服务

社会工程测试

您购买的每一项技术控制措施，都假定有人会在关键时刻做出正确的选择。社会工程测试就是用来检验这一假定是否成立的方式，在心怀恶意的人替您发现答案之前。

我按真实对手的思路来策划这类委托：根据公开可查的组织信息设计借口，提出一个可信的请求，并走出一条通往真实结果的路径，比如进入某扇门的刷卡、一次电话密码重置，或一个植入恶意载荷的链接。网络钓鱼最受关注，但语音钓鱼（电话假托）、尾随进入和 USB 投放同样属于这个话题，因为一个有决心的攻击者也不会只局限于电子邮件。

我真正测试的是什么

不是“有没有人点击”。这个指标本身几乎说明不了什么。我测试的是：您的检测和响应流程是否发现了这次尝试，被欺骗的人是否知道下一步该怎么做，以及一份被泄露的凭证或一扇被撑开的门，是否会演变成大得多的问题。我交付的报告会把培训、流程和物理控制方面的具体差距对应到具体的修复措施，而不是笼统地建议“提高意识”。

适用场景

如果您从未做过社会工程测试，可以从小范围、明确界定的测试开始，比如针对单个团队的单个借口，这样组织不会感到被突袭，您也能一次清晰地了解一项风险。如果您已有成熟的体系，我可以设计更高难度的多阶段场景，把一通电话串联成一次实地到访，再到网络立足点，这更接近真实入侵的发展过程。

无论哪种方式，目的都不是抓住谁的把柄。而是以可控的方式弄清楚，当有人尝试时会发生什么，并在真正发生之前把问题修复。

如果您想谈谈针对贵组织的限定范围委托会是什么样子，欢迎联系我。