[论文解读] Countering Social Engineering through Social Media: An Enterprise Security Perspective

Heidi Wilcox, Maumita Bhattacharya|arXiv (Cornell University)|Nov 21, 2015

Information and Cyber Security参考文献 14被引用 3

一句话总结

本文研究了企业环境中通过社交媒体实施的社会工程威胁，并提出了一套通过改进安全政策和意识培训来缓解这些风险的框架。它分析了公共和私营部门现有的政策，识别出其中的漏洞，并提出可操作的对策，以增强组织对利用社交媒体平台的社会工程攻击的抵御能力。

ABSTRACT

The increasing threat of social engineers targeting social media channels to advance their attack effectiveness on company data has seen many organizations introducing initiatives to better understand these vulnerabilities. This paper examines concerns of social engineering through social media within the enterprise and explores countermeasures undertaken to stem ensuing risk. Also included is an analysis of existing social media security policies and guidelines within the public and private sectors.

研究动机与目标

• 调查社交媒体平台如何被社交工程师用于攻击企业数据。
• 分析公共和私营部门组织中现有的社交媒体安全政策和指南。
• 识别当前政策在社交工程威胁方面存在的漏洞和薄弱环节。
• 提出一个全面的框架，通过改进安全政策和员工意识来应对社交工程。
• 支持企业制定主动的、基于政策的防御措施，以应对社交媒体上的社交工程攻击。

提出的方法

• 对公共和私营部门组织中的社交媒体安全政策进行对比分析。
• 识别社交媒体社交工程中常见的漏洞和攻击向量。
• 提出一个整合政策制定、员工培训和技术控制的结构化框架。
• 基于现有文献和真实案例研究，为政策建议提供依据。
• 强调组织文化以及持续意识培训在降低风险方面的作用。
• 整合计算机科学与社会安全的洞见，以应对以人为中心的攻击向量。

实验结果

研究问题

• RQ1 社交工程师如何利用社交媒体平台来破坏企业数据？
• RQ2 公共和私营部门当前社交媒体安全政策中的关键弱点是什么？
• RQ3 哪些政策和程序改进能有效降低社交工程攻击的风险？
• RQ4 组织如何在社交媒体的开放性与强有力的安全控制之间取得平衡？
• RQ5 员工意识在减轻社交媒体上的社交工程威胁方面发挥什么作用？

主要发现

• 许多组织缺乏针对社交工程风险量身定制的全面社交媒体安全政策。
• 现有政策往往未能应对社交工程师在LinkedIn和Twitter等平台使用的不断演变的战术。
• 企业环境中，政策制定与实际实施之间存在显著差距。
• 将政策执行与持续员工培训相结合的组织，对社交工程的易感性显著降低。
• 本研究指出，亟需标准化的、覆盖全企业的框架，以规范社交媒体使用和威胁响应。
• 所提出的框架通过整合政策、培训和技术防护措施，增强了组织的韧性。