钓鱼问题

钓鱼问题（精选12篇）

钓鱼问题 篇1

我国CNCERT/CC提供的《2010年中国互联网网络安全报告安全报告》[1]中指出:我国的安全事件中垃圾邮件、网络钓鱼 (Phishing) 所占比例高达64.05%, 其中网络钓鱼事件占27.04%。2010年国家互联网应急中心共接收网络钓鱼事件举报1597件, 较2009年增长33.1%。而大型电子商务、金融机构、第三方在线支付网站成为网络钓鱼的主要对象。中国反钓鱼网站联盟也发布报告[2], 截至2010年12月份, 该联盟累计认定并处理了钓鱼网站35648个, 钓鱼网站涉及行业前三位分别为支付交易类、即时通讯类、金融证券类, 占处理总量的87.35%以上。针对支付交易类钓鱼网站是最常见的钓鱼网站类型之一。

网络钓鱼是一种网络欺诈行为, 指不法分子利用各种手段, 仿冒真实网站的URL地址以及页面内容, 或者利用真实网站服务器程序上的漏洞在站点的某些网页中插入危险的HTML代码, 以此来骗取用户账号、密码等个人重要信息。本文的研究内容正是针对电子支付交易中的钓鱼问题, 希望在减小网络钓鱼对用户账户安全和资金安全威胁的同时, 尽量降低误判的概率而不影响用户进行电子支付的使用感受。

1 钓鱼成因及分类

为了对网络钓鱼行为的成因进行分析, 我们将客户通过浏览器请求交易的过程表示如下图所示。

网络钓鱼攻击者在图1所示各个环节中都可能实施攻击, 实现欺骗并盗取信息的目的。据此可对常见的钓鱼攻击方式进行分成:基于URL地址欺骗、基于恶意软件、基于DNS欺骗、基于服务器攻击和基于中间人的钓鱼攻击。值得注意的是, 这些攻击类型之间并非完全独立, 可以结合起来实施攻击。

基于URL地址欺骗的钓鱼攻击是利用网页URL地址混淆用户视听, 例如使用虚假相似网址、使用ASCII编码或者特殊字符等将URL地址改造成难以了解其真实指向的地址串等, 将用户引诱到恶意站点进行欺骗。此类攻击最为简单, 攻击成本较低, 仍然占据了钓鱼攻击的很大比例。

基于恶意软件的网络钓鱼攻击是指诱使用户在本机运行恶意脚本或木马软件而实施的网络钓鱼攻击。恶意软件通过社会工程学进行传播, 然后利用用户系统存在的漏洞, 记录用户页面上输入的信息或者截获用户提交的数据, 从而对用户的数据进行窃取[3], 例如利用Windows消息机制, 通过系统API函数拦截文本输入时的按键事件消息, 进行键盘记录。由于恶意软件种类繁多并且层出不穷, 此类攻击比重仍在加大。

基于服务器攻击的网络钓鱼是指攻击者通过服务器的安全漏洞, 例如SQL注入或者跨站脚本XSS[4]控制合法服务器, 将恶意内容注入服务器站点。这些恶意内容的作用或者重定向到其它站点, 或者在用户机器上安装恶意软件, 或者是插入输入框架, 将提交的数据重定向到钓鱼服务器上。

基于DNS欺骗的网络钓鱼攻击是指干涉域名查询过程, 通过修改用户的Hosts文件、修改用户DNS缓存或用户DNS服务器设置进行攻击, 将与正常网站域名配对的IP地址改为钓鱼服务器的IP地址, 用户进行域名查询时得到的是恶意服务器的错误信息, 最终被导向钓鱼站点。

中间人式钓鱼攻击是指攻击者处于用户与合法站点之间, 窃听其交易过程的攻击方式。本来要传递给合法站点的信息将会被传递给网络钓鱼攻击者, 攻击者保存了有价值的信息后将信息传递给合法站点, 然后合法站点也将先经过攻击者再传给用户。因为当前交易过程顺利完成, 因此很难察觉。

