目前，每個(gè)月都會(huì)上演成千上萬(wàn)次目標(biāo)鎖定于全球金融機(jī)構(gòu)的攻擊，對(duì)金融機(jī)構(gòu)而言，采取具有前攝性的措施，保護(hù)自己及客戶免受網(wǎng)絡(luò)釣魚(yú)和其他高級(jí)威脅的攻擊是非常重要的。一個(gè)組織減少網(wǎng)絡(luò)釣魚(yú)所造成的影響，保護(hù)其自身品牌、客戶和資產(chǎn)的唯一最有效的方法就是關(guān)停具有欺詐性的網(wǎng)站。盡管另外也有其他的保護(hù)機(jī)制，并且應(yīng)該被加以利用，但是屏蔽網(wǎng)絡(luò)就可以很簡(jiǎn)單地阻止攻擊的發(fā)生。這可以確保受網(wǎng)絡(luò)釣魚(yú)郵件欺騙而點(diǎn)擊進(jìn)入具有欺詐性的網(wǎng)站的消費(fèi)者真正受到欺詐的人數(shù)達(dá)到最少。
然后就出現(xiàn)了這樣的問(wèn)題：關(guān)停具有欺詐性網(wǎng)站的最有效的方法是什么?本白皮書(shū)確立了幾個(gè)最佳實(shí)踐，金融機(jī)構(gòu)(或面臨網(wǎng)絡(luò)釣魚(yú)攻擊的任何組織)可以通過(guò)這些實(shí)踐有效地屏蔽具有欺詐性的網(wǎng)站，并在對(duì)抗網(wǎng)絡(luò)釣魚(yú)的時(shí)候探索創(chuàng)建有效的指揮中心的重要性。
創(chuàng)建有效的指揮中心的重要性
對(duì)抗網(wǎng)絡(luò)釣魚(yú)的方法有很多。最適合的方法會(huì)同時(shí)把幾種措施、技術(shù)和服務(wù)結(jié)合在一起，以便于盡快減輕網(wǎng)絡(luò)釣魚(yú)的攻擊。不管一個(gè)金融機(jī)構(gòu)是選擇利用自己的資源開(kāi)展反網(wǎng)絡(luò)釣魚(yú)的措施，還是選擇一種外包服務(wù)，對(duì)抗網(wǎng)絡(luò)釣魚(yú)都是一個(gè)需要網(wǎng)絡(luò)釣魚(yú)和在線金融欺詐領(lǐng)域的專家意見(jiàn)的過(guò)程。
在行業(yè)內(nèi)，對(duì)抗網(wǎng)絡(luò)釣魚(yú)的最普遍的方法包括創(chuàng)建或合伙成立一個(gè)指揮中心，用于處理從初始探測(cè)到最終被關(guān)停的攻擊。有人可能認(rèn)為，創(chuàng)建一個(gè)指揮中心是非常簡(jiǎn)單的，主要是有關(guān)物流和資源的事情，但是，對(duì)抗網(wǎng)絡(luò)釣魚(yú)的本質(zhì)是速度和效率——一個(gè)缺乏經(jīng)驗(yàn)的指揮中心和一個(gè)有效率的指揮中心之間的區(qū)別，可以很容易地通過(guò)一次攻擊所造成的受害者的數(shù)量和損失的金額來(lái)體現(xiàn)。
因此，在創(chuàng)建指揮中心或?qū)で笠呀?jīng)存在的指揮中心來(lái)關(guān)停網(wǎng)絡(luò)釣魚(yú)站點(diǎn)時(shí)，最為關(guān)鍵的是要把指揮中心的經(jīng)驗(yàn)和追蹤記錄作為考慮要素?？梢酝ㄟ^(guò)簡(jiǎn)單地對(duì)指揮中心進(jìn)行測(cè)試來(lái)驗(yàn)證它的效率。指揮中心檢測(cè)到攻擊的速度有多快?指揮中心如何關(guān)停正在進(jìn)行的網(wǎng)絡(luò)釣魚(yú)攻擊?在分析攻擊的時(shí)候，指揮中心揭示了多少受連累的信息和情報(bào)?
