欺骗的艺术-第31章
按键盘上方向键 ← 或 → 可快速上下翻页，按键盘上的 Enter 键可回到本书目录页，按键盘上方向键 ↑ 可回到本页顶部！
————未阅读完？加入书签已便下次继续阅读！
在谈话中，律师通常会询问那名警官在某月某日是否时间，为了实现这个骗局，保罗稍微变通了一下：他用一个似是而非的理由获知了那名警官无法出庭的时间。
当保罗第一次到法院去的时候，他为什么不直接告诉法院办事员他想安排在哪一天？答案很简单——我个人认为，大多数地方的交通法院办事员不允许让公众成员选择开庭日期，如果办事员提出的日期当事人无法接受，她会提供一个折中的选择，但是她会做出很大的让步。另一方面，想要获得额外的传讯时间的人可能会更走运一些，保罗知道他可以申请传讯，并且法官通常会为传讯安排指定的日期。他请求在那名警官参加培训的那一天开庭，要知道在这种情况下，警员培训比出庭作证要重要得多。
米特尼克语录
人类的思想是一种神奇的产物，比如人们在脑海里设计骗局得到他们要想的东西或者脱离险境。你可以在公共与私营部门中利用同样的创造力与想像力保护信息与计算机系统的安全。所以，各位，当你们制定你们公司的安全策略的时候——要打破常规去思考问题。
在交通法院，如果传唤的警官没有出现——案子就会被取消，没有罚款，不用去交通学校，没有分数，最棒的是，不会留下任何交通肇事的记录！
我猜会有一些警务人员、法院办事员、检察官和类似的人读到这个故事会摇摇头，因为他们知道这种骗局是可行的，但他们只是摇摇头而已，我敢打赌不会有任何改变。就像电影《通天神偷》（1992年）中科斯莫说的那样，“一切只和零与一有关”——意思是，最终，所有的东西都将归结为信息。
只要执法机构愿意把一名警官的日程表提供给任何一个打电话来的人，人们躲避交通罚单的能力就会一直存在下去。聪明的社会工程师可以利用它来获取你不想让他们知道的信息，在你的公司或机构的程序中有类似的缺口吗？
萨曼塔的报复
萨曼塔o格雷森生气了。
她一直在为她的大学商学位而努力，为此她还申请了一大笔助学贷款，因为她总是听到别人说，大学学位能让你成就一番事业，大学学位能让你赚到很多很多的钱。然后她毕业了，却发现自己连一份合适的工作都找不到。
收到蓝贝克制造公司的聘用协议着实让她高兴了好一阵子，虽然这份秘书工作对她而言实在是大材小用，但卡特莱特先生说他们很欣赏她，并承诺在下一个非行政职位空缺时将她纳入候选人中。
两个月后，她听说卡特莱特先生的一个产品采购经理离职了，那天晚上她很久都没有睡，想象着自己在五楼办公室出席会议并参与公司决策的样子。
第二天一大早她就遇上了卡特莱特先生，他说他们觉得在她胜任这一职位之前，她还需要学习更多的行业知识，然后他们从公司外面雇用了一个外行人，一个比她差多了的外行人。
她很快就明白了：这家公司有很多女职员，但她们清一色的都是秘书，他们不会给她一份经理工作，永远也不会。
报复
她花了差不多一个星期才想好怎样报复他们。大概一个月前的产品发布会上，有一家商业杂志的记者想要采访她，几周后那个人打来电话说，希望她能提供一些Cobra 273的未公开信息，作为回报，他会送花给她，并且如果这些信息很有吸引力，他会专门从芝加哥跑来约她吃饭。
她每天会有一段时间待在乔汉森先生的办公室里，所以当年轻的乔汉森先生登录公司网络的时候，她站在后面看得一清二楚（有时候这也称为肩窥），他输入的密码是“marty63”。
她的计划已经开始实施了。她记得有一份备忘录是在她来公司后不久分发的，她在其中找到了一份复印件并仿照原始版本打印了一份新的，内容如下：
TO：C。 比尔顿，IT部
FROM：L。 卡特莱特，开发部
马丁o乔汉森将转到我部门的专业研究小组工作，因此我授权他访问开发组使用的服务器，乔汉森先生的安全配置将更新为产品开发者权限。
