中文版推荐序

本书的翻译出版可谓恰逢其时。社会工程攻击，特别是网络钓鱼，其攻击切入点是人机系统的“连接部”，作用于用户的心智过程。因此，其防范难以单纯依托安全技术解决，而必须同步提升用户的安全意识和素养。在人工智能大模型时代，攻击者的目标情报采编、目标情景理解和高水平社工话术生成能力都有巨大跃升，使社工攻击更难以有效防范。在此背景下，能将这样一本深入梳理社工攻击的优秀外文图书翻译出版，对于推动国内相关安全防护能力的提升、安全意识的强化有着重要意义。

本书基于攻击原理、技术防御、安全策略、安全意识四个维度展开、内容完整。译文力求严谨、细致。需要特别说明的是，本书翻译之时，大模型翻译技术尚未成熟，因此书中少数内容的翻译没有当下大模型翻译流畅，但亦可见半人工翻译专业书籍阶段独具的匠心。

肖新光

安天集团董事长、首席技术架构师

中国网络安全产业联盟理事长

中国计算机学会计算机安全专业委员会常务委员

译  者  序

翻译罗杰・A. 格莱姆斯(Roger A. Grimes)的匠心之作Fighting Phishing，并非我的初衷。对本书的翻译完全源于上一本译著的出版经历。2021年，中国电科战略研究中心高级研究员李晨老师向我推荐了玛丽・德・弗雷曼维尔(Marie de Fréminville)所著的Cybersecurity and Decision Makers。他认为我过去研究的网络安全仅停留在国家宏观层面，不够贴近现实。而Cybersecurity and Decision Makers一书面向企业主，意在推动企业主关注网络安全，我十分认同他的观点，所以就有了从2021年开始持续三年的翻译工作。2024年，《网络安全与决策——数据安全与数字信任》在机械工业出版社正式出版发行。无数个日夜的加班辛苦，加之出版合同反复磋商，曾让我暗下决心，此生不再从事翻译项目。然而辛苦的忙碌并未换来市场的热捧，国内企业主为何对网络安全议题关注度不足？2025年，当清华大学出版社的王军老师向我推荐社里出版的《信息安全原理与实践》与《灰帽渗透测试技术》等网络安全书籍时，我萌生了再试一次的想法。这次，我选择了一本直接面向普通个人的网络安全著作，便是眼前这本《打击社会工程与网络钓鱼》，本书完立足个人视角，探讨如何应对日常生活和工作中的网络安全问题。

借助社会工程手段实现特定目的，应该是自人类诞生以来就已普遍存在的一种社会现象，并随着媒介技术的发展而不断演化；网络钓鱼，显然是计算机网络普及之后才兴起的攻击方式。依托计算机网络实现跨地域信息交互，已是当代社会不可或缺的活动。现代计算机网络可追溯至20世纪50年代，美国麻省理工学院(MIT)林肯实验室为美国空军研发防空系统时的技术构想。此后，美国国防部高级研究计划局(ARPA)在该基础上搭建起全球首个采用分组交换技术的广域网，并推动技术向民用领域转化。由于网络在设计之初，研发重心聚焦于如何通过连接实现数据和信息的交换，因此对于安全的考量先天不足。

1994年，我国正式接入国际互联网，大约从2000年开始，互联网就逐渐在国内广泛普及，而关于网络安全的话题，当时在西方发达国家就已逐步受到关注。因此，从互联网普及到直面网络安全挑战，我国的反应周期远短于美国。2009年，美国奥巴马政府发布《网络空间政策评估——确保可靠和具有恢复功能的信息与通信基础设施》，这份文件是当时全球最具权威性的网络安全官方文件之一。该文件通过美国国家安全第54号总统令、国土安全第23号总统令，对网络空间(Cyberspace)进行了定义:

信息技术和基础设施相互依存的网络，包括互联网、电信网、供电网，计算机系统，以及嵌入关键产业中的处理和控制单元。

笔者当年将该报告全文翻译，并将译文和同期翻译的2010版《美国国家安全战略》《四年一度防务评估报告》《核态势评估报告》，以及2011版《国家安全空间战略》一同收录，构成我的第一本译著《全景聚焦：美国最新军事战略》(国防大学出版社，2011)。这次出于好奇开启的辛苦译事，也让我 “不经意”地成为国内较早一批网络安全研究者。2014年4月，中央国家安全委员会第一次会议提出总体国家安全观。不久，解放军报社的仇学平副总编联系到我，计划在解放军报社同步发行的《国防参考》开设“总体国家安全观”专题论坛，邀约我撰写一篇面向全军的网络安全综述长文。当时我认为，这类课题本应由院士牵头攻关，尚未满四十岁的我难以胜任。得益于仇总编的信任，《我国网络安全面临的主要威胁及应对策略》刊发于《国防参考》2015年第11期(双月刊)，得到不少同行的关注和肯定。至此，关注并研究网络安全问题，成为笔者多年的学术自觉和专业爱好。

迈入21世纪的第三个十年，网络已成为每个人不可或缺的基础设施。“被网络钓鱼”也就成为每个人随时可能踩中的“陷阱”。大多数人都有过被“网骗”的遭遇：可能是一封钓鱼邮件，也可能是诈骗短信或诈骗电话。尽管相关机构会定期发布社会工程诈骗与骚扰案件统计，但身处现实之中我们不难发现，绝大多数案例(尤其是诈骗未遂事件)并未被记录在册，真实发生的案件数量远高于官方统计。如何防范个人、家人与所在组织遭受社会工程攻击与网络钓鱼侵害，与每个人息息相关。本书从政策规范、技术防御、安全意识培训三个维度，对该问题展开专业剖析。全书内容共分为17章，第1章介绍社会工程学的基本概念和一些相关统计数据；第2章通过实例讲解各类网络钓鱼攻击形式与专业术语；第3～17章，给出一系列实用方法，帮助读者抵御社会工程与网络钓鱼威胁。

全书的翻译历时一年半。感谢我的博士同学侯瑞承担前期大量翻译工作，感谢于晓娟老师负责校对复核。多人合作翻译存在一个难点：统稿阶段才发现三位译者行文风格差异较大，必须逐句对照原文通读，统一全书术语。同时感谢出版社编辑在初审阶段，指出图表名称漏译等问题。由衷感谢清华大学出版社王军老师给予的信任，尤其包容我多次延后终稿提交时间。

希望本书的读者能够逐渐明白一个道理：在网络时代，防范网络诈骗，既是需要国家政策支撑、专业机构持续深耕的专业课题，更是每个人不可忽视的现实问题。倘若缺少每个人的安全意识觉醒，国家网络安全建设便成无源之水。

是为序。

2026年9月郭拓荒于北京红山口

谨将本书献给妻子特里西娅(Tricia)。我们结婚至今已经快25年了，她一直是我最好的朋友，也是我每天都想在一起的人。自从遇见她的那天起，我就一直在努力，让自己成为一个更优秀的人。

作者简介

罗杰·A. 格莱姆斯(Roger A. Grimes)是KnowBe4公司的数据驱动倡导者，拥有35年计算机安全咨询经验，是数十项计算机认证的持有者，并撰写了13本关于计算机安全的书籍和1300多篇杂志文章。他曾在美国许多大型计算机安全会议(如Black Hat、RSA等)上发表演讲，在《新闻周刊》杂志上发表过文章，还在电视上露面接受过NPR的“All Things Considered”和《华尔街日报》的采访，并担任过数十档广播节目和播客的嘉宾。

他曾供职于多家全球最大的计算机安全公司，包括Foundstone、迈克菲(McAfee)、微软(Microsoft)等。他为全球数百家公司提供过咨询服务。他擅长社会工程、主机和网络安全、勒索软件、多因素认证、量子安全、身份管理、反恶意软件、黑客、蜜罐、公钥基础设施、云安全、加密策略和技术写作。他获得的认证包括CPA、CISSP、CISA、CISM、CEH、MSCE：Security、Security+等，并且他是其中多项认证的讲师。

