首页>安全资讯>20%的恶意网站未列入黑名单,用户如何防范?

20%的恶意网站未列入黑名单,用户如何防范?

根据国外互联网服务公司最新研究表明,超过20%用于网络钓鱼的恶意网站没有被检测出来,未列入当前的恶意网站黑名单,导致从去年10月起的四个月内,至少240万访客访问了这些恶意网站,遭遇潜在的恶意攻击,其中包括黑色星期五访问高峰期将近40万名受害者。

安全研究人员表示,五分之一的网络钓鱼攻击基础设施没有被检测出来,这突显了网络钓鱼攻击构成的威胁。”事实上,我们仍然看到很多网络钓鱼攻击,而其中有20%的恶意URL我们无法判断期应用范围,这限制了我们防范网络钓鱼的风险。归根结底,这些网络钓鱼攻击其实是非常有效的。”

网络钓鱼攻击仍然是攻击者常用的一种高效攻击技术,根据Verizon“ 2019年数据泄露调查报告”(DBR)显示,在所有违规事件中有近三分之一涉及网络钓鱼攻击,使其成为主要的网络攻击威胁。例如:网络钓鱼电子邮件占所有高风险电子邮件的90%,其中44%的网络钓鱼攻击企图说服用户提交用户凭据。

攻击者通过不断更新网络钓鱼网站,生成一批新的URL,从而避免被检测软件检测。最具说服力的网络钓鱼攻击,是从品牌网站窃取内容,伪装成官方网站欺骗受害者。一些钓鱼网站和URL通过请求已知合法域名的资源(如css、图片等)获取用户信任,获取到受害者信息后,恶意网站会将用户引导回合法站点,以减轻用户怀疑。

国外互联网服务公司分析中指出,根据收集到的4个月的数据,有1300多个URL用于网络钓鱼,保守估计有至少240万潜在受害者,实际数据可能更高。未列入黑名单的恶意网站,用户该如何判断网站真实身份,防范网络钓鱼攻击呢?

(1)通过SSL证书防范钓鱼网站

SSL证书是用于保护网站安全和身份可信的基础安全产品,设计之初就被赋予两个重要使命:一方面是实现数据HTTPS加密传输,保护数据传输安全;另一方面是实现服务器身份认证,验证网站身份真实可信。OV SSL证书和EV SSL证书是反钓鱼、反恶意网站的最佳防御机制,OV和EV SSL证书需要完成严格的身份认证,恶意网站或钓鱼网站很难申请使用OV或EV SSL证书。为了更好地抵御钓鱼网站的伪造仿冒,网站应该部署OV级别以上的SSL证书,在实现HTTPS加密的同时,通过浏览器展示经过权威CA机构认证的网站真实身份信息。用户可以通过浏览器地址栏或证书信息栏,查看网站SSL证书信息,判断网站真实身份,从而防范恶意网站和钓鱼网站。

沃通CA提供全球可信的SSL证书产品,支持Chrome、Firefox等各类浏览器、支持iOS安卓等各类移动终端,支持iOS APP HTTPS、小程序服务器HTTPS、云服务器HTTPS等等各类应用,满足任何HTTPS应用场景的使用需求。

(2)使用邮件客户端防范钓鱼邮件

攻击者通常利用电子邮件传播恶意网站URL,通过伪造发件人身份骗取用户信任,诱导用户点击恶意网站URL,从而窃取用户凭证或下载恶意代码。防范通过电子邮件传递的恶意网站链接,需要验证发件人身份确保邮件来源可信,并检测恶意网站URL来源。

通常基于web的邮件收发无法实现邮件签名和验证,密信邮件客户端是基于S/MIME国际标准的邮件客户端软件,全自动配置密信邮件加密证书和身份认证证书,支持加密每封邮件,保护电子邮件内容全程加密,防止内容篡改和植入;支持数字签名每封邮件,验证电子邮件发件人真实身份,防止身份仿冒和钓鱼邮件;密信邮件客户端还采用360云查杀技术,检测假冒欺诈网站。

结合沃通SSL证书和密信邮件客户端产品,不仅有效防范钓鱼网站伪造仿冒合法域名网站,同时防止基于邮件的恶意链接传播,从源头到传播途径有效抵御网络钓鱼攻击威胁。

消息来源:Darkreading 沃通原创整理

最新资讯

警惕东京奥运会门票虚假倒卖网站,用EV SSL证书反钓鱼

2019年电子邮件攻击造成17亿美元损失

谷歌Chrome 79又现泄露数据事件,企业该如何有效防范?

微信:2019年共计处理了300多万个恶意注册的违规帐号

数据泄露成重大安全隐患,如何才能避免它?

标签推荐:数字证书申请 | 域名ssl证书 | https证书申请| 数字证书过期| 网站证书安装| 可靠的ssl证书| 小程序证书| ca认证电子签名| 微软代码签名| android数字签名| java代码签名| ssl证书部署| 时间戳技术| 电子签名技术| https证书配置| 谷歌浏览器证书| tomcat数字证书| openssl漏洞| ECC加密算法| 服务器SSL证书| 链路层劫持| 物联网安全技术| 火狐插件签名证书