路易斯o卡特莱特
术语
肩窥：通过监视用户输入，窃取密码或其它用户信息的行为。
当大部分人都出去吃午餐的时候，她把卡特莱特先生的签名从最初的备忘录上剪切下来，粘贴到她的版本上面，并在四周涂上修正液。她把成果复印了一份，然后再复印了一份复印件，你几乎看不到签名四周的痕迹。最后她在卡特莱特先生办公室附近的传真机上把它发送了出去。
三天后，等到所有人都离开了公司，她走进乔汉森的办公室，尝试用的他的用户名和密码（marry63）登录网络，结果成功了。
只用了几分钟她就找到了Cobra 273的产品规格文件并将其下载到了Zip磁盘上。
当她在凉爽的夜间像风一般走入停车场的时候，那张磁盘正平平安安地待在她的钱包里，等待着和那名记者的见面。
过程分析
一个不满的员工，一次文件搜寻与快速剪切粘贴…修正液操作，少量有创意的复印与一份传真，然后，瞧！——她得到了机密的商业产品技术规格书。
几天以后，一家商业杂志的新闻记者独家报导了一个热门新产品的技术规格书和产品销售计划，这些都在产品发布之前几个月出现在了该杂志的所有订阅者手中，竞争对手将有几个月的时间抢先开发同类产品并在他们的广告活动中做好准备影响Cobra 273的发售。
当然，这家杂志绝不会透漏他们的消息来源。
防范措施
当被请求任何有益于竞争对手的贵重、敏感或关键信息时，员工们必须了解通过来电显示验证外部人员的身份是不被允许的，必须要有一些其它的验证方法，比如与此人的主管联系，确认这些请求是合法的，用户已被授权接收这些信息。
各公司必须自行控制验证程序中安全与效率的平衡。哪些安全措施应当被优先考虑？员工们会不会抵制这些安全措施？甚至绕过它们以完成他们的工作任务？员工们了解为什么安全对公司和他们自己都如此重要吗？这些问题的回答将帮助建立基于企业文化和商业需求的安全策略。
大部分人难免会认为这些安全措施妨碍到了他们的工作，连绕过它们都是在浪费时间。可以通过宣传和教育，鼓励员工们把安全工作当成他们的日常职责。
尽管不能用来电显示验证外部呼叫者的身份，但是另一种叫做自动号码识别（ANI）的服务却可以。当一家公司开通了免付费电话（由公司支付呼入费用）时，这种服务可以准确地识别呼叫者。与来电显示不同的是，电话公司交换机不会接受客户发送过来的呼叫号码，ANI传输的号码是分配给呼叫用户的付费号码。
另外，一些调制解调器厂商把来电显示功能添加到了他们的产品里，为保护企业网络而设定了只接受指定电话号码的远程访问。调制解调器的来电显示功能可以在安全级别较低的环境下作为身份验证的手段，但是，众所周知，伪造来电显示对于计算机入侵者而言并不是一件难事，因此在安全级别较高的情况下不能据此判断呼叫者的身份或位置。
在身份盗窃的案例中，管理员在企业电话系统上为入侵者创建了一个语音信箱，为了防止此类事件的发生，企业应当规定所有的电话系统、语音信箱和所有的企业目录（不管是印刷的还是在线的）在被使用时必须提出书面请求，形式固定，员工经理应当在这份请求上签字，然后交语音信箱管理员核实。
企业安全策略应当规定，在创建新的计算机账户或增加账户权限时，必须向系统管理员或他（或她）的指定负责人核实该请求，可以在纸质或在线公司目录上找到相应的电话号码。如果你们公司使用经过数字签名的安全电子邮件，这种折中的验证方法也可以接受。
记住，每一个员工（不管他是否能访问公司的计算机系统）都有被社会工程师利用的可能性。每个人都必须接受安全知识培训。所有的行政助理、接待员、电话接线员和安全警卫都必须要熟知各类社会工程学攻击（大多数都是针对他们的），这样他们才能更好地防范这些攻击。
第十四章 商业间谍
针对政府、企业和大学机构的信息安全威胁已经很好地得到了介绍，几乎每一天都会有媒体报导新的计算机病毒、拒绝服务式攻击、电子商务网站的信用卡信息盗窃案。