他的著作和演讲常常以立足现实、观点独特而备受关注。2005—2019年，他担任InfoWorld和CSO的每周安全专栏作家。

致    谢

首先，我要感谢KnowBe4公司的首席执行官Stu Sjouwerman，感谢他在五年前聘用了我，我在如何打击社会工程和钓鱼攻击方面的许多理解都来自他及他安排在我身边的同事。其中包括我的上司Kathy Wattman、Michael Williams和Cindy Zhou，以及我的工作搭档：Anna Collard、James McQuiggan、Erich Knorr、Javvad Malik、Martin J. Kraemer、Jelle Wieringa、Jacqueline Jayne、Brian Jack、Perry Carpenter、Cassandra Cadot、Anne Dolinschek和Joanna Huisman。他们中的大多数人在关于钓鱼和社会工程领域的学识都比我丰富得多。幸运的是，我在写作方面略胜一筹。我要感谢Amanda Tarantino，她编辑了我撰写的多本书籍(但本书除外)。我要感谢Megan Stultz，因为有了她，我的工作和生活变得轻松愉快。我要感谢Mary Owens、Mandi Nulph和Natalie O’Leary，他们共同策划了我每年做的数百场关于社会工程的演讲。如果你看到我的线上演讲并且喜欢，那么请感谢他们的付出。特别感谢John N. Just博士，他撰写了本书第12章的大部分内容。那段时间我非常依赖他，并且我邀请他来写这一章，这一章的内容才得以更加完善，而他也确实做到了。如果你有机会在我们的KnowBe4活动中见到John，不妨上前和他交谈，因为你会学到很多知识。

许多作者出于职责，会例行感谢他们的雇主和同事。但如果你能身处我和KnowBe4周围，就会发现这里是一个多么特别的地方，也是一个令我愉快工作的地方。我在KnowBe4取得了我职业生涯中最好的成绩，这离不开KnowBe4和周围的人。而且，懂得感恩是好事，毕竟不是每个工作环境都是这样的。我只希望每个人最终都能找到一个像这里一样适合他们的地方。他们随时可以解雇我，但我仍然会说，在这里的每一分钟都值得。我们每天都在努力寻找打击社会工程和网络钓鱼的最佳方式。特别感谢Hagop Khatchoian，他是EasyDMARC的技术与实施团队的负责人。他和Dmarcian的Tim Draegen几乎教会了我关于DMARC(第7章)的所有知识。Tim始终耐心地解答我所有的问题，Hagop多次审查了整章内容。Hagop的技术标记在草稿中随处可见，我相信若是他现在读到本书，仍然能找到一些缺点。但是，Hagop，我尽力了。

特别感谢Matt Canham博士，感谢他给予我的所有意见和建议，其中一些已在本书中得到了体现。Matt Canham博士花费时间试图弄清楚如何打击社会工程和网络钓鱼，他的见解独到且珍贵。特别感谢Loren Kohnfelder博士，他在1970年代发明了数字证书，并且从未停止尝试解决计算机安全领域的所有难题。我们经常每周谈话，讨论如何应对黑客和社会工程。如果多听取Loren的观点，世界将变得更加安全。我想感谢美国网络安全和基础设施安全局(CISA)的局长Jen Easterly，感谢她和CISA理解安全意识培训的重要性。与她的谈话让我意识到，大规模应对黑客是一个十分棘手的问题，但在CISA，他们的指导让我认为这是我见过的最好的网络安全政府机构。我总是对她及其团队所取得的成就，以及他们提供的新服务印象深刻，这些服务使世界变得更加安全。

