早在1978年，加利福尼亚的Security Pacific银行因受一个员工的诡计诱骗而将钱汇入其在瑞士银行的户头，损失了1000万美金。而前段时间，HP公司又因调查“董事会向主要媒体泄露消息”的事件而爆出巨大丑闻。该公司雇用私人调查员来对付电话公司。通过伪称是董事会的相关成员，私人调查员向电话公司要求获取公司秘密，该成员的电话通话记录，并最终得到了这些信息。

这些事件有些共同点。它们都属于因受到攻击而导致财产受损，无论该攻击是来自一把枪或是一台电脑。在具体个例中，财产的损失是因为有人受骗，有人不遵守规程，或者有人忽视了安全措施。而攻击者用于使公司职员吐露机密信息，或执行某些行为危及公司安全的方法，则被称为“托辞学”或“社会工程学”。而对“社会工程学”，安全顾问Kevin Mitnick给出的定义是：“诱使人们完成来自陌生人的指令，而该陌生人指令在正常情况下人们不会听从”（Kevin Mitnick本身是一个著名的计算机黑客，后来成立了自己的安全公司）。

对今天的公司来说，“社会工程学”提出了一个严峻的挑战。因为数据的损失不仅会伤害一个公司的竞争力，同时也可能会导致公司负上法律责任，或导致公司背负巨大的负面社会影响。不幸的是，即使是先进的硬件和软件所组成的安全系统对此依旧会败下阵来，而败阵的关键却出在公司员工的身上。

这个问题揭示了当公司和他们的员工遇到来自陌生人（可能是合法的正常人，也可能是社会工程学的攻击者）的请求时所必须处理的，进退两难的局面。本着“服务客户”或“柔和可亲”的原则，她们可能会应允每一个请求——但是这么做，他们就等于给黑客偷取贵重信息敞开了大门。

好消息是，通过学习和训练，公司雇员可以更好的抵御社会工程学的攻击。

《孙子兵法》的经验

2000年前，中国的军事策略大师孙子写出了他的经典著作《孙子兵法》,虽然这本书非常古老，但它至今还备受人们推崇。实际上，这本书对于如何抵御和反击“社会工程学”有非常中肯的建议。在孙子提出的众多兵法法则中，有三条非常贴合我们的需求：

* 兵不厌诈
* 知己知彼，百战百胜。
* 制人而不制于人

下面让我们来仔细的研究一下这些法则，并依据每条法则提出一些更具操作性的规则或章程。

兵不厌诈

任何事情可能都不像它表面上那么简单。不幸的是，助人为乐和轻信别人，常常会导致人们向自己根本不了解的人透露信息——而仅仅因为这些人（他或她）声称和你在同一家公司，但实际上这并不足以说明什么。

规则1：不要相信来电者的号码

“嗯，要查看来电者在何处很简单”你想。“我要做的只是看看来电号码的屏幕。如果他们说他们在公司，而电话号码不符的话，我挂掉他们就是了”。

不要这么肯定。现在互联网上有很多的电话卡，允许人们伪装自己的来电号码。也就是说，这些电话卡允许打电话的人指定自己的来电号码显示。举例来说，一个人在洛杉矶（区码213）打电话，可以指定自己的号码显示为在华盛顿（区码202）。使用这么一张卡，一个呼叫者就可以让自己的电话看起来是从另一个公司办公室所在地打过来的，但实际上他的人根本不在那里。

规则2：不要相信一个不信任来源的说辞或暗示

在Mitnick的《欺骗的艺术》一书中，他解释了在夜间很晚时，一个制造车间的安全警卫碰到了两个年轻人是如何处理的。虽然他们中没人有公司的标识信息，他们却给了警卫主管者的名字。然后3人一起返回警卫办公室，守卫打电话给主管，并向她询问这两个年轻人。主管要求和其中的一人通话，警卫就将电话给了其中的一个。在和主管寒暄了几句，并道歉说这么晚了还打扰她之后，此人为自己停留在车间里解释了原因，然后听对方说了几句话后，这个人说了声“再见”，然后挂断了电话。

然后此人询问说他们是否可以继续参观，以及警卫是否打算陪同他们一起参观。警卫告诉他们可以离开，但是下次要记得带上自己的徽章，并且，如果以后要在下班时间进行参观的话，应当事先通知安全部门。

10分钟后，主管的电话打了过来。她对刚才和她通话的那个人表示很诧异和迷惑，因为这个人根本不听她说话，而只是自己一个人喋喋不休的自说自话。警卫立刻拉响了警报，但是此刻这两个人早已经离开了。

发生了什么事?这两个人是冒名顶替者。其实他们根本不认识主管。因为警卫只能听到那个男人说话，而听不到主管，所以警卫根本不知道主管在通话过程中的迷惑和烦恼，而且实际上这个男人根本不回答主管的任何问题。通过自说自话的这套方式，这个男人就骗过了警卫。

其实，这个警卫可以通过下面这些方法，更好的处理他所面临的这次情况：

* 他可以拿住电话，仅代为年轻男子向主管传递信息
* 在把电话递给年轻男人之前，他可以告诉主管和年轻男子，在他们通话结束后他还要和主管继续通话。
* 警卫应当及时打回电话给主管，以便对主管和男子之间的通话内容进行复核。

这3点替代措施有着同一个共同点：他们都是直接从一个信任来源（主管）获取信息，而不是从一个非信任来源（年轻男子）那里获取。除非你已经确认一个请求者，参观者，或者一个电话呼叫者的身份合法，否则不要相信和此人有关的任何事情。这里的“任何事情”，包括电话号码，Email地址，软件，同时也包括他们所转述的，某个信任来源说了什么（正如上例所示）。