我们经常读到关于商业间谍的新闻，比如，Borland指责Symantec盗窃商业机密，Cadence设计规划公司控诉竞争对手盗窃其产品源代码，许多商业人士认为在他们公司绝不会发生这种事情，但是，这种事情每天都在发生。
计划变更
下面故事中的骗局或许已经被实现过很多次了，虽然这很像是好莱坞电影（比如《The Insider》）里的情节或者约翰格雷森姆的法律惊险小说。
集体诉讼
假设有一场针对Pharmomedic制药公司的集体诉讼，该诉讼声称他们发现该公司的一种非常受欢迎的药物具有破坏性的副作用，这种副作用将在病人服药多年以后显露出来，该诉讼声称他们是从一系列的调查研究中得出这一结论的，但是这些证据被压下不用，并且没有在规定的时间内转交给FDA（食品及药物管理局）。
威廉o比利o钱尼（William “Billy” Chaney），处理此案的纽约律师行代理律师，得到了两个Pharmomedic医生的证词，但是两人全都退休了并且没有任何档案或文件，所以不能作为令人信服的证人。比利知道自己现在处于弱势，除非他能得到其中一份报告或者内部备忘录（或公司高层之间的通讯）的副本，否则他的整个案子都将崩溃。
因此他选择了和一家公司再次合作：安德雷森父子私人调查公司。比利不知道彼得和他的人是怎样获得这些资料的，他也不想知道，他只知道彼得o安德雷森（Peter Andreeson）是一个好侦探。
至于安德雷森，他把像这样的任务称为黑袋子秘密调查，第一条规则就是让雇用他的律师事务所和公司不知道他是怎样获得这些信息的，所以他们总是解释得模模糊糊似是而非。如果有人愿意自找麻烦的话，越难的任务他所收取的费用越高，他认为这值得冒险，除此之外，他还能从欺骗聪明人的过程中找到个人满足感。
如果钱尼希望他找到的那些文件确实存在并且没有被销毁，他们也许会把它放在存放文件的某个地方，但是要从堆积如山的文件中把它们找出来无疑是一项艰巨的任务。另一方面，假设他们已经把文件的副本交给了他们自己的律师事务所（詹金斯与派屈），如果辩护律师知道这些文件的存在并且不把它们转交到取证程序，那他们就违反了律师的职业道德并触犯了法律，在彼得看来，这制造了许多可攻击的对象。
彼得的攻击
彼得让他的人着手调查，几天后他弄清了詹金斯与派屈律师事务所存放异地备份的位置，他还了解到存储公司有一张律师事务所授权提取磁带的人员名单，名单的上的每个人都有各自的密码。彼得派了两个人进行这一次的黑袋子秘密调查。
他们用从网上（www。shubao2。com）买来的开锁工具开锁，几分钟后就溜进了存储公司的办公室（大概凌晨3点），其中一人打开一台PC机，屏幕上出现了Windows 98的图标，他们笑了，这简直就是小菜一碟，Windows 98没有任何形式的身份认证程序。稍加搜索之后，他们找到了含有授权名单的Microsoft Access数据库。他们在詹金斯与派屈律师事务所的授权名单上添加了一个伪造的名字，其中一人早就准备好了匹配的驾驶执照，当然也是假的。他们能闯入带锁的存储室并找到他们客户想要的磁带吗？当然能——但是，这家公司所有的客户（包括律师事务所）都会收到一张受损通知，这样一来攻击者就失去了应有的优势：专业人员总是为以后进出留下后门，以备不时之需。
按照商业间谍的常规做法，他们把一些也许以后要用的东西放进了后口袋，然后把包含授权名单的文件复制到了软盘上，他们谁都不知道这是否有用，但是“我们已经在这儿了，不如……”，事后常常证明了这样做的好处。
第二天，其中一人打电话到存储公司，使用他们添加到授权名单上的名字和相应的密码通过了验证，然后请求提取詹金斯与派屈律师事务所上个月所有的磁带，并说将会有信使服务来拿包裹。大概下午三点，安德雷森拿到了那些磁带，他的人把所有的数据�
