现如今，网络已经融入到人们的生活中，不法分子利用“网络钓鱼”进行诈骗，对此，我们需要高度重视，切实保护好自身财产安全。“网络钓鱼”是指不法分子利用欺骗性电子邮件和伪造的互联网网站等进行诈骗活动，以此获得受骗者财务信息进而窃取资金的诈骗行为，在此，提醒广大客户提高防范意识。
防范建议1：安全意识培训
研究表明，仅靠技术保障不足以提供针对网络钓鱼的最终保护，90天的模拟网络钓鱼可以帮助培养组织的安全文化，并将员工的被网络钓鱼倾向(PPP)降低60%以上。雇主采取的积极强化工作，例如公开表扬、礼券、聚餐派对，甚至现金奖励，都可以对培养健康的安全态势产生积极影响。
请记住，网络钓鱼易感性与智力无关。更高的智商并不意味着你不会被钓鱼，一些很聪明的人已经成为网络钓鱼攻击的牺牲品。组织需要采用多层次的方法，来将正确的策略和技术防御与肌肉记忆的培养相结合，使人们习惯于识别、拒绝和报告网络钓鱼企图。一个完整的纵深防御方法是提高公司网络安全弹性的良好开端。
如今，安全威胁的一大趋势是：越来越多的网络攻击和黑客入侵开始从个人目标着手，另一方面随着云计算和移动技术的普及，企业的安全边界消失，传统安全技术失灵，企业安全越来越依赖员工个人的信息安全意识（素养）。
来自 Gartner 的报告指出，在新的安全威胁面前，新的企业信息安全策略需要“以人为中心”（People-Centric Security）。员工安全意识培训在企业信息安全管理中的意义越来越重大，已经成为众多企业信息安全防护不可或缺的环节，而不是像过去那样仅仅是为了合规。
不要打开来历不明的邮件 。
不要随便点击邮件中的陌生链接 。
禁止发送与工作无关的邮件、含有违反政策和法律法规的内容的邮件、含有不利于公司的信息的邮件、连环邮件或附带大量非工作需要的图片文件的邮件、夹带计算机病毒的邮件、含有敏感信息和商业机密的邮件等 。
如果遇到可疑的电子邮件，务必设置为垃圾邮件进行阻止，并立即删除该邮件 。
如果遇到刻意的电子邮件，一定要向企业 IT 人员或信息安全管理员提交报告，并向 IT 建议广而告之 。
千万不要对可疑电子邮件中的内容存有好奇心 。
防范建议2：技术性防御
恶意软件缓解：恶意软件缓解：端点安全和网络安全工具（如防病毒、端点检测和入侵检测）是对抗网络钓鱼攻击（如DDoS、窃听、中间件和缓冲区溢出攻击）的一些最重要的工具。
内容过滤：由于员工粗心浏览互联网，许多企业成为网络钓鱼攻击的牺牲品。Web过滤或内容过滤策略可以帮助阻止访问某些站点，从而显著降低访问风险网站的可能性。
电子邮件客户端特定保护：大多数电子邮件客户端、Web浏览器和电子邮件提供商都提供默认或内置的反网络钓鱼功能（例如，默认情况下阻止所有文件下载）。
多因素身份验证：多因素身份认证MFA可以显著减少某些类型的网络钓鱼攻击。您的密码可能会意外被盗用，但辅助身份验证方法可以使您免遭进一步的攻击。
声誉服务：声誉服务将提供风险评分，并根据URL的来源建议、阻止或允许内容。黑名单服务将阻止来自已知恶意域的电子邮件，而白名单服务将只允许来自先前验证或授权域的内容。灰名单服务将首先拒绝电子邮件，稍后通过服务器请求副本来进一步确认当时无法识别的电子邮件地址的合法性。
密码管理器：密码管理器可以让用户轻松地跨多个站点存储长而复杂的密码，而无需依赖自己的记忆。它们显著降低了密码重复使用和单个密码泄漏的风险。
全球网络钓鱼防护标准：诸如发件人策略框架(SPF)、域密钥识别邮件(DKIM)、基于域名的消息身份验证、报告和一致性(DMARC)等网络钓鱼标准有助于保护域免受欺骗。启用这些后，接收者可以验证声称来自特定域的电子邮件的真实性。
红绿系统：在低风险容忍度和极高资产价值的环境中，可以为用户提供两个独立的系统。红色系统高度安全，仅包含关键任务应用程序，而绿色系统安全性较低，可用于互联网浏览和日常业务活动。
使用内部攻击模拟培训：
使用内部攻击模拟培训有助于企业员工提高对新出现威胁的认识，就像疫苗一样，通过引入模拟的网络钓鱼电子邮件来触发响应，培训企业用户识别和挫败未来的攻击。
如果你的企业拥有 Microsoft 365 E5 或 Microsoft Defender for Office 365 Plan 2 （包括威胁调查和响应功能）订阅，可以使用 Microsoft 365 Defender 门户中的攻击模拟培训在企业内运行真实的攻击方案。这些模拟攻击可以帮助你在真实攻击下，及时识别和查找易受攻击的用户，并对他们针对性地进行防钓鱼攻击培训。
在 Microsoft 365 中的“攻击模拟培训”中，企业信息安全管理员可以根据不同的模拟场景选择攻击技术，例如获取凭据、恶意软件附件、附件中的恶意链接、链接到恶意软件及恶意 URL 等。
并且已经为企业信息安全管理员预设了模拟钓鱼攻击所使用的电子邮件模板，并且为每个模板标注了此类钓鱼攻击可能会触发的被盗用率，以便可以全面衡量本企业同事的信息安全防范意识。
防范建议3：策略性防御
政策、程序和文件：
企业必须为员工和供应商制定关于设备、服务，以及个人责任范围内允许和不允许的行为指导方针。
可接受使用政策(AUP)是一个关键组成部分，每个人每年都必须对其进行记录、阅读、签署和审查。员工必须就安全意识培训的重要性、他们的流程将如何被监控，以及未能通过模拟练习和测试任何潜在的后果（进一步培训、咨询、互联网访问被锁定等）进行透明的交流。
反网络钓鱼政策通常涵盖有关网络钓鱼、常见社会工程诈骗和相关安全意识主题，以及有关人员如何对待和处理可疑威胁的培训工作。该文件应概要描述以下最佳实践内容：用户不得安装未经授权的软件；在点击之前总是分析网址；永远不要回复可疑的电子邮件或文本，并始终报告任何看起来可疑的电子邮件或交互；应与请求者口头确认超过特定额度的电汇，以防止商业电子邮件攻击或电汇欺诈。
业务连续性和灾难恢复计划有助于在发生网络攻击时最大限度地减少损失。这可以包括关于联系谁（危机管理顾问、网络安全保险等）的详细步骤，包括哪些团队（法律、人力资源、公共关系等）以及关于是否支付赎金的指导（勒索软件攻击）。
部分文章来源：生产力工坊、安全牛
如有侵权请联系我们
—END—
第三波软件(北京)有限公司为宏碁(股)100%转投资之子公司，针对宏碁公司提出以「BYOC（自建云）」做为变革转型的新愿景，从硬件公司转型成为【硬件+软件+服务】的企业，并以王道思维与合作伙伴共创价值、建立利益平衡的产业生态。