感谢Jim Minatel和Wiley批准出版本书，这是我与Wiley合作出版的第5本书。我脑中一直积累着这些相关知识，很高兴能借本书整理成册。特别感谢Kelly Talbot。我和Kelly之前合作过几本书，她从未让我失望过。Kelly惊人的工作效率和对内容的持续改进是无价之宝。因为Kelly，我看起来比实际更像一位优秀的作家。感谢Wiley团队的其他成员，包括Sara Deichman，以及其他所有Wiley的员工。除了你们，我真心不想与其他人一起合作出书。

最后，我力求本书在技术层面保持准确和严谨。如果你在书中发现了错误，那么责任完全由我一人承担。

译者简介

郭拓荒：内蒙古呼和浩特人。1994年高考入伍，装甲兵工程学院工学学士、科学哲学硕士、国防大学军事学战役学博士。历任陆军某部副连长、技师、连长，原总参某部助理研究员、参谋、国防大学讲师、副教授等。现任国防大学副教授、陆军专业技术大校，军事指挥、军事智能方向硕士研究生导师。获军队科技进步二等奖1项、三等奖2项；在《解放军报》《军事学术》《中国标准化》《科学管理研究》等核心期刊发表学术文章50余篇；著有《不可不知的科学名著》《苏军将帅龙虎榜》《标准化机理与联合作战体系构建》等个人专著；译有《全景聚焦：美国最新军事战略》《憾天裂地——21世纪中国空军的作战理念》《美军眼里的中国军队》《网络安全与决策：数据安全与数字信任》等多部作品。

侯瑞，河北沧州人。2002年高考入伍，外国语言文学学士、硕士，军事训练学博士。历任助教、讲师、参谋、翻译等职，完成国家、军队级科研课题多项，发表学术论文20余篇，出版专著1部。

于晓娟，山西大同人。英语专业学士、外国语言学及应用语言学硕士。现任副教授，长期从事英语教学和翻译工作，完成科研课题多项，参编教材10余部，参译著作9部。

前    言

社会工程自人类诞生以来就已存在，而网络钓鱼至少自互联网诞生以来就已存在。我还记得1987年自己第一次通过计算机接触社会工程。那是在大多数人还没有听说过互联网之前，也是在大多数人拥有个人电脑之前。我们中的许多人都使用过FIDONet(互联网前身)。那时，你会使用300或1200 BAUD或BPS(每秒位数)拨号模拟调制解调器呼叫本地BBS(公告板系统)，而该系统将使用一种原始的“存储转发”技术，可以在一天左右的时间内在世界范围内传输和接收消息和文件。我们认为这一切都非常前沿。

在一个BBS上，我发现了一个名为“如何获取免费的HST调制解调器”的可下载文本文件。HST调制解调器由US Robotics制造，是当时最快且最好的调制解调器，其以令人难以置信的9600 BPS运行。它们非常昂贵，只有少数幸运且财力雄厚的人才能拥有，且大多数只供《财富》500强公司和资金充裕的大学使用。该文件承诺会告诉读者如何获得一个免费的HST调制解调器。这太诱人了，让人无法拒绝。

我打开了该文件，里面只写着这样一行文字：“偷一个试试！”我心想：“嗯，白忙活一场，这太令人失望了！”在我按下下一个按键后，我的硬盘竟被格式化了(即永久删除)，使电脑无法使用，直到我重新安装操作系统并重做了一切。我丢失了所有的文件。

事实证明，这个文件就是所谓的“ANSI炸弹”。这是一个恶意文件，利用了操作系统文件ansi.sys的一个特性。ansi.sys是微软DOS操作系统的一部分，当时我们大多数人都运行这个系统。ansi.sys是一个可选文件，允许用户为他们的屏幕和键盘提供可扩展的炫酷功能，如在屏幕上显示特殊的图形和字符。它还允许熟练的用户将一系列命令映射到键盘上的某个键，其目的是允许人们创建“宏”——一种自动化的快捷方式，可以触发一长串按键。你只按一个或两个键，就可以自动执行原本需要很多其他按键才能实现的操作。但是，有些恶意的人篡改了该文件，当你按下下一个键时，该文件指示ansi.sys将键盘上的所有键都映射为格式化用户的硬盘。

