是時(shí)候仔細(xì)審視我們?yōu)槭裁慈绱艘蕾囎罱K用戶來發(fā)現(xiàn)危害整個(gè)公司的網(wǎng)絡(luò)釣魚欺詐了。隨著黑客持續(xù)精進(jìn)其社會(huì)工程技巧，網(wǎng)絡(luò)釣魚攻擊也變得更難以檢測(cè)了：39%的情況下都會(huì)漏報(bào)。只要電子郵件還是業(yè)務(wù)運(yùn)營(yíng)必不可少的部分，無論你覺得自家防網(wǎng)絡(luò)釣魚培訓(xùn)計(jì)劃如何先進(jìn)，公司也依然面臨社會(huì)工程攻擊風(fēng)險(xiǎn)。

[[410286]]

因?yàn)槲覀兠刻於家娮余]件打交道，就算不斷接受高端防網(wǎng)絡(luò)釣魚培訓(xùn)，也免不了對(duì)電子郵件有一定程度的盲目信任。很多情況下，黑客會(huì)精心引發(fā)其目標(biāo)的情緒反應(yīng)，例如，發(fā)送“來自”人力資源或首席執(zhí)行官的緊急郵件。這種郵件更容易造成不當(dāng)下載或回復(fù)，危害整個(gè)企業(yè)。

通過電子郵件共享文件是另一個(gè)必備業(yè)務(wù)功能，卻會(huì)致使企業(yè)面臨重大數(shù)據(jù)泄露風(fēng)險(xiǎn)。Proofpoint《2021年網(wǎng)絡(luò)釣魚狀況報(bào)告》顯示，基于附件的攻擊變得更為普遍，員工往往無法區(qū)分惡意電子郵件和附需協(xié)作文件的正常郵件，尤其是在遠(yuǎn)程辦公如此普遍的當(dāng)下。目前，基于附件的攻擊的平均識(shí)別失敗率是20%，遠(yuǎn)高于基于URL的攻擊。

為什么防網(wǎng)絡(luò)釣魚培訓(xùn)并不成功

別以為網(wǎng)絡(luò)釣魚單純是疫情催生遠(yuǎn)程辦公才出現(xiàn)的問題，因?yàn)檫@個(gè)問題早在新冠肺炎疫情之前就存在了。2019年，68%的企業(yè)致力于提高對(duì)基于鏈接的攻擊的認(rèn)識(shí)，只有10%的企業(yè)著力提升對(duì)基于附件的攻擊的認(rèn)識(shí)。失敗率最高的網(wǎng)絡(luò)釣魚測(cè)試中65%是基于附件的，其中大多數(shù)電子郵件看起來貌似來自直管領(lǐng)導(dǎo)或人事部門人員等具有辨識(shí)度的內(nèi)部賬戶。

值得注意的是，因?yàn)槿粘Ｐ枰幚韥碜酝獠康暮?jiǎn)歷和其他文件，人力資源部門更容易淪為附件攻擊的受害者。例如，2020年，黑客成功通過在簡(jiǎn)歷和病假單里混入惡意軟件而繞過了沙箱檢測(cè)。

此外，讓員工感受到如果打開不可信電子郵件就會(huì)遭到嚴(yán)懲的培訓(xùn)還會(huì)引發(fā)其他問題。如果讓員工覺得只要測(cè)試不合格或漏掉一封危險(xiǎn)電子郵件就會(huì)被辭退，可能會(huì)造成網(wǎng)絡(luò)釣魚培訓(xùn)精神創(chuàng)傷。

最后，培訓(xùn)計(jì)劃也可能被認(rèn)為是侮辱。舉個(gè)例子，全球疫情期間記者遭遇裁員和減薪的情況下，論壇出版公司向員工發(fā)送承諾巨額獎(jiǎng)金的防網(wǎng)絡(luò)釣魚培訓(xùn)電子郵件就遭到了強(qiáng)烈抵制。這類事件可導(dǎo)致安全團(tuán)隊(duì)和公司其他人員之間的嚴(yán)重割裂，也對(duì)營(yíng)造和諧互助氛圍和激勵(lì)員工了解安全知識(shí)毫無益處。

是時(shí)候停止責(zé)怪最終用戶了

除了用戶被越來越復(fù)雜的社會(huì)工程網(wǎng)絡(luò)釣魚攻擊和其他網(wǎng)絡(luò)漏洞利用誘騙之外，還有很多威脅是用戶意識(shí)培訓(xùn)和大多數(shù)安全解決方案無能為力的。依賴特征碼數(shù)據(jù)庫(kù)的解決方案，以及無法檢測(cè)零日漏洞利用或未披露威脅的解決方案，都可能留下巨大的安全空白。零日漏洞利用惡意軟件不斷被開發(fā)出來，能夠繞過某些最頂級(jí)的檢測(cè)機(jī)制。然而，還是有很多企業(yè)的安全防御措施很大程度上專注威脅檢測(cè)和防網(wǎng)絡(luò)釣魚培訓(xùn)。

這些解決方案可能會(huì)賦予最終用戶虛假的安全感，覺得無論發(fā)生什么情況自己都能受到保護(hù)，而實(shí)際上有太多威脅可以透過防御縫隙潛入。如果安全解決方案無法檢測(cè)這些威脅，那為什么還期待員工能夠發(fā)現(xiàn)它們呢?部署基于檢測(cè)的解決方案并仰賴用戶意識(shí)培訓(xùn)無法提供企業(yè)所需的防護(hù)。

即使受過良好教育的用戶可以阻止更多的攻擊和創(chuàng)建更安全的網(wǎng)絡(luò)生態(tài)，過度依賴網(wǎng)絡(luò)釣魚培訓(xùn)也是不足夠的，尤其是考慮到近期的事態(tài)發(fā)展給現(xiàn)有意識(shí)培訓(xùn)造成壓力的情況下。一旦企業(yè)轉(zhuǎn)向大規(guī)模遠(yuǎn)程辦公，網(wǎng)絡(luò)釣魚培訓(xùn)的優(yōu)先級(jí)就會(huì)下降。安全預(yù)算削減可能會(huì)令更先進(jìn)有效的防御措施失去資金支持。

簡(jiǎn)而言之，把所有的雞蛋都放在網(wǎng)絡(luò)安全意識(shí)培訓(xùn)這一個(gè)籃子里是不明智的。企業(yè)應(yīng)該將更多的資源轉(zhuǎn)移到以數(shù)據(jù)和技術(shù)為基礎(chǔ)的預(yù)防解決方案上，這類解決方案更有可能跟上快速變化的威脅形勢(shì)，而且不會(huì)把責(zé)任推給善意的員工。