需要考慮的其他事情包括該中心已經(jīng)有效抵御的攻擊的數(shù)量，網(wǎng)絡(luò)釣魚(yú)攻擊處理流程的有效性，以及該中心所支持的機(jī)構(gòu)的數(shù)量。同樣重要的還有指揮中心具體的反欺詐經(jīng)驗(yàn)。既然網(wǎng)絡(luò)釣魚(yú)只是在線欺詐的一種類(lèi)型，因此在處理網(wǎng)絡(luò)釣魚(yú)的時(shí)候，經(jīng)驗(yàn)和金融服務(wù)的專業(yè)知識(shí)，以及反欺詐措施是極為重要的。一個(gè)有效的指揮中心應(yīng)該由富有經(jīng)驗(yàn)的欺詐分析員構(gòu)成，他們要接受關(guān)于新的詐騙技術(shù)和金融欺詐方法的廣泛培訓(xùn)和不斷進(jìn)行的教育。
指揮中心被創(chuàng)建和運(yùn)行起來(lái)之后，可以i采用幾種最佳實(shí)踐慣例來(lái)確保其運(yùn)行的有效性。
典型攻擊的流程
對(duì)抗網(wǎng)絡(luò)釣魚(yú)攻擊是一種耗費(fèi)時(shí)間的資源密集型過(guò)程，包括取得成功所需要的各種技術(shù)和工具。如上描述，在對(duì)抗網(wǎng)絡(luò)釣魚(yú)攻擊的時(shí)候，首要的建議是建立一個(gè)指揮中心或使用一個(gè)現(xiàn)有的指揮中心。
在關(guān)停網(wǎng)絡(luò)釣魚(yú)攻擊的過(guò)程中，可以采取多個(gè)步驟。需要采取的第一個(gè)步驟是檢測(cè)——除非你知道攻擊正在發(fā)生，否則你不可能關(guān)停它。越早發(fā)現(xiàn)攻擊，你就可以越快地去屏蔽它。檢測(cè)網(wǎng)絡(luò)釣魚(yú)攻擊最有效的方式是利用多種來(lái)源。例如，可以與每天掃描大量電子郵件的反提供商合作，也可以讓用戶報(bào)告他們收到的可疑網(wǎng)絡(luò)釣魚(yú)郵件。
一旦識(shí)別出一次攻擊，接下來(lái)要采取的步驟就是關(guān)停具有欺詐性網(wǎng)站的過(guò)程。這通常是通過(guò)聯(lián)系網(wǎng)站所在的虛擬主機(jī)提供商來(lái)完成。關(guān)停過(guò)程要使用好幾種工具，并分為幾個(gè)步驟，包括：確定相關(guān)的虛擬主機(jī)提供商，找到正確的聯(lián)系信息和正確的聯(lián)系人，使用正確的語(yǔ)言有條理地解釋事情的來(lái)龍去脈，并寄送要求關(guān)停具有欺詐性網(wǎng)站的合法的停止和終止表。盡管這聽(tīng)起來(lái)很簡(jiǎn)單，但是，獲取虛擬主機(jī)組織的信任關(guān)系對(duì)于關(guān)停的速度和成功至關(guān)重要，而這種信任關(guān)系只有通過(guò)一定的時(shí)間才能建立起來(lái)。在釣魚(yú)網(wǎng)站離線后，還要對(duì)其進(jìn)行不斷地監(jiān)控，以確保它不會(huì)卷土重來(lái)。
屏蔽網(wǎng)絡(luò)釣魚(yú)站點(diǎn)的最佳實(shí)踐
接下來(lái)是有助于創(chuàng)建指揮中心和快速檢測(cè)及關(guān)停具有欺詐性網(wǎng)站的其他幾種最佳實(shí)踐慣例。這些建議來(lái)源于RSA的防欺詐指揮中心(AFCC)所獲得的經(jīng)驗(yàn)。防欺詐指揮中心是一個(gè)24x7的全天候“作戰(zhàn)室”，為全世界200多個(gè)組織檢測(cè)、監(jiān)控、跟蹤和關(guān)停網(wǎng)絡(luò)釣魚(yú)、網(wǎng)址嫁接欺騙和特洛伊攻擊。由40多位經(jīng)過(guò)訓(xùn)練的欺詐分析員組成的防欺詐指揮中心，迄今為止已經(jīng)關(guān)停了40，000多次攻擊，并且是關(guān)于網(wǎng)絡(luò)釣魚(yú)和新興在線威脅的信息的主要行業(yè)來(lái)源。
1. 建立全球經(jīng)營(yíng)
