根據(jù)安全咨詢公司First Base Technologies首席執(zhí)行官Peter Wood的說(shuō)法，應(yīng)將“防御魚叉式網(wǎng)絡(luò)釣魚攻擊”列為2017年企業(yè)網(wǎng)絡(luò)安全的重要抓手。

　　這意味著，將安全技術(shù)和用戶意識(shí)培訓(xùn)有效結(jié)合，確保員工了解該項(xiàng)技術(shù)，及時(shí)對(duì)危險(xiǎn)預(yù)兆有所意識(shí)，并對(duì)風(fēng)險(xiǎn)做出積極反應(yīng)，是日后防范網(wǎng)絡(luò)釣魚攻擊的主要工作。

　　Wood向《計(jì)算機(jī)周刊》的記者透露，調(diào)查顯示，網(wǎng)絡(luò)釣魚（特別是魚叉式釣魚）是每一次網(wǎng)絡(luò)攻擊的關(guān)鍵組成部分，也是多數(shù)企業(yè)網(wǎng)絡(luò)安全最常見(jiàn)的威脅。

　　目前，憑證盜竊是一種極為常見(jiàn)的攻擊技術(shù)，其主要原因在于多數(shù)企業(yè)IT網(wǎng)絡(luò)中最大的漏洞存在于用戶密碼中。攻擊者竊取相關(guān)測(cè)試人員訪問(wèn)企業(yè)IT系統(tǒng)的合法憑證，進(jìn)而獲取目標(biāo)系統(tǒng)管理員權(quán)限，達(dá)到無(wú)需檢測(cè)和限制，即可襲擊網(wǎng)絡(luò)的目的。

　　另一方面，一旦攻擊者擁有合法的用戶憑證，鮮有安全技術(shù)可阻止該憑證進(jìn)入目標(biāo)網(wǎng)絡(luò)，如此一來(lái)，攻擊者安裝惡意軟件和竊取用戶數(shù)據(jù)便輕而易舉。

　　目前，部分科技公司開發(fā)出用于檢測(cè)和終止異常行為的先進(jìn)技術(shù)，但即便如此，仍無(wú)力抵抗憑證被竊后攻擊者隨意訪問(wèn)系統(tǒng)的風(fēng)險(xiǎn)。

　　Wood還指出，被盜憑證還允許攻擊者訪問(wèn)外部服務(wù)，如訪問(wèn)虛擬專用網(wǎng)（VPN）和Web郵件，并通過(guò)以上方式為攻擊者提供遠(yuǎn)程訪問(wèn)網(wǎng)絡(luò)的權(quán)限。

　　在最近的一次“釣魚”調(diào)查實(shí)驗(yàn)中，Wood的團(tuán)隊(duì)發(fā)送了3066封釣魚郵件，其中，2398個(gè)收件人點(diǎn)擊了指向虛假網(wǎng)站的鏈接，并在該鏈接中輸入其用戶名和密碼。

　　Wood表示，78%的命中率與我們先前推測(cè)結(jié)果一致——六成以上用戶易受精心設(shè)計(jì)的“魚叉式”釣魚郵件攻擊。

　　因此，wood建議，應(yīng)注重企業(yè)防范意識(shí)，縮短測(cè)試周期，加強(qiáng)對(duì)憑證的有效保護(hù)，從而減少員工被騙的可能性，并警告，目前，較少企業(yè)重視對(duì)員工防范網(wǎng)絡(luò)釣魚攻擊的教育問(wèn)題。

　　除竊取密碼，攻擊者通常還能通過(guò)猜測(cè)密碼或使用“蠻力”破解方式，找到部分簡(jiǎn)易密碼。

　　Wood表示，“我們發(fā)現(xiàn)，域管理員帳戶通常使用較為簡(jiǎn)單的密碼或其他簡(jiǎn)易的保護(hù)方式，有些賬戶甚至未設(shè)置密碼。攻擊者可利用此問(wèn)題獲得對(duì)域和服務(wù)器的訪問(wèn)特權(quán)，從而發(fā)起更具破壞性的攻擊。”

　　為避免該類漏洞產(chǎn)生，Wood團(tuán)隊(duì)建議啟用密碼功能，并設(shè)置較復(fù)雜的密碼保護(hù)。同時(shí)，加強(qiáng)風(fēng)險(xiǎn)警示教育。另一方面，定期進(jìn)行密碼審核，確保員工遵守密碼使用政策，并制定企業(yè)網(wǎng)絡(luò)安全防范的最佳實(shí)踐指南。

　　譯自：2016年12月2日【美國(guó)】www.computerweekly.com

　　編譯：工業(yè)和信息化部國(guó)際經(jīng)濟(jì)技術(shù)合作中心 李肖

　　更多精彩內(nèi)容參見(jiàn)“中國(guó)經(jīng)濟(jì)網(wǎng)-國(guó)際頻道-國(guó)際IT行業(yè)資訊”