網(wǎng)絡安全企業(yè)Abnormal Security近日發(fā)布了一份關于當前電子郵件威脅形勢的報告，深入研究了最新的高級電子郵件攻擊趨勢，包括商業(yè)電子郵件入侵的增加、金融供應鏈入侵的演變以及憑證網(wǎng)絡釣魚攻擊中品牌仿冒的興起。
研究發(fā)現(xiàn)，在過去六個月中，電子郵件攻擊增加了48%，其中68.5%的攻擊包括憑據(jù)網(wǎng)絡釣魚鏈接。除了冒充內(nèi)部員工和高管外，攻擊者還在15%的網(wǎng)絡釣魚電子郵件中冒充知名品牌，依靠品牌的熟悉程度和聲譽來誘導人們提供登錄憑據(jù)。在這些攻擊中冒充的265個品牌中，最常見的是社交網(wǎng)絡和Microsoft產(chǎn)品。
該報告的制作方表示，當前絕大多數(shù)網(wǎng)絡犯罪都是成功的，因為它利用了鍵盤背后的人，通過危害人而不是網(wǎng)絡，攻擊者更容易繞過傳統(tǒng)的安全措施。對于品牌假冒來說尤其如此，攻擊者會利用緊迫感和恐懼去促使他們的目標提供用戶名和密碼。
報告數(shù)據(jù)顯示，LinkedIn 在品牌假冒方面位居榜首，但Outlook、OneDrive 和 Microsoft 365等微軟的產(chǎn)品在其統(tǒng)計的所有攻擊數(shù)量中的占比達到了20%。值得注意的是，涉及微軟產(chǎn)品的這些攻擊，最大的風險在于橫向利用，網(wǎng)絡釣魚通常是入侵員工電子郵件賬戶的第一步。獲取 Microsoft 憑據(jù)使攻擊者能夠訪問涉及微軟全套的其他能夠連接網(wǎng)絡的產(chǎn)品，從而允許他們查看敏感數(shù)據(jù)并使用該賬戶發(fā)動BEC攻擊。
該報告的其他值得關注的數(shù)據(jù)：
● 超過三分之一的涉及品牌仿冒的憑據(jù)網(wǎng)絡釣魚攻擊針對的是教育機構和宗教組織。
● BEC攻擊同比增長150%，表明這些能夠給企業(yè)制造直接經(jīng)濟或聲譽損失的攻擊威脅增速不減。
● BEC攻擊面向的是幾乎所有行業(yè)，其中廣告和營銷機構仍然面臨最大的風險，每周遭到BEC 攻擊的幾率為83%。
● 金融領域的供應鏈入侵正在以穩(wěn)定的速度持續(xù)增長，并針對幾乎所有規(guī)模的組織，89% 的大型企業(yè)每周會至少遭受一次因供應商被攻擊所制造的連帶風險。
報告指出，電子郵件攻擊針對所有行業(yè)的各種規(guī)模的組織，品牌冒充對于網(wǎng)絡安全領導者來說尤其令人擔憂，因為最復雜的攻擊很難與來自該品牌的合法電子郵件區(qū)分開來，隨著我們看到這種趨勢在整個威脅環(huán)境中繼續(xù)增加，組織應該尋求添加可以檢測這些攻擊的安全解決方案，即使它們來自合法域并使用前所未有的鏈接。
其實針對網(wǎng)絡釣魚攻擊，我們已經(jīng)談過很多，專注以零信任理念保障辦公安全的持安科技創(chuàng)始人何藝此前在接受采訪時也曾針對企業(yè)防范釣魚工具給出了一些建議，主要包含以下四點：
第一，類似事件的特點是攻擊者會先去攻擊企業(yè)的郵件系統(tǒng)，拿到權限之后，用正常員工的身份去發(fā)送釣魚郵件，這就極具欺騙性和迷惑性。很多企業(yè)郵件系統(tǒng)直接對公網(wǎng)暴露，容易因弱口令、撞庫等問題導致被攻擊者獲取權限。為了避免此類事件發(fā)生，建議可以通過應用零信任平臺來收斂攻擊面，并通過粒度的訪問控制阻止黑客獲得權限，以提高黑客攻擊成本。
第二，要對企業(yè)郵件系統(tǒng)的登錄環(huán)節(jié)做多因素驗證，這一操作也會進一步提高黑客獲取郵件賬戶權限的成本，從而降低被釣魚風險。同時，還可以在郵件網(wǎng)關上部署反垃圾郵件等類似系統(tǒng)，雖然該類系統(tǒng)并不能完全阻斷釣魚郵件，但還是有必要去部署，以達到降低風險發(fā)生可能性的目的。
第三，釣魚攻擊還可以通過掛載后門程序的方式發(fā)起攻擊，比如通過郵件內(nèi)容的鏈接誘導用戶下載、點擊帶有惡意程序的文件，從而進一步達到控制主機系統(tǒng)的目的，這種攻擊行為會涉及到端點的安全對抗，企業(yè)則需要為員工辦公環(huán)境部署相應的端點安全產(chǎn)品來解決這一威脅。
第四，關于員工個人的安全意識培訓非常必要，雖然這不能夠起到百分之百的效果，因為一定會有人去點釣魚郵件，但是只要能做到當有人發(fā)現(xiàn)可能存在釣魚行為的郵件時去主動上報，就可以大幅度加快后期安全響應的速度，甚至是及時完全阻斷風險。
當然，除此之外，企業(yè)在平時要做好相關的演練活動，在實戰(zhàn)中提升所有員工的防范釣魚郵件的意識乃至能力，并制定出相關的制度和流程，在發(fā)現(xiàn)釣魚攻擊時，能夠及時響應，充分保障自身安全，避免遭受經(jīng)濟及聲譽等多方面的損失。
更多信息可以來這里獲取==>>電子技術應用-AET<<
