【IT168 评论】自发件人身份欺诈转移到电子邮件世界并被称为网络钓鱼以来已有20年。在早期，电子邮件威胁主要以内容为中心，并且通常包含恶意链接或附件，以诱骗用户进入陷阱。但是特别是在过去的五年中，网络钓鱼已经成熟：现在，所有攻击中有89％利用假冒来发起社会工程攻击。

　　如果您曾经收到过来自CEO的虚假电子邮件，要求你赶紧购买大量礼品卡，或者如果电子邮件欺骗你，让你以为CFO需要拟通过电子邮件提供完整银行帐号，那么你就是目标社会工程学的攻击目标。

　　实际上，当今的网络钓鱼电子邮件中，绝大多数（90％）不包含可能引起内容扫描警报的恶意软件（恶意文件或附件）。这些电子邮件由于缺少可识别的恶意内容，因此很容易绕过大多数最新的电子邮件防御措施。相反，它们旨在与你（收件人）建立信任关系。一旦建立了这种关系，攻击者就可以利用这种关系使您采取违背自己利益的行动。

　　持续的威胁

　　不幸的是，电子邮件威胁的问题仍然普遍存在，而且由于缺乏可识别的恶意代码，解决起来更加困难。自新冠病毒开始以来，电子邮件安全供应商报告称，以大流行为主题的网络钓鱼攻击激增。这些骗局利用了人们在家办公的机会，在这样的环境中，他们很容易分心，电脑硬件和网络不太安全。

　　不管是否在家办公，钓鱼者们都在继续随时部署攻击，钓鱼活动平均持续时间仅为12分钟。谷歌表示，他们每天会拦截超过1亿封钓鱼邮件，其中68%是新出现的、从未见过的骗局。这是由犯罪分子利用自动网络钓鱼来避免通过从一个骗局到另一个骗局的增量更改而被发现。

　　在形势变化的情况下，有必要对网络钓鱼攻击进行更新分类：

　　基于身份的电子邮件攻击的类型

　　基于身份的电子邮件攻击分为三种类型。每一个都利用了以内容为中心的电子邮件防御中的一个特定漏洞。

　　●精确域攻击，也称为域欺骗，是通过在邮件的“来自”字段中使用他们的域，直接模拟受信任的发件人的电子邮件。示例:“<老板> @ <你的公司>.com”。

　　●域模拟攻击，也称为不可信域攻击，是指来自稍微修改过的“相似”或“表亲”域的电子邮件。例如:“ <你的老板> @ fedexx.com”。

　　●开放注册攻击，也称为用户模仿或友好的电子邮件，在“友好发件人”字段中显示一个合法的发件人的名字——这部分通常显示你的全名。然而，这些电子邮件来自一个在免费在线电子邮件服务上创建的帐户，如雅虎或Gmail。例如:“你朋友的名字<randomaccount1234567@gmail.com>”。

　　为什么模式匹配在现代攻击中不起作用

　　当今市场上的大多数反网络钓鱼解决方案都依赖于识别和响应特定的模式。他们扫描电子邮件中的可疑内容，例如链接、附件、短语或关键字，并应用机器学习来识别不良行为者。

　　不幸的是，尽管这些解决方案在电子邮件内容上做得不错，但它们无法提供有关发件人身份的可操作、可靠的信息。当网络钓鱼电子邮件来自域欺骗攻击并使用精心设计的消息时，在形式和内容上与合法消息几乎没有区别。在这种情况下，内容看起来是合法的，发件人看起来是合法的，并且反网络钓鱼系统被愚弄为认为它是合法的消息。即使是粗糙的传真也会造成重大的破坏，比如最近伊朗针对美国民主党选民的欺骗攻击。

　　此外，网络钓鱼者还进行自动攻击，利用机器不断地对自己的信息进行轻微修改，试图领先于过滤器。在这个游戏中，罪犯做出增量的改变，然后电子邮件过滤算法以增量的改变回应，这是一个永无止境的昂贵的防御过程。攻击比以往任何时候都更容易部署，因为这样做的成本大幅下降，机器速度加速，以及租用自动机器人的能力。这种反复的过程没有尽头，因为拼写错误、措词错误和欺骗的组合是无限的。更糟糕的是，进攻者只需要“赢”一次，而防守者需要每次都是正确的——这是一个高度不对称的场景。与此同时，企业继续被非法电子邮件所欺骗，随着每一个新闻周期，犯罪分子进一步受到激励，继续这种欺骗行为。

　　要解决这种不对称，需要一种不同的方法。定义和实施合法的通信行为要容易得多，而不是演化，预测和增加将描述所有可能的不良行为的所有模式的列表。换句话说，定义一组有限的好行为要比定义一组不良的行为容易。

