科技云報道原創。

網絡釣魚，作為一種“古老”的攻擊技術已盛行多年。盡管企業的安全設備不斷上新，卻依然防不住釣魚的層層套路，令無數企業頭疼不已。

在每年的攻防演練中，“網絡釣魚”也是最有效的攻擊方式之一。攻擊方通常偽裝成行政、獵頭等對目標企業員工進行郵件釣魚，成功繞過企業現有的安全設備，讓企業重金建設的安全堡壘成為不堪一擊的“馬奇諾防線”。

釣魚攻擊屢試不爽的原因，正是凱文·米特尼克在《反欺騙的藝術》中提到的“人為因素是安全的軟肋”。

相關報告顯示，42%的員工承認在上網時采取過危險行動，如點擊未知鏈接、下載文件或暴露個人數據，未遵循網絡釣魚預防的最佳實踐等。

隨著傳播渠道的不斷豐富，攻擊技術以及生成式AI技術的快速升級，網絡釣魚的花樣還在不斷翻新。企業僅憑提升全員安全意識，根本無法徹底杜絕釣魚攻擊，頗有一種“看不慣卻又干不掉”的無奈。

為什么網絡釣魚這么難防？企業真的就治不了這個頑疾嗎？

日益隱秘的釣魚攻擊

相比于其他網絡攻擊手段，網絡釣魚顯得更加簡單直接，一般通過網站、語音、短信、郵件、WiFi等渠道，引誘企業員工、個人用戶點擊惡意鏈接或提供個人信息，從而進行滲透或欺詐活動。

但令人憂心的是，近年來網絡釣魚事件仍呈爆發式增長。Perception Point《2023年年度報告：網絡安全趨勢與洞察》顯示，2022年威脅行為者嘗試的高級網絡釣魚攻擊數量增長了356%。

Zimperium《2023年全球移動威脅報告》顯示，2022年，以移動設備為目標的網絡釣魚網站的比例從75%增加到80%。

伴隨著攻擊數量的飆升，網絡釣魚的手段也在走向高級化、多樣化。據騰訊安全總經理王宇觀察，近幾年網絡釣魚攻擊呈現四大新特征：

一是傳播渠道更廣泛，網絡釣魚的傳播渠道已經從最初的網站、垃圾郵件、短信，逐步擴大到社交媒體、短視頻平臺，可謂是無孔不入。

二是隱蔽性越來越強，網絡釣魚充分利用人性的弱點進行攻擊，通過利誘、威逼、假冒等隱蔽方式來達到誘騙目的；

三是場景化，過去網絡釣魚不分行業和客群，攻擊者普遍采用通用方式去釣魚，但現在是針對金融、醫療等不同場景實施定向釣魚；

四是跨國化，網絡釣魚已經從單一的國內攻擊發展為跨國攻擊，不少釣魚行為是針對國內企業在境外的員工，或在國內工作的華僑人士。

以上種種攻擊新趨勢，都意味著網絡釣魚比以往來得更加兇猛，更加難以防范。

對此，王宇舉了一個騰訊安全處理的真實案例：

攻擊者通過短視頻平臺添加了基金經理A的社交軟件，仿冒潛在客戶咨詢理財產品，向A發送了一個釣魚文件。

A在看到一個潛在大客戶的咨詢后，毫無防備地點擊下載運行了攻擊程序，從而被攻擊者悄悄控制了社交軟件。

當天晚上，攻擊者開始查看A的客戶群，充分了解其業務狀況。一段時間后，攻擊者展開攻擊，將自己設置為群管理員，并將A踢出群，然后迅速對群內上千個客戶實施詐騙，最終涉案金額高達千萬級。

