执 行 摘 要 近 来, 网 络 犯 罪 的 商 业 模 式 已 经 开 始 向 低 攻 击 量 但 有 针 对 性 的 攻 击 模 式 转 变 这 类 攻 击 仍 以 邮 件 为 首 要 攻 击 媒 介, 但 攻 击 频 率 及 其 对 目 标 组 织 的 经 济 影 响 均 有 所 提 升 思

2011 年 6 月 执 行 摘 要... 2 网 络 犯 罪 业 务 : 邮 件 的 角 色... 2 大 规 模 攻 击 的 减 少... 2 攻 击 分 类... 3 大 规 模 攻 击... 3 针 对 性 攻 击... 4 攻 击 的 经 济 效 益... 5 个 性 化 攻 击 的 影 响... 6 鱼 叉 式 网 络 钓 鱼 攻 击 的 影 响... 6 针 对 性 攻 击 的 影 响... 6 攻 击 的 整 体 影 响... 6 结 论... 7 解 决 方 案 : 思 科 安 全 智 能 运 营 中 心... 8

执 行 摘 要 近 来, 网 络 犯 罪 的 商 业 模 式 已 经 开 始 向 低 攻 击 量 但 有 针 对 性 的 攻 击 模 式 转 变 这 类 攻 击 仍 以 邮 件 为 首 要 攻 击 媒 介, 但 攻 击 频 率 及 其 对 目 标 组 织 的 经 济 影 响 均 有 所 提 升 思 科 安 全 智 能 运 营 中 心 (SIO) 的 研 究 发 现, 源 自 大 规 模 无 差 别 邮 件 攻 击 的 网 络 犯 罪 业 务 活 动 年 均 减 少 了 一 半 以 上 与 此 同 时, 源 自 高 度 个 性 化 的 针 对 性 攻 击 的 业 务 活 动 量 正 在 快 速 增 长, 甚 至 在 去 年 增 至 原 来 的 三 倍 除 了 受 到 的 经 济 影 响 将 导 致 资 金 损 失 和 凭 证 遭 窃 外, 受 此 类 攻 击 危 害 的 组 织 还 必 须 承 担 补 救 受 感 染 主 机 的 费 用, 以 及 对 其 品 牌 声 誉 产 生 的 负 面 影 响 此 类 攻 击 的 越 发 盛 行, 加 上 移 动 性 和 不 受 控 终 端 的 发 展 趋 势, 无 一 不 要 求 今 天 的 组 织 实 施 一 种 能 够 利 用 网 络 保 障 安 全 的 新 方 法 虽 然 许 多 组 织 都 会 培 训 用 户 辨 别 危 险 邮 件 和 避 免 点 击 可 能 引 至 不 安 全 网 站 或 下 载 恶 意 软 件 的 URL, 但 用 户 培 训 并 不 能 完 全 使 企 业 免 受 这 些 威 胁 组 织 需 要 的 其 实 是 一 种 高 度 分 布 式 的 安 全 架 构, 能 够 使 用 具 有 情 景 感 知 能 力 的 高 级 策 略 语 言 来 管 理 防 火 墙 网 络 代 理 和 入 侵 防 御 传 感 器 等 实 施 要 素 本 文 的 目 的 就 是 研 究 攻 击 发 展 趋 势 和 探 讨 此 类 攻 击 活 动 的 影 响 本 文 中 的 调 查 结 果 均 基 于 思 科 同 全 球 各 行 各 业 组 织 共 同 开 展 的 研 究 网 络 犯 罪 业 务 : 邮 件 的 角 色 去 年, 网 络 犯 罪 业 务 模 式 的 转 变 导 致 威 胁 活 动 发 生 了 显 著 的 变 化 大 规 模 攻 击 有 所 减 少, 从 垃 圾 邮 件 总 量 下 降 了 80% 便 可 见 一 斑 取 而 代 之 的 是, 网 络 犯 罪 分 子 正 越 来 越 专 注 于 更 高 附 加 值 的 活 动, 包 括 越 来 越 多 的 诈 骗 攻 击 和 恶 意 攻 击 鱼 叉 式 网 络 钓 鱼 攻 击 和 针 对 性 攻 击 大 规 模 攻 击 的 减 少 随 着 越 来 越 多 的 网 络 犯 罪 分 子 转 而 使 用 针 对 性 攻 击,Cisco SIO 估 算, 通 过 传 统 大 规 模 邮 件 攻 击 攫 取 的 网 络 犯 罪 年 收 益 降 低 了 50% 以 上 : 从 2010 年 6 月 的 11 亿 美 元 降 低 到 2011 年 6 月 的 5 亿 美 元 这 一 变 化 也 体 现 在 垃 圾 邮 件 日 均 数 量 的 减 少, 从 2010 年 6 月 的 3000 亿 封 减 少 到 2011 年 6 月 的 400 亿 封 这 种 数 量 上 的 减 少 与 持 续 用 户 转 化 率 较 低 的 情 况 相 符, 并 且 因 用 于 用 户 转 化 的 平 均 支 出 的 提 高 而 略 有 抵 消 这 种 减 少 也 因 诈 骗 和 恶 意 攻 击 而 有 所 抵 消, 这 是 大 规 模 攻 击 中 一 个 小 的 子 类 别, 只 占 大 规 模 攻 击 总 量 的 0.2% 左 右, 但 由 此 攫 取 的 网 络 犯 罪 收 益 却 较 高 通 过 使 用 更 多 的 个 性 化 工 具, 精 心 设 计 的 诈 骗 和 恶 意 攻 击 的 用 户 转 化 率 在 去 年 显 著 提 