本書(shū)從專(zhuān)業(yè)社會(huì)工程人員的視角，詳細(xì)介紹了釣魚(yú)欺詐中所使用的心理學(xué)原則和技術(shù)工具，幫助讀者辨識(shí)和防范各種類(lèi)型和難度級(jí)別的釣魚(yú)欺詐。本書(shū)包含大量真實(shí)案例，全面展示了惡意釣魚(yú)攻擊者的各種手段。本書(shū)還針對(duì)企業(yè)如何防范釣魚(yú)攻擊并組織開(kāi)展相關(guān)培訓(xùn)提供了切實(shí)可行的意見(jiàn)。本書(shū)提供了企業(yè)和個(gè)人面對(duì)現(xiàn)實(shí)中的社會(huì)工程問(wèn)題和風(fēng)險(xiǎn)的無(wú)可替代的解決方案。
釣魚(yú)郵件是一種利用人性弱點(diǎn)進(jìn)行欺詐的社會(huì)工程手段。調(diào)查機(jī)構(gòu)數(shù)據(jù)顯示，全球每天有幾百億封左右的垃圾郵件。這些郵件已經(jīng)成為騙子和惡意社會(huì)工程人員滲透進(jìn)人們生活和工作的利器，給個(gè)人以及組織機(jī)構(gòu)的網(wǎng)絡(luò)安全造成了嚴(yán)重威脅。
本書(shū)結(jié)合近年來(lái)的釣魚(yú)攻擊實(shí)例，討論釣魚(yú)攻擊是什么，為什么會(huì)起作用，背后的心理學(xué)原則，并提出一套創(chuàng)造性地利用釣魚(yú)攻擊者的工具來(lái)防范釣魚(yú)欺詐的流程。作者對(duì)當(dāng)下有效的一些釣魚(yú)攻擊手段進(jìn)行了分析，介紹了辨識(shí)偽造郵件或者克隆網(wǎng)站的方法以及防范釣魚(yú)攻擊的培訓(xùn)平臺(tái)，并演示了如何在安全培訓(xùn)中創(chuàng)建自己的釣魚(yú)攻擊培訓(xùn)項(xiàng)目。
Christopher Hadnagy
杰出安全專(zhuān)家，Social-Engineer公司CEO，世界上頭個(gè)社會(huì)工程框架（www.social-engineer.org）的主要開(kāi)發(fā)者，主動(dòng)式安全滲透測(cè)試小組的培訓(xùn)師和首席社會(huì)工程專(zhuān)家，有近20年的安全和信息技術(shù)實(shí)踐經(jīng)驗(yàn)。著有《社會(huì)工程：安全體系中的人性漏洞》及《社會(huì)工程 卷2：解讀肢體語(yǔ)言》，深受讀者歡迎。
Michele Fincher
杰出滲透測(cè)試人員，Social-Engineer公司CIO，擁有超過(guò)20年的信息安全工作經(jīng)驗(yàn)。
目錄
第 1 章 真實(shí)世界的釣魚(yú)攻擊 1
1．1 網(wǎng)絡(luò)釣魚(yú)基礎(chǔ) 2
1．2 人們是如何進(jìn)行網(wǎng)絡(luò)釣魚(yú)的 4
1．3 示例 6
1．3．1 重大攻擊 7
1．3．2 常見(jiàn)的釣魚(yú)手段 10
1．3．3 更強(qiáng)大的釣魚(yú)手段 22
1．3．4 魚(yú)叉式網(wǎng)絡(luò)釣魚(yú) 27
1．4 總結(jié) 29
第 2 章 決策背后的心理學(xué)原則 30
2．1 決策：觀滴水可知滄�！�31
2．1．1 認(rèn)知偏差 32
2．1．2 生理狀態(tài) 34
2．1．3 外部因素 35
2．1．4 決策的底線(xiàn) 36
2．2 當(dāng)局者迷 37
2．3 釣魚(yú)攻擊者是怎樣讓魚(yú)咬鉤的 38
2．4 杏仁核簡(jiǎn)介 41
2．4．1 杏仁核劫持 42
2．4．2 控制杏仁核 45
2．5 清洗、漂洗、重復(fù) 46
2．6 總結(jié) 48
第 3 章 影響與操控 49
3．1 為什么這種區(qū)別很重要 50
3．2 如何找出區(qū)別 51
3．2．1 如何與目標(biāo)建立融洽的關(guān)系52
3．2．2 當(dāng)目標(biāo)發(fā)現(xiàn)自己被測(cè)試時(shí)，感覺(jué)如何 52
3．2．3 測(cè)試的意圖是什么 52
3．3 操控：來(lái)者不善 53
3．4 謊言，全都是謊言 53
3．5 懲罰與操控 54
3．6 影響的原則 56
3．6．1 互惠 57
3．6．2 義務(wù) 58
3．6．3 妥協(xié) 58
3．6．4 稀缺 59
3．6．5 權(quán)威 60
3．6．6 一致性與承諾 61
