不能小觑：钓鱼攻击成为主要安全威胁

近年来钓鱼攻击成为主要安全威胁，成功利用钓鱼邮件对安全企业(例如Oak Ridge和RSA等)造成的数据泄漏攻击为我们敲响了警钟，一些专家嗤之以鼻的低技术含量攻击方法也可能造成严重威胁。

美国能源部研究实验室Oak Ridge近日宣布在发现在其网络中存在数据窃取恶意软件程序后，已经关闭了所有互联网访问和电子邮件服务。

根据该实验室表示，这次数据泄漏事故源于一封被发送给570名员工的钓鱼攻击邮件。这封电子邮件伪装成该实验室的人力资源部门的通知，当一些员工点击嵌入在电子邮件中的链接后，恶意程序就被下载到他们的电脑中。

这个恶意程序利用了微软IE软件中未修复的漏洞，并且目的是搜寻和窃取该实验室的技术信息，该实验室的工程师们正在努力研制世界上最快的超级计算机。

Oak Ridge实验室的官方发言人形容这次攻击与安全供应商RSA遭受的攻击非常类似。

RSA数据泄漏事故导致了RSA公司的SecurID双因素认证技术信息的被窃。而在本月初Epsilon发生的数据泄漏事故也被怀疑是有针对性的钓鱼攻击行为，这次事故是有史以来设计最多电子邮件地址的事故。

分析家表示，攻击者能够利用低技术含量、假冒电子邮件的方法来渗透入这些受到良好保护的企业表明了有针对性的钓鱼攻击日益成熟，并且存在这样的趋势，企业认为单靠教育员工就能够缓解这个问题。

“这并不让我感到惊讶，” 安全公司Invincea公司创始人Anup Ghosh表示，“几乎每个公开的和发表声明的高级持续性攻击都是通过钓鱼邮件开始的。”

事实上，现在这类邮件似乎成为攻击者非法进入企业网络的首选方法，他表示。

“你需要做的就是设立一个电子邮件目标，你只需要通过几次电机就能够在企业内部建立几个存在点，”Ghosh表示，“如果你企业有1000名员工，并且你教育他们不能打开不可信任的附件，还是会有那么几个人会打开。这并不是训练可以解决的问题。”

让问题更严重的就是钓鱼攻击越来越复杂，分析师指出。

越来越多的有组织的攻击团队开始使用精心设计的电子邮件来针对高层管理人员以及企业内部他们想要攻击的员工。在很多情况下，钓鱼邮件都是个性化的、本地化的，并且设计得好像是来自可信任来源一样。

Ghosh表示，他上周就收到过类似的邮件。邮件发送到他的个人邮箱，看起来是一个好朋友发过来的邮件，包含一个能够打开朋友的女儿生日派对照片的链接。邮件甚至还包含朋友女儿的名字。

邮件被标记为红色，但是Ghosh在点击链接后才发现红色标记。“随便看一眼就已经能够说服我去点击链接，”他表示。

Spire Security公司的分析师Pete Lindstrom表示，“最近很多攻击都是使用某种形式的钓鱼攻击，这个十分令人担忧，我们总是很容易在一些安全基础环节掉链子。”

公司必须定期记录和监测网络是否存在这种钓鱼攻击造成的数据泄漏，他表示。

在钓鱼攻击中，企业必须更注重响应和遏制，而不仅仅是预防，Securosis公司分析师Rich Mogull表示。

在这种攻击中，企业常常面对的是拥有丰富资源、耐心和资金的对手。通常情况下，这样的对手都愿意不断尝试直到他们攻入系统网络。“几乎不可能阻止这样的人。”

因此，IT安全人员应该注重最大限度地减少损失，Mogull表示。举例来说，企业应该考虑将网络进行区域划分，并在关键设备以及数据间建立“空间间隔”，以确保入侵者更难进入网络。

同样重要的是，企业需要广泛地监控内部网络以确保数据没有泄漏出去。

“有针对性的钓鱼攻击已经不都是低技术含量的攻击形式了，”Gartner公司分析师John Pescatore表示。

并且，越来越多来自社交网络(例如LinkedIn和Facebook)的信息被用于钓鱼攻击，这使钓鱼攻击更难被检测，他表示，“在这些社交网络上，有很多个人信息和朋友的名单，从这些信息中并不难获取非常私人的电子邮件地址，”Pescastore表示。

此外，网络安全工作(特别是政府机构和研究实验室，如Oak Ridge)往往侧重于诸如URL阻止等问题，以防止内部员工访问色情或者非法网站，而不是阻止可疑的入站邮件。

“这让他们更容易受到攻击，如果用户点击了钓鱼邮件的话，这也是员工经常发生的事情，”他表示，“25年试图通过宣传和教育来提升员工的安全意识的经验证明，这是无法杜绝的。”

【编辑推荐】

1. 赛门铁克发布四月份垃圾邮件及钓鱼攻击现状报告
2. Verizon数据泄漏报告2011：攻击者改变他们的目标
3. 利用假冒SSL证书的钓鱼攻击瞄准信用卡服务品牌
4. 该如何判断数据泄漏防护方案的可靠性
5. 赛门铁克发布二月份垃圾邮件及钓鱼攻击现状报告