為什么不能只靠防網(wǎng)絡(luò )釣魚(yú)培訓

是時(shí)候仔細審視我們?yōu)槭裁慈绱艘蕾?lài)最終用戶(hù)來(lái)發(fā)現危害整個(gè)公司的網(wǎng)絡(luò )釣魚(yú)欺詐了。隨著(zhù)黑客持續精進(jìn)其社會(huì )工程技巧，網(wǎng)絡(luò )釣魚(yú)攻擊也變得更難以檢測了：39%的情況下都會(huì )漏報。只要電子郵件還是業(yè)務(wù)運營(yíng)必不可少的部分，無(wú)論你覺(jué)得自家防網(wǎng)絡(luò )釣魚(yú)培訓計劃如何先進(jìn)，公司也依然面臨社會(huì )工程攻擊風(fēng)險。

因為我們每天都要跟電子郵件打交道，就算不斷接受高端防網(wǎng)絡(luò )釣魚(yú)培訓，也免不了對電子郵件有一定程度的盲目信任。很多情況下，黑客會(huì )精心引發(fā)其目標的情緒反應，例如，發(fā)送“來(lái)自”人力資源或首席執行官的緊急郵件。這種郵件更容易造成不當下載或回復，危害整個(gè)企業(yè)。

通過(guò)電子郵件共享文件是另一個(gè)必備業(yè)務(wù)功能，卻會(huì )致使企業(yè)面臨重大數據泄露風(fēng)險。Proofpoint《2021年網(wǎng)絡(luò )釣魚(yú)狀況報告》顯示，基于附件的攻擊變得更為普遍，員工往往無(wú)法區分惡意電子郵件和附需協(xié)作文件的正常郵件，尤其是在遠程辦公如此普遍的當下。目前，基于附件的攻擊的平均識別失敗率是20%，遠高于基于URL的攻擊。

為什么防網(wǎng)絡(luò )釣魚(yú)培訓并不成功

別以為網(wǎng)絡(luò )釣魚(yú)單純是疫情催生遠程辦公才出現的問(wèn)題，因為這個(gè)問(wèn)題早在新冠肺炎疫情之前就存在了。2019年，68%的企業(yè)致力于提高對基于鏈接的攻擊的認識，只有10%的企業(yè)著(zhù)力提升對基于附件的攻擊的認識。失敗率最高的網(wǎng)絡(luò )釣魚(yú)測試中65%是基于附件的，其中大多數電子郵件看起來(lái)貌似來(lái)自直管領(lǐng)導或人事部門(mén)人員等具有辨識度的內部賬戶(hù)。

值得注意的是，因為日常需要處理來(lái)自外部的簡(jiǎn)歷和其他文件，人力資源部門(mén)更容易淪為附件攻擊的受害者。例如，2020年，黑客成功通過(guò)在簡(jiǎn)歷和病假單里混入惡意軟件而繞過(guò)了沙箱檢測。

此外，讓員工感受到如果打開(kāi)不可信電子郵件就會(huì )遭到嚴懲的培訓還會(huì )引發(fā)其他問(wèn)題。如果讓員工覺(jué)得只要測試不合格或漏掉一封危險電子郵件就會(huì )被辭退，可能會(huì )造成網(wǎng)絡(luò )釣魚(yú)培訓精神創(chuàng )傷。

最后，培訓計劃也可能被認為是侮辱。舉個(gè)例子，全球疫情期間記者遭遇裁員和減薪的情況下，論壇出版公司向員工發(fā)送承諾巨額獎金的防網(wǎng)絡(luò )釣魚(yú)培訓電子郵件就遭到了強烈抵制。這類(lèi)事件可導致安全團隊和公司其他人員之間的嚴重割裂，也對營(yíng)造和諧互助氛圍和激勵員工了解安全知識毫無(wú)益處。

是時(shí)候停止責怪最終用戶(hù)了

除了用戶(hù)被越來(lái)越復雜的社會(huì )工程網(wǎng)絡(luò )釣魚(yú)攻擊和其他網(wǎng)絡(luò )漏洞利用誘騙之外，還有很多威脅是用戶(hù)意識培訓和大多數安全解決方案無(wú)能為力的。依賴(lài)特征碼數據庫的解決方案，以及無(wú)法檢測零日漏洞利用或未披露威脅的解決方案，都可能留下巨大的安全空白。零日漏洞利用惡意軟件不斷被開(kāi)發(fā)出來(lái)，能夠繞過(guò)某些最頂級的檢測機制。然而，還是有很多企業(yè)的安全防御措施很大程度上專(zhuān)注威脅檢測和防網(wǎng)絡(luò )釣魚(yú)培訓。

這些解決方案可能會(huì )賦予最終用戶(hù)虛假的安全感，覺(jué)得無(wú)論發(fā)生什么情況自己都能受到保護，而實(shí)際上有太多威脅可以透過(guò)防御縫隙潛入。如果安全解決方案無(wú)法檢測這些威脅，那為什么還期待員工能夠發(fā)現它們呢?部署基于檢測的解決方案并仰賴(lài)用戶(hù)意識培訓無(wú)法提供企業(yè)所需的防護。

即使受過(guò)良好教育的用戶(hù)可以阻止更多的攻擊和創(chuàng )建更安全的網(wǎng)絡(luò )生態(tài)，過(guò)度依賴(lài)網(wǎng)絡(luò )釣魚(yú)培訓也是不足夠的，尤其是考慮到近期的事態(tài)發(fā)展給現有意識培訓造成壓力的情況下。一旦企業(yè)轉向大規模遠程辦公，網(wǎng)絡(luò )釣魚(yú)培訓的優(yōu)先級就會(huì )下降。安全預算削減可能會(huì )令更先進(jìn)有效的防御措施失去資金支持。

簡(jiǎn)而言之，把所有的雞蛋都放在網(wǎng)絡(luò )安全意識培訓這一個(gè)籃子里是不明智的。企業(yè)應該將更多的資源轉移到以數據和技術(shù)為基礎的預防解決方案上，這類(lèi)解決方案更有可能跟上快速變化的威脅形勢，而且不會(huì )把責任推給善意的員工。