电子邮件安全防护.pptVIP

電子郵件安全防護 電子郵件安全防護 邪惡的電子郵件 電子郵件的社交工程 分辨電子郵件的真偽 收信軟體安全性設定 結論 1. 邪惡的電子郵件--Why電子郵件? 舊式網路架構與攻擊I 舊式的企業網路將伺服器以及使用者直接連接上網際網路 駭客可以直接使用作業系統或者伺服器服務的弱點來入侵電腦主機進而取得機密資料 1. 邪惡的電子郵件-- Why電子郵件? 舊式網路架構與攻擊II – 舊式的企業允許伺服器可以往內部網路連線 – 駭客可以透過入侵伺服器系統當成跳板，來 入侵內部網路使用者的電腦主機。 – 進而取得機密資料 1. 邪惡的電子郵件-- Why電子郵件? 現在的網路網路架構 為了避免駭客入侵使用者的主機 – 現在的企業都會使用防火牆禁止伺服器主動連線到使用者的電腦，或使用獨立的線路給使用者使用，因此駭客無法直接的攻擊使用者的電腦 1. 邪惡的電子郵件-- Why電子郵件? 現在的攻擊行為 – 駭客透過使用者的網路使用行為--「收取電子郵件」來進行攻擊 – 駭客使用的方法是發送電子郵件給握有機密資料的使用者，請收件人員確認附件裡所提到的問題，或在攻擊對象的網站上刊登文章，要求管理人員閱讀這些文章，進而讓使用者開啟這些附件或超連結，以便啟動木馬程式。 2. 電子郵件的社交工程 電子郵件社交工程的攻擊類型 – 假冒寄件者 – 使用讓人感興趣的主旨與內文 – 含有惡意程式的附件 – 利用零時差攻擊 假冒寄件者 駭客會假冒使用者信任的人，讓使用者相信電子郵件的內容，進而去開啟這些附件或超連結，並暗中啟動木馬程式 假冒寄件者方式 顯示名稱假冒 電子郵件帳號假冒 完全假冒 電子簽章假冒 假冒寄件者方式－顯示名稱假冒 假冒寄件者方式－電子郵件帳號假冒 假冒寄件者方式－完全假冒 使用電子郵件協定的弱點，完全假冒寄件者的名稱以及電子郵件位址；甚至透過入侵寄件者的電腦來寄發電子郵件。 假冒寄件者方式－電子簽章假冒 駭客申請一個假的電子簽章，加在電子郵件裏，以便欺騙使用者相信該電子郵件的正確性。 紅色小圓圈的數位簽章標誌只是表示該電子郵件被簽章過，但並不保證簽章的正確性。 使用讓人感興趣的主旨與內文 駭客會使用讓人感興趣的資料消息，來欺騙使用者去開啟這些附件或超連結，造成木馬程式開始動作。 使用讓人感興趣的主旨與內文－範例 駭客會使用收信者有興趣的生活、政治、 工作、情色等相關議題的主旨，來吸引收 信者開啟郵件，例如： – 週休二日的最好去處 –陳水扁洗錢案調查報告－內幕版 – 公文09-881234567號 – 林稚齡爆乳寫真－搶先曝光版 含有惡意程式附件 駭客在電子郵件附帶一個含有惡意程式的檔案， 這個檔案不一定是執行檔，可能是各種類型的應 用程式，甚至是壓縮檔。駭客會夾帶任何在應用 程式上有弱點的文件檔案類型，並想辦法誘騙使 用者開啟附件，藉以啟動安裝木馬程式。例如： – 含有惡意程式的影片檔（wmv） – 含有惡意程式的Office文件（doc） – 含有惡意程式的圖檔（jpg） – 含有惡意程式的壓縮檔（zip） 利用零時差攻擊 駭客利用尚未被發現的弱點來攻擊使用者，弱點的對象可能是各種類型的應用程式，甚至是收信軟體、網頁瀏覽器軟體只要使用者開啟了這些含有弱點的程式，就會啟動木馬程式。 何謂「零時差攻擊」 只要是軟體即有可能存在弱點。以微軟為例，2005年即有55筆弱點，若未能及時修補弱點，即可能讓駭客入侵成功。 軟體弱點在沒有任何修補方式之前，出現相對應的攻擊行為時，此類攻擊稱為「零時差攻擊（ZerodayAttack）」。 電子郵件社交工程應用案例 Phishing（網路釣魚） SPAM Mail（垃圾郵件） 電子郵件社交工程應用案例－Phishing Phishing（網路釣魚） 網路釣魚一詞最早出現於1996年，起因於駭客始祖們利用電話線犯案，因而結合Fishing與Phone創造Phishing一詞。 Phishing與英文「fishing」發音相同，只是將英文字母「F」改為「PH」，兩者意義也差不多。 Fishing是釣魚，Phishing便有一個很好的中文直譯典故：「姜太公釣魚，願者上鉤」。 電子郵件社交工程應用案例Phishing（續） 目前最常見的手法，是駭客架設幾乎與官方公司一模一樣的網站，再透過電子郵件告知使用者資料過期、無效需要更新，或者是基於安全理由進行身分驗證等的理由，騙取個人連線上假冒的網站，進而取得帳號與密碼。 電子郵件社交工程應用案例－SPAM Mail SPAM Mail（垃圾郵件） 將一份內容相同的電子郵件，未經收信人許可，大量寄給很多人。郵件內容多數是與收信人不相干的商業廣告。由於短時間內寄發大量郵件，常常造成系統負擔過重，導致收信人需花費金錢時間去收這些垃圾郵件。 電子郵件社交