劫持，劫持计算机环境，是对有效的计算机会话（有时称为会话密钥）进行攻击，以获得未

经授权访问计算机系统中的信息或服务。尤其是用于验证用户和远程服务器的cookies被盗。例

如，httpcookie，用于维护许多网站上的会话，可以通过中间计算机或存储在受害者计算机上的

cookie被盗。如果攻击者可以窃取身份验证cookie，他们可以让他们的请求看起来像是一个真

正的用户，以获得访问信息权限或更改数据。如果这个cookie是一个永久的cookie，模拟可以

持续很长时间。任何使用密钥来维该状态中两个实体之间传输的协议都是易受攻击的，特别是

如果它没有加密。

 

 

 

防御需要寻找实体身份管理解决方案，使用强大、不可预测和加密的会话密钥专门解决这种风

险。使用好的密钥管理、密钥托管和密钥恢复实践作为客户端，这样员工离职不会导致无法管

理数据。检查常规监视日志，以发现意外行为。除了积极的法律对策外，威慑与威慑会话劫持

攻击没有什么关系。剩余风险攻击者可以模拟合法用户，甚至使用管理凭证将您锁定在外部或

损害基础设施。

 

 

 

网络钓鱼是一种欺骗受害者泄露个人信息。最常见的捕鱼方法是向似乎来自合法组织的潜在受

害者发送电子邮件，引导收件人登录并提供用户名、密码、信用卡信息或其他敏感信息。防御

使用反钓鱼技术来阻止恶意网站和检测错误的网址。对面向客户的系统使用多因素身份验证，

以确保用户在重定向到虚假站点副本时警惕。定期更新和教育材料发送给客户，以解释该系统

如何工作以及如何避免在线捕鱼尝试。绝不发送含有或需要个人信息的电子邮件（包括身份证

或密码）。在检测试图复制或模拟站点的远程网站时，使用应用程序防火墙进行检测。威慑继

续教育和培训雇员使用和储存关于雇员或客户的个人信息。尽管对残余风险进行了最好的培训

和宣传，但雇员仍可能面临捕鱼欺诈，特别是如果这些计划复杂的话。这可能导致数据丢失。