高 此 外, 由 于 信 息 共 享, 恶 意 软 件 或 所 采 用 的 诈 骗 攻 击 所 造 成 的 用 户 平 均 损 失 有 所 增 加 在 估 算 总 损 失 时 ( 见 表 1),Cisco SIO 按 每 个 受 害 组 织 用 户 损 失 250 美 元 的 保 守 估 计 进 行 计 算 此 金 额 与 最 近 公 开 披 露 的 诈 骗 和 恶 意 攻 击 估 算 值 的 较 低 值 相 符 例 如,2011 年 6 月, 美 国 联 邦 调 查 局 (FBI) 曾 公 布 过 一 种 诈 骗 邮 件, 声 称 收 件 人 需 交 付 350 美 元 以 获 得 结 清 证 明, 否 则 将 面 临 法 律 制 裁 按 这 种 估 算 值 计 算, 诈 骗 和 恶 意 攻 击 ( 大 规 模 攻 击 中 的 一 个 子 类 别 ) 获 得 的 年 均 不 法 收 益 在 过 去 一 年 已 经 从 5000 万 美 元 增 长 到 2 亿 美 元 表 1: 通 过 大 规 模 攻 击 攫 取 的 网 络 犯 罪 收 益 网 络 犯 罪 收 益 ( 百 万 美 元 ) 1 年 前 目 前 垃 圾 邮 件 攻 击 1,000 美 元 300 美 元 诈 骗 和 恶 意 攻 击 50 美 元 200 美 元 总 计 1,050 美 元 500 美 元 从 2010 年 开 始 到 2011 年, 犯 罪 生 态 系 统 一 直 在 发 生 翻 天 覆 地 的 变 化 全 球 的 执 法 机 构 及 安 全 和 行 业 组 织 展 开 合 作, 关 闭 或 限 制 了 最 大 规 模 的 垃 圾 邮 件 发 送 僵 尸 网 络 及 相 关 威 胁 的 活 动 大 型 垃 圾 邮 件 发 送 联 盟 网 络 SpamIt, 就 是 在 2010 年 10 月 其 数 据 库 泄 露, 并 且 俄 罗 斯 警 方 对 其 所 有 者 提 起 控 诉 后, 停 止 了 运 营 主 要 僵 尸 网 络 的 力 量 被 大 幅 削 减, 有 的 甚 至 被 关 闭, 其 中 包 括 Rustock Bredolab 以 及 Mega-D 由 于 主 要 同 业 联 盟 的 经 济 和 技 术 业 务 模 式 被 瓦 解, 威 胁 活 动 数 量 有 所 下 降, 转 向 获 利 更 多 的 活 动 我 们 来 简 单 了 解 下 大 规 模 攻 击 和 针 对 性 攻 击 在 转 化 过 程 和 业 务 模 式 方 面 的 差 异 2

过 去, 垃 圾 邮 件 的 转 化 渠 道 是 先 收 集 一 系 列 邮 件 地 址, 相 关 僵 尸 网 络 将 利 用 这 些 地 址 发 送 邮 件 ( 请 参 阅 图 1 中 的 阶 段 A) 收 到 邮 件 后, 反 垃 圾 邮 件 引 擎 会 正 确 识 别 和 拦 截 绝 大 多 数 的 威 胁 邮 件 ( 阶 段 B) 通 过 了 垃 圾 邮 件 过 滤 器 的 邮 件 将 被 视 为 合 法 的 邮 件, 最 终 进 入 用 户 的 邮 箱 具 备 相 关 知 识 的 用 户 通 常 会 忽 略 垃 圾 邮 件, 只 会 打 开 其 中 一 小 部 分 ( 阶 段 C) 在 这 之 中, 只 有 很 少 一 部 分 用 户 会 点 击 邮 件 中 的 链 接 ( 阶 段 D) 并 最 终 被 转 化 ( 阶 段 E), 毫 无 戒 心 的 用 户 才 会 购 买 产 品 或 下 载 恶 意 软 件 图 1: 威 胁 转 化 渠 道 大 规 模 攻 击 攻 击 分 类 随 着 网 络 犯 罪 活 动 的 不 断 进 化, 各 种 攻 击 及 其 对 组 织 的 影 响 也 在 相 应 发 生 变 化 大 规 模 攻 击 自 分 布 式 网 络 形 成 以 来, 大 规 模 攻 击 一 直 是 各 种 威 胁 的 基 础 自 我 传 播 式 蠕 虫 分 布 式 拒 绝 服 务 (DdoS) 攻 击 和 垃 圾 邮 件 均 为 实 现 经 济 利 益 或 业 务 干 扰 的 惯 用 方 法 不 法 分 子 会 创 建 常 见 的 有 效 负 载 并 将 其 置 于 受 害 者 一 不 留 神 便 会 访 问 的 位 置 例 如 : 感 染 网 站 以 PDF 等 文 件 格 式 利 用 安 全 漏 洞 发 送 邮 件 骗 取 用 户 购 买, 以 及 批 量 钓 鱼 银 行 证 书 传 统 的 防 威 胁 方 法 依 赖 于 几 个 因 素, 包 括 在 网 络 中 首 次 发 现 威 胁 或 收 到 报 告 后 快 速 进 行 识 别, 并 且 在 日 后 拦 截 类 似 的 威 胁 如 果 不 法 分 子 渗 透 到 足 以 达 到 他 们 目 标 的 安 全 层 深 度, 他 们 将 会 得 到 预 期 的 结 果, 足 以 让 此 业 务 模 式 有 利 可 图 目 标 用 户 拦 截 打 开 点 击 链 接 被 转 化 受 害 组 织 (A) (B) (C) (D) (E) 