網(wǎng)絡(luò)釣魚(yú)能成功，很大責(zé)任在用戶(hù)本身。

[[255932]]

網(wǎng)絡(luò)釣魚(yú)沒(méi)有得到安全界的足夠重視。網(wǎng)絡(luò)釣魚(yú)不會(huì)登上媒體頭條，安全人員不會(huì)撥冗專(zhuān)門(mén)調(diào)查網(wǎng)絡(luò)釣魚(yú)。誠(chéng)然，席卷全球的高影響力惡意軟件變種能夠收獲自己超酷的標(biāo)志和朗朗上口的昵稱(chēng)，贏得安全界的重視。但最終，網(wǎng)絡(luò)釣魚(yú)攻擊才是真正讓大多數(shù)公司企業(yè)向網(wǎng)絡(luò)黑手低頭的源頭，是絕大多數(shù)災(zāi)難性網(wǎng)絡(luò)攻擊的起點(diǎn)。

從滲透測(cè)試及社會(huì)工程師的經(jīng)驗(yàn)看，大多數(shù)客戶(hù)都將網(wǎng)絡(luò)釣魚(yú)活動(dòng)處理視為一年只需要走一次的過(guò)場(chǎng)，少數(shù)高績(jī)效企業(yè)會(huì)多加點(diǎn)兒計(jì)算機(jī)培訓(xùn)。大多數(shù)情況下，此類(lèi)測(cè)試不過(guò)是美國(guó)聯(lián)邦風(fēng)險(xiǎn)與授權(quán)管理計(jì)劃(FedRAMP)之類(lèi)年度合規(guī)測(cè)試中的一個(gè)必要部分。也就是說(shuō)，企業(yè)實(shí)際上自上次審計(jì)之后就再?zèng)]測(cè)試過(guò)自己的網(wǎng)絡(luò)釣魚(yú)防御措施。但數(shù)字說(shuō)明一切：90%的數(shù)據(jù)泄露始于網(wǎng)絡(luò)釣魚(yú)。網(wǎng)絡(luò)釣魚(yú)是每家公司面臨的可怕威脅，公司的網(wǎng)絡(luò)安全策略卻對(duì)之處理不足。

安全人員常會(huì)被問(wèn)到：“網(wǎng)絡(luò)釣魚(yú)的可接受防護(hù)失敗率設(shè)為多少比較合適?”(FedRAMP和其他認(rèn)證也處理可接受失敗率。)多年來(lái)，普遍看法和某些專(zhuān)業(yè)指南認(rèn)為低于10%就不為過(guò)。但這種認(rèn)知是誤導(dǎo)性的，無(wú)論初衷多好，很多業(yè)界專(zhuān)家和咨詢(xún)機(jī)構(gòu)給出的實(shí)際上是類(lèi)似的不當(dāng)(也可以說(shuō)是“過(guò)時(shí)”)指導(dǎo)。

InfosecIsland對(duì)部分財(cái)富500強(qiáng)企業(yè)和獨(dú)資公司這3年來(lái)所承受的網(wǎng)絡(luò)釣魚(yú)攻擊行動(dòng)做了數(shù)據(jù)收集，有一個(gè)指標(biāo)最為突出：62.5%的被侵入率。調(diào)查對(duì)象包括100多家自認(rèn)為擁有“優(yōu)異”網(wǎng)絡(luò)釣魚(yú)項(xiàng)目的公司——一年一次網(wǎng)絡(luò)釣魚(yú)防護(hù)活動(dòng)，年復(fù)一年相對(duì)什么也沒(méi)做。雖然網(wǎng)絡(luò)釣魚(yú)測(cè)試項(xiàng)目的質(zhì)量千差萬(wàn)別，重要的事實(shí)是：一旦某員工點(diǎn)擊網(wǎng)絡(luò)釣魚(yú)郵件鏈接(數(shù)據(jù)顯示平均點(diǎn)擊概率26.2%)，該員工就有62.5%的概率去下載可致自身主機(jī)被攻擊者控制的惡意軟件，或者共享出自身賬戶(hù)的有效憑證。一定程度上防止網(wǎng)絡(luò)釣魚(yú)的安全措施不是沒(méi)有，但數(shù)據(jù)指標(biāo)已經(jīng)很清晰了——即便攻擊者沒(méi)有入侵你的主機(jī)，活躍用戶(hù)名/口令對(duì)也有一半以上的概率落入惡意黑客之手。

