垂钓攻击的”进化论”：为什么传统防御在失效

2019年之前，，，，，，垂钓邮件的特点相当显著：语法谬误、陌生发件人、附件exe文件。。。。。。。。企业邮箱治理员只有配个垃圾邮件过滤器就能挡住大部门攻击。。。。。。。。但2024年之后，，，，，，攻击者已经摸透了企业的防御套路，，，，，，他们不再群发，，，，，，而是针对特定岗位定向攻击。。。。。。。。这种转变让垂钓邮件的鉴别难度直线上升——邮件看起来齐全正常，，，，，，发件人身份也毫无马脚。。。。。。。。 今年我们处置过一路真实的垂钓事务：客户公司的财政主管收到一封来自”供给商”的邮件，，，，，，内容是督促尾款，，，，，，邮件地址显示为 supplier@companyname.com，，，，，，和真实的供给商域名只差一个字母。。。。。。。。财政人员没有多想，，，，，，依照邮件里的账户信息打了款。。。。。。。。三天后，，，，，，真正的供给商打电话来催款，，，，，，真相才浮出水面。。。。。。。。这种攻击不依赖任何恶意软件或病毒链接，，，，，，纯靠信赖关系和社会工程学，，，，，，这就是BEC（贸易电子邮件诓骗）的典型特点。。。。。。。。

从 SPF 到 DMARC：邮件认证和谈的正确打开方式

好多企业的邮件服务器配置还停顿在十年前，，，，，，只启用了基础的SPF纪录。。。。。。。。更让人哭笑不得的是，，，，，，某些企业的IT治理员把SPF设置为”softfail”，，，，，，意思是”若是验证失败，，，，，，邮件还是放行，，，，，，只是象征一下”。。。。。。。。这种形同虚设的配置，，，，，，蹬宗在邮件入口处挂了个假监控摄像头。。。。。。。。 SPF的工作道理其实不复杂：它通知接管方服务器，，，，，，只有名单上的IP才有权代表你的域名发送邮件。。。。。。。。但SPF只能验证发件服务器，，，，，，无法验证发件人身份，，，，，，这就必要DKIM来添补。。。。。。。。DKIM相当于给邮件加了个数字署名，，，，，，接管方能够通过公钥验证邮件内容在传输过程中有没有被篡改。。。。。。。。问题是，，，，，，DKIM署名的私钥必须妥善生活，，，，，，一旦泄露，，，，，，攻击者就能伪造看似合法的邮件。。。。。。。。 DMARC则是将SPF和DKIM整合起来的企业级规划。。。。。。。。企业能够设置三种战术：none（只监控）、quarantine（可疑邮件隔离）、reject（直接拒收）。。。。。。。。建议有前提的企业的将域名的DMARC战术设置为 p=reject，，，，，，这样不仅能拦截伪造邮件，，，，，，还能向攻击者发出明确信号：这个域名已经被保；；；；；；ち恕。。。。。。。

1. SPF配置：确保只授权公司邮件服务器的IP，，，，，，删除过期的第三方邮件服务IP；；；；；；；
2. DKIM配置：使用 2048 位 RSA 密钥，，，，，，定期轮换署名密钥；；；；；；；
3. DMARC战术：先以 p=none 观察两周，，，，，，再逐步升级到 p=quarantine，，，，，，最终设置为 p=reject。。。。。。。。

必要提醒的是，，，，，，邮件认证和谈只能防护域名伪造，，，，，，无法阻止攻击者使用类似的域名（好比把字母l换成数字1）。。。。。。。。因而，，，，，，技术伎俩之表，，，，，，人员防备意识同样沉要。。。。。。。。

员工培训：不只是发几封模拟垂钓邮件那么单一

好多企业的安全培训还停顿在”看视频、答考题”的模式，，，，，，员工实现培训只是为了满足合规要求，，，，，，培训内容三个月后早就忘光了。。。。。。。。真正有效的安全意识教育必要模拟真实场景，，，，，，而不是PPT上干巴巴确当苦衷项。。。。。。。。 腾博888诚信为本建议是每月发送一次模拟垂钓邮件，，，，，，但邮件内容要精心设计，，，，，，不能用那种一眼就能看出来的假邮件。。。。。。。？？？？？？？Ｄ芄荒Ｄ飧ǖ荚诜枪ぷ鞴Ψ蚍⒗吹拇刮９ぷ鳎，，，，或者供给商发来的发票链接。。。。。。。。每次模拟后，，，，，，被”垂钓”的员工会收到即时反馈。。。。。。。，，，，通知他们哪里出了问题、应该若何鉴别。。。。。。。。经过六个月的持续训练，，，，，，某造作业客户的员工垂钓点击率从 23% 降至 4%。。。。。。。。 沉点培训对象应该是财政部门和采购部门。。。。。。。。BEC诳骗的指标往往就是这两个部门。。。。。。。。培训内容要蕴含：电话核验付款信息是尺度流程，，，，，，任何垂危付款要求都必须通过电话确认。。。。。。。。若是你想相识更多关于企业网络安全整体解决规划的内容，，，，，，能够参考腾博888诚信为本网络设备整包服务页面。。。。。。。。 若是攻击者已经成功获取了某些账号权限，，，，，，第一件事是撤销所有活动会话，，，，，，强造沉置密码，，，，，，而后查抄是否存在邮件转发规定被篡改的情况——这是攻击者常用的悠久化伎俩。。。。。。。。某些高级攻击会在邮箱里设置自动转发规定，，，，，，把所有收到的邮件偷偷拷贝到攻击者的邮箱，，，，，，这种后门若是不被发现，，，，，，敏感信息会持续泄露。。。。。。。。 最后想说的是，，，，，，邮件安全不是买一套设备就能解决的问题。。。。。。。。它必要技术伎俩、流程治理和人员意识三管齐下。。。。。。。。好多企业花大价值买了防火墙和沙箱，，，，，，但员工的密码还是 123456，，，，，，辅导审批流程还是走微信截图。。。。。。。。这些细节才是安全的真正短板。。。。。。。。