这是一个教训。世界上存有恶意的人，他们往往会伤害其他无辜的人，仅仅是因为他们想证明自己有这个能力。世界上并不是所有人都很友好和乐于助人，尤其是对陌生人。

现在，在我的职业中，社会工程和网络钓鱼对网络犯罪的影响已经被反复强调。如今，几乎每个人都明白，社会工程和网络钓鱼是导致网络犯罪的首要原因，比任何其他单一的初始根本原因都要严重。其他任何黑客攻击的根本原因与之相比都相去甚远。但就在十年前，尽管这是事实，并不是所有的网络安全防御者都对此有很好的了解。我认为每个人都知道社会工程和网络钓鱼是一个问题，但很少有人确切地了解该问题的严重性，也很少有专业防御者知道这是最大的问题——甚至我也不知道。

2007—2018年，我在微软公司担任首席安全架构师近11年。在此期间，我大部分时间都在为客户进行安全审查，并负责安装公钥基础设施(Public Key Infrastructure, PKI)和高级安全防御系统。我通常能得到客户的认可，并且总是能够按预算完成系统安装，这在计算机行业中并不常见。多年来，我觉得自己为保护客户的安全做出了很大的贡献。然后我意识到，无论我们安装了何种防御措施，我的每一个客户仍然会受到黑客和恶意软件的攻击。即便我们安装了最好的计算机安全防御系统，但情况仍然如此。原因何在？这几乎总是源于社会工程(其次是未打补丁的软件)。尽管我的所有客户都花费了数十万到数百万美元，使用业内能想到且可提供的最先进的系统来保护自己，但击倒他们的却是自计算机诞生以来一直困扰公司的同一问题——社会工程，且通常一般是网络钓鱼。这种认知大约在2016年出现在我脑海，这让我感到沮丧。我意识到自己并没有真正帮助客户避免黑客和恶意软件的攻击。我所做的更多的是障眼法，是在浪费他们的时间和金钱。但并非只有我如此。大多数计算机安全公司和顾问都和我一样，专注于一切，设法击败社会工程和网络钓鱼，因为它们显然是迄今为止最大的问题所在。尽管如此，这一认知仍然让我非常不安。

最终我在2018年，将这一认知写入了初版书籍A Data-Driven Defense: A Way to Improve Any Computer Defense(《数据驱动防御：改进任何计算机防御的一种方法》)。这本书销量超过5万册(历经三个版本)，其前提——社会工程是大多数公司最大的网络安全威胁——促使我为现在的雇主KnowBe4工作。

KnowBe4的首席执行官Stu Sjouwerman是第一批阅读我这本书的人之一，他不仅理解了书中关于打击社会工程和网络钓鱼的重要性，还理解了利用数据创建有效网络安全防御的价值。2018年4月，Stu向我提供了一份工作，我接受了。我很高兴。我不仅将开始为一家安全意识培训领域的领先公司工作——这是打击社会工程和网络钓鱼的最佳方法之一，而且我还能将工作重心放在帮助客户解决其网络安全防御中的最大弱点上。我非常兴奋，直到今天仍然如此。

在过去的五年时间里，作为KnowBe4的数据驱动防御倡导者，我已进行了数百场面对面的演讲和在线网络研讨会。

你可以在这里下载和阅读我的诸多白皮书，网址是www.knowbe4.com/security- awareness-whitepapers(编者注：该网址为境外链接，需代理访问)。

