网络钓鱼相信大家都不会太陌生。近年来，随着人们网络安全意识的提升，网络钓鱼的手法也变得越来越高明。攻击者的社工经验愈加丰富，钓鱼技术也愈加的先进和新颖。作为企业，通过技术手段似乎在一定程度上能保护员工免受大型钓鱼攻击的威胁，但这并不是解决问题的根本，更关键的是员工安全意识的加强和培养。下面，我们的讨论也将围绕该话题展开。
网络钓鱼听起来很容易，但大规模的钓鱼活动策划并不简单。以下是成功运行内部钓鱼邮件的一些提示和技巧。
网络钓鱼需要什么？
第一、一个合理迫切的借口！借口是攻击者用来诱导目标员工，以伪装的合法请求或任务欺骗员工接收钓鱼邮件的故事或诡计。
第二、有效的payload，执行恶意活动的重要组成部分。
第三、一个令人信服的钓鱼网站、钓鱼邮件可能会要求目标点击链接，该链接会跳转到攻击者制作的假网站上，通常这些网站都是一些可信站点的副本，主要用来窃取目标的用户名和密码。
第四、成功发送钓鱼邮件。如果电子邮件被发送到了目标的“垃圾邮件”或“垃圾”文件夹中，那么邮件将很可能不会被打开甚至是被忽略。因此想要成功执行钓鱼攻击，将邮件准确的发送到目标收件箱是非常重要的。
钓鱼邮件解决方案
内部的网络钓鱼测试，对提升企业以及员工的安全意识有很大的帮助。由于是内部测试，因此资源的利用率和可信度都相对较高，这对企业和员工来说都是一场很好的安全检验。当然，让外部承包商进行测试也有其好处。这样，企业也更能从一个攻击者的视角看到自身安全的不足之处。此外，外部测试也更加的公正和独立，不易受到一些问题的限制和影响。总之，无论是内部还是第三方网络钓鱼评估，最重要的是培养员工的用户意识，而不是单单的将责任归咎于他们。只有这样，企业的安全建设才能更加的完善和稳固。
鉴于钓鱼邮件的特点，专家指出：网民最好避免使用简单的账户和密码，避免直接点击电子邮件中的网络链接，更不要轻易提供密码、银行账号等私密信息，以免上当受骗。此外，为避免不必要的泄密或其他风险损失，企业、机构最好能够采用高级别的邮箱防御系统，或者升级邮件防护机制，进一步提升邮件系统的安全性。
Coremail邮件系统和企业邮箱均采用国际最先进的DMARC防诈骗技术，同时采用邮件正文钓鱼链接过滤、Webadmin IP登陆限制、自动转发提醒等安全防护技术，为用户守好“门”。据悉，Coremail通过接入谷歌搜索引擎安全数据库（Google-safe-browsing），实时获取最新钓鱼链接数据，结合自身垃圾样本库及反垃圾技术，智能判断邮件正文是否有钓鱼或有害链接，并自动过滤所有钓鱼外链，保障安全。
DMARC技术，可以识别并拦截伪造邮件和欺诈邮件。由邮件发送方在DNS里面声明自己采用DMARC协议，所以接收方收到该域名发送的邮件时，邮件系统将进行校验，若校验失败，钓鱼邮件就不能进入用户得收件箱或垃圾箱，从而大大减少用户打开和阅读钓鱼邮件的可能性。在国内，Coremail是唯一使用该技术的邮件系统。
Coremail还配置了Webadmin-组织设定-IP登陆限制功能，可以限制本组织成员的IP登陆地址，“通过这个功能，就算黑客通过钓鱼邮件盗取了用户密码，也无法登录Coremail邮件系统。”与此同时，Coremail还支持“自动转发提醒”功能，如果黑客盗取邮箱账户密码后，偷偷设置自动转发，那么邮件系统就会发出安全提示和邮件提醒，协助用户及时发现安全隐患并采取应对措施。
(新闻稿 2018-04-08)