2 常见钓鱼防御方法

由于网络钓鱼行为的猖獗及其导致的损失和危害越来越引起个人和机构的重视, 目前网络钓鱼防御已成为网络安全领域一个非常重要的研究课题。针对上述几种攻击方式, 我们总结出通常采用的几类防御措施, 这些措施可以从一定程度上抵御网络钓鱼攻击, 或减小钓鱼行为导致的危害。

首先, 既然钓鱼者利用精心注册的域名诱骗用户, 并且钓鱼网站域名和正常网站相比存在着一定的“仿冒特征”, 那么从地址资源设置和使用上进行监管是快速阻断钓鱼攻击的方法之一[5]。例如监管部门可以从域名产生、域名解析、域名应用等多个阶段来保证域名系统在身份、内容和行为上的可信。域名监管方法通常与其他方法配合使用, 形成由下之上的防御体系。

其次, 可以对客户当前访问页面的URL地址进行检测并过滤的方法进行防御。常用的是黑名单和白名单技术, 通过对请求的URL与存储列表中的URL进行比较, 决定是否允许或限制此次请求访问。黑名单[6]维护了所有需要拦截的URL列表, 而白名单则包含了允许访问的URL列表。黑名单的工作原理是首先默认网络中所有的网页是安全的, 仅仅拦截存储在列表中的URL地址。白名单则正好相反, 它默认互联网上所有的地址都是不可访问的, 仅仅访问列表中所列的URL地址。例如Google公司推出的Google Safe Browsing的原理是维护黑名单, 同时依靠Google强大的搜索引擎的优势来帮助鉴别钓鱼站点。基于URL过滤的反钓鱼方法具有很高的准确率, 但更新需要时间, 不能及时对恶意站点进行拦截。

再次, 钓鱼网站和合法站点对于用户来说难以区分, 但从Web页面的文档对象模型和HTTP协议信息的角度进行分析仍可窥见端倪。页面检测算法从合法站点页面和以往的网络钓鱼页面中概括出敏感特征模型:例如域名中的分隔符过多或含特殊解析字符、表单中包含帐号和口令的输入框等。当敏感特征出现异常时, 算法检测出其异常程度, 判断待测页面是否为网络钓鱼页面。此外, 还可以使用图像识别和模式匹配技术进行疑似钓鱼页面的甄别, 首先提取正常网页与待检测网页的图像特征, 然后计算两个页面的视觉相似性, 当相似性大于某一设定阈值时则认为待检测网页为钓鱼网页, 但这种方法每次只能将单个网页作为比较对象。

3 支付交易提供方的反钓鱼应对措施

当前愈演愈烈的钓鱼行为已经引起了政府和监管部门的重视, 他们已着手对广大用户进行网络安全意识教育, 并加强了互联网资源配置和监管上的力度。许多网络设备和软件厂商也都积极投入大量人力和资金, 研究新的检测算法和防御技术, 进行反钓鱼系统的研究和开发, 致力于为广大用户提供安全的网络应用环境。那么, 支付交易提供方作为网络活动的参与者, 在为用户提供服务的同时, 又能采取哪些措施来抵抗网络钓鱼, 从而最大限度地保护用户账号, 保障用户的利益不受损害呢?

实际上, 不论哪种类型的钓鱼攻击, 其攻击过程都可以分为两个阶段:第一阶段是通过冒充服务器等方式骗取用户的账号和口令, 第二阶段就是发起与服务器的通信并冒充合法客户从中牟利。那么只要识别并阻断其中任何一个阶段的攻击行为, 就可以遏止网络钓鱼行为的发生。下面我们将针对这两个阶段分别进行说明。

3.1 防止攻击者冒充用户

要阻止这一阶段攻击, 需要从加强用户身份验证入手, 确保是真实用户自身, 而不是攻击者通过口令猜测或窃取冒充的用户。支付交易方可以采取的措施包括以下多种。

首先, 针对攻击者多利用用户安全意识薄弱, 计算机系统安全级别不高进行攻击的现状, 可以在支付交易的关键页面上进行网络钓鱼防御知识宣传, 提高用户的网络安全意识。

