如何有效应对不断翻新变化的“钓鱼”术

网络钓鱼防范的现状与挑战

传统上,应对网络钓鱼和电信诈骗,我们有一些网站信誉评测、诈骗监控与响应以及用户安全意识教育等措施。网站信誉评测的覆盖面和强制力有限,特别在移动互联网时代开始没落;诈骗监控与响应措施依赖对钓鱼网站地址的及时发现,往往比较滞后,并且犯罪分子不断变化域名和服务器,所以打击起虽有一定的效力,但仍然面临不少困难。

于是大家将最后的希望转移到对用户的防钓鱼意识教育培训上,这个大方向无疑是正确的。对此,昆明亭长朗然科技有限公司防钓鱼安全专员董志军说:在信息安全管理最佳实践方面,用户是第一道安全防线,这是被业界广为认可的。只不过,“钓鱼”术也在不断的变化,那些人类中的败类,总是不断挖掘着人性的弱点并加以利用。比如,传统上,我们宣传防范网络钓鱼,告诉用户“不要点击邮件中的陌生链接,不要开启未知来源的附件。”而新型的网络钓鱼则潜伏进被入侵的邮箱,冒充熟人发送附件,并将钓鱼网站链接放在附件中,还搞些技术欺骗性的语句诱惑收件者。


从图例中,我们可以看出,诈骗分子不直接在邮件正文中放置钓鱼链接,而是将钓鱼网站链接附在网页、Word、Excel等文件中,诱导人们点击链接的理由往往是些技术原因,比如软件版本低需要登录进行功能更新、内容已经加密等等

接下来的钓鱼网站除了网址,登录界面和常用的QQ邮箱、网易邮箱等一模一样。那些受害用户要么没有注意看网址,要么根本不知道网址还有假的。

问题的根源何在?

如果您是有IT背景的人士,您可能会觉得那些轻易上当的职场受害人也太菜了,缺乏计算机使用方面的基础知识。不要怪这些职员们“不学无术”,想想我们有向这些受害者提供过必要的计算机基础知识,和防钓鱼方面的教育培训了吗?很多职位的用户,除了使用业务所必须的操作,可能也就只知道个开机和关机。对此,昆明亭长朗然科技公司董志军深表痛心:计算机用户只知道在应用层面照葫芦画瓢,不懂原理,是我们整个信息产业的硬伤。

敢问路在何方?

冲突源自知识上的不对等,钓鱼分子在技术层面糊弄小白用户,小白只能为自己的无知埋单。我们的很多服务商也经常是在概念上忽悠客户,在培训落实上,只简单教教操作便草草了事儿。这种不负责任的做法需要得到改变,我们需要踏踏实实地告诉用户系统的工作原理,要把计算机小白变成电脑达人。就拿上述图例来讲,当用户有了知识上的提升,懂些Office软件的原理和网址的意思,那些钓鱼分子的技术理由就会显得可疑和可笑了。

另外,钓鱼防范知识和技能的普及任重道远,新手法不断出现,我们要不断跟进,及时向用户展示新的钓鱼手法。同时,我们也得培养用户对网络钓鱼技术的识别力和敏感度,只有用户们拥有了足够的防钓鱼能力,能够辨识新型的诈骗手法,那才是钓鱼防范教育工作的成功。具体如何做呢?亭长朗然公司董志军建议:宣教一些普及性的防钓鱼知识,多加练习,借助大量的(几十个)钓鱼的模拟场景,让用户进行判断,找出其中的疑点,是练就火眼金睛的法宝。当然,也应该定期搞一些无害的网络钓鱼测试,以看看哪些用户的防钓鱼安全意识薄弱,在提升用户防钓鱼能力的同时也可用来衡量钓鱼防范教育工作的成效。

信息安全管理方面的建议

多数安全事故所借助的因素往往不是唯一和独立的,这也正是我们提倡多重防御的原因。在信息安全管理方面,董志军也给出一些附加的建议,比如对用户进行安全意识教育,建议其修改公共电子邮件中的私人邮箱密码,将潜伏的钓鱼分子踢出邮箱,不让其再害别人;发布规章制度并告知员工,避免将私人邮箱用于工作,将工作用密码和私人密码设为不同等,以防私人信息的失窃,影响到工作。

总结

说到底,防范不断翻新的网络“钓鱼”术,需要多方工作的协同努力,特别是加强用户计算机基础原理的教育,以及强化信息安全意识教育。

如果您对本文的观点和看法有意见或建议,欢迎您联系我们进行指正。同时,昆明亭长朗然科技有限公司提供针对用户的信息安全意识教育服务,包括大量的防钓鱼培训模块,以及模拟钓鱼测试系统等等。如果您有这方面的需要,或者对此感兴趣,也欢迎联系我们,预览产品和进行洽谈合作。