你可以在这里请求我为你的公司做演讲，网址是www.knowbe4.com/security- awareness-training-advocates(编者注：该网址为境外链接，需代理访问)。此外，在YouTube上可以免费观看我的数十场演讲。我谈论的话题包括许多超越社会工程的主题，还包括多因素身份验证、量子技术、勒索软件、密码、密码管理器、国家级黑客攻击和加密货币等，但我的大多数演讲都涉及一些关于打击社会工程和网络钓鱼的内容，即使主要话题并非聚焦于此。我从不放过任何向听众传达关注预防社会工程和网络钓鱼诈骗重要性的机会。对于大多数组织而言，降低社会工程和网络钓鱼威胁，是减少现有网络安全风险的最佳措施。本书给出了当下对抗社会工程和网络钓鱼的最佳建议。据我所知，目前没有其他资源能比本书提供更全面的内容和建议。我并不谦虚，我认为自己擅长教人们降低遭遇社会工程和网络钓鱼的风险。我将许多必要的教训和过程简化为你在任何地方都能看到的建议和图表；同时涵盖了你应该采取的每一条策略、技术防御和最佳实践教育方法，以最有效地阻止社会工程和网络钓鱼。你想知道如何最大程度地降低来自社会工程和网络钓鱼的网络安全风险吗？那么，阅读这本书吧。

本书读者对象

本书面向所有对打击社会工程和网络钓鱼攻击感兴趣的读者——从整个组织到个人，到专职防钓鱼员工以及IT经理，以及任何IT安全从业者。因为书中包含大量专门针对策略和正式安全意识培训计划的独立章节，可以说它更适合规模从小型企业到《财富》500强不等的组织。但是，无论个人还是任何规模的组织，都可以从本书包含的建议和最佳实践中受益。本书中的许多教训值得与朋友和家人分享，且其中许多内容是通用的。这正是我刚进入这个行业时希望能读到的书。

本书涵盖的内容

本书涵盖打击社会工程和网络钓鱼所需知道的一切内容，共包含17章内容，分为4个部分。

第Ⅰ部分：社会工程安全简介

第Ⅰ部分首先介绍与社会工程和网络钓鱼相关的所有数据和术语，包含几十个不同的定义，这些定义将帮助你更好地理解和讨论社会工程和网络钓鱼。第Ⅰ部分最后将探讨所有计算机安全防御中所需的三种必要组件，其中包括一个对抗社会工程和网络钓鱼的组件。

第1章“社会工程和网络钓鱼简介”探讨围绕社会工程和钓鱼攻击的数据和事实，以及如果你想抵御黑客和恶意软件，击败这些攻击为何如此重要。如果你需要向管理层证明组织打击社会工程和钓鱼攻击的重要性，该章将为你提供论据。

第2章“网络钓鱼术语和示例”描述与社会工程和钓鱼攻击相关的数十种定义。有许多类型的社会工程和钓鱼攻击，了解这些差异将帮助你更好地理解威胁并制定最佳对抗策略——不同类型的社会工程和钓鱼攻击需要不同类型的防御措施。此外，该章还将介绍许多不同类型的钓鱼攻击示例。

第3章“3×3网络安全控制支柱”介绍所有的安全防御都需要最佳风险管理、纵深防御、技术防御和教育，以有效对抗网络威胁。该章涵盖合规性、风险管理、纵深防御，以及所有防御者必须了解和部署的三种防御措施，这些措施不仅用于对抗社会工程，还用于对抗任何网络威胁。

第Ⅱ部分：策略

第Ⅱ部分探讨所有组织应该创建和部署的各类通用和特定策略，以帮助打击社会工程和网络钓鱼。

第4章“可接受使用策略和通用网络安全策略”涵盖所有组织都应制定和部署的可接受使用策略和通用网络安全策略，以最大程度地降低网络安全风险。作为网络安全策略的部分，本章还将涵盖许多通用最佳实践安全建议。网络安全教育从完善的策略开始，该章将开启这一教育过程。

第5章“反网络钓鱼策略”涵盖所有组织为最大程度地减少社会工程和钓鱼攻击而需要创建和实施的具体策略。

第6章“制定企业安全意识培训策略”适用于需要有正式安全意识培训计划策略的大型组织。它涵盖了安全意识策略应包含的所有组件，并在结尾处提供可供读者使用的示例策略，以创建他们自己的策略。