其次, 安全控件和动态软键盘技术也应用较广。安全控件主要是针对基于恶意软件的钓鱼攻击, 目的是阻止键盘钩子或消息钩子, 使攻击者无法通过操作系统漏洞或系统开放函数截获用户输入或提交的数据。动态软键盘技术也是针对键盘截获类钓鱼攻击, 通过使用软键盘输入, 并且键盘按键布局每次都不相同, 使攻击者无法窃取用户输入的信息。此外还可以对软键盘技术进行进一步改进, 通过鼠标点击软键盘输入的内容不是实际密码而是当前布局下的按钮序号, 能进一步抵抗攻击者对用户提交数据的窃听。

另外, 目前有三种介质可用于主体身份验证: (1) 只有该主体了解的秘密, 如口令、密钥等。 (2) 仅该主体唯一持有的物品, 如证书、手机、智能卡和令牌卡等。 (3) 只有该主体具有的独一无二的特征或能力, 如指纹、声音等。而双因子认证是指通过组合两种方式来证明用户身份, 即使其中一种方式失去保护能力, 另一种方式仍可以在一定程度上保护用户账户, 支付提供方应尽量鼓励用户采用双因子认证方式。在包含口令的双因子认证方式下, 再采用双口令会较大程度提升安全性, 也就是将用户的登录口令进和进行支付交易相关操作的支付口令分开。为了防止口令被暴力攻击破解, 除了强制用户采用数字和字母组合的强口令外, 可要求用户一并输入在页面随机生成的图形校验码, 还可以限制口令输入错误次数。

3.2 防止攻击者冒充支付服务提供者

针对攻击者可能利用网页漏洞插入恶意代码或恶意脚本对服务器进行攻击实施的钓鱼行为, 部署网页防篡改措施, 定期进行系统安全评估、漏洞修补和加固, 定期进行安全日志审计, 提升服务器端的安全。个人客户可以采用个人数字证书来证明自己的身份, 实际上服务器也可由类似的数字证书——服务器证书来证明自己的合法身份。所以支付服务提供者应选用可信的服务器证书, 保证与其它服务器或客户端通信的安全性。

此外服务提供者还可以利用某些页面辨别机制来最大限度地避免自己被冒充, 针对不同的账号在其登录时给出不同的页面特征, 例如显示预留信息或在特征区域下显示口令输入框。显示用户注册时的预留信息, 例如“我的狗狗名字叫做小怪物”, 用于向用户证明正在与之通信的是合法服务器。还可以在特征区域下显示口令输入框:将整个登录密码的输入页面划分为m*n个区域。用户注册支付服务时自行选择密码输入区域和输入区域背景颜色。由此用户登录时的口令输入区域就提供了多种不同的特征, 用户在输入密码前就能主动辨别输入区域特征与自己的预先设定是否相符, 如果不符则怀疑登录了钓鱼网站, 并拒绝输入口令。这两种页面辨别方法均用于表明自己掌握了某个“仅有我们双方才知道的秘密”, 从而向用户表明自己的身份。在“瘦”浏览器的现状下, 这种方法能起到一定的保护作用, 并且不用对浏览器端用户操作方式、服务器端的计算方式、浏览器和服务器之间的通信机制进行较大的修改。必须指出的是, 单独使用这种方法仍不能完全抵御钓鱼网站对自己的仿冒, 主要原因是服务器展示自己所知道的“秘密”之前并未验证对方的身份, 因此攻击者很容易通过中间人攻击获取只有用户和服务器才知道的“秘密”。这种缺陷类似于使用明文传输“秘密”, 因此在不引入安全密码保护“秘密”的前提下无法解决, 建议与数字证书、手机动态口令等双因子认证方法配合使用。

4 结语

本文对电子支付交易中钓鱼攻击的成因、分类和应对措施进行了研究, 希望通过用户、支付服务提供方和监管部门的共同努力, 最大限度地抵抗钓鱼攻击, 从而保障用户和公众的利益不受损害。

参考文献

[1]CNCERT/CC.2010年中国互联网网络安全报告, http://www.cert.org.cn.

[2]Anti-Phishing Alliance of China (APAC) .2010年12月份钓鱼网站处理简报, http://www.apac.org.cn.

[3]杜晔, 张大伟, 范艳芳.网络攻防技术教程—从原理到实践[M].武汉大学出版社, 2008.

