巨量資料(Big Data)分析如何識別網路釣魚惡意郵件?

作者:RungChi Chen

 網路釣魚(Phishing)是長期以來的問題,而且情況變得越來越糟。現在的釣魚郵件和正常郵件非常的相似,讓使用者和自動化系統都難以分辨。結果會讓使用者點入釣魚郵件內嵌的連結,被帶到會直接或間接竊取他們個人資料的惡意網站

這份研究報告介紹了趨勢科技新開發的技術,會關聯電子郵件格式和郵件傳送程式以偵測釣魚郵件。利用實際的例子來展示如何在趨勢科技主動式雲端截毒服務  Smart Protection Network技術的架構上使用「巨量資料(Big Data)分析」來主動識別網路釣魚郵件。讓我們可以在今日更加複雜的電子郵件威脅下保護我們的客戶。

2013年的網路釣魚:直接複製正常的郵件,只將連結稍作修改,導致真假難分

 2013年的網路釣魚比之前任何時候都更為先進和複雜。越來越難區分釣魚郵件和正常郵件。

最近來自LinkedIn的網路釣魚郵件樣本

圖一:最近來自LinkedIn的網路釣魚郵件樣本

 

 

來自Facebook的網路釣魚郵件樣本

圖二:最近來自Facebook的網路釣魚郵件樣本

 

攻擊者可能是直接複製正常的郵件,只是將連結稍作修改。這些連結會指向內藏漏洞攻擊包的惡意網站,以攻陷使用者的電腦。

內容的相似程度讓安全廠商很難依據內容去偵測和過濾郵件。過濾此類郵件可能會導致誤判問題,因為正常的電子郵件也可能會被錯判為「垃圾郵件」。根據內嵌網址來判斷郵件也變得很困難,因為它們的平均壽命都非常的短。註1

我們需要新技術去偵測這類精心製造的惡意郵件。本文所討論的技術使用了巨量資料分析,關聯大量垃圾郵件內的資料以確定其來源。註2

電子郵件認證狀況

有許多協定,包括網域簽章郵件識別(DKIM)和寄件者政策架構(SPF)被設計實行來確認寄件者和郵件的完整性。註3

上面所提到的這兩種機制是寄件者認證技術,可以幫助控制垃圾郵件,改善正常郵件寄送。DKIM在郵件加上公開金鑰加密。寄件者使用私密金鑰來簽章自己的郵件,並透過DNS來公布公開金鑰。當收件者收到聲稱來自特定公司的電子郵件時,他們會從DNS取得公開金鑰以檢查這電子郵件是否真的來自於該公司。應用DKIM可以幫忙解決釣魚問題。

然而,上述機制並無法解決垃圾郵件和釣魚郵件相關的所有問題,原因有三。首先,全球DKIM(35%)和SPF(63%)的採用率並不高。註4 其次,DKIM對於回覆電子郵件並不敏感,這代表有些網路釣魚郵件可以使用有效的DKIM簽章寄送。註5 最後,轉寄郵件會造成合理的簽名失敗率,高達4%。

郵件網路基礎

我們的方法是將郵件與寄送它們的IP地址進行關聯。在某些方面,它利用正常和釣魚郵件間的相似處以幫助我們。

我們開發了識別常見寄送電子郵件的方法。我們嘗試對每封郵件產生一個識別特徵碼。這特徵碼所考慮的要素包括寄件者地址的網域、格式結構、郵件內容以及是否有身份認證。被分類的電子郵件接著會與寄送它們的IP地址進行關聯。

 

 

圖三:IP地址和電子郵件的關係圖

 圖三:IP地址和電子郵件的關係圖

繼續閱讀

你的雲端和資料中心環境 – 它們彼此合作無間嗎?

作者:Jennifer Hanniman

我們知道,要架構你的虛擬化資料中心或雲端環境並不是件容易的事…當你在打造自己的環境時,你會尋找可以互相搭配的各種重要元件。安全性只是這些元件之一 – 當然它是關鍵的一塊! – 但它只是其中的一塊,它需要跟你的整體基礎設施相結合。要如何知道你的安全性是適合的?要從三個地方檢查起:

檢查一、適合你的虛擬環境,無論是虛擬桌面或虛擬機器

你的安全解決方案有多了解你的虛擬環境,並且能夠一起運作?如果沒有辦法完美地結合,最好的狀況是你會遇到效能問題。最壞的狀況是你環境內的漏洞會造成資安外洩事件。 做為我們雲端和資料中心解決方案的一部分,Deep Security 提供無代理的虛擬安全設備,可以直接在VMware環境內的實體主機上運作。這種創新做法可以提供虛擬資料中心和虛擬機器完整的安全性,而無需在每台機器上安裝軟體。使用趨勢科技和VMware共同開發的API,Deep Security對於虛擬機器管理程式和實體機器上虛擬機器間的流量都有完整的能見度。虛擬機器可以自動地擁有最新安全政策和正確作業系統層級修補程式的防護。

