2020年欧洲杯期间的网络犯罪防御

F5生态系统 | 2021年6月13日

延期举行的2020年欧洲足球锦标赛终于拉开帷幕，这是逾一年来规模较大的体育赛事之一。

与任何此类大型赛事一样，网络犯罪分子很可能也已准备就绪，伺机而动。随着赛事热度上升及相关在线活动激增，网络游戏、博彩和电子商务服务尤其可能成为攻击目标。

在赛事期间（乃至赛事结束后），提供以2020年欧洲杯为主题的服务的企业应警惕以下威胁：

防御DDoS攻击

虽然DDoS攻击可能对任何企业造成巨大影响，但在线博彩网站尤其容易受到攻击。随着比赛临近，押注比赛结果的人数通常会增加；由于投注选项极其丰富，投注活动还会贯穿整场比赛。攻击者深知这一点，往往会据此调整攻击时机。

DDoS活动已呈上升趋势。F5 Silverline Security Operations Center（SOC）和F5 Security Incident Response Team（SIRT）收集的数据近期显示，2020年1月至2021年3月期间，DDoS攻击增加了55%。其中大多数事件（54%）采用了多种攻击向量，表明攻击者的攻击意图日益坚决，攻击手段也愈发复杂。

值得注意的是，SOC观察到的最大规模攻击以一家为游戏和博彩组织提供信息安全服务的公司为目标。在这起事件中，攻击者威胁称，如果该公司不支付赎金，就会发动攻击。该公司拒绝后，攻击者发起了持续一个多月的多向量攻击。

网络犯罪分子选择以此类公司为目标有多种原因。最明显的动机是谋取经济利益，即以发动DDoS攻击相威胁，向这些公司勒索赎金。其他动机可能包括受竞争对手委托发起攻击、威胁行为者试图利用DDoS攻击转移注意力，或黑客只是想借此扬名。

好消息是，有多种方法可以加强防御。越来越多的企业开始利用基于云的托管服务，阻止攻击抵达企业网络。

以F5 Silverline DDoS Protection为例，该解决方案通过云平台交付，可实时检测和缓解攻击，阻止大规模容量型DDoS攻击到达网络。该服务提供全天候SOC专家团队支持，并通过全面的多层L3–L7防护，帮助企业在遭受DDoS攻击期间保持在线。

还建议采取以下技术性和预防性安全控制措施，以防范DDoS攻击：

同时使用网络防火墙和Web应用防火墙。
使用基于网络的入侵检测系统。
及时应用补丁，防止系统被用于发起攻击。
阻止源IP地址遭伪造的流量。
使用速率限制来控制传入流量。

向表单劫持亮红牌

其他需要警惕的机会主义网络犯罪手段还包括“表单劫持”。这是目前较为常见的Web攻击手段之一，攻击者会将数据从组织的Web浏览器窃取到其控制的位置。

随着越来越多的Web应用连接到购物车、银行卡支付、广告和分析等关键组件，供应商日益成为攻击者重点瞄准的目标。代码可能来自各种来源，其中几乎都不在代理和Web应用防火墙等常规企业安全控制措施的覆盖范围内。由于许多网站使用相同的第三方资源，攻击者知道，只需攻陷一个组件，就能从大量潜在受害者处窃取数据。

有助于组织保障安全的常见安全措施包括：

创建Web应用资产清单。 其中应包括对第三方内容的全面审核。由于第三方通常还会链接到更多网站，且其安全控制措施往往不够完善，这一过程会更加复杂。
修补环境. 虽然修补不一定能修复第三方内容中的缺陷，但会增加攻击者从初始立足点升级为严重入侵的难度。由于Web注入是一种用途广泛的攻击技术，修补在自有环境中运行的应用仍然至关重要，有助于防止遭到入侵的第三方资产造成损害。
漏洞扫描。多年来，CISO一直重视通过外部扫描从黑客视角了解实际情况。当大量内容在客户端最后一刻才完成组装时，这一点就更为重要。
监控代码变更。无论代码托管在何处，也无论是否出现新的漏洞，都必须进一步提高代码的可见性。这意味着需要监控GitHub和AWS S3存储桶以及原生代码存储库。
多重身份验证。鉴于注入攻击常被用于绕过身份验证并访问Web服务器代码，任何连接到高影响资产的系统都应实施多重身份验证。理想情况下，应用层加密还可作为TLS/SSL的补充，在用户通过浏览器输入凭据和支付卡详细信息时对其进行加密。一些知名的Web应用防火墙（WAF）产品具备此功能。不过，Advanced WAF可提供更强的应用层可见性和控制能力，帮助缓解分布式和多态注入风险。
探索Web应用安全标头的潜力。例如，可以设置内容安全策略（CSP），阻止未经授权的代码注入网站或应用。此外，子资源完整性（SRI）Web方法可以验证第三方应用是否遭到篡改。这两种工具都需要经过适当配置，才能适配Web应用。此时，强大而灵活的WAF便可发挥作用。
监控新注册的域名和证书。这些域名和证书通常用于托管恶意脚本，同时在最终用户看来似乎真实可信。

应对网络钓鱼威胁

网络钓鱼也是攻击者常年惯用的手段。攻击者无需费心突破防火墙、寻找零日漏洞利用方法、破解加密，也不用嘴里叼着一套开锁工具沿电梯井绳降而下。诱骗他人交出凭据要容易得多。最难的部分，是编写一封足以诱使人们点击的电子邮件，并搭建一个用于承接点击流量的虚假网站。预计整个赛事期间，此类攻击将大量出现。

根据F5 Labs最新发布的《网络钓鱼与欺诈报告》，52%的网络钓鱼网站在其网址中使用了常见的品牌名称和标识。网络钓鱼攻击者还加大力度，尽可能让欺诈网站看起来像真实网站。报告引用的F5 SOC数据发现，大多数网络钓鱼网站都使用了加密技术，其中高达72%的网站使用有效的HTTPS证书来欺骗受害者。这意味着，仅查看挂锁图标（或网址是否以https://开头）已不足以判断网站是否可信。事实上，建议这样做反而会带来风险，因为这会让人误以为网站只要拥有数字证书就一定可信。

每个组织都可能在某个时候成为网络钓鱼攻击的目标，无论攻击是定向还是无差别的。遗憾的是，并非所有组织都实施了健全的信息安全管理框架。

The NIST 五大职能为分析任何网络威胁提供了一种实用方法。然而，无论企业为保护品牌和客户付出多大努力，只要有人可能受到某种形式的心理操纵，网络钓鱼攻击就仍可能得逞。因此，安全控制措施和Web浏览器都必须更有效地向用户标示欺诈网站。个人和组织也需要持续接受培训，了解欺诈者使用的最新手法，包括欺骗性URL和滥用HTTPS证书。