[4]冯登国.网络安全原理与技术[M].科学出版社, 2004.

[5]OLLMAN G.The Phishing Guide-Understanding andPreventing (White Paper) , Next Generation SecuritySoftware Ltd, 2004.

[6]Zhang Y, Egelman S.Phinding Phish:EvaluatingAnti-Phishing Tools, In:Proc of the 14th AnnualNetwork&Distributed System Security Symposium (NDSS) , Santiago, 2007.

钓鱼问题 篇2

“石原慎太郎扬言‘收购’钓鱼岛”追踪

27日，此前扬言要由东京都政府“买下”钓鱼岛的日本极右翼政客、东京都知事石原慎太郎再次宣称，东京都政府从当天开始，发起为“购买”钓鱼岛的募捐活动。

称“很多人想捐款”

本月17日，石原在美国访问时突然抛出“购买”中国固有领土钓鱼岛的怪论，引发日本朝野轩然大波。石原之所以说“购买”，是因为日本方面声称，钓鱼岛及其附近几个岛屿目前为日本民间人士“所有”。石原当时声称，日本政府“畏惧”中国不敢出钱将钓鱼岛“国有化”，那就由东京都政府来做。27日，石原慎太郎在媒体记者会上宣布，为“购买”钓鱼岛的募捐活动正式开始。已经80岁的石原称，自从他宣布准备“购买”钓鱼岛后，许多日本人都愿意捐款。“很多人，捐款的或者想捐款的，都打电话给东京都政府，还有人捐10万日元。在网上，也有人问往哪里汇钱„„为了响应这些意愿，(东京都政府)正式设立了捐款账户。”石原在记者会上称。

日本插手南海图谋在钓鱼岛等问题中渔利

据日本《产经新闻》24日报道，随着驻日美军重组部署的展开，日美两国政府开始探讨美国海军陆战队与日本自卫队共同使用菲律宾军事训练设施的问题。在目前东海和南海局势出现紧张的状况下，日本此举被普遍认为是想趁乱牵制中国，以图在钓鱼岛问题上渔利。本网连线环球资讯驻日本记者谢宏宇，介绍一下日本自卫队准备在驻菲律宾美军基地进行长期驻扎的相关情况。

记者称据日本《产经新闻》报道，日美两国政府本月23号就驻日美军整编问题举行了新一轮会谈，双方就共同使用太平洋海域美军基地问题达成一致。按照会谈内容，日本自卫队除美属北马里亚纳群岛的基地外，还可以使用菲律宾巴拉望岛或吕宋岛的美军基地。该报道认为此举是为了牵制中国在太平洋海域“日益频繁的活动”。据媒体报道，菲律宾巴拉望岛面朝与中国存在岛屿争端的南沙群岛，地理位置重要并且敏感，最有可能成为日本自卫队驻扎的首选地。如果日美菲三国达成一致，将会在此共同训练部队。本月16号，日本自卫队曾首次参加了在此地举行的美菲定期共同军事演习。此外，日本政府近日还初步决定，将通过政府开发援助(ODA)向菲律宾提供巡逻艇，分析人士表示，如果提供巡逻艇一事正式敲定，这将是日本放宽武器出口限制后首次向他国提供武器。主持人称此前有媒体报道说，美国政府正准备将驻冲绳美军以“循环配置”的形式驻扎在夏威夷、关岛、澳大利亚达尔文市等地，日本自卫队此次打算在驻菲律宾美军基地进行长期驻扎，这两者之间有没有什么关系呢？