Cloud2

檢查二、適合你轉移到雲端的動作

隨著某些應用程式和環境轉移到雲端,我們了解你不希望在雲端環境裡維護一套獨立的政策,同時確保你有一致的安全性涵蓋率。

Deep Security 合vCloud Director提供跨資料中心和基於雲端虛擬機器的統一管理和共同安全政策。政策可以自動地應用到任何新的虛擬或雲端部署上,可以顯著地降低管理問題,只要一個主控台就能夠管理所有環境。

檢查三、適合你的應用程式環境。

我們已經聽到對於管理越來越多網頁應用程式漏洞問題的擔憂,想要保持更新和解決問題並不是件容易的事情。隨著越來越多網頁應用程式已經成為了業務關鍵,停機或應用程式被入侵意味著可能數百萬美元的損失或對品牌聲譽的嚴重損害。你需要確保你安全解決方案和你部署到雲端和虛擬環境的應用程式類型相配合。

做為我們雲端和資料中心解決方案的一部分,趨勢科技提供網頁應用程式和平台層級上的偵測和防護能力給你所有的業務關鍵應用程式。

那什麼是「安全性相適清單」?可以和你的虛擬環境深度整合,橫跨雲端和資料中心環境,保護你的應用程式,適用於你的日常運作。

 

@原文出處:Security, your cloud and data center environment – does it fit like a glove?

 

你的安全解決方案需要有多智慧化?

作者:Jennifer Hanniman

你所實作的是最安全的 ESX 嗎?裡,我們給了一長串部署雲端環境時所需要考慮的安全需求:

  • 封鎖和刪除惡意軟體
  • 防護已知和零時差漏洞攻擊
  • 實現系統分割,減少攻擊面
  • 確認預期和非預期(惡意)的系統變化
  • 獲得更多可見度,以及系統和應用程式事件的關連能力
  • 保護敏感資料和應用程式,特別是雲端環境內的

不要被這份清單給嚇到了,夠智慧化的安全解決方案可以確保涵蓋了所有的安全死角…不管你在哪裡,部署了什麼。

 

當威脅出現時,它可以立即採取行動嗎?

 

智慧型安全始於全球威脅情報。有效的威脅情報不僅只是出現在全球各地的威脅資訊,而是有辦法將這資訊即時地應用在你現有的安全解決方案內。

自2008年起,趨勢科技就開始派送基於雲端的威脅情報,也就是主動式雲端截毒服務  Smart Protection Network。主動式雲端截毒技術收集了大量的數據 – 網址、漏洞、行動應用程式、網路犯罪、漏洞攻擊包以及其他更多資料。這就是Big Data巨量資料:每天都有11.5億個威脅樣本出現、加上100億次的網址查詢。而且它還是巨量結果:每天都會封鎖達2億多次的威脅。我們相信這是真正重要的事情 – 主動式雲端截毒服務  Smart Protection Network強化了我們所有的安全解決方案,一旦任何威脅被確認就可以即時加以防護。

對抗目標攻擊的防禦?

現在的攻擊已經社群化、複雜而又隱形。攻擊者利用社群媒體收集組織的相關資料,然後將目標放在個人。一旦他們取得對組織的存取能力,他們會在網路內部移動,直到找到有價值的資料。接著會截取資料,直到幾個月後被發現。這些是你的個人資料,所以就是針對你而來!

apt 繼續閱讀

你所實作的是最安全的 ESX 嗎?

作者:Jennifer Hanniman

你有足夠的自信,自己的安全實作可以防護涵蓋實體、虛擬和雲端環境嗎?你所實作的是最安全的ESX嗎?

實體、虛擬和雲端 – 這麼多的環境,這麼少的時間

我們看到企業在虛擬化以及私有、公共和混合雲環境上投入更多,整體基礎設施的管理變得更加複雜。客戶要求我們可以符合每個環境獨特的安全需求,同時易於部署和管理。這對我們來說的確是有意義的!

Cloud4

在與VMware整合上取得領先

在幾年前,趨勢科技和VMware一起替VMware生態系內開發一組API,以解決虛擬化世界整合上的獨特問題。這也是為什麼我們會推出創新的無代理安全作法(我們是第一個提出的!)和提供防護給VMware資料中心和vCloud環境的虛擬機器。此種作法提供了最佳的安全防護,包含了防毒軟體以及更多功能,而不會影響到虛擬化和雲端技術所帶來的好處。

我真的需要防毒軟體以外的功能嗎?

趨勢科技的主動式雲端截毒服務  Smart Protection Network可以看到每秒鐘都有新的威脅出現,竊取有價值的資料已經成為一門生意了。它有著自己的地下經濟,大多數網路犯罪份子會利用工具包,讓他們不費精力的就能夠攻擊已知漏洞。所以毫不奇怪的,透過主動式雲端截毒技術,我們發現有90%的組織內有惡意軟體活躍著,令人震驚的是一半以上不知道已經被侵襲了。

因為虛擬化和雲端技術所帶來的周邊彈性化,加上複雜化的威脅,你的資料需要智慧化的防護,周邊安全防護已經不再足夠了。 繼續閱讀

雲端服務消失會怎樣?