第Ⅲ部分：技术防御

第Ⅲ部分涵盖可以利用的所有软件和硬件工具，以最小化社会工程和网络钓鱼攻击。

第7章“DMARC、SPF和DKIM”涵盖基于域的消息认证、报告和一致性(Domain-Based Message Authentication, Reporting and Conformance, DMARC)、发件人策略框架(Sender Policy Framework, SPF)及域密钥标识邮件(Domain Keys Identified Mail, DKIM)的反钓鱼标准，以及如何在自身环境中部署它们。

第8章“网络和服务器防御”涵盖用于对抗社会工程和恶意软件威胁的最常见的网络部署和服务器级网络安全防御类型。它包括内容过滤和网关、反钓鱼过滤器，以及网络连接映射。

第9章“端点防御”涵盖用于对抗社会工程和恶意软件的最常见的端点部署网络防御。内容包括反恶意软件扫描程序、端点检测和响应软件、内容过滤器、浏览器防御和电子邮件保护。

第10章“高级防御”涵盖使用单独的“红/绿”系统、基于虚拟机管理程序的硬件强制隔离系统、DNS防御和复杂的恶意软件检测防御等高级防御措施。

第Ⅳ部分：制订一个卓越的安全意识培训计划

打击社会工程和钓鱼攻击时最容易被忽视的部分之一，就是制订一个卓越的安全意识培训计划。本书的最后一部分专门阐述如何制订这一计划。如果能遵循本节的内容，那么你将可以显著降低组织中的网络安全风险。

第11章“安全意识培训概述”对如何制订一个复杂的安全意识培训计划进行了概述，包括它应该包含的内容、参与人员，以及应该使用的工具和方法。如果你想知道如何制订一个卓越的安全意识培训计划，那么就从这里开始吧。

第12章“如何正确开展培训”讲解有效的培训不是偶然发生的，它需要计划、准备、后勤保障和合作。该章由约翰·贾博士撰写，涵盖所有出色的安全意识培训计划应具备的培训类型和质量，包括测试、下一步行动和高质量的反馈循环。

第13章“识别恶意URL”介绍你可以教给任何人的最佳技能之一，就是如何识别钓鱼网址。该章详细介绍如何区分合法和恶意网址，包含数十个恶意网址的示例，以及识别其欺诈的方法。

第14章“打击鱼叉式网络钓鱼”介绍鱼叉式网络钓鱼，比任何其他单一威胁都更容易导致数据泄露，并且需要专门的培训来击败。该章探讨如何修改“常规”安全意识培训计划，以应对鱼叉式网络钓鱼的实际风险。

第15章“取证检查电子邮件”涵盖如何对电子邮件进行取证检查，以更好地确定你正在查看的是否为钓鱼邮件。其中讲解了数十种方法，包括DMARC、DNS查询、域名调查、黑名单和物理地址定位。如果你曾经对某封正在查看的电子邮件是否为钓鱼邮件感到困惑，那么该章就是为你量身打造的。

第16章“其他各种提示和技巧”涵盖不适合归入其他章节的建议和提示，如严格的反钓鱼策略、纯文本电子邮件、SAT咨询等。

第17章“改善你的安全文化”介绍在计算机安全防御社区中，目标是创建一种持久且普遍的网络安全文化，使每个人都能够践行良好的网络安全习惯，从而显著降低组织面临的网络安全风险。该章将定义安全文化的组成部分，并探讨如何使你的组织达到这一目标。

综上所述，这17章及它们包含的课程和最佳实践建议，应该能够帮助读者制订出最完善且最高效的计划，以打击社会工程和钓鱼攻击。我试图将打击社会工程和钓鱼攻击的最佳防御措施和最佳实践建议融入本书中。这将为你提供比以往任何时候都更强大的安全工具。

关于本书编译说明

由于全书中包含约两百个网址，这些网址均为境外链接，因此需代理访问。对于正文中出现的这类网址，本书将以脚注或参考资源的形式呈现和保留。