电话:0871-67122372

微信:18206751343

邮件:info@securemymind.com

QQ: 1767022898

安全意识和钓鱼模拟两手抓

关心、热爱生活的人们应该能够体会到,与多年前相比。当下国内工业制品价格低廉,但农产品和人力却很昂贵,这表明我们进入了十足的工商业现代化时代。同样的道理也适用于企业,员工是所有现代企业的核心,正因为如此,他们也必将成为网络罪犯的主要目标,进而致使网络攻击日渐普遍。

那么,如何应对网络犯罪呢?在信息时代,职员是组织中最重要的资产,“人员”是信息安全的核心要素之一,与另两个关键要素“技术”和“流程”密不可分,确保最终用户人员掌握最新的网络安全知识是必不可少的。威胁形势在不断发展,公司的防御方法也应如此。

训练有素的员工是确保组织安全的第一道防线,有效的内部安全意识计划将加强防御计划。如何强化人员安全防线呢?信息安全意识业界达成了一个共识,尽管仍然有一些质疑甚至反对的意见,但总体上认为:应该强化安全意识培训,同时实施网络钓鱼模拟。

究其原因,无外乎是网络钓鱼已经变得非常复杂,难以察觉,因为犯罪分子已经找到了使他们的邮件和消息尽可能以假乱真的方法,并不断在创新。网络钓鱼模拟测试员工如何应对现实生活中的网络钓鱼攻击。进而使我们可以跟踪哪些员工点击了网络钓鱼邮件或消息、谁泄露了他们的密码、谁忽略了该邮件或消息以及谁报告了该安全隐患事件。

那么,该如何强化安全意识培训呢? 昆明亭长朗然科技有限公司网络安全研究员董志军称:很多聪明的信息安全从业人员一拍脑袋,就创作了一些培训大纲,然后找来一些培训素材,我不反对这样做,但这不够科学。科学的方法是我们应该更全面地了解公司的人员安全意识状况和潜在风险,找出那些可能是组织中最薄弱环节的员工,因为成功转变他们可以让其成为其最强大的安全防护前线,进而制定出科学合适的安全意识培训战略。

如何实施网络钓鱼模拟呢?我们接触过各类型的网络安全机构,有很多有经验的人员对此表示悲观,特别是在政府机关和由政府控股的公司,人们怕把握不好产生误解闹出事来,怕高管被钓鱼之后惹出麻烦。我们反思,这不仅仅是沟通的问题,也是文化和政治的问题,所以比较难办。往往比较积极实施网络钓鱼的是外企,在外企透明坦率的企业文化中,即使在钓鱼模拟中上了钩,也不是多么丢人的事儿,更不会受到什么人格侮辱或惩罚。网络钓鱼模拟其实和真实的钓鱼只差在授权和道德,有了适当的授权,就不会怕被钓鱼的人员反咬一口称是不被信任、商业间谍、窃取机密、侵犯隐私权、搞办公室政治等等的大帽子。

具体的方法有两种,一种是使用自动化的网络钓鱼脚本,另一种是使用集成的平台,有一些商业公司专门开发有网络钓鱼模拟系统,这些系统也有自助或开源的版本。两种方式各有优劣,通常自动化的网络钓鱼脚本定制性较强,性能好,但是需要一些编程方面的知识。集成的平台往往是Web界面,可以发现员工的曝光表明需要培训的地方。一旦检测到学习差距,就向最易受影响的用户提供互动教育视频。模拟网络钓鱼测试增强了基于视频的培训,所有这些都侧重于最终用户的安全意识。集成的平台功能往往比较强,也需要花些时间熟悉界面操作和各种功能,基本上可以监控正在进行的进度并在组织级别可视化指标,以展示整体的安全状况,尽管有人对这些数字指标心存疑问。

我们推荐客户使用成熟的网络钓鱼模拟服务,通过模拟网络钓鱼攻击和安全意识培训活动来补充一些数据,以教育员工,使其成为应对网络犯罪的最佳防线。我们的推荐的方法只需简单几步。

首先,在安全意识方面,通过使用易于理解、简短且具有视觉吸引力的培训视频,并配以在线测验,以验证员工对培训内容的吸取和掌握情况。

接下来,安排较长时间段内随机发送模拟的钓鱼攻击,以防止员工互相警告他们收到了网上诱骗电子邮件。这样可以更好地衡量员工的意识。

最后,不断改进,通过构建、导入和编辑目标员工组,以包含在网络钓鱼模拟和培训活动中。根据反馈的情况,向特定的组发送不同的有针对性的安全意识推广系列活动。

昆明亭长朗然科技有限公司是国内信息安全意识培训和网络钓鱼模拟服务的领航者,我们的服务被多家世界五百强公司采用,并获得了大量的好评。欢迎有兴趣的客户及合作伙伴联系我们,洽谈业务合作。

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:info@securemymind.com
  • QQ:1767022898