用 户 此 类 攻 击 中 很 大 一 部 分 是 迅 速 增 多 的 诈 骗 和 恶 意 攻 击 作 为 犯 罪 生 态 系 统 演 进 的 一 部 分, 这 些 攻 击 的 针 对 性 越 来 越 高 短 信 服 务 (SMS) 电 子 邮 件 社 交 媒 体, 无 论 使 用 的 是 哪 种 媒 介 或 传 送 引 擎, 不 法 分 子 都 会 使 用 用 户 的 地 理 位 置 或 职 位 等 个 性 化 信 息 更 针 对 性 攻 击 这 种 传 统 垃 圾 邮 件 渠 道 仍 然 存 在, 但 随 着 个 性 化 程 度 的 不 断 提 高, 它 也 在 发 生 变 化, 在 针 对 性 攻 击 中 表 现 最 为 明 显 在 整 个 渠 道 中, 针 对 性 攻 击 通 常 存 活 率 更 高, 因 为 邮 件 和 网 站 链 接 会 被 发 送 到 有 效 用 户, 而 且 面 向 安 全 引 擎 和 收 件 人 均 表 现 得 像 合 法 邮 件 尽 管 攻 击 量 较 低, 但 针 对 性 攻 击 的 转 化 率 要 高 出 很 多 提 高 转 化 率 的 代 价 则 是 更 多 的 投 入, 例 如 : 列 表 中 仅 包 含 具 有 指 定 属 性 的 有 效 邮 件 地 址 让 邮 件 表 面 看 起 来 合 法, 通 常 伪 装 成 来 自 认 识 的 联 系 人, 且 内 容 对 于 收 件 人 有 针 对 性 使 用 质 量 更 高 且 通 常 尚 未 被 发 现 的 恶 意 软 件 往 往 专 门 为 某 一 种 针 对 性 攻 击 实 例 建 立 新 网 站 ( 此 前 未 见 过 ) 这 是 犯 罪 进 化 论 在 作 祟 : 网 络 犯 罪 分 子 保 持 其 活 动 与 时 俱 进, 以 便 提 高 自 己 的 持 久 力 谨 慎 地 选 择 自 己 的 攻 击 目 标 此 类 诈 骗 攻 击 的 示 例 包 括 : 发 往 具 体 区 域 位 置 的 SMS 金 融 诈 骗 攻 击 使 用 URL 缩 短 服 务 的 营 销 邮 件 诈 骗 不 法 分 子 伪 装 成 用 户 或 用 户 组 友 人 以 攫 取 经 济 利 益 的 社 交 媒 体 诈 骗 如 果 只 发 送 少 量 攻 击 威 胁, 这 些 策 略 可 能 会 有 效 地 危 及 受 害 者, 但 对 于 不 法 分 子 而 言 并 不 总 是 具 成 本 效 益 然 而, 为 了 能 骗 取 高 价 值 受 害 者, 这 种 方 法 正 日 益 受 到 有 头 脑 有 组 织 唯 利 是 图 的 不 法 分 子 的 青 睐 如 果 不 法 分 子 的 攻 击 是 专 门 针 对 受 害 者 的 简 档, 那 么 这 些 威 胁 便 称 为 鱼 叉 式 网 络 钓 鱼 攻 击 鱼 叉 式 网 络 钓 鱼 攻 击 针 对 的 是 特 定 的 用 户 简 档, 通 常 以 有 权 访 问 商 业 银 行 帐 户 的 高 级 组 织 用 户 为 攻 击 目 标 鱼 叉 式 网 络 钓 鱼 攻 击 通 常 经 过 精 心 设 计, 使 用 真 实 情 景 信 息 使 用 户 相 信 与 其 进 行 交 互 的 是 合 法 内 容 鱼 叉 式 网 络 钓 鱼 邮 件 的 内 容 可 能 是 有 关 个 人 的 重 要 事 项 或 有 关 公 司 的 相 关 事 宜, 例 如, 讨 论 薪 酬 差 异 或 法 律 问 题 根 据 Cisco SIO 的 研 究,80% 以 上 的 鱼 叉 式 网 络 钓 鱼 攻 击 都 包 含 指 向 含 有 恶 意 内 容 的 网 站 的 链 接 但 是, 链 接 的 网 站 通 常 经 过 特 殊 设 计 且 之 前 从 未 见 过, 因 此 很 难 检 测 出 来 3

图 2: 鱼 叉 式 网 络 钓 鱼 邮 件 收 件 人 : XXXXXX 发 件 人 : XXXXXX 日 期 :2011 年 6 月 19 日, 星 期 日 主 题 : XXXXXX 帐 户 证 书 下 载 尊 敬 XXXXXX 用 户 : 我 们 的 数 据 库 已 被 泄 露, 您 可 能 已 经 知 悉 为 在 今 后 保 护 您 的 帐 户, 请 从 XXXXXXXXX 下 载 证 书 ( 自 解 压 缩 文 件 ) 并 进 行 安 装.com XXXXXXXXXXXXXXXXXX 如 果 您 在 和 其 他 地 方 ( 邮 件, 等 ) 使 用 的 是 同 一 密 码, 您 应 尽 快 更 改 该 密 码 XXXXXX 对 于 给 您 带 来 的 不 便, 我 们 深 感 抱 歉, 我 们 定 将 尽 一 切 努 力 保 障 我 处 托 管 资 金 的 安 全 XXXXXX XXXXXXXXX 如 发 现 您 所 拥 有 帐 户 ( 邮 件, 等 ) 受 到 任 何 未 经 授 权 的 访 问, 请 报 告 给 您 所 在 国 家 / 地 区 的 相 应 机 构 非 常 感 谢, 团 队 针 对 性 攻 击 针 对 性 攻 