　　了解通信应用程序中行为的合法性从身份和属性开始，确定通信参与者身份的最好方法就是在通信开始时强制进行身份验证。

　　输入：零信任方法

　　以内容为中心的解决方案根据坏消息的严重程度来评估每条消息，这会造成差距，基于身份的电子邮件攻击可能会通过此漏洞来逃避。零信任电子邮件安全模型对于缩小这一差距至关重要。

　　零信任也可以被描述为零假设。为了消除犯罪分子偷偷摸摸的政策模棱两可的领域，您应该什么都不做并且对所有内容进行身份验证。该原则是大多数数字交互的基础，例如付款，登录网站，对员工进行身份验证等。然而，出于历史原因，在电子邮件中，基本的首要方法是“允许一切通过，阻止不良行为”。

　　相反，零信任的方法重新定义了电子邮件的安全性:只有能够证明它值得进入收件箱，电子邮件才被信任。这样的模型不允许消息到达收件箱，除非消息来自经过身份验证的发送者，该发送者已被授予显式的权限，可以将消息发送到特定的收件箱。

　　零信任解决方案将重点放在识别受信任的发件人上。这使收件箱可以自动标记，阻止或发送到垃圾邮件，而不包括在受信任的发件人列表上的所有内容。用户无需担心要定期查找、分析或评估之前进入收件箱的无数可能的恶意发件人。

　　为了更好地理解这一点，请考虑传统的登录系统。它能积极地识别出已知和值得信任的用户，而不会让您担心分析无数可能的错误登录来确定每个登录是否可疑。类似地，一个零信任的电子邮件安全系统可以积极地识别出已知的和值得信任的发件人，同时消除寻找恶意发件人的担忧。由于电子邮件供应商的开放标准和支持，零信任方法现在不仅是现实的，而且被认为是有效电子邮件安全的基本部分。

　　简而言之：如果您只允许来自已知良好发件人列表的通信，则无需花费时间寻找所有不良发件人。

　　完美的电子邮件解决方案不存在

　　完美有点主观，但真正的安全却不是。在评估任何一种解决方案或公司来委托您组织的电子邮件安全性时，请询问以下问题：

　　1. 解决方案符合哪些开放标准？DMARC，DKIM，SPF和BIMI？这些是公认的身份验证标准，有助于将电子邮件推向根本上为零信任的原则，在电子邮件内部人士中也称为“没有认证，就无法进入”。尽管这些标准现在不是强制性的，但它们是非常好的实践，可能有一天会被要求。

　　2. 你会有什么样的控制水平?如果您需要批准某些通常标记为“坏”的发件人，您的解决方案会允许您这样做吗?或者他们会太仁慈而不能阻止你做出错误的决定?

　　3. 他们多久验证一次您的电子邮件？瞬间？还是每天一次，在此期间类似的坏角色可以进入收件箱？

　　4. 您将需要花费多少时间来管理解决方案？重要的是要有一个简单，直接的界面，该界面使您可以执行所需的操作，然后继续执行其他任务。不必要的复杂性是敌人。计算执行常见管理操作所需的步骤，并寻找可让您做出最明智的决定而又需要最少点击的解决方案。

　　我们必须进化来阻止电子邮件欺诈

　　企业和组织必须保护他们的电子邮件安全，以避免成为钓鱼攻击的受害者。网络钓鱼的成本已经太高了，而且只会越来越糟。我们必须采取新的“零信任第一”框架——目前的做法根本跟不上攻击的步伐。电子邮件安全最可靠的基础是“零信任第一”方法:让发件人在真正进入你的收件箱之前证明他们值得进入。然后，在这个可靠的零信任基础之上添加一个过滤解决方案，以便捕捉任何漏过的内容，例如从被破坏的帐户发送的消息。

　　换句话说，首先进行身份验证，然后进行筛选。只有通过这种对电子邮件安全零信任的方法，我们才能创建一个电子邮件可以真正信任的世界。

　　我们必须不断发展以制止电子邮件欺诈

　　企业和组织必须保护其电子邮件安全性，以免遭受网络钓鱼攻击。网络钓鱼的成本已经太高了，而且只会越来越糟。我们必须采用新的零信任优先框架——当前的方法根本无法跟上攻击的步伐。电子邮件安全性最可靠的基础是“零信任”优先方法：让发件人在实际进入您的收件箱操作之前证明他们。然后，在该可靠的零信任基础上添加一个筛选解决方案，以捕获任何漏掉的内容，例如从受感染帐户发送的消息。

　　换句话说，先进行身份验证，然后进行过滤。只有采用这种对电子邮件安全的零信任方法，我们才能创建一个可以真正信任的电子邮件世界。