越來越多使用者將數位生活的一部分放入雲端,他們也越常遇到一個問題:它不會永遠存在。更具體地說,人們所依賴的雲端服務就跟任何其他業務一樣:它們可能會關門。
人物Keep your data in check6

近日有些雲端服務關閉或徹底改變了產品內容:

 

 

但這些服務所帶來的變化也有著明顯的「陣痛」。以MySpace為例子,它已經推出新功能一段時間了,並且在六月重新推出新版。有些人讚賞這新版,但還是有些忠實的用戶感到沮喪,因為新版會刪掉他們的內容。

行動技術和雲端服務的快速創新腳步也代表了,如果不幸的無法成功並且快速地獲利,那就會被關閉,即使有許多使用者依賴它們的服務。那麼身為一個使用者,如果同樣的事情發生在你身上,你可以怎樣做來盡量減少風險?

如果服務本身所使用的資料並非屬於你(比方說影片和音樂串流服務),那你沒有什麼可以做的。不過,如果是屬於你自己的資料,像是文件、圖片和新聞來源列表,那有些步驟可以進行。

還記得傳統的3-2-1備份規則:至少有三個副本,存放在至少兩種不同的媒體,至少有一個是異地儲存。將你的資料存放在雲端可以符合最後的兩個要求,不過這些副本不能是存放在服務自己的封閉雲端內。

舉例來說,將你的電影和圖片存一份在你的設備上(甚或是另一個雲端服務)。對於不同的雲端服務來說,程序會有所不同,但概念是一樣的:確保你的資料以應用程式或服務自己的伺服器之外的形式存在。

為雲端服務離線狀況做好準備可能像是個極端的預防措施。但是除了服務徹底消失外,還有許多情況會讓你需要在雲端服務離線下存取資料:你處在無/不安全/昂貴網路的情況下,或服務因為維護或安全事件而離線。

至於雲端服務供應商,他們最好可以在重大變動(或關閉)前的幾個月就加以公告。最近Google閱讀器關閉就是有效公告的一個好例子,因為這可以讓使用者的影響變到最小(當然,除了必須尋找另一個替代服務之外)。MySpace的不幸失態,顯示了改變或增強可能會有反效果。

基準點:「放入雲端」並不是讓你可以不盡心管理資料的藉口。你還是需要為你的資料負責,並且避免將所有的雞蛋放在同一個籃子裡。想要知道如何保護你存放在雲端的資料,可以參考我們的以下數位生活電子指南:「保持你的雲端資料在掌握中」。

 

保持你的雲端資料在掌握中

人物 Keep your data in check1

建立密碼、安裝安全軟體、養成安全的上網習慣。這些典型的安全措施並不足以保護你儲存在雲端的資料。

有許多因素可能會危及到它。註1網路犯罪分子就是一例,他們可能會為了名氣或金錢而籌劃攻擊活動,入侵你的帳號來刪除或洩漏你的資料。你所使用的雲端服務可能會突然遭遇硬體問題,使得你所有的一切都被消除。你的網路連線可能會變得太慢而幾乎無法存取你的雲端服務。

為了避免不必要的悲劇發生,你需要有著安全意識,並採取額外的步驟來確保你資料未來幾年的安全。

人物 Keep your data in check2

確保只有你可以回復你的密碼。

當建立網路帳號時,選擇只有你自己可以回答的密碼回復問題。現在的雲端服務有比較不常見的安全問題可選,越獨特的安全問題越好。如果可以的話,建立屬於自己的問題。

接下來,要建立足夠強大和獨特的答案,就跟要恢復的密碼強度一樣。讓答案完全不可能在網路上查到就能夠做到這一點。

比方說,如果你的安全問題是 – 「誰是你最喜歡的卡通人物?」應該沒有人有辦法去嘗試每一個卡通人物名稱,查看你的社群網頁或檢查你在部落格裡提到的卡通來找到答案。答案應該就像你的密碼一樣,只和你有關。

將答案的字母混雜更好,或是將它變成一個縮寫詞組。利用你原本答案的每個字母當成一個字的第一個字母。再組合成一個隨機短句。為了讓它更加安全,可以選擇和問題本身完全不相干的答案。任何網路犯罪份子都會非常難去猜出這樣的安全答案。

下面是一個例子:

安全問題:你在哪裡遇見你的另一半?

不好的答案:At work(在工作中)。

好答案:Aliens That Want Only Rocket Kits(外星人只需要火箭套件)。

【這是個很好的答案,因為它隨機,而且縮寫讓你足夠容易記住。】

最佳答案:開心果冰淇淋頂部帶有酸味

【這答案和安全問題完全無關,所以網路犯罪份子很難去猜到。】 繼續閱讀