钓鱼岛问题的由来与现实 篇3

[关键词]中日关系：钓鱼岛

中图分类号：D73／77文献标识码：A文章编号：1009-8283(2009)04-0289-01

1钓鱼岛的位置及其基本情况

钓鱼岛及其附属岛屿位于我国台湾省基隆市东北约92海里处。距日本琉球群岛约73海里，但相隔一条深深的海槽。钓鱼岛列岛系由钓鱼岛、黄尾屿、赤尾屿、南小岛、北小岛及三个小岛礁组成，总面积约6.3平方公里。其中，钓鱼岛最大，面积4.3平方公里，海拔约362米。东南侧山岩陡峭，呈鱼叉状，东侧岩礁颇似尖塔，岛上长期无人居住。中日甲午战争之前，日本政府未对中国拥有钓鱼岛主权表示异议，中日甲午战争后，日本政府强迫清政府签订《马关条约》，攫取了台湾及钓鱼岛等附属岛屿。二战结束以后，战败的日本将台湾归还给了中国，却将台湾的钓鱼岛的那个附属岛屿私自交给了美国托管。钓鱼岛历来就是中国的领土，中国早在明朝就有关于钓鱼岛的历史文献记载。最早发现钓鱼岛的是1372年明洪武时期遣琉球国使臣杨载并命名了钓鱼岛等岛屿。这比日本1884年次登陆钓鱼岛整整早了500年。

到清朝，中国与琉球的界线在钓鱼岛南面海槽一带“中外之界”已成为中国航海家的常识。1879年，中日两国政府曾对琉球的归属问题进行谈判。在谈判中，清朝洋务大臣李鸿章和日方代表都认为琉球共36个岛，钓鱼岛等岛屿根本不在36岛之内。至于清光绪十九年(1893年)十月，慈禧下诏将钓鱼岛赏给邮传部尚书盛宣怀，作为采药用地等等，也足以证明钓鱼岛在日本染指之前并非“无主地”，而是中国的领土。

另外，从地质构造研究，钓鱼岛属于台湾大陆架的延伸，与琉球群岛见相隔一条深深的海槽。而从民间活动看，钓鱼岛所在海域，至今也一直是台湾渔民的传统渔场。关于钓鱼岛自明代以来即为中国领土，这不仅是中国政府的立场，也是日本著名历史学家井上清教授经过严肃认真考证后得出的结论。井上清曾于1972年撰写了一部专著，题为《“尖阁”列岛——钓鱼岛的历史解析》。他在书中指出，作为一个历史学家，他经过查阅历史文献而断定：钓鱼岛在日本染指之前并非“无主地”，而是中国的领土。

2中日两国关于钓鱼岛的争端

1972年，中日邦交实现正常化。中国政府明确表示钓鱼岛历来是中国领土这一原则立场，同时主张以“搁置争议，共同开发”来维持中日关系大局。然而就在同年，日本右翼组织“日本青年社”竟在钓鱼岛上建立了一座灯塔。1978年该组织再次设置灯塔，以显示其“主权”。以后，日方又在钓鱼岛修建了直升机场，不断出动船只和直升机驱赶到钓鱼岛附近海域作业的中国渔船。1996年7月，日本右翼团体变本加厉，不仅设置巨型灯塔，还树旗立碑，妄图造成既成事实。小泉上台以后，对钓鱼岛一直在推行实效控制的措施。除派出大量军舰、飞机进行日常巡逻外，还不断彰显所谓日本主权标识，并阻止中国民众的合法抗议行为。2004年5月逮捕了登上钓鱼岛的中国公民。2005年2月9日日本政府又施行严重挑衅的举动，宣布接管原由日本民间组织设立在钓鱼岛的灯塔，作为日本的国家财产予以保护。在这一非法事件中小泉始终认为这“是日本自己的事”，这实质是对钓鱼岛宣示主权的行为，其用意就是通过强化“实效控制”以达到“实效取得”钓鱼岛的目的。而今又宣布钓鱼岛问题适用于“日美安保条约”无异于把钓鱼岛视为日本的领土。日本政府在钓鱼岛问题上的一系列小动作违背了中日两国“搁置争议”共识，有悖于国际法的单方行为，引起了中国政府和民众的强烈反对和抗议。中国外交部发言人马朝旭在声明中说：“中方对此表示强烈不满，已向日方提出严正交涉。”他说，这个岛群是“中国的固有领土，中国对此拥有无可争辩的主权”。