击 属 于 高 度 定 制 化 的 威 胁, 针 对 特 定 用 户 或 用 户 组, 通 常 是 为 了 盗 用 知 识 产 权 这 些 攻 击 的 数 量 极 少, 并 且 可 以 通 过 帐 户 信 息 无 意 中 泄 露 的 熟 知 实 体 或 专 业 僵 尸 网 络 传 播 渠 道 中 的 匿 名 身 份 进 行 伪 装 针 对 性 攻 击 通 常 使 用 某 种 形 式 的 恶 意 软 件, 而 且 通 常 使 用 零 日 漏 洞 攻 击, 以 便 在 第 一 时 间 侵 入 系 统, 在 一 段 时 间 内 收 集 到 所 需 数 据 在 此 类 攻 击 中, 不 法 分 子 通 常 使 用 多 种 方 法 接 近 受 害 者 针 对 性 攻 击 很 难 防 范, 并 且 很 可 能 对 受 害 者 产 生 最 严 重 的 负 面 影 响 尽 管 结 构 上 可 能 类 似, 但 针 对 性 攻 击 相 较 鱼 叉 式 网 络 钓 鱼 攻 击, 最 大 的 不 同 在 于 对 骗 取 对 象 的 关 注 度 针 对 性 攻 击 锁 定 的 是 特 定 用 户 或 用 户 组, 而 鱼 叉 式 网 络 钓 鱼 攻 击 通 常 锁 定 的 是 具 有 共 同 点 的 一 群 人, 例 如 同 一 家 银 行 的 客 户 针 对 性 攻 击 者 通 常 会 针 对 目 标 人 群 建 立 一 份 档 案, 从 社 交 网 络 新 闻 稿 和 上 市 公 司 通 讯 信 函 中 收 集 信 息 鱼 叉 式 网 络 钓 鱼 攻 击 可 能 包 含 一 部 分 个 性 化 信 息, 而 针 对 性 攻 击 则 可 能 包 含 大 量 高 度 个 性 化 的 信 息, 而 且 通 常 对 于 锁 定 目 标 具 有 独 特 的 吸 引 力 表 2: 针 对 性 攻 击 与 鱼 叉 式 网 络 钓 鱼 攻 击 之 间 的 比 较 属 性 针 对 性 攻 击 鱼 叉 式 网 络 钓 鱼 攻 击 意 图 知 识 产 权 盗 用 经 济 利 益 恶 意 软 件 使 用, 通 常 通 过 零 日 漏 洞 攻 击 目 标 侦 察 是 否 个 性 化 程 度 极 高 中 等 可 能 使 用 Stuxnet 攻 击 是 为 公 众 所 熟 知 的 一 种 针 对 性 攻 击, 它 是 于 2010 年 7 月 发 现 的 一 种 计 算 机 蠕 虫 病 毒, 专 门 针 对 工 业 软 件 和 设 备 Stuxnet 以 Windows 处 理 快 捷 方 式 文 件 的 方 法 进 行 漏 洞 攻 击, 从 而 使 蠕 虫 传 播 到 新 系 统 中 这 种 蠕 虫 被 认 为 是 目 的 性 非 常 强 的 一 种 病 毒, 专 门 攻 击 监 控 和 数 据 采 集 (SCADA) 系 统, 或 者 攻 击 用 于 管 理 复 杂 工 业 网 络 的 系 统, 如 发 电 站 和 化 工 生 产 工 厂 中 的 系 统 Stuxnet 的 聪 明 之 处 在 于 能 够 穿 越 非 联 网 系 统, 也 就 是 说, 甚 至 连 未 连 接 到 网 络 或 互 联 网 的 系 统 都 会 面 临 风 险 操 作 人 员 认 为 供 应 商 无 法 在 不 为 客 户 带 来 任 何 重 大 麻 烦 的 前 提 下 更 改 默 认 的 Siemens 密 码 ( 多 年 前 已 在 网 络 上 公 开 ) SCADA 系 统 操 作 人 员 可 能 一 直 处 于 一 种 错 误 的 安 全 感 之 下, 因 为 他 们 的 系 统 并 未 连 接 到 公 共 互 联 网, 所 以 他 们 可 能 认 为 自 己 不 易 受 到 感 染 联 邦 新 闻 广 播 的 网 站 称 Stuxnet 为 史 上 最 聪 明 的 恶 意 软 件 2011 年 1 月,Cisco SIO 侦 测 到 一 份 发 送 给 一 家 大 型 公 司 高 管 的 针 对 性 攻 击 邮 件 此 次 攻 击 活 动 非 常 复 杂, 因 为 它 使 用 了 之 前 未 见 到 过 的 资 源 邮 件 由 一 个 未 知 方 通 过 位 于 澳 大 利 亚 的 一 台 合 法 但 已 受 感 染 的 服 务 器 发 送 该 邮 件 看 似 合 法 ( 图 3) 嵌 入 的 行 动 链 接 托 管 在 一 个 合 法 但 已 受 感 染 的 法 律 博 客 上 点 击 链 接 时, 用 户 的 浏 览 器 将 转 到 之 前 未 知 的 一 个 Phoenix 漏 洞 攻 击 工 具 副 本 漏 洞 攻 击 成 功 后, 会 在 受 害 者 的 计 算 机 上 安 装 宙 斯 木 马 4

