阻止网络钓鱼，减少加密数据外泄和通信

Jay Kelley产品营销高级经理 | F5

过去，网络钓鱼和鱼叉式网络钓鱼攻击只会在每年的特定时段激增，例如圣诞节或中国春节等重大节日、情人节或中国元宵节等消费旺季，或美国的“黑色星期五”和“网络星期一”、英国及英联邦国家的节礼日（12月26^日），以及亚洲的“双十一”（11月11^日）等购物活动前后。

随后，攻击者发现，他们可以利用自然灾害和人为灾难、战争、疾病、选举或任何引发当今新闻热议的事件所造成的FUD（恐惧、不确定性和怀疑），散播恶意内容。

英国信息专员办公室（ICO）指出，2019年4月至2020年3月期间，网络相关数据泄露事件的首要原因是网络钓鱼。澳大利亚信息专员办公室（OAIC）的数据显示，在向其报告的所有事件中，网络钓鱼占36%，位居各类原因之首。

因此，受全球疫情威胁、各国实施隔离或封锁、员工必须居家办公，甚至美国及其他国家/地区争议性选举等因素影响，网络钓鱼和鱼叉式网络钓鱼攻击在2020年全年大幅增加。攻击者甚至利用COVID-19疫苗即将投入使用的消息，诱使原本保持警惕的人打开来自未知来源的电子邮件，或打开来自已知来源但其账户可能已遭入侵和劫持的电子邮件，进而传播恶意软件及实施其他恶意攻击，窃取用户和企业信息，或非法访问敏感网络、云、应用和数据。

近期网络钓鱼攻击激增，最常被提及的原因之一是COVID-19疫情引发的居家办公要求。许多员工、承包商和其他工作人员被迫居家或远程办公，这很快引起了攻击者的恶意关注。攻击者认为，远程办公人员很可能面临更大压力，因而放松警惕，开始点击几乎所有电子邮件中的链接，甚至包括通常会引起怀疑的邮件。他们还知道，居家办公人员可能使用自带设备（BYOD），而这些设备可能没有组织通常用于防范网络钓鱼等攻击的工具。攻击者和黑客还认为，居家办公人员可能没有足够的带宽来持续运行或更新安全软件，因此可能会关闭安全软件或错过更新。很多时候，他们的判断是对的。

网络钓鱼与加密

随着网络钓鱼攻击迅速增加，使用加密技术的网络钓鱼网站数量也同步增长。根据F5 Labs近期发布的《2020年网络钓鱼与欺诈报告》，近72%的网络钓鱼链接会将受害者引至采用HTTPS加密的网站。这意味着，如今绝大多数恶意网络钓鱼网站看起来都像是合法可信的网站，即使经验丰富的员工也很容易受骗。其他报告的研究也印证了这一数据，其中包括Venafi发布的一份报告。该报告发现，一些可疑域名仿冒零售网站，并使用有效证书让网络钓鱼网站看起来合法可信，从而导致敏感的账户和支付数据被盗。

利用TLS加密来营造可信、合法假象的不仅是恶意网站。通过网络钓鱼攻击传播的恶意软件还会将从受害者及其组织窃取的数据发送到特定目的地，这些目的地称为投放区。根据F5 Labs的《2020年网络钓鱼与欺诈报告》，F5安全运营中心（SOC）在2020年调查的所有涉及投放区的事件（占比100%）均使用了TLS加密。

发现加密流量中的威胁并非易事

目前已有多种解决方案，可从不同角度应对网络钓鱼。例如，通过培训员工识别和处理网络钓鱼攻击，降低攻击得逞的概率和效果；通过电子邮件安全解决方案，防范垃圾邮件、恶意软件、恶意附件、商业电子邮件入侵（BEC）攻击等威胁；还可使用相关服务管理组织的电子邮件。另有一些方案可代理组织的Web流量，对其进行复制或模拟，并将代码发送到本地设备进行渲染；也可模拟网页，但不包含底层任何可疑或可能具有恶意的代码。

虽然这些解决方案都很出色，但加密流量的处理仍是一个问题。加密流量必须先解密，才能检查其中是否存在恶意软件及其他危险代码。这既适用于进入组织的加密流量，例如用户点击网络钓鱼邮件中可能包含恶意软件的危险链接、下载含有恶意代码的附件，或访问因持有“正确的”加密证书而看似真实无害的恶意网站；也适用于携带被盗数据流向加密投递点的出站加密流量，以及连接命令与控制（C2）服务器以获取更多指令或触发条件、进而发动更多攻击的流量。

此外，这甚至还没有考虑政府隐私法规的要求，例如欧盟（EU）的《通用数据保护条例》（GDPR）、《加利福尼亚州消费者隐私法案》（CCPA），以及世界各国/地区正在讨论的许多其他法规。这些法规通常包含禁止解密用户个人信息（如用户的财务或医疗健康数据）的条款。对加密流量进行任何解密时，都需要遵守这些隐私要求，否则违反相关法规的组织可能面临诉讼和高额罚款。

但问题还不止这些……

尽管如此，组织还必须注意，当今使用加密技术的网络钓鱼攻击还存在更多风险。F5 Labs 的《2020 年网络钓鱼与欺诈报告》还发现，超过 55% 的投放区使用非标准 SSL 或 TLS 端口，而超过 98% 的网络钓鱼网站使用标准端口，例如用于明文 HTTP 流量的 80 端口和用于加密流量的 443 端口。这意味着，仅扫描标准端口并不足以应对这类攻击，尤其是出站加密流量。部署的解决方案需要扫描并解密非标准端口上的出站流量。这对于阻止关键数据被混淆和外泄至关重要。

如今，为阻止网络钓鱼攻击带来的加密威胁，组织需要检查所有入站SSL/TLS流量，确保拦截并消除任何恶意或可能由网络钓鱼引发的Web流量。但这种检查必须能够智能跳过对包含用户敏感信息（如财务或健康相关信息）的加密流量进行解密。此外，组织需要完全阻止或至少监控非标准出站Web端口，防止恶意软件通过加密通信连接C2和投放区服务器，从而阻止数据外泄或攻击触发。还需考虑其他关键因素，例如安全堆栈中设备支持的加密类型。举例来说，如果攻击者知道某个安全设备不支持前向保密（也称为完全前向保密，即PFS），便可能利用这一点，使安全设备直接放行加密流量。在安全堆栈中的设备以菊花链方式串联的环境中，这种情况造成的损失和风险尤其严重。如果其中一台不支持PFS的设备绕过该流量，链中的其余设备也会绕过该流量。

如果除了开展安全意识培训并部署电子邮件安全或反网络钓鱼解决方案外，未落实这些防护措施，组织将面临攻击、安全漏洞以及关键企业数据和用户数据被盗的风险。

如需了解F5 SSL Orchestrator如何消除加密流量造成的安全盲区，以及如何识别被混淆的关键数据外泄和窃取行为，请点击此处。

关于作者

Jay Kelley产品营销高级经理 | F5

Jay Kelley 的更多博客文章