3．6．7 喜愛(ài) 62
3．6．8 社會(huì)認(rèn)同 62
3．7 與影響相關(guān)的更多樂(lè)趣 63
3．7．1 社會(huì)性與影響 63
3．7．2 生理反應(yīng) 64
3．7．3 心理反應(yīng) 64
3．8 關(guān)于操控需要知道的事 66
3．9 總結(jié) 67
第 4 章 保護(hù)課程 68
4．1 第一課：批判性思維 69
4．2 第二課：學(xué)會(huì)懸�！�70
4．2．1 點(diǎn)擊鏈接后感覺(jué)危險(xiǎn)該怎么辦 73
4．2．2 攻擊者是如何繞過(guò)防御的 74
4．3 第三課：URL 解析 75
4．4 第四課：分析郵件頭 78
4．5 第五課：沙盒 83
4．6 “綿羊墻”或者壞主意陷阱 85
4．6．1 復(fù)制粘貼，麻煩解決 85
4．6．2 分享也是關(guān)照 86
4．6．3 移動(dòng)設(shè)備是安全的 87
4．6．4 好的反病毒軟件可以拯救你 87
4．7 總結(jié) 88
第 5 章 規(guī)劃釣魚(yú)攻擊旅程：開(kāi)展企業(yè)釣魚(yú)攻擊項(xiàng)目 90
5．1 基本方法 92
5．1．1 為什么 92
5．1．2 主題是什么 95
5．1．3 要不要在郵件中使用商標(biāo) 97
5．2 開(kāi)展培訓(xùn) 100
5．2．1 設(shè)定基線(xiàn) 101
5．2．2 設(shè)定難度 102
5．2．3 編寫(xiě)釣魚(yú)攻擊郵件 113
5．2．4 追蹤和統(tǒng)計(jì) 114
5．2．5 報(bào)告 117
5．2．6 釣魚(yú)攻擊、教育、重復(fù) 119
5．3 總結(jié) 120
第 6 章 積極的、消極的和丑陋的：公司政策及其他 121
6．1 跟著感覺(jué)走：情緒和政策 122
6．1．1 定義 123
6．1．2 消極之處 123
6．1．3 如何改進(jìn) 123
6．2 老板是例外 124
6．2．1 定義 124
6．2．2 消極之處 124
6．2．3 如何改進(jìn) 125
6．3 我只會(huì)修補(bǔ)其中一個(gè)漏洞 125
6．3．1 定義 125
6．3．2 消極之處 126
6．3．3 如何改進(jìn) 126
6．4 太多訓(xùn)練使人厭倦 126
6．4．1 定義 127
6．4．2 消極之處 127
6．4．3 如何改進(jìn) 128
6．5 如果發(fā)現(xiàn)釣魚(yú)攻擊，請(qǐng)打這個(gè)電話(huà) 128
6．5．1 定義 129
6．5．2 消極之處 129
6．5．3 如何改進(jìn) 130
6．6 壞人在周一休假 130
6．6．1 定義 131
6．6．2 消極之處 131
6．6．3 如何改進(jìn) 131
6．7 眼不見(jiàn)心不煩 132
6．7．1 定義 132
6．7．2 消極之處 133
6．7．3 如何改進(jìn) 133
6．8 給所有人的經(jīng)驗(yàn) 134
6．9 總結(jié) 134
第 7 章 專(zhuān)業(yè)釣魚(yú)攻擊者的工具包 136
7．1 商業(yè)應(yīng)用 138
7．1．1 Rapid7 Metasploit Pro 138
7．1．2 ThreatSim 140
7．1．3 PhishMe 145
7．1．4 Wombat PhishGuru 149
7．1．5 PhishLine 152
7．2 開(kāi)源應(yīng)用 154
7．2．1 SET 155
7．2．2 Phishing Frenzy 157
7．3 對(duì)比表格 160
7．4 誰(shuí)來(lái)管理培訓(xùn) 162
7．5 總結(jié) 162
第 8 章 像老板一樣進(jìn)行釣魚(yú)攻擊 164
8．1 深入釣魚(yú)攻擊 165
8．1．1 知己知彼，百戰(zhàn)不殆 165
8．1．2 為組織機(jī)構(gòu)設(shè)定合理的目標(biāo) 167
8．1．3 規(guī)劃培訓(xùn)項(xiàng)目 168
8．1．4 理解指標(biāo) 168
8．1．5 適當(dāng)回應(yīng) 169
8．1．6 決定時(shí)刻：內(nèi)部構(gòu)建還是外部構(gòu)建 170
8．2 總結(jié) 172
書(shū)單推薦
