垃圾电子信息发展趋势及防御方法.ppt

垃圾电子信息发展趋势 及防御方法,李志霄 微软中国首席技术官,2007年9月25日,僵尸网络和Rootkits技术,病毒和蠕虫,网络钓鱼和网络欺诈,非授权访问,垃圾邮件,间谍软件,法规符合性,不适当的内容,公司政策,信息丢失/泄漏,补丁管理,非托管的计算机,当今面临的挑战,家庭安全,身份盗窃,垃圾邮件和网络钓鱼趋势,在线威胁的演变 垃圾邮件 网络钓鱼 零天攻击 垃圾内容 形象 恼人的垃圾邮件 安全威胁的纳污池 日益增长的混合迷惑和数量 目标攻击 鱼叉式网络钓鱼（spear fishing) 如今90%以上的邮件都是垃圾邮件 Windows Live / Hotmail 每天都有50亿电子邮件 网络钓鱼 在一年里增加了9倍 世界范围的威胁 “无防护的”计算机 身份盗窃 公司登录授权验证 跨设备 关键性基础设施,Source: Microsoft Research / FSTC,网络蠕虫 拒绝服务 Phone phreaking-电话一窥-伪造控制频率 骚扰 生产力,网络钓鱼/社会工程 谋取金钱的攻击 僵尸网络和rootkits 鱼叉式网络钓鱼-有的放矢的攻击，以特定的对象为标靶 身份盗窃 恶意软件 零天攻击,更高技术的攻击 跨设备攻击 设定目标攻击 信誉 跨设备 VOIP,威胁的演变： 损害信任、身份和隐私,对客户信赖及在线信任的影响 商业生产力和安全 电子商务 / 网上银行 国家安全和经济成长,过去,现在,未来,微软公司的安全策略,通过安全创新、用户指导和行业合作 建设安全的平台、产品和服务以确保客户的安全,优秀的跨平台、产品和服务的基础 其他实现安全的创新,教育资讯和工具 权威的应急回应 用户体验的安全,生态系统 意识和教育 协作与行业合作关系 政策和执法,浏览器保护 微软公司网络钓鱼过滤技术,我 / 我的计算机,一个多前线的战场： 用户、计算机、电子邮件和浏览器,为什么我们需要鉴定 - 发件者身份,改进电子信息的可靠性和信任状况 从“发件者行”我们无从知晓其是否被伪造 证明为发送域提供了“驱动器许可证”，即信誉的基础 商业价值 具有信誉的发件者身份架构（SIDF）改进了过滤技术 改进了输送能力和因而发生的电子邮件打开率 （open rates） 保护品牌和域的可信性和信誉 用户信赖和信任得到提高,易用性,发件者身份架构SIDF 机理:,SIDF 是以IP為基礎的解決方案，經由合併发件者策略架構(SPF) 和Microsoft eCallerID電子郵件呼叫者識別碼而產生。2006 年 4 月，IETF頒布了寄件者識別碼規格 RFC 4405-4408 在 SIDF 內，SPF 記錄提供一份純文字記錄，載明了所有與某網域關聯的輸出郵件服务器，及其對應的 IP 位址。組織會將 SPF 記錄發佈到其 DNS 服务器區域檔，供收件者郵件服器务日後檢查。設定 SPF 記錄是既快速、容易而又免費的過程。寄件者識別碼架構 SPF 記錄精靈(Sender ID Framework SPF Record Wizard) 提供按部就班的操作程序，可檢查網域郵件伺服器並建立要準備發佈的自訂記錄 (有關如何發佈 SPF 記錄的詳細資料，請參閱 /senderid。您可以從 /senderid/wizard 直接存取該精靈)。 收件端 SMTP 服务器會對 DNS 中網域的區域檔執行 ping 以檢查是否有 SPF 記錄。找到後，即檢查比對寄件服务器的 IP 位址與記錄中所列的 IP 位址。若發現相符項目，則驗明該郵件並非假冒。要不然，如果寄件者的網域 SPF 記錄與郵件的來源 IP 位址不符，就算驗證失敗並給予負分評價，而該郵件可能會被放入垃圾郵件資料夾中。,具有信誉的鉴定,標示郵件後，SIDF 會讓收件服务器根據寄件人過去的習性、信譽、郵件內容或其他可依需要定義的條件來分析郵件。這項功能提供了額外的安全保障。例如，濫發垃圾郵件者可能會登記酷似的網域和 SPF 發佈記錄，而讓使用者和收件端網路受騙誤以為郵件來自合法的寄件者。但即使這類電子郵件能通過驗證檢查，寄件者濫發垃圾郵件惡名遠播就足以構成將郵件被封鎖、歸為垃圾或刪除的條件。,具有信誉的鉴定 提高输送能力,失败,通过,SPF 正文记录 (DNS 区文件）,发件者身份 检查PRA / Mail From,发件者名誉系统,鉴别发件者是谁,鉴定证据,信誉的应用,发送名誉 用户反馈,信誉是如何实现的,四种重要过滤方法 四种都是有用的、必要的，仍需改进的 信誉可克服过滤技术局限性,浏览器保护 微软公司网络钓鱼过滤技术 Windows IE 7 Windows Live Tool Bar,我 / 我的计算机,强有力的安全保护 IE 7 第二道防线,对技术攻击的保护 限制编程访问 减少受攻击面 当设置不安全时发出警告 简化体系结构 对社会工程攻击的保护 反网络钓鱼 轻松识别安全站点 地址栏造假 “单点”清除 增强的第三方确认证书（SSL） 设计要求 客户利益和安全措施 隐私 对虚假信息的防护,微软公司网络钓鱼过滤技术,对欺诈性网页站点的有力保护 保护用户免遭网络钓鱼威胁的3项“检验” 将网页站点与已知的合法站点的本地列表相比较 扫描站点是否具有钓鱼站点的共同特征 再次检验站点是否符合online Microsoft service上实时更新的已通告的钓鱼站点。 