網(wǎng)絡(luò)釣魚(yú)網(wǎng)站存活的時(shí)間越長(zhǎng)，金融機(jī)構(gòu)的客戶泄露他們的個(gè)人信息和受到其詐的風(fēng)險(xiǎn)越大。時(shí)間是關(guān)鍵——一個(gè)指揮中心必須提前為攻擊和實(shí)際關(guān)停做好盡可能充足的準(zhǔn)備。它還必須擁有在全球水平上應(yīng)對(duì)網(wǎng)絡(luò)釣魚(yú)攻擊的資源和專家。例如，由于網(wǎng)絡(luò)釣魚(yú)是一種全球現(xiàn)象，全世界130多個(gè)國(guó)家已經(jīng)遭受過(guò)攻擊，所以一個(gè)指揮中心必須擁有多種語(yǔ)言能力。這可以通過(guò)雇傭具有多種語(yǔ)言能力的欺詐分析員或提前翻譯用于網(wǎng)站關(guān)停的文件來(lái)實(shí)現(xiàn)。如果指揮中心處理網(wǎng)絡(luò)釣魚(yú)攻擊、網(wǎng)址嫁接欺騙攻擊和品牌濫用攻擊，并提交了停止和終止文件作為關(guān)停流程的一部分，然后，它還應(yīng)該為每一種類(lèi)型的攻擊準(zhǔn)備好文件，并翻譯成相關(guān)的語(yǔ)言，以便于在關(guān)停流程啟動(dòng)時(shí)，欺詐分析員可以獲得相關(guān)信息。
另一種提前準(zhǔn)備和實(shí)現(xiàn)全球覆蓋的工具是一個(gè)立即響應(yīng)翻譯公司，直接在與世界各地的虛擬主機(jī)提供商的電話中現(xiàn)場(chǎng)翻譯。尋找可以掌握150種語(yǔ)言的欺詐分析員是不現(xiàn)實(shí)的，但是，讓分析員聯(lián)系一個(gè)實(shí)時(shí)的翻譯公司，并與世界上任何地方的虛擬主機(jī)提供商召開(kāi)電話會(huì)議則是切實(shí)可行的。
一個(gè)指揮中心應(yīng)該擁有所有事先準(zhǔn)備好的標(biāo)準(zhǔn)的溝息，像電話腳本和電子郵件模板——欺詐分析員不應(yīng)該在每一次遇到一個(gè)新的虛擬主機(jī)提供商時(shí)都從頭開(kāi)始重新打一遍關(guān)于網(wǎng)絡(luò)釣魚(yú)的界定。簡(jiǎn)而言之，事先所做的準(zhǔn)備越多，欺詐分析員的分析過(guò)程就越簡(jiǎn)單，網(wǎng)站被關(guān)停的速度越快。
2. 使用24x7全天候威脅反應(yīng)
當(dāng)關(guān)停網(wǎng)絡(luò)釣魚(yú)攻擊時(shí)，隨時(shí)保持警惕是非常關(guān)鍵的。網(wǎng)絡(luò)釣魚(yú)關(guān)停服務(wù)必須是24x7全天候運(yùn)行的。欺詐者推出網(wǎng)絡(luò)釣魚(yú)的目的是獲得金錢(qián)。他們會(huì)尋找他們所能找到的一切脆弱之處，包括在人們最沒(méi)有想到的時(shí)候發(fā)起攻擊。例如，有人可能會(huì)在營(yíng)業(yè)時(shí)間之后或在周末發(fā)現(xiàn)洶涌而來(lái)的網(wǎng)絡(luò)釣魚(yú)攻擊，而這時(shí)候金融機(jī)構(gòu)和主機(jī)提供商要么不上班，要么人員不足。這會(huì)導(dǎo)致關(guān)停流程變慢，從而擴(kuò)大了欺詐者的“機(jī)會(huì)之窗”。此外，在某一個(gè)國(guó)家的法定節(jié)假日期間，業(yè)務(wù)都在緩慢進(jìn)行的時(shí)候，發(fā)生在這個(gè)國(guó)家的攻擊通常會(huì)增多。建立一個(gè)24x7全天候的指揮中心可以降低發(fā)生攻擊的風(fēng)險(xiǎn)，并減少攻擊所造成的損害。
3. 與服務(wù)器主機(jī)所在地聯(lián)系，建立并保持關(guān)系
