟體等，乘機植入惡意程式、暗中收集機敏性資料。

● 利用即時通訊軟體如 MSN ，偽裝親友來訊，誘騙點選來訊中之連結後中毒。

      

三、如何預防社交工程的發生?

        

      

社交工程雖然利用人性弱點來騙取機敏資料，讓人覺得防不勝防，但如果能隨時提高警覺，不未經確認即提供資料、不開啟來路不明的電子郵件及附加檔案、不連結及登入未經確認的網站、不下載非法軟體及檔案，就能避免社交工程的攻擊傷害。

科技與社會報告─防火牆

防火牆

防火牆的運作就好像是在「網際網路」跟你的個人電腦之間，建立一道過濾程序。所有在此之間的網路資料連線，都會經過此過濾機制。


一般而言，防火牆採用「正面許可」的方式進行過濾。只有他認可的資料才可通過，其餘全部阻擋。


防火牆過濾的依據很多，依照每一個網路資料連線，他可以依照：

>>資料發起位置

>>資料目標位置

>>發起連線埠

>>接受連線埠

>>通訊協定

進行過濾。

例如說，你可以指定：「連線來源來自:中國大陸」的「全部拒絕」、「連線協定是ftp」的「全部接受」，這樣防火牆接受到來自於China的封包時，全部都會過濾掉。

當然，這樣做會有個風險，例如說你的MSN使用 連線埠:3254，結果防火牆沒有開放他，結果所有的連線都被阻隔掉，當然無法連線了。


另外，針對「防火牆」與「防毒軟體」的區隔：


「防火牆不能防木馬」

木馬程式都是使用者不小心帶進電腦來的，可能路徑可能是來路不明的光碟、誘人的E-mail附加檔案。防火牆不能防止這些東西進入你的電腦。唯有當木馬程式啟動時，如果你有設定阻絕本機的程式主動連外網路，如此才有可能可以防止木馬程式主動把資料往外送。可惜，大部份的防火牆並不會主動限制本機端連外的運作狀況。


「防火牆不能夠防病毒」

病毒的傳播都是靠人為不小心夾帶所造成，例如說不斷傳送的word檔案、開放的網路芳鄰等等。防火牆不能防止這些東西被帶入到你的電腦中。


以上這些可能對電腦造成危害的程式，必須經由「防毒軟體」，或是使用者本身謹慎行為來防範，非防火牆的能力範圍。


防火牆能作甚麼？

防火牆在電腦作業系統網路連接建立一道防禦機制，過濾任何要經由網路連接到你作業系統的資料傳送。任何非經允許的連線要求將會被防火牆所阻擋。

通常 防毒軟體用於防治低智商的攻擊程式、病毒等等。防火牆用於防止高智慧的電腦入侵行為。

建議你要設定防火牆之前，先對於本身電腦網路使用有相當的了解，否則封鎖了需要使用的網路功能，反而讓漏洞大開。

一般而言防火牆大都內建於作業系統本身，當然也有少數軟體外掛的方式。至於廣告軟體，通常這是靠「夾帶入關」的方式來安裝。防火牆並不能防禦。
一般電腦會甚麼需要防火牆？

這是一種防範未然的態度。Windows本身內建很多網路應用程式，然而我們沒有辦法知道這些網路程式甚麼時候會遭受到怎麼樣的攻擊。防火牆就好像是窗戶加裝的鐵窗，至少能夠將可能的弱點修補。
另外，對於惡意的攻擊者，如果他發現你的電腦裝有防火牆，代表電腦使用者或多或少對於本機安全有一定認知，這能打消他攻擊你電腦的念頭。

科技與社會報告─網路釣魚

網路釣魚

線上網路釣魚 (phishing 英文發音如 fishing 一字) 是一種誘騙電腦使用者透過電子郵件訊息或網站提供個人或財務資訊的手段。一般線上網路釣魚的誘騙手段都是從電子郵件訊息開始，看起來就像是來自可靠來源的 正式通知，如銀行、信用卡公司或聲譽良好的線上商家。在電子郵件訊息中，收件者會被引導至詐騙網站，並在其中被要求提供個人資訊，像是帳號或密碼。然後通 常會用此資訊來進行身分盜用。

如何防範!!!!!

l   特別留意詢問機密資訊的電子郵件，尤其是與財務相關的資訊。 金融機構及其他負責任的公司不會透過電子郵件要求機密資訊。 如果您收到這種要求，請通知該公司。

l   請勿任其迫使您提供機密資訊。 網路釣魚作者喜歡使用恐嚇的手法。 他們可能威脅要停用帳戶或延誤服務，直到您更新特定資訊，但請勿上當。 相反地，請直接連絡商家，以確認要求的真實性。

l   注意看似平常的資訊要求。 詐騙電子郵件通常不會個人化。 此外，從您銀行或 ISP 發出的電子郵件通常會提及您的公司或帳戶。 同樣地，請確認任何可疑要求的真實性。

l   絕對不要透過電子郵件訊息內嵌的表單傳送機密資訊。

l   如果您需要在網路上提交公司信用卡號碼或其他機密資訊，請確認該網站是安全的。 若要確認您是否在安全的 Web 伺服器上，請檢查網址。 它的開頭應該是 "https://" 而不是 "http://"。

l   定期檢查您的銀行、信用卡及簽帳卡明細，以確保所有交易都是正當的。 若您感到懷疑，請連絡銀行及所有發卡公司。