王宇表示，這已經不是過去簡單的釣賬號行為，而是針對證券行業的定向攻擊，提前進行大量的情報收集，這種釣魚攻擊針對性、隱蔽性更強，并且很難通過員工培訓完全防范杜絕。

網絡釣魚為何難防？

盡管網絡釣魚花樣繁多，但畢竟是一個存在多年的網絡安全“毒瘤”，為什么網絡釣魚就如此難以防范，而現有的安全設備也難以發揮作用呢？

我們不妨從攻防雙方的特點來看：

從攻擊方看，釣魚本質上是利用人的弱點，攻擊者可以用被釣魚人員的身份，是一種典型的可信攻擊，原則上只能不斷提升人的安全意識，但無法徹底杜絕。

即便企業經過多年攻防演練，總部的投入大、安全意識教育足夠重視，但是子公司、分支、供應鏈等的安全意識還遠遠不足，大部分被釣魚成功也來源于此。

更加嚴峻的是，當前生成式人工智能(AIGC)技術也極大提升了釣魚攻擊的效率。王宇表示，攻擊者能夠利用AIGC技術高效生成更加難以分辨的釣魚郵件。

“很多釣魚攻擊都會有很明顯的團伙特征，比如說一個俄羅斯的黑客團伙，他去給其他國家的人發釣魚郵件，其實是可以通過內容識別他不是用native的語言去寫的，而現在利用AIGC就讓模仿的精細度更高，能夠消弭這樣的一些差異，加大了防御的難度。”王宇舉例稱。

從防守方看，當攻擊者通過釣魚成功投遞樣本后，隨之而來的是持久化的駐留、信息收集、內網橫向移動等行為，攻擊者會通過多種技術繞過現有安全設備，進行持續對抗。

而企業現有安全建設往往是煙囪式的，無論是WAF、IDS、EDR還是IAM、數據防泄漏等安全設備，都是各自為戰，無法對偽裝成正常行為的釣魚攻擊形成聯動檢測和響應，單點設備難免會漏報。

即便是擁有SOC安全運營中心的大型企業，現階段也較難實現有效的安全設備聯動，海量告警導致難以判斷哪些是真正的釣魚攻擊行為。

換句話說，面對來勢洶洶的網絡釣魚，人防不如技防，而技防則需端到端的聯防。

防釣魚需要新法器

知易行難，當單點的安全設備無力應戰時，企業在防釣魚這件事上顯然需要一種“新法器”。

在王宇看來，“打蛇打七寸”，想要防住網絡釣魚，首先得研究清楚釣魚的攻擊路徑，然后再有針對性地制定防護策略。

據王宇介紹，網絡釣魚攻擊一般會分為“事前-事中-事后”三個步驟：

“事前”即投遞環節，通過IM、郵箱、社交媒體等渠道投遞釣魚文件，誘導用戶點擊或下載文件執行，而執行程序則隱藏其中。

“事中”即執行/內網橫移環節，當受害者運行了惡意程序后，惡意程序會在受害終端執行，建立持久化駐留，獲取憑據，信息收集，橫向移動等操作。為了能在系統中運行，惡意程序通常都會經過免殺處理，從而逃避殺軟的查殺。

“事后”即命令和控制(外聯C2)環節，外連控制臺，為了將竊取到的有價值的信息回傳，攻擊者會采用一些隱匿加密通信技術進行外聯通信，從而實現遠控。

事實上，釣魚攻擊的每一個環節都有相應的行為特征，關鍵在于是否能有效檢測出這些異常行為。

結合騰訊多年以來的攻防技術和經驗，騰訊零信任iOA釣魚防護方案能夠針對釣魚攻擊的三個階段攻擊特點，分別從對釣魚攻擊的來源路徑監測、釣魚文件形態識別、程序聯網零信任審計，實施外連監測和關聯分析，確保“看得見”&“防得住”的效果，具體而言：

來源路徑監測

在投遞環節，騰訊iOA在每個終端都建立本地基線數據，對新入的文件實現來源分析和追蹤。目前已實現覆蓋釣魚攻擊常見利用路徑，如郵件、IM工具等來源實行監測。

未來將會和常用企業IM工具（企業微信等）合作，更精準識別和還原出釣魚入侵的源頭。

文件形態識別

在第二環節，騰訊iOA基于釣魚樣本檢測引擎，可以準確識別出釣魚樣本，專項識別樣本免殺技巧。

聯網零信任審計

針對聯網行為，騰訊iOA建立了聯網基線，聯網基線與新入文件基線實行關聯分析，對新入未知程序，可信程序（被注入）的聯網實行零信任審計，徹底攔截少量免殺的漏網之魚。

有了準確的檢測，騰訊iOA就可以在“事前-事中-事后”的每一個環節進行處置，比如：事前限制敏感數據的下載；事中阻止內網橫移等惡意行為；事后及時阻斷文件外傳行為等。