图 3: 针 对 性 攻 击 邮 件 发 件 人 : XXXXXXXXXXXXXXX 日 期 :2011 年 1 月 19 日, 星 期 三 收 件 人 : XXXXXXXXXXXXXXX 主 题 : 商 业 诉 讼 传 票 我 们 通 过 本 信 函 特 此 通 知 您 XXXXXX 营 销 有 限 责 任 公 司 提 起 了 针 对 您 所 代 表 公 司 的 诉 讼 程 序 您 需 要 根 据 本 传 票 安 排 中 列 出 的 说 明, 准 备 完 全 对 应 或 部 分 对 应 的 所 有 文 档 和 其 他 项 目 的 原 件 ( 无 论 原 件 位 于 何 处, 是 由 您 所 有 保 管 或 控 制, 还 是 由 您 的 合 作 伙 伴 同 事 员 工 代 理 人 代 表 会 计 人 员 或 律 师 所 有 保 管 或 控 制 ), 还 需 准 备 因 任 何 部 分 ( 包 括 背 面 ) 存 在 添 加 删 除 更 改 注 释 或 题 词 而 与 原 件 不 同 的 文 档 的 所 有 复 印 件 所 需 文 档 的 完 整 列 表 位 于 : http://www.officialarticles.com/subpoena_files/ 其 中 还 包 括 营 销 有 限 责 任 公 司 的 法 律 代 表 于 2010 年 12 月 21 日 针 对 贵 公 司 XXXXXX 侵 犯 版 权 行 为 的 申 诉 编 号 如 果 未 能 准 备 和 呈 交 所 需 文 件, 您 将 面 临 法 庭 的 罚 款 XXXXX XXXXXXX 高 级 律 师 XXXXXXX 法 律 事 务 所 攻 击 的 经 济 效 益 从 典 型 活 动 的 经 济 效 益, 我 们 可 以 看 出 大 规 模 攻 击 与 针 对 性 攻 击 业 务 模 式 之 间 的 差 异 为 了 展 示 这 种 差 异, 表 3 利 用 大 规 模 钓 鱼 攻 击 与 鱼 叉 式 网 络 钓 鱼 攻 击 的 示 例, 对 转 化 渠 道 中 的 产 出 及 网 络 犯 罪 的 相 对 经 济 效 益 进 行 了 比 较 : 表 3: 大 规 模 钓 鱼 攻 击 与 鱼 叉 式 网 络 钓 鱼 攻 击 典 型 攻 击 活 动 示 例 大 规 模 钓 鱼 攻 击 ( 单 次 活 动 ) 鱼 叉 式 网 络 钓 鱼 攻 击 ( 单 次 活 动 ) (A) 攻 击 活 动 中 发 送 的 邮 件 总 数 1,000,000 1,000 (B) 拦 截 率 99% 99% (C) 打 开 率 3% 70% (D) 点 击 率 5% 50% (E) 转 化 率 50% 50% 受 害 者 8 2 从 每 个 受 害 者 处 攫 取 2,000 美 元 80,000 美 元 的 收 益 从 攻 击 活 动 中 获 得 的 总 收 益 16,000 美 元 160,000 美 元 攻 击 活 动 的 总 成 本 2,000 美 元 10,000 美 元 从 攻 击 活 动 中 获 得 的 总 利 润 14,000 美 元 150,000 美 元 对 单 次 攻 击 活 动, 鱼 叉 式 网 络 钓 鱼 攻 击 的 经 济 效 益 比 大 规 模 攻 击 更 明 显 成 本 相 对 高 很 多, 但 是 产 出 和 收 益 也 同 样 高 很 多 Cisco SIO 估 计, 考 虑 到 所 需 的 目 标 清 单 的 质 量 租 赁 的 僵 尸 网 络 邮 件 生 成 工 具 购 买 的 恶 意 软 件 创 建 的 网 站 攻 击 活 动 管 理 工 具 订 单 处 理 后 端 基 础 设 施 订 单 履 行 提 供 商 和 用 户 背 景 调 查 活 动, 鱼 叉 式 网 络 钓 鱼 攻 击 的 成 本 是 大 规 模 攻 击 成 本 的 五 倍 如 此 高 昂 的 成 本 基 数 和 大 量 的 工 作 都 需 要 高 度 专 业 化 的 技 能 还 需 要 较 高 的 产 出 率 来 保 证 成 本 效 益 网 络 犯 罪 分 子 也 在 平 衡 相 互 冲 突 的 优 先 项 : 是 感 染 更 多 用 户 还 是 让 攻 击 数 量 少 到 足 以 躲 过 安 全 供 应 商 的 检 测 雷 达? 鱼 叉 式 网 络 钓 鱼 攻 击 活 动 在 数 量 上 非 常 有 限, 但 用 户 打 开 和 点 击 率 却 较 高 由 于 存 在 这 些 限 制, 网 络 犯 罪 分 子 越 来 越 看 重 拥 有 企 业 银 行 帐 户 访 问 权 限 的 企 业 用 户, 确 保 每 次 感 染 均 能 得 到 足 够 的 回 报 这 就 是 为 什 么 从 每 个 受 害 者 处 攫 取 的 收 益 平 均 值 能 够 达 到 大 规 模 攻 击 的 40 倍 综 合 来 看, 使 用 此 方 法 合 情 合 理 : 从 单 次 鱼 叉 式 网 络 钓 鱼 攻 击 活 动 中 获 得 的 利 润 能 够 达 到 大 规 模 攻 击 的 10 倍 以 上 5

