Christopher Hadnagy从事计算机技术14年之久,现在全心投入在计算机安全中“人”的研究。他成立了世界上第一个社会工程框架Social-Engineer.Com,致力于帮助公司提高安全性,并教授给他们“坏人”的做法。他研究并破解了最近发生的很多恶意攻击事件。他推荐的实践测试法被500强公司采用,用来教育员工安全方面的知识。他与BackTrack( www.backtrack-linux.org)安全团队一起参与了各种类型的安全项目,有16年以上的安全和信息技术实践经验。他也是主动式安全(Offensive Security)渗透测试小组的培训师和首席社会工程专家。 他还是《社会工程:安全体系中的人性漏洞》一书的作者。

图灵社区:你认为哪起事件引起了公众对社会工程的重视?

Chris:在过去的一年半中,全球范围内商业领域有超过60%的重要攻击事件使用了“社会工程”作为主要攻击手段。

图灵社区:你是怎么进入信息安全领域的?这个领域一直都是计算机科学中比较神秘的学科,不仅对于普通人对于程序员也是如此。

Chris:我一直在和人交流这件事上很有门道。我也很喜欢计算机和安全领域的研究。从我开始学习心理学开始,一切似乎都在自然而然地发展。社会工程主要研究的就是如何影响和操纵其他人,让他们做出他们不应该做的事。

图灵社区:是什么让你决定开始专注于信息安全中“人”的因素?

Chris:我是一个善于和人打交道的人。我喜欢谈话和交流。坏人通过谈话就可以摆布别人,他们是如何做到的?研究这件事对我来说很有吸引力。我在学习这件事的同时,也在研究非语言的交流方式。

图灵社区:你在培训你的客户(非安全专业人员)应对社会工程师的攻击时面临的最大挑战是什么?

Chris:最难的是让他们具有批判性的思考。这并不像软件那样,1+1=2。对于人来说,有时候一加一未必等于二,所以最重要的是要理解概念,而非规则,只有运用概念,灵活应变,才是万全之策。

图灵社区:对于社会工程来说成功的关键因素是什么?

Chris:灵活和投入。如果你在面对任何环境时都可以随机应变,并且在整个过程中专心致志,甚至在出现失误的情况下,你都会有很大机会将获得成功。

图灵社区:信息安全必须要被动地部署吗?只有当攻击发生之后,系统才能得到升级?

Chris:并不是这样。信息安全需要在任何时候都应用起来,不只是在遭到攻击后。如果你在第一次被打击就是在一次实战中的话,你无疑会失败。你必须经常测试、审查,甚至“挨打”,只有这样,你才知道在受到攻击时该如何反应。

图灵社区:在白帽和黑帽之间存在永远的对抗,你是怎么跟上发展,甚至先发制人的呢?

Chris:这是个好问题-要知道,我做的是一份全职工作。我们无时无刻不需要阅读、研究、尝试新事物。工作量很大,同时也需要我们全心全意地投入。

图灵社区:现在,很多黑客都转移到了硬件黑客的领域,比如,他们可以利用电脑在一定距离内控制汽车,他们甚至还可以控制ATM机,让它们吐钱。社会工程在硬件黑客领域是很重要的因素吗?

Chris:我认为是这样的。要做到你以上说的这些事,很多时候都是从一个电话或者一封钓鱼邮件开始的。

图灵社区: BackTrack堪称是对于学习黑客技术来说最好的系统。它相于其他系统(比如Linux)来说有什么优势?

Chris: Backtrack,以及现在的Kali Linux,都已经内置了用于侵入测试的所有工具。所以它是用来学习黑客技术的最好的操作系统。

图灵社区:有很多早期创业者都具有找到风险投资,在这个过程中他们往往比平时更加大意。你对这些创业者有哪些抵御社会工程方面的建议吗?

Chris:好问题!我的建议如下:

  1. 要运用批判性思考,不要对所谓的“好消息”反应地太快;
  2. 要知道,你在社交媒体上公布的一切都可能成为对你不利的信息;
  3. 记住,只需要一通电话或是一封邮件,你就可能成为受害者。

更多精彩,加入图灵访谈微信!