這些數(shù)據(jù)已給公司企業(yè)敲響警鐘。再用“過(guò)時(shí)”的10%網(wǎng)絡(luò)釣魚(yú)鏈接點(diǎn)擊容忍率，就有6%的數(shù)據(jù)泄露概率。以擁有5萬(wàn)員工的大企業(yè)為例。26.2%的點(diǎn)擊率意味著1.31萬(wàn)次網(wǎng)絡(luò)釣魚(yú)鏈接點(diǎn)擊。如果該公司落入“平均”中招率(62.5%)，那就是8,187次被黑客侵入。即便該公司按“過(guò)時(shí)”建議秉持10%的“行業(yè)標(biāo)準(zhǔn)”釣魚(yú)鏈接點(diǎn)擊容忍率，那也是3,125次入侵。

公司企業(yè)應(yīng)努力爭(zhēng)取零點(diǎn)擊。雖然看起來(lái)似乎難以達(dá)到，但人類(lèi)向來(lái)會(huì)為接近目標(biāo)而自滿：10%的容忍率目標(biāo)往往意味著12%，2%的容忍目標(biāo)最后會(huì)變成5%，而在62.5%的點(diǎn)擊后中招率面前，2%的容忍率目標(biāo)依然會(huì)將企業(yè)網(wǎng)絡(luò)暴露在不可接受的風(fēng)險(xiǎn)之中。假設(shè)不僅釣鯨活動(dòng)是重大數(shù)據(jù)泄露的入口，而是每一次點(diǎn)擊都有可能帶來(lái)泄露風(fēng)險(xiǎn)，業(yè)界應(yīng)大聲呼吁“零容忍”?？山邮茱L(fēng)險(xiǎn)的提法應(yīng)就此終結(jié)。

生產(chǎn)生活中不可能剔除人的元素及其帶來(lái)的風(fēng)險(xiǎn)。只要還有人參與其中，失誤和問(wèn)題就免不了。但通過(guò)設(shè)置更為雄心勃勃的目標(biāo)并大力提升網(wǎng)絡(luò)釣魚(yú)測(cè)試項(xiàng)目效能來(lái)培訓(xùn)員工，為員工的每一次改善投以獎(jiǎng)勵(lì)，激勵(lì)他們?nèi)プ稣_的事，展示“良好”行為的樣貌，公司企業(yè)是可以設(shè)立并實(shí)現(xiàn)更激進(jìn)的目標(biāo)以更好地保護(hù)自身的。

雖然網(wǎng)絡(luò)釣魚(yú)如今不是最有趣最吸睛的網(wǎng)絡(luò)新聞話題，但每家公司企業(yè)在考慮網(wǎng)絡(luò)安全相關(guān)問(wèn)題時(shí)不能回避網(wǎng)絡(luò)釣魚(yú)，應(yīng)將其列為頭等問(wèn)題考量。對(duì)網(wǎng)絡(luò)釣魚(yú)的認(rèn)知應(yīng)切換到“零容忍”概念，若非如此，網(wǎng)絡(luò)釣魚(yú)的成功率仍會(huì)高到令人吃驚。是用戶(hù)的容忍，放縱了企業(yè)網(wǎng)絡(luò)門(mén)戶(hù)洞開(kāi)。

【本文是51CTO專(zhuān)欄作者“李少鵬”的原創(chuàng)文章，轉(zhuǎn)載請(qǐng)通過(guò)安全牛（微信公眾號(hào)id:gooann-sectv）獲取授權(quán)】

戳這里，看該作者更多好文