當(dāng)網(wǎng)絡(luò)釣魚(yú)在2003年首次出現(xiàn)在國(guó)際上的時(shí)候，關(guān)停一個(gè)網(wǎng)站即使不需要幾周，也需要幾天的時(shí)間。由于不了解問(wèn)題，服務(wù)器主機(jī)提供商在被要求關(guān)停一個(gè)欺詐性網(wǎng)站的時(shí)候，會(huì)有所懷疑和猶豫。畢竟，一個(gè)提供網(wǎng)站服務(wù)的要保護(hù)自己的聲譽(yù)，不能因?yàn)橐粫r(shí)興起就簡(jiǎn)單地拆除其顧客的網(wǎng)站。如今，隨著發(fā)生范圍的普及和全世界對(duì)網(wǎng)絡(luò)釣魚(yú)的危害性的認(rèn)識(shí)越來(lái)越高，與虛擬主機(jī)提供商的溝通變得更容易了。因此，一個(gè)已經(jīng)與虛擬主機(jī)提供商建立了關(guān)系的指揮中心在迅速關(guān)停網(wǎng)站的過(guò)程中更具優(yōu)勢(shì)，更容易成功。
網(wǎng)絡(luò)釣魚(yú)攻擊虛擬主機(jī)提供商有很多類(lèi)型——從ISP開(kāi)始，到免費(fèi)的和商業(yè)化的網(wǎng)絡(luò)虛擬主機(jī)公司，注冊(cè)商和國(guó)家互聯(lián)網(wǎng)電子郵件提供商，像MSN Hotmail 和 Yahoo!。在試圖關(guān)停網(wǎng)絡(luò)釣魚(yú)網(wǎng)站時(shí)，熟悉國(guó)際互聯(lián)網(wǎng)的運(yùn)轉(zhuǎn)和錯(cuò)綜復(fù)雜是非常重要的，這樣才能了解網(wǎng)站位于哪里，并在關(guān)停的過(guò)程中聯(lián)系正確的實(shí)體。
關(guān)停具有欺詐性的網(wǎng)站不是一門(mén)精確的科學(xué)，因此，從經(jīng)驗(yàn)中學(xué)習(xí)，并將所學(xué)東西記入日志信息是至關(guān)重要的。例如，只要虛擬主機(jī)提供商符合他們的需求，欺詐者就會(huì)一次又一次地使用同一個(gè)虛擬主機(jī)提供商，因此，指揮中心的欺詐分析員一旦找到了虛擬主機(jī)提供商的正確的聯(lián)系人，并成功地關(guān)停了在這家虛擬主機(jī)上寄存的網(wǎng)站，那么他們就應(yīng)該保留所有的聯(lián)系信息和任何在將來(lái)與這家虛擬主機(jī)提供商打交道的其他竅門(mén)。一個(gè)關(guān)于虛擬主機(jī)提供商信息和有用小竅門(mén)的大型，可以大大縮短在后來(lái)的攻擊中關(guān)停一個(gè)網(wǎng)站所花費(fèi)的時(shí)間。隨著指揮中心越來(lái)越有經(jīng)驗(yàn)，當(dāng)他們與一家熟悉的虛擬主機(jī)提供商打交道的時(shí)候，他們可以實(shí)現(xiàn)非常高的成功比率，在幾分鐘或幾小時(shí)內(nèi)關(guān)停一個(gè)網(wǎng)站。理想的情形是，擁有在特定虛擬主機(jī)提供商工作的最相關(guān)之人的電話和電子郵箱地址，簡(jiǎn)單地發(fā)送一個(gè)關(guān)于具有欺詐性的URL的快速請(qǐng)求，然后這個(gè)網(wǎng)站就會(huì)被立即屏蔽。
保持與不同的虛擬主機(jī)提供商之間建立起來(lái)的關(guān)系也非常重要。毫無(wú)疑問(wèn)，如果在虛擬主機(jī)提供商中有一個(gè)熟悉指揮中心，并認(rèn)可其專家地位和專門(mén)知識(shí)的團(tuán)隊(duì)，此提供商將會(huì)更合作，更有幫助，從而能提高關(guān)停的成功比率。
與處理計(jì)算機(jī)安全和在線欺詐的各種法律執(zhí)行機(jī)構(gòu)和計(jì)算機(jī)安全事故反應(yīng)團(tuán)隊(duì)(CSIRT)建立聯(lián)系并維持關(guān)系也至關(guān)重要。這是對(duì)抗一般的在線欺詐的最佳實(shí)踐慣例，不過(guò)對(duì)于關(guān)停網(wǎng)站也非常有用。在有些國(guó)家，當(dāng)由法律執(zhí)行部門(mén)或聯(lián)邦機(jī)構(gòu)提出屏蔽具有欺詐性的網(wǎng)站的請(qǐng)求的時(shí)候，虛擬主機(jī)提供商一般都更加合作。因此，一個(gè)擁有這些關(guān)系的指揮中心在關(guān)停位于遙遠(yuǎn)的國(guó)家的網(wǎng)站時(shí)將更加省事，也更容易成功。
4. 關(guān)注新的攻擊和欺詐技術(shù)——建立不斷前進(jìn)的專家團(tuán)隊(duì)