3中日双方应冷静对待钓鱼岛问题

钓鱼岛问题的祸根是美国埋下的，“1972年美国将冲绳岛交换日本时，不顾中国人民反对，顺手将钓鱼岛一同打包，为今日钓鱼岛问题埋下了伏笔，实际上应该认为是美国自身战略传统在东亚地缘政治中的一种特意安排，使东亚世界两个最可能对美国形成战略挑战的国家，为钓鱼岛问题陷入争斗，从中坐收渔利，钓鱼岛问题不简单的是中日关系问题。也是国际博弈的有机构成邓小平说：“解决国际争端，要根据新情况，新问题，提出新办法”在钓鱼岛问题上，中国一方面采取钓鱼岛主权属于中国，一方面主张“搁置争议，共同开发”的方针有利于中日及早享用相关海域的资源。在处理钓鱼岛问题上，中国一贯坚持着眼于大局，即打击日本右翼势力的无理挑衅，坚决维护国家主权和领土完整，又注意避免激化矛盾，恶化两国关系，避免因为钓鱼岛问题而牵动中国的整个战略布局。

钓鱼问题 篇4

今年以来, 鱼叉式网络钓鱼已参与了众多网络攻击事件, 其中包括名为Anunak的俄罗斯犯罪团伙对摩根大通远程服务器、销售点以及对账单所发起的攻击。

据悉, 黑客找到摩根大通集团计算机软件的漏洞并加以利用, 攻陷了超过90台服务器, 但调查显示黑客对个人信息的兴趣大过金钱。虽然银行账户密码等关键信息并未泄露, 但是与此前的大规模用户数据泄露事件的影响类似, 摩根大通的用户面临的鱼叉式钓鱼和社交工程攻击威胁将大增, 因为黑客掌握了海量用户极为详细的隐私数据拼图。

网上银行业务平台提供商奥斯汀的首席安全官杰伊·麦克劳克林 (Jay Mc Laughlin) 表示, 现在, 黑客们正将钓鱼活动的目标瞄准银行员工而非银行客户。“相对于跟踪成千上万的客户, 他们转而针对银行员工。因为黑客发现这一途径才能获得真正的成功。”

黑客瞄准金融机构的员工, 并发送一些以假乱真的极具说服力的电子邮件, 从而诱导他们点击恶意链接, 进而威胁到银行凭据或其他敏感信息。或者通过邮件诱骗员工提供有关账户持有人及其账户的相关信息。这些信息经常被黑客用于接管客户的账户从而犯下欺诈行为。

这些有针对性的电子邮件可能是来源于内部其他管理人员或员工的, 要求员工提供关于账户或系统的紧急信息。有时, 他们也可能是来源于外部, 如供应商或者是某位客户。

员工是容易受攻击的目标

随着银行业金融机构增强了对网上银行和手机银行用户的认证, 这极尽可能降低其被攻击的可能性。与此相对的, 机构在对员工账户安全的投资上要相对较少。

麦克劳克林说:“我不认为公司有办法真正衡量他们正面临的鱼叉式网络钓鱼威胁有多么严重。虽然他们每年做一次评估并得到一份报告, 但是他们所做的评估和收到的报告没有可以做参照的标准, 而且没有连续的模型。”

亚当·库贾瓦 (Adam Kujawa) 作为智能网络安全公司Malwarebytes的恶意软件情报负责人, 他预言, 未来几个月, 鱼叉式钓鱼攻击将更广泛地针对银行员工, 因为员工有权访问重要数据, 如客户账户等。同时, 他也认为, 鱼叉式网络钓鱼的目标在2015年将扩大, 并且将不限于少数员工, 可能会转向高管。

专家认为, 增强电子邮件认证标准, 包括DMARC以及基于域的消息认证、报告和一致性等, 可以帮助企业验证电子邮件并阻止垃圾邮件的来源。但确保员工的凭据不受威胁的最佳方法是防止工作人员被这些钓鱼活动的陷阱欺骗, 这就意味着职工教育变得越来越重要。

DMARC的影响

DMARC协议在识别由骗子发起的电子邮件中起到至关重要的作用。DMARC使用标准标识符, 如域密钥和发件人策略框架, 被设计来检测电子邮件欺骗。当邮件到来时, 利用这些标准, 检测并识别邮件, 如果不能满足这些标准, 电子邮件将被拒绝。

“如今, 在美国近八成的消费者受DMARC保护, 并且数据在不断上涨。”安全公司Agari的CEO帕特里克·彼得森 (Patrick Peterson) 说到。这些事情是银行在后端所做的, 所以消费者不会看到任何东西。所有主要的电子邮件提供商都支持DMARC。

