序

無論你是否對(duì)那些針對(duì)主要商業(yè)公司、政府部門、電網(wǎng)或者私有銀行發(fā)起的黑客攻擊感到擔(dān)憂，你都能從更多的信息和個(gè)人訓(xùn)練中受益，并以此來保護(hù)自己、保護(hù)公司、保護(hù)你所愛的和所關(guān)心的人，避免經(jīng)濟(jì)損失、遭遇尷尬或者更糟糕的情況。幾乎每一起成功的網(wǎng)絡(luò)攻擊的核心都是人的因素。人的因素使得壞人能找出攻擊系統(tǒng)的途徑。由于人是每一起成功的安全攻擊的核心要素，克里斯托弗（簡(jiǎn)稱克里斯）決心通過教育培訓(xùn)，結(jié)合他作為專業(yè)社會(huì)工程人員（白帽子）和滲透測(cè)試者的經(jīng)驗(yàn)，幫助大型公司以及他遇到的每一個(gè)人抵御這些攻擊。

當(dāng)克里斯和他出色的合著者兼訓(xùn)練伙伴米歇爾·芬奇一起，問我是否愿意為他們最近的一本書作序時(shí)，我感到既吃驚又榮幸。我多年前遇見克里斯時(shí)，他剛創(chuàng)辦自己的公司Social-Engineer。克里斯曾（并且仍在）主持一系列很棒的播客訪談節(jié)目，采訪來自人際交互不同領(lǐng)域的專家。在那些日子里，克里斯迅速意識(shí)到人是最容易受到攻擊的部分，并且技術(shù)和它的使用者和維護(hù)者一樣脆弱。

我很清楚地記得我和克里斯多年前的第一次談話。我當(dāng)時(shí)就對(duì)他在行為學(xué)方面淵博的學(xué)識(shí)和充沛的熱情印象深刻。更讓我印象深刻的是，他的工作結(jié)合了自己在人際關(guān)系方面的學(xué)識(shí)、在安全領(lǐng)域多年的工作經(jīng)驗(yàn)，以及在大型機(jī)構(gòu)協(xié)調(diào)和組織培訓(xùn)項(xiàng)目的才能。最后，他的誠(chéng)意和想要幫助他人的渴望，讓我相信他是這個(gè)領(lǐng)域了不起的人物。

無需多言，我和克里斯很快就成了朋友。基于幫助他人的共同熱情，我們創(chuàng)造了一種克里斯和他的合作伙伴如今成功開展并正在拓展的訓(xùn)練，他的合作伙伴就是空軍學(xué)校畢業(yè)生、行為專家和合著者米歇爾。克里斯開闊了我的眼界，讓我了解到我曾經(jīng)使用多年的、用以獲取他人信任的、讓我成為海軍陸戰(zhàn)隊(duì)軍官的技術(shù)，以及作為FBI探員用來挫敗敵人的本領(lǐng)，實(shí)際上和惡意攻擊者所使用的技術(shù)是一樣的。通過利用一些建立信任的技術(shù)，黑客使得收到惡意郵件的人以為點(diǎn)擊惡意鏈接或者采取某種類似的行動(dòng)才是最符合他們的利益的。而克里斯正是致力于通過訓(xùn)練來阻止人們采取這種危險(xiǎn)行動(dòng)。

當(dāng)我?guī)椭鷦e人時(shí)，我在生活中的方方面面都會(huì)用到從克里斯那里學(xué)來的知識(shí)。我也會(huì)教授政府和私有企業(yè)這些容易由于人的因素而受到攻擊的機(jī)構(gòu)一些社會(huì)工程學(xué)意識(shí)。實(shí)際上，我常常會(huì)把我和克里斯多年前在華盛頓州西雅圖市開設(shè)第一節(jié)社會(huì)工程學(xué)認(rèn)證課程時(shí)使用的釣魚郵件拿出來。一周的訓(xùn)練里包含了大量的實(shí)踐練習(xí)，參與者會(huì)試著與他們遇到的普通人建立信任并施加影響。克里斯用寫字板創(chuàng)建了一封典型的釣魚郵件，這封郵件他總是在滲透測(cè)試中使用，并取得了很大的成功。克里斯解釋了他是如何利用這封郵件得到75%的點(diǎn)擊率的。那75%的人點(diǎn)擊了這封郵件里的鏈接后，會(huì)立刻跳轉(zhuǎn)到一個(gè)訓(xùn)練網(wǎng)站，里面展示了一些材料，幫助這些人了解以后應(yīng)該注意哪些方面。換句話說，學(xué)習(xí)和教育變成了一種非常積極而非消極的事情。在剛才提到的那封郵件的基礎(chǔ)上，我們利用人際關(guān)系和信任建立方面的一些技巧對(duì)其稍微進(jìn)行了調(diào)整，在不增加郵件長(zhǎng)度的前提下增加了3種新的技術(shù)。接下來的一周，克里斯告訴我他用那封修改后的郵件取得了100%的點(diǎn)擊率。由于訓(xùn)練有素，比起參加克里斯加強(qiáng)型反釣魚攻擊訓(xùn)練前，那家公司已經(jīng)取得了明顯的進(jìn)步。

我所學(xué)到的知識(shí)和我的個(gè)人經(jīng)驗(yàn)告訴我：克里斯是這方面的杰出專家。我——和這個(gè)世界——都受益于他的熱情、知識(shí)以及教授別人知識(shí)的能力，這樣我們就可以生活在一個(gè)更安全的世界里。

本書的內(nèi)容適合所有人閱讀，可以用于職業(yè)生涯和個(gè)人生活的方方面面。克里斯和米歇爾用他們作為專業(yè)社會(huì)工程人員和滲透測(cè)試者的實(shí)際經(jīng)驗(yàn)，闡釋了人類點(diǎn)擊不該點(diǎn)擊的東西這一行為背后的心理學(xué)。結(jié)合克里斯自嘲式的幽默和米歇爾風(fēng)趣的點(diǎn)評(píng)，本書可以在保護(hù)你和你的公司的同時(shí)，為你的閱讀增添一些樂趣。最后，本書是一本實(shí)用手冊(cè)，告訴你如何經(jīng)營(yíng)更安全、紅火的企業(yè)，同時(shí)讓個(gè)人生活免受惡意攻擊者干擾。

通過閱讀、記憶和實(shí)踐本書中的內(nèi)容，你能夠重新審視自我、你的公司以及那些你關(guān)心的人。如果我們能夠處理好惡意攻擊中的首要因素——人的因素，那么這個(gè)世界就不會(huì)遭受影響數(shù)百萬人的大范圍攻擊了。

——羅賓·德瑞克（Robin Dreeke），美國(guó)海軍陸戰(zhàn)隊(duì)軍官，F(xiàn)BI探員/行為學(xué)家，People Formula（www.peopleformula.com）創(chuàng)始人，暢銷書It's Not All About “Me”獨(dú)立作者

以上觀點(diǎn)和想法僅代表筆者個(gè)人，不代表FBI。