信息安全中的人为因素：一项定量研究及预防社会工程攻击的技术解决方案

《Digital Threats: Research and Practice》：Human Factors in Information Security: A Quantitative Study with Technical Solutions to Prevent Social Engineering Attacks

人类因素在社交工程攻击中起关键作用，利用认知偏差和心理漏洞实施诈骗。2023年互联网犯罪报告显示，身份冒充（ impersonation）和商业邮件诈骗（BEC）造成损失达4.2亿美元。本文通过案例分析、208份问卷调研，揭示公众对人类因素认知不足，技术防护与行为管理需协同。提出整合技术防护（如多因素认证）与人类防御（如安全意识培训）的新框架，强调数据驱动的定制化措施，为组织提供风险缓解方案。

　　

摘要

人为因素在社交工程攻击中起着关键作用，这些攻击利用人类的行为、认知偏见和心理弱点来操纵个体并突破安全协议。由于缺乏对这些人因素的全面理解以及有效的应对措施，攻击者能够在全球范围内成功实施社交工程攻击，从而导致严重的安全漏洞。根据2023年《互联网犯罪报告》，假冒身份和商业电子邮件入侵是成本最高的攻击类型之一，分别造成了29亿美元和13亿美元的损失。本文通过真实案例研究，探讨了人为因素在社交工程攻击中的作用及其日益普遍的趋势和影响。此外，还回顾了现有文献中的各种安全框架和技术，分析它们的优点和局限性，为新的概念性安全框架奠定了基础。为了深入理解这些问题，我们设计了一份定量问卷，收集了208份反馈，以评估公众在信息安全和社会工程领域对人为因素的知识、行为、经验和观点。调查结果揭示了受访者对人为因素和社交工程缺乏了解的情况，并表明技术和人为因素共同导致了安全漏洞的产生。研究结果强调了采取平衡方法的必要性，因此提出了一个新的安全框架，该框架结合了技术和人为解决方案，以有效降低这些风险。通过严格遵循这一框架，组织可以根据收集到的数据，实施最合适和最有效的技术和人为措施。