知己知彼，百战百胜

这大概是孙子兵法中最著名的一条了。要成功击退一次黑客攻击，不仅仅需要我们了解自身的力量和弱点，同样也需要了解黑客的力量和弱点。我们了解一个黑客的想法和做法越多，防备其攻击得手的几率就越大。这也就是为什么在破案时，警官和侦探常常被要求按照犯罪分子的想法去考虑问题的缘故。

规则3: 有效策略可以最小程度的影响合法用户，却可以最大程度的阻止潜在攻击

考虑一下，当不知道一个请求者的身份是否合法的情况下，一个公司职员应对信息请求的所有可能方式。包括有：

* 选项A: 播放一段音乐
* 选项B: 给出所需信息
* 选项C: 照着此人的鼻子猛击一拳（假如这个人就在你面前的话）

选项A保护了公司信息免受不法之徒的窃取，但是对合法用户却没有任何用处。选项B倒是“有用”，但如果此人是黑客，你就很不幸的泄露了他们想窃取的信息。选项C保护了公司信息——假如此人是黑客，还可以好好给他一点颜色看看——但是此举却极有可能冒犯一位合法用户。

我们要寻找的方式应当满足下面两个目的:

* 最小化给合法使用者带来的不便/不快
* 阻止攻击者的高概率

上面的3个选项都不满足这些条件。你可以试试看这种方法：当有人要求得到某些信息时，你告诉来电者你会让他稍候片刻，等确认来电者身份之后就会给出信息，然后等上一会，给出信息。绝大多数情况下，合法的呼叫者会有足够的耐心等待。而一个黑客却可能在等待的时间内变得紧张不安，会认为自己可能被发现了而选择挂断电话。这个方法并不总是有效，但却是一个非常值得尝试的好方法。

规则4: 有效策略应当集攻击者所不喜欢的所有功能于一身

在描述他的“垃圾搜寻”技术时（垃圾搜寻，就是在被丢弃的垃圾中搜寻有关信息），Mitnick告诉听众，他会直接丢掉那些看起来里面有液体的垃圾袋。

你该怎么利用这一点呢？我并不是建议你往垃圾筒里倒上1加仑的水，那样你的保洁员对此会非常失望的。不过，你却可以在扔掉垃圾袋前，在垃圾袋的顶端扔上几张湿纸。也许，一位攻击者在看到这些湿纸以后，就直接放弃了这个垃圾袋。

与此类似，多多考虑那些攻击者们非常讨厌的行为习惯，然后将它们集成到你的安全计划里去。

制人而不制于人

在教我下棋时，我的父亲告诉我，如果我只是照搬他所走的每一步的话，我就惨了。他告诉我，在下棋时，我应当努力的采取攻势并不断进攻，这样我的对手就不得不回应我的每一步攻击，而没有精力去做别的什么。

在和攻击者的战争中，同样也是如此。对一个呼叫者来说，采用不正常手段获取信息的一个常用方法就是冒充他（她）和高层联系密切——比如，冒充是一个高层经理的顾问或者朋友。通过恐吓或者威胁，呼叫者试图让雇员吐露他所希望获得的信息。

规则5：是你，而不是呼叫者，掌控局面

假设你接到一个电话，要求你向CEO的一个朋友透露某些信息。在听取这个要求时，你要记住，是你在掌控这信息。“拥有”，正如谚语所说，是几乎法律的全部。你对信息的掌控，让你相对于呼叫者而言处于一个强势地位。不要被呼叫者表面的权威性吓到了。

规则6: 在拒绝要求时，注意使用外交辞令和机智的说辞

处理那些有潜在危险的电话时注意使用外交辞令和机智的说辞。是，你可以告诉那个打电话的人“滚蛋”。但是，如果这个人真的是CEO的好朋友，那你该怎么办？

我们说话的方式很重要，即使不比我们说话的内容更重要，起码也是同样重要。基于这个原因，即使你必须拒绝某人，也应当好好考虑一下，你应该如何说才能让你的说辞听起来尽量委婉。考虑一下，下面的这几个示例：

一个非常有效的方法是在拒绝请求时明确表示你的同情。比如：“非常抱歉，我非常想帮助您，但是我的权限太低，对此我无能为力”。

规则7（适用于管理者）：鼓励那些遵守策略的员工

在滑铁卢战争中大败拿破仑的惠灵顿公爵，有一次在乡下穿越州府边界时碰到了一个年轻人把守的大门。“年轻人”，公爵说，“开门让我过去”。年轻人回答说“对不起，我的长官命令说任何人都不能过去”。于是公爵说，“年轻人，我是惠灵顿公爵。我命令你打开这道门。”但是那个年轻人依旧没动，而是回答说“我的长官给我的命令是，任何人都不许过去”。

这一次，公爵对他大加赞赏，“非常好，年轻人。如果我有一打像你这样的人，那我就可以征服全欧洲了”。

对于那些正在阅读本文的管理者和执行者们：当你的员工像这个年轻人拒绝公爵一样拒绝了某个来电者时，你会鼓励他们么？大概，你对那些试图校验来电者身份的员工是另有一套策略吧（而不管来电者声称自己是谁或想找谁）？如果你的员工们认为他们执行你的策略反而会受罚或者被解雇的话，那么他们执行这个策略恐怕就极为勉强了。