请解释社交工程攻击的定义，并列出针对此类攻击的有效防御策略。

回答思路

1. 【回答框架 1】社交工程攻击是通过操纵人的心理而非技术手段，诱使目标泄露敏感信息或执行有害操作。其常见形式包括钓鱼邮件、 pretexting（假冒身份）、baiting（诱饵）、quid pro quo（利益交换）和 tailgating（尾随）。
2. 【回答框架 2】防范措施需从技术和人员两方面入手：一是加强安全意识培训，定期模拟钓鱼演练，提高员工识别能力；二是建立严格的信息访问授权和验证流程，如双重身份验证、敏感操作需经理批准；三是部署邮件过滤、防钓鱼网关等技术支持；四是制定并演练应急响应计划，及时发现和处置社交工程事件。
3. 【回答框架 3】技术控制无法根除风险，需结合零信任架构和最小权限原则，降低单点泄露影响。
4. 【回答框架 4】持续的安全文化建设和风险提醒机制是长期防御关键，因为攻击者会不断变换手法。
5. 【关键点 1】社交工程的核心是利用人的信任或恐惧，而非技术漏洞。
6. 【关键点 2】有效防御需结合员工培训、流程控制和技术工具。
7. 【关键点 3】验证身份和最小权限原则能显著降低风险。
8. 【关键点 4】定期模拟演练能提升员工实际应对能力。
9. 【易错点 1】仅依赖技术防线而忽视人员培训，仍可能被利用。
10. 【易错点 2】防御措施过于繁琐可能导致员工规避，应保持平衡。