这 种 潜 在 的 回 报 导 致 网 络 犯 罪 业 务 模 式 发 生 了 转 变 目 前, 由 于 反 垃 圾 邮 件 效 力 和 用 户 认 识 的 提 升, 回 报 率 可 能 不 足 以 负 担 垃 圾 邮 件 攻 击 的 机 会 成 本 取 而 代 之 的 是, 网 络 犯 罪 分 子 将 更 多 的 时 间 和 精 力 放 在 了 不 同 类 型 的 针 对 性 攻 击 上, 其 目 的 通 常 是 获 取 更 有 利 可 图 的 公 司 和 个 人 银 行 帐 户 以 及 有 价 值 的 知 识 产 权 为 使 自 己 的 攻 击 更 具 个 性 化, 某 些 网 络 犯 罪 分 子 专 门 入 侵 邮 件 营 销 供 应 商 的 网 络, 因 为 他 们 拥 有 有 效 的 姓 名 邮 件 地 址 以 及 其 他 属 性 信 息 用 在 诈 骗 攻 击 和 恶 意 攻 击 中 时, 无 论 是 大 规 模 攻 击 还 是 鱼 叉 式 网 络 钓 鱼 攻 击, 此 类 个 性 化 信 息 都 会 提 高 用 户 打 开 攻 击 邮 件 的 可 能 性 较 小 规 模 垃 圾 邮 件 攻 击 与 最 近 的 数 据 外 泄 之 间 的 关 系 非 常 微 妙, 但 从 中 得 出 的 真 正 要 点 是 如 今 的 攻 击 正 在 变 得 越 来 越 个 性 化 个 性 化 攻 击 的 影 响 鱼 叉 式 网 络 钓 鱼 攻 击 的 影 响 尽 管 相 对 于 其 他 类 型 的 威 胁, 鱼 叉 式 网 络 钓 鱼 攻 击 在 数 量 上 较 少, 但 它 会 给 当 今 企 业 造 成 非 常 严 重 的 后 果 大 多 数 鱼 叉 式 网 络 钓 鱼 攻 击 最 终 都 会 导 致 经 济 损 失, 对 于 受 害 者 来 说 非 常 危 险, 而 对 于 网 络 犯 罪 分 子 来 说 则 非 常 有 利 可 图 鱼 叉 式 网 络 钓 鱼 使 用 的 定 制 化 方 法 比 大 规 模 诈 骗 攻 击 和 恶 意 攻 击 使 用 的 方 法 更 胜 一 筹, 因 此 用 户 打 开 率 和 转 化 率 都 要 高 得 多 这 些 成 功 因 素 使 鱼 叉 式 网 络 钓 鱼 攻 击 感 染 的 效 率 得 以 提 升, 因 此 使 用 更 加 普 遍, 经 联 邦 贸 易 委 员 会 证 实, 每 年 估 计 有 900 万 美 国 人 的 身 份 信 息 遭 到 窃 取 通 过 鱼 叉 式 网 络 钓 鱼 攻 击 从 每 个 受 害 者 处 攫 取 的 收 益 可 能 会 千 差 万 别, 但 平 均 值 和 中 间 值 都 非 常 高 例 如, 根 据 Javelin 战 略 与 研 究 机 构 开 展 的 初 级 消 费 者 调 查,2010 年 从 每 个 受 害 者 处 获 得 的 平 均 身 份 信 息 欺 诈 金 额 达 到 了 4607 美 元 如 果 按 照 400 美 元 的 用 户 损 失 保 守 估 计,2010 年 6 月, 通 过 鱼 叉 式 网 络 钓 鱼 攻 击 获 得 的 年 犯 罪 所 得 总 金 额 达 到 了 1.5 亿 美 元 ( 见 表 4) 此 数 额 是 一 年 前 的 5000 万 美 元 的 三 倍 ; 而 且 由 于 网 络 犯 罪 活 动 又 恢 复 到 之 前 的 企 业 级 别, 因 此 预 计 未 来 几 个 月 还 会 继 续 增 长 针 对 性 攻 击 的 影 响 针 对 性 攻 击 的 恶 意 性 质 使 其 对 于 社 会 整 体 以 及 每 个 具 体 组 织 的 危 害 都 极 大 通 过 针 对 性 攻 击 攫 取 的 网 络 犯 罪 收 益 虽 然 巨 大, 但 同 时 也 不 易 估 计, 因 为 受 害 者 和 攫 取 到 的 知 识 产 权 不 同, 获 得 的 收 益 多 少 也 千 差 万 别 不 过, 网 络 犯 罪 收 益 只 是 受 害 组 织 总 体 成 本 的 一 部 分, 后 者 很 大 程 度 上 也 取 决 于 组 织 的 声 誉 和 经 营 状 况 组 织 因 受 到 针 对 性 攻 击 而 产 生 的 成 本 可 能 千 差 万 别 据 FBI 的 调 查 显 示, 这 些 成 本 从 数 千 到 数 亿 美 元 不 等 同 样,Ponemon 研 究 所 也 估 计, 每 个 组 织 数 据 外 泄 可 能 产 生 的 成 本 从 100 万 美 元 到 5800 万 美 元 不 等 举 个 例 子, 一 家 大 型 游 戏 平 台 提 供 商 报 告,2011 年 2 季 度 其 网 络 遭 受 的 未 经 授 权 的 访 问, 目 前 已 知 产 生 的 相 关 成 本 大 约 高 达 1.72 亿 美 元 这 些 成 本 包 括 设 置 个 人 信 息 防 盗 程 序 身 份 信 息 窃 取 损 失 保 险 客 户 召 回 计 划 费 用 客 户 支 持 费 用 网 络 安 全 增 强 费 用 法 律 和 专 家 费 用, 以 及 由 于 未 来 收 入 可 能 下 降 带 来 的 利 润 影 响 再 举 一 例, 一 家 公 共 付 款 处 理 程 序 公 司 遭 受 数 据 外 泄, 导 致 数 百 万 用 户 帐 户 凭 证 受 影 响 一 年 后, 该 公 司 报 告, 产 生 