网络钓鱼防范的现状与挑战

传统上，应对网络钓鱼和电信诈骗，我们有一些网站信誉评测、诈骗监控与响应以及用户安全意识教育等措施。网站信誉评测的覆盖面和强制力有限，特别在移动互联网时代开始没落；诈骗监控与响应措施依赖对钓鱼网站地址的及时发现，往往比较滞后，并且犯罪分子不断变化域名和服务器，所以打击起虽有一定的效力，但仍然面临不少困难。

于是大家将最后的希望转移到对用户的防钓鱼意识教育培训上，这个大方向无疑是正确的。对此，昆明亭长朗然科技有限公司防钓鱼安全专员董志军说：在信息安全管理最佳实践方面，用户是第一道安全防线，这是被业界广为认可的。只不过，“钓鱼”术也在不断的变化，那些人类中的败类，总是不断挖掘着人性的弱点并加以利用。比如，传统上，我们宣传防范网络钓鱼，告诉用户“不要点击邮件中的陌生链接，不要开启未知来源的附件。”而新型的网络钓鱼则潜伏进被入侵的邮箱，冒充熟人发送附件，并将钓鱼网站链接放在附件中，还搞些技术欺骗性的语句诱惑收件者。

从图例中，我们可以看出，诈骗分子不直接在邮件正文中放置钓鱼链接，而是将钓鱼网站链接附在网页、Word、Excel等文件中，诱导人们点击链接的理由往往是些技术原因，比如软件版本低需要登录进行功能更新、内容已经加密等等。

接下来的钓鱼网站除了网址，登录界面和常用的QQ邮箱、网易邮箱等一模一样。那些受害用户要么没有注意看网址，要么根本不知道网址还有假的。

问题的根源何在？

如果您是有IT背景的人士，您可能会觉得那些轻易上当的职场受害人也太菜了，缺乏计算机使用方面的基础知识。不要怪这些职员们“不学无术”，想想我们有向这些受害者提供过必要的计算机基础知识，和防钓鱼方面的教育培训了吗？很多职位的用户，除了使用业务所必须的操作，可能也就只知道个开机和关机。对此，昆明亭长朗然科技公司董志军深表痛心：计算机用户只知道在应用层面照葫芦画瓢，不懂原理，是我们整个信息产业的硬伤。

敢问路在何方？

冲突源自知识上的不对等，钓鱼分子在技术层面糊弄小白用户，小白只能为自己的无知埋单。我们的很多服务商也经常是在概念上忽悠客户，在培训落实上，只简单教教操作便草草了事儿。这种不负责任的做法需要得到改变，我们需要踏踏实实地告诉用户系统的工作原理，要把计算机小白变成电脑达人。就拿上述图例来讲，当用户有了知识上的提升，懂些Office软件的原理和网址的意思，那些钓鱼分子的技术理由就会显得可疑和可笑了。

另外，钓鱼防范知识和技能的普及任重道远，新手法不断出现，我们要不断跟进，及时向用户展示新的钓鱼手法。同时，我们也得培养用户对网络钓鱼技术的识别力和敏感度，只有用户们拥有了足够的防钓鱼能力，能够辨识新型的诈骗手法，那才是钓鱼防范教育工作的成功。具体如何做呢？亭长朗然公司董志军建议：宣教一些普及性的防钓鱼知识，多加练习，借助大量的（几十个）钓鱼的模拟场景，让用户进行判断，找出其中的疑点，是练就火眼金睛的法宝。当然，也应该定期搞一些无害的网络钓鱼测试，以看看哪些用户的防钓鱼安全意识薄弱，在提升用户防钓鱼能力的同时也可用来衡量钓鱼防范教育工作的成效。

信息安全管理方面的建议

多数安全事故所借助的因素往往不是唯一和独立的，这也正是我们提倡多重防御的原因。在信息安全管理方面，董志军也给出一些附加的建议，比如对用户进行安全意识教育，建议其修改公共电子邮件中的私人邮箱密码，将潜伏的钓鱼分子踢出邮箱，不让其再害别人；发布规章制度并告知员工，避免将私人邮箱用于工作，将工作用密码和私人密码设为不同等，以防私人信息的失窃，影响到工作。

总结

说到底，防范不断翻新的网络“钓鱼”术，需要多方工作的协同努力，特别是加强用户计算机基础原理的教育，以及强化信息安全意识教育。

如果您对本文的观点和看法有意见或建议，欢迎您联系我们进行指正。同时，昆明亭长朗然科技有限公司提供针对用户的信息安全意识教育服务，包括大量的防钓鱼培训模块，以及模拟钓鱼测试系统等等。如果您有这方面的需要，或者对此感兴趣，也欢迎联系我们，预览产品和进行洽谈合作。

电话：0871-67122372

微信：18206751343

邮件：info＠securemymind.com

QQ: 1767022898