這種全生命周期的檢測和響應，使得騰訊iOA在理論上可以對釣魚攻擊行為實現100%覆蓋。目前在國家級的攻防演練實戰中，騰訊iOA已實現釣魚防護0漏報。

如此理想的效果，正是在于騰訊iOA采用了零信任理念。

在過去的幾年中，騰訊零信任iOA實現了零信任網絡訪問、辦公安全、身份安全、終端安全管理、數據安全等維度的功能，將身份、設備、應用、鏈路關聯起來，并強制所有訪問都必須經過認證、授權和加密，避免了單點安全設備之間無法關聯上下文分析的弊端，擁有了更全面和更易用的威脅溯源與風險控制的能力，從而實現了立體化的、端到端的安全防護。

這種全面的零信任安全能力，來源于騰訊20多年的攻防實戰技術和經驗。

作為多次在大型攻防演練中奪冠的攻擊隊，騰訊安全掌握著最新的攻擊手法，擁有一手的威脅情報；同時，騰訊自身也是被釣魚攻擊最多的互聯網公司之一，有著多年對抗釣魚攻擊的經驗。

作為國內唯一擁有“云+管+端+IM+郵件”產品聯動的廠商，騰訊在防釣魚攻擊方面極具優勢。

零信任是 網絡安全的未來

不可否認，近幾年零信任理念在國內備受追捧，頭部安全廠商無一例外都在推廣零信任的優勢。但零信任如何落地，如何真正解決像釣魚攻擊這樣的實際問題，始終是企業關心的方向。

在過去多年的安全建設中，企業大多部署了網絡側、終端側、應用側的安全設備。面對功能全面的零信任安全產品，難道企業需要全盤拋棄現有安全設備、從頭來過？

答案是否定的。

在王宇看來，零信任方案的落地是有節奏的，一定是從業務視角出發，從企業最關心的場景切入，先與現有的安全設備做結合，看到實際效果之后再進行逐步替代。

事實上，作為國內率先實踐零信任的互聯網公司之一，騰訊內部的零信任實踐也是分步實現的。

從2016年內部上線，到2017年實現內部職場辦公一體化安全平臺，再到2020年新冠疫情期間，騰訊零信任iOA支撐了騰訊全球10W +設備的隨時隨地接入辦公，實現了安全零事故，騰訊iOA也因此成為國內最大規模落地的自研自用零信任解決方案。

而從目前企業客戶需求看，遠程辦公帶來的安全接入問題，是其最關注的業務場景。因此，替代或新建VPN成為零信任最為明晰的切入點，其帶來的價值也非常直觀。

隨著遠程接入安全問題的解決，企業下一步關心的安全問題是權限的控制，即能否對身份、設備、數字資產等實現靈活可控的權限收放，而這正是釣魚防護、勒索防護、入侵防御等安全場景的關鍵所在。

對此，王宇建議在實現VPN替代之后，企業可以進一步增加防釣魚功能，之后再補充終端安全功能，將零信任方案中的更多功能聯動起來，實現一體化的安全防護。

針對已有SOC的大型企業，騰訊零信任iOA也能夠與SOC聯動，基于多維監測數據場景實現關聯分析，為安全運營帶來更精準和效率的檢測。

目前，騰訊零信任iOA的防釣魚功能已在金融、游戲、運營商等多個行業頭部企業中應用。

憑借成熟的產品能力和商業交付能力，騰訊零信任iOA 終端部署量級達數百萬，成為了國內首個部署終端突破百萬的零信任產品。

結語

高端的獵手，往往采用最樸素的攻擊方式。當企業把安全防線做到萬無一失時，最直接的攻破手段，反而是網絡釣魚這類古老的攻擊方式。

但無論網絡釣魚多么難防，終歸是攻防雙方的技術對抗，在零信任“持續驗證，永不信任”的防護理念之下，釣魚攻擊正在迎來史上最黑暗的時刻。

【關于科技云報道】

專注于原創的企業級內容行家——科技云報道。成立于2015年，是前沿企業級IT領域Top10媒體。獲工信部權威認可，可信云、全球云計算大會官方指定傳播媒體之一。深入原創報道云計算、大數據、人工智能、區塊鏈等領域。

審核編輯 黃宇