的 相 关 费 用 达 到 1.05 亿 美 元 根 据 其 向 美 国 证 券 交 易 委 员 会 提 交 的 10-Q 报 表 文 件 显 示, 此 类 费 用 约 达 9080 万 美 元, 大 部 分 与 以 下 几 项 费 用 相 关 :(i) 万 事 达 卡 和 维 萨 信 用 卡 针 对 我 们 以 及 我 们 的 担 保 行 进 行 的 评 估,(ii) 我 们 向 特 定 卡 品 牌 提 出 的 解 决 提 议, 用 于 解 决 对 我 们 的 担 保 行 ( 根 据 我 们 之 间 的 协 议, 担 保 行 有 权 向 我 们 寻 求 保 护 ) 主 张 的 索 赔, 以 及 (iii) 与 正 在 与 之 进 行 结 算 探 讨 的 索 赔 人 结 算 的 预 计 成 本 从 遭 受 入 侵 到 提 交 10-Q 结 果 的 时 间 段 里, 该 公 司 标 准 普 尔 500 指 数 痛 失 30% 的 价 值, 即 大 概 3 亿 美 元 的 股 东 利 益 最 终, 该 公 司 的 声 誉 也 遭 受 重 创, 这 比 资 金 损 失 和 补 救 工 作 加 在 一 起 产 生 的 成 本 还 要 高 昂 攻 击 的 整 体 影 响 表 4 汇 总 了 这 些 预 估 值 并 显 示 出 不 同 类 型 攻 击 每 年 带 给 网 络 犯 罪 分 子 的 经 济 收 益 总 额 表 4: 网 络 犯 罪 年 经 济 收 益 总 额 网 络 犯 罪 收 益 1 年 前 目 前 ( 百 万 美 元 ) 大 规 模 攻 击 1,050 美 元 500 美 元 鱼 叉 式 网 络 钓 鱼 攻 击 50 美 元 150 美 元 针 对 性 攻 击 不 固 定, 请 参 见 上 文 不 固 定, 请 参 见 上 文 总 计 1,100 美 元 650 美 元 6

很 明 显, 网 络 犯 罪 业 务 模 式 的 转 变 使 不 法 分 子 通 过 较 少 的 威 胁 活 动 产 生 了 过 渡 性 收 益 虽 然 网 络 犯 罪 活 动 有 所 减 少, 但 组 织 也 未 能 因 此 而 完 全 放 松, 因 为 由 此 产 生 的 成 本 比 经 济 损 失 要 多 得 多 要 估 计 此 类 总 损 失,Cisco SIO 对 位 于 全 球 范 围 的 361 家 组 织 展 开 了 初 步 调 查, 以 便 了 解 他 们 的 看 法 攻 击 对 组 织 的 影 响 可 分 类 如 下 : 1. 经 济 2. 补 救 3. 声 誉 经 济 : 根 据 具 体 攻 击 的 不 同, 直 接 转 移 到 网 络 犯 罪 分 子 的 经 济 损 失 可 能 相 差 很 多 ; 因 此, 组 织 无 法 估 计 此 损 失 补 救 : 鱼 叉 式 网 络 钓 鱼 攻 击 和 针 对 性 攻 击 产 生 的 补 救 成 本 由 受 害 组 织 承 担 管 理 团 队 必 须 辨 别 和 补 救 受 影 响 的 主 机 ; 由 于 欺 骗 性 应 用 的 使 用 不 断 增 加, 这 一 工 作 颇 具 挑 战 性 鉴 于 当 今 针 对 性 攻 击 和 基 础 恶 意 软 件 的 复 杂 性, 补 救 成 本 可 能 非 常 高 补 救 成 本 包 括 应 对 受 感 染 主 机 所 需 的 时 间 和 该 时 间 对 应 的 机 会 成 本 根 据 对 组 织 的 调 查, 思 科 发 现, 专 门 用 于 补 救 受 感 染 主 机 需 要 的 时 间 平 均 为 两 小 时 每 次 补 救 两 小 时 的 成 本 基 数 视 每 个 组 织 有 具 体 情 况 而 定, 该 时 间 对 应 的 机 会 成 本 也 如 此 根 据 Cisco SIO 的 研 究, 组 织 估 计 每 个 受 感 染 用 户 的 直 接 补 1 2 3 复 合 影 响 : 组 织 因 鱼 叉 式 网 络 钓 鱼 攻 击 和 针 对 性 攻 击 产 生 的 总 体 成 本 要 比 转 移 到 网 络 犯 罪 分 子 的 直 接 经 济 损 失 多 得 多 表 5 展 示 的 是 Cisco SIO 研 究 361 家 组 织 的 结 果 表 5: 每 次 攻 击 产 生 的 总 体 组 织 成 本 组 织 规 模 资 金 损 失 * 补 救 成 本 * 声 誉 成 本 * 不 超 过 1,000 名 用 户 介 于 1,000 到 5,000 名 用 户 之 间 5,000 名 用 户 以 上 327 美 元 558 美 元 2,346 美 元 233 美 元 484 美 元 1,436 美 元 290 美 元 833 美 元 1,553 美 元 * 每 个 受 感 染 用 户 尽 管 根 据 组 织 情 况 和 攻 击 方 式 的 不 同, 产 生 的 成 本 可 能 各 不 相 同, 但 有 一 点 非 常 明 确 : 组 织 的 总 体 成 本 会 非 常 高 此 外, 声 誉 管 理 和 补 救 工 作 可 能 会 对 组 织 形 