在創(chuàng)建一個(gè)指揮中心和關(guān)停網(wǎng)絡(luò)釣魚(yú)網(wǎng)站的一開(kāi)始，尋找并利用富有才能和經(jīng)驗(yàn)的欺詐分析員非常重要。盡管這看起來(lái)像是一項(xiàng)簡(jiǎn)單的任務(wù)，只需要堅(jiān)持和良好的溝通技能，但是，經(jīng)營(yíng)一個(gè)指揮中心還需要最開(kāi)始的專家經(jīng)驗(yàn)，以及不斷進(jìn)行的培訓(xùn)、教育和情報(bào)收集。
欺詐分析員的重要背景信息和特征包括：計(jì)算機(jī)科學(xué)和計(jì)算機(jī)工程學(xué)領(lǐng)域的教育，國(guó)際互聯(lián)網(wǎng)(連網(wǎng)、基礎(chǔ)設(shè)施、協(xié)議、軟件和硬件選擇)的技術(shù)環(huán)境方面的廣泛經(jīng)驗(yàn)，以及提供技術(shù)支持的經(jīng)驗(yàn)。如果每位欺詐分析員都是雙語(yǔ)的，也會(huì)非常有幫助。在正確的分析員團(tuán)隊(duì)確立之后，對(duì)他們進(jìn)行廣泛的培訓(xùn)和不斷的教育將保證指揮中心保持效率。
網(wǎng)絡(luò)釣魚(yú)和在線欺詐是不斷演進(jìn)的。欺詐者每天都變得越來(lái)越復(fù)雜，通過(guò)在線欺詐者論壇和社區(qū)進(jìn)行大量的信息分享。對(duì)于一個(gè)指揮中心而言，必須關(guān)注不斷發(fā)展的欺詐和網(wǎng)絡(luò)釣魚(yú)趨勢(shì)，檢測(cè)它們的變化并縮短攻擊的存在時(shí)間。開(kāi)展與時(shí)俱進(jìn)的教育研討會(huì)和每?jī)芍芤淮蔚臅?huì)議上，讓團(tuán)隊(duì)成員共享信息和“戰(zhàn)斗故事”，監(jiān)控欺詐者社區(qū)和對(duì)網(wǎng)絡(luò)釣魚(yú)攻擊及它們的基礎(chǔ)結(jié)構(gòu)的最新分析，都可以幫助保證欺詐分析員不斷地更新知識(shí)和有效地工作。
5. 同步工作
在對(duì)抗在線欺詐的時(shí)候，會(huì)存在許多難題——從攻擊的探測(cè)，到分析、關(guān)停、通過(guò)ISPs和反垃圾郵件合作商屏蔽、用于收集資料和受連累信息的先進(jìn)的取證，還有更多。最有效的防網(wǎng)絡(luò)釣魚(yú)服務(wù)會(huì)利用盡可能多的技術(shù)和方法。盡管有如此多的最佳實(shí)踐慣例，但有時(shí)候還是會(huì)花費(fèi)幾個(gè)小時(shí)，甚至幾天的時(shí)間才能關(guān)停一個(gè)網(wǎng)絡(luò)釣魚(yú)網(wǎng)站。同時(shí)，還應(yīng)該同時(shí)做一些其他的事情來(lái)減輕攻擊所造成的危害。
一個(gè)可以在網(wǎng)站關(guān)停過(guò)程中同步實(shí)施的關(guān)于網(wǎng)絡(luò)釣魚(yú)防范措施的范例是網(wǎng)站屏蔽。通過(guò)與ISPs和反垃圾郵件提供商合作，指揮中心可以把具有欺詐性的URLs提供給屏蔽合作伙伴，他們會(huì)反過(guò)來(lái)阻滯客戶訪問(wèn)網(wǎng)絡(luò)釣魚(yú)網(wǎng)站。換句話說(shuō)，如果一個(gè)指揮中心把一個(gè)網(wǎng)絡(luò)釣魚(yú)網(wǎng)站提供給主要的ISP，然后使用那個(gè)ISPs互聯(lián)網(wǎng)的所有成員都將不能訪問(wèn)網(wǎng)絡(luò)釣魚(yú)網(wǎng)站。即使他們之前點(diǎn)擊過(guò)網(wǎng)絡(luò)釣魚(yú)郵件中的鏈接，他們也將收到一條信息，告知他們?cè)摼W(wǎng)站已被屏蔽，因?yàn)樗鼤?huì)引導(dǎo)你到包含惡意信息的網(wǎng)絡(luò)釣魚(yú)網(wǎng)站。在指揮中心努力地完全關(guān)停網(wǎng)站期間，這種屏蔽過(guò)程可以保護(hù)許多用戶免受危害。