自Beta 1启用起，超过120万钓鱼攻击都被阻拦下来。,级别 1: 警告 以信号通知可疑的网页站点,级别 2: 阻止 对已证实的钓鱼站点以 信号通知并实行阻止。,在Internet Explorer 7 和Windows Live中警告和保护的两种级别,微软公司网络钓鱼过滤技术 针对欺诈性网站的实时保护,客户指导和教育 /athome/security,在美国，每月不重复使用人数（unique user）为1700万 。 在全世界，有1300万不重复使用人数 24种当地语言 在超过35个市场应用,协作 政府、行业和企业,立法和执法,立法的重要性是什么？ 为资讯人员的合法市场提供公告 对已成为或将要成为垃圾邮件制造者的人造成激冷效应 在适当的案例中允许实施 各国一致的反垃圾邮件法有效避免“安全港” 促进国际和公众/企业合作 政府在提高在线安全方面的积极作用 它应是什么样的？ 严厉的民事或刑事处罚表现了常用的策略 欺诈性的电子邮件（主题、标题、发信人地址栏） 收获（例如词典攻击）/ Scripted帐户创建 不包含单纯的通邮活动 保护ISP相应的反垃圾邮件民间执行权利 所有有责任的方面，而并不仅是发件者 保护观念和信息的自由流通 “PEBRs” 和“未请自到商业邮件” 的清晰定义 不包括无效的“Do Not Email Registers”,执法的重要性是什么？,对我们客户的威胁日趋增长 客户关注的电子邮件问题之一 Windows Live / MSN 有超过两亿六千五百万的常用帐户，是世界上最大的基于网络的电子邮件服务。 每天阻止超过45亿的垃圾邮件 - 巨大影响 对于公司的基础设施、设备、人员、生产力有巨大的影响 对ISP们来说应拥有一定的民间执行权利 与执法机构和政府部门的合作至关重要 微软在全球起诉和协助执法机构处理了超过400个垃圾邮件、网络钓鱼、间谍软件案件 主要教训： 垃圾邮件者的狡诈和国际化趋势日益增长 有效的立法和执法至关重要 需要政府和行业的积极协作,#1 鉴别国内和国外的电子邮件 支持可信生态系统,#3 使用标准和最佳实践开发创新产品和服务,#4 给企业和客户提供说明建议,#2 企业、行业、政府部门的协作,呼吁行动起来（Call To Action) 最大程度建立信赖和信心,摘要,执行发件者ID 国内的和国外的 发布您的SPF记录 /senderid/wizard 部署 IE 7 实施您的域防御计划 白皮书 /safety 更多信息 /safety /senderid /athome/security /,谢 谢,备份幻灯片,公司SIDF采用 金融机构 早期采用者,来源： 10/20 DNS query,美国银行香港分行 中国银行 交通银行 东亚银行 中国中信银行 中国建设银行 道亨银行 星展银行 中国工商银行 港基国际银行 民生银行 浦东发展银行 深圳发展银行,网络钓鱼发展日益增长的威胁,来源：反网络钓鱼工作小组 06年11月,发件者ID 名誉示例,内容特征,发件者 ID 名誉特征,注意：权数经常改变。 上表所示值仅供说明。,域防御策略 看起来像的（look a-like）域, 品牌侵害和欺诈性的域获取,目标 保护您的客户、保护您的品牌以及将网络钓鱼者绳之以法 策略 1. 观察, 2. 记录, 3. 恢复和帮助移除涉案内容（takedown） 战术 与“移除涉案内容服务（take down service）”合作 创建一个突发事件响应策略 清查盘存所有的品牌和域 集中化管理/ 更新 评审 “Who is”信息 微软公司域结果 超过125,000个域被监控 / 超过3,300个域被获得 / 4,700个域被移除涉案内容（takedowns）,名誉对交付的影响,涉及到投资、利率和财务信息的电子邮件 通过过滤和启发法得出负的得分-.3103,倾向于将邮件置于垃圾邮件文件夹。 来自具有良好名誉的已知银行的邮件通过SIDF，获得了+3.6682的正得分 网络得分为3.3579，将导致其被传送到收件箱,Outlook 2007 电子邮件邮戳,难题 个人用户邮件出现时，可能会被过滤器当作垃圾邮件。但其实它是合法的。 提高输送能力和合法性，减少被认定为垃圾邮件的风险。 解决方案电子邮件邮戳 Microsoft SmartScreen分析邮件可能在接收网络时引发启发法的内容 Outlook 在邮件发送前，附上一个邮戳或计算难题，（花费810秒的计算时间），其对用户来说是透明的。 接收网络确认令牌并且将一个得