成 无 形 压 力 总 结 无 论 所 属 行 业 地 理 位 置 和 规 模 如 何, 低 攻 击 量 针 对 性 攻 击 发 生 次 数 的 增 加, 对 众 多 组 织 中 的 用 户 都 产 生 了 影 响 此 类 攻 击 的 盛 行, 导 致 不 法 分 子 的 经 济 收 益 增 加, 也 对 受 害 组 织 产 生 了 影 响 组 织 不 仅 要 承 担 经 济 损 失, 而 且 还 要 承 担 补 救 受 感 染 主 机 的 成 本 和 其 品 牌 声 誉 遭 受 到 的 负 面 影 响 随 着 针 对 性 攻 击 数 量 的 不 断 增 加, 网 络 犯 罪 活 动 将 继 续 发 展, 其 影 响 也 将 持 续 救 成 本 为 640 美 元, 相 当 于 直 接 经 济 损 失 的 2.1 倍 声 誉 : 受 害 组 织 和 用 户 可 能 在 较 长 时 间 内 都 无 法 摆 脱 攻 击 带 来 的 负 面 影 响 例 如, 树 立 品 牌 通 常 需 要 很 多 年, 但 是 负 面 事 件 或 新 闻 报 道, 尤 其 是 曝 光 率 特 别 高 的 事 件, 可 能 会 在 很 短 的 时 间 内 就 使 企 业 的 形 象 大 打 折 扣 直 接 影 响 可 能 是 业 务 大 幅 下 滑, 有 时 甚 至 会 导 致 组 织 陷 入 绝 境 判 断 负 面 声 誉 影 响 造 成 的 实 际 成 本 非 常 困 难, 就 像 估 算 组 织 的 品 牌 价 值 一 样 但 是, 组 织 很 清 楚 负 面 事 件 可 能 会 影 响 他 们 的 声 誉, 进 而 可 能 会 带 来 业 务 和 股 东 价 值 的 大 幅 下 滑 根 据 Cisco SIO 的 研 究, 组 织 估 计 每 个 受 感 染 用 户 的 声 誉 成 本 为 1900 美 元, 相 当 于 直 接 经 济 损 失 的 6.4 倍 7

解 决 方 案 : 思 科 安 全 智 能 运 营 中 心 传 统 的 安 全 保 障 方 法 依 赖 于 产 品 的 分 层 和 多 重 过 滤 器 的 使 用, 而 这 已 经 不 足 以 抵 御 最 新 一 代 恶 意 软 件 的 攻 击, 因 为 它 们 不 仅 传 播 迅 速 目 标 遍 布 全 球, 而 且 能 够 利 用 多 种 载 体 进 行 传 播 思 科 安 全 智 能 运 营 中 心 (SIO) 是 世 界 上 规 模 最 大 的 基 于 云 的 安 全 生 态 系 统, 利 用 其 中 的 实 时 威 胁 情 报 功 能, 思 科 能 够 跟 踪 最 新 的 威 胁 Cisco SIO 使 用 已 部 署 的 思 科 邮 件 网 络 防 火 墙 和 入 侵 防 御 解 决 方 案 中 的 近 百 万 个 实 时 数 据 源 提 供 的 SensorBase 数 据 Cisco SIO 对 数 据 进 行 分 析 和 处 理, 然 后 自 动 对 威 胁 进 行 分 类 并 使 用 200 多 种 参 数 创 建 规 则 安 全 研 究 人 员 还 会 针 对 可 能 对 网 络 应 用 和 设 备 造 成 广 泛 影 响 的 安 全 事 件, 收 集 并 提 供 相 关 信 息 每 三 到 五 分 钟, 系 统 就 会 为 已 部 署 的 思 科 安 全 设 备 动 态 提 供 安 全 规 则 Cisco SIO 团 队 还 将 发 布 安 全 防 护 最 佳 实 践 建 议, 以 及 抵 御 安 全 威 胁 的 战 术 指 导 思 科 致 力 于 为 世 界 各 地 的 组 织 提 供 一 体 化 及 时 综 合 且 有 效 的 完 整 安 全 解 决 方 案, 从 而 实 现 全 方 位 的 安 全 保 障 有 了 思 科, 组 织 可 以 省 下 研 究 威 胁 与 漏 洞 的 时 间, 集 中 精 力 实 施 主 动 的 安 全 保 障 工 作 美 洲 总 部 Cisco Systems, Inc. 加 州 圣 荷 西 亚 太 地 区 总 部 Cisco Systems (USA) Pte. Ltd. 新 加 坡 欧 洲 总 部 Cisco Systems International BV 荷 兰 阿 姆 斯 特 丹 Cisco 在 全 球 设 有 200 多 个 办 事 处 思 科 网 站 www.cisco.com/go/offices 中 列 出 了 各 办 事 处 的 地 址 电 话 和 传 真 Cisco 和 Cisco 徽 标 是 Cisco Systems, Inc. 和 / 或 其 附 属 公 司 在 美 国 及 其 他 国 家 / 地 区 的 商 标 在 www.cisco.com/go/trademarks 上 可 查 看 思 科 商 标 列 表 提 及 的 第 三 方 商 标 为 其 相 应 所 有 者 的 财 产 使 用 合 作 伙 伴 一 词 并 不 暗 示 思 科 和 任 何 其 他 公 司 存 在 合 伙 关 系 (1005R) 8