开发应付钓鱼攻击策略的防御措施

　　你看到AT&T公司在2006年8月份发生了什么事情吗?据媒体报道，攻击者突破了AT&T用户用来采购DSL服务和设备的sbcdslstore.com网站，窃取了大约1.9万个客户的记录。这些记录包括名字、信用卡号码和电子邮件地址。虽然你可能在想“这笔大买卖是什么?这个事情总是在发生”，这个指南将考察这个事件为什么是一笔大买卖，它如何利用新的钓鱼技术，企业能够采取什么措施防御这种类型的攻击。

　　黑客并不简单地克隆信用卡和进行疯狂的购物，AT&T黑客决定增加其偷窃信息的来源，使其更适合进行大规模的身份盗窃。要实现这个目的，他们决定使用新的一试就灵的钓鱼策略实施随后的攻击。他们向偷窃的电子邮件地址发送“钓鱼”信息，使用收件人真正的信用卡的后四位数字建立信任。其目的是引诱受害者点击连接到假冒的AT&T网站的链接。攻击者在这个假冒的网站要求受害者提供生日和社会保险号码。实际上，这些坏蛋是利用他们窃取的少量信息获取更多的信息。

　　虽然一些精明的用户(至少包括一个记者)认出了这些坏蛋假冒网站的.org前缀并且认识到这是一种诈骗，但是，值得考虑的是AT&T市场营销和人力方面的人员在创建这个原来的sbcdslstore.com网站地址的时候考虑的是什么。如果这些坏蛋注册了sbdslstore.com、sbcdsllstore.com或者其它类似的按照这些字母排列的东西这些非常类似的地址怎么办呢?除了品牌问题和URL地址之外，我们告诉用户仅仅通过寻找电子邮件中拼写错误的单词来发现钓鱼工具的做法已经过时了。

　　那么，企业能够做些什么来教育用户和防御这种新的钓鱼攻击?你一开始可以慢慢地灌输电子邮件本身存在的不信任问题。说明信息很容易进行欺骗和以明文发送。告诉他们，如果他们收到要求得到敏感的信息的电子邮件，无论这种电子邮件是不是可疑的，你要使用电子邮件以外的手段跟踪这个事情。此外，你要告诉用户不要点击来自信用卡公司、银行或者电子商务网站发来的电子邮件中的链接。这种电子邮件通常都说用户账户有问题。

　　用户应该使用信用卡、计费声明或者最近的收据上的电话号码给那个公司打电话。永远不要给电子邮件中包含的电话号码打电话，因为电话钓鱼攻击的威胁也在增长。如果用户没有使用的电话号码，另一个选择是浏览提供商的网站(再强调一次，不要使用电子邮件中的链接，要在浏览器中使用已知的合法的地址)。然后，登录已知的可信赖的网站。

　　下一步，考虑使用网站检查软件，如McAfee公司免费的SiteAdvisor网站(www.siteadvisor.com)。这个检查IE浏览器和火狐浏览器的网站能够实时确定他们是合法的网站，还是假冒的网站。然后，使用McAfee自己的搜索和分析，SiteAdvisor给这个网站一个安全级别。然而，重要的是需要指出，SiteAdvisor的检测结果并不是完美的。我是在我的网站被认为具有潜在的危险的时候听说这个事情的，因为我撰写了一些有关恶意软件的文章。尽管如此，这个软件确实能够提供一点帮助，比盲目信任要好一些。

　　此外，应用和积极更新与你的邮件服务器有关的反恶意软件和反垃圾邮件软件。虽然这些软件在对付类似AT&T事件这种有针对性的钓鱼攻击还有些困难，但是，这种产品可以阻止大量的到处泛滥的钓鱼攻击。

　　最后，考虑到钓鱼攻击中出现的新情况，针对这种攻击实施的用户熟悉计划和技术防御措施都应该加强。