但彼得森也说, DMARC有其局限性。这是因为黑客也在不断更新他们的技术, 想尽办法来获得用于验证和过滤电子邮件的标识符。

Easy Solutions是一家位于美国的公司, 提供多个不同平台的网络检测与安全防护产品, 其首席技术官丹 (Dan) 表示, 虽然DMARC为有效地确保没有人能够欺骗公司的域名而不断努力, 但DMARC没有解决的一个问题是网络罪犯分子可以创建类似于他们正试图攻击的目标的域名, 从而达到欺骗目的。

传播恶意软件

回顾Anunak团伙在俄罗斯的活动, 其在过去12个月期间袭击了至少16家美国零售商和50多个俄罗斯银行, 这被认为是有针对性。研究人员发现, 鱼叉式钓鱼攻击最常归咎于员工的凭据被该团伙威胁。

研究人员确定, 所有Anunak的恶意软件感染, 都是通过有针对性的鱼叉式网络钓鱼活动进行传播的。

支付供应商Viewpost的律师和首席安全官克里斯·皮尔森 (Chris Pierson) 认为, 鱼叉式网络钓鱼依然是进入公司受保护系统的最简单、最常用的方法。

总而言之, 麦克劳克林认为, 在2015年银行业金融机构应把注意力集中在一个领域——对员工的教育。教育应该以帮助员工学习如何更容易地识别这些欺骗手段为主。

黑客利用鱼叉式网络钓鱼, 因为它容易见效, 麦克劳克林说到。员工打开电子邮件并点击链接, 这些都容易成为目标。每年对员工进行一次的训练或测试是不够的, 他强调指出, 职工教育有可能成为机构的整体安全策略的一部分。

与此同时, 各银行业金融机构应加强对员工访问敏感数据和系统时的身份验证要求, 麦克劳克林强调。这样一来, 如果银行员工确实掉入钓鱼计划的陷阱并且其证件都受到影响, 黑客将不能随意使用这些证书访问多个文件和账户。

链接:

DMARC

2012年1月30号, 由Paypal, Google, 微软, 雅虎, Return Path等15家行业巨头 (主要包括金融机构、Email服务提供商、数据分析机构等) 联手宣布成立了新的互联网联盟, 致力于提交并推广一款“DMARC”新电子邮件安全协议。随着该联盟的日渐发展, 继而有网易等其他行业先行者也加入到其中。

钓鱼岛与南海问题 篇5

关于钓鱼岛与南海问题

这一段时间，南海钓鱼岛局势成为热点。众所周知，钓鱼岛及周边附属群岛是位于中国的台湾岛与琉球群岛之间的无人岛，钓鱼岛和南海自古属于中国领土不可分割的一部分，中国对钓鱼岛和南海有无可争辩的主权，这是国家的核心利益，中国政府关于钓鱼岛和南海主权归属的立场也是一贯的、明确的和坚定的。但是由于日本和东盟一些国家一直以来为达到侵占钓鱼岛和南海的图谋，对钓鱼岛和南海大肆采取一些不法的实质性行动，使钓鱼岛和南海主权问题更趋复杂，中国要想完全拿回本属于自己的钓鱼岛和南海主权将更加艰难。可是小日本它们为什么如此抓着这个不放呢？还有，中日钓鱼岛争端进来愈演愈烈，然而为什么日本突然间对在钓鱼岛捕鱼的中国渔船进行冲撞，逮捕中国船长得过激行为呢?我个人觉得，其中必然有日本经济近来低迷，经济的不景气造成了国内矛盾的激增，日本政府希望转移国内矛盾的想法。同时，不可否认的是钓鱼岛的战略价值和经济价值。以前日本一直忍住了，在钓鱼岛上没有过激行为，而这次为什么会有这么不理智的行为呢？忆往昔，当年的甲午海战，和现在的局面不是相当接近吗？先有了南海问题再有钓鱼岛，日本也是看到了中国事态扩大的想法。柿子挑软的捏，这是谁都知道的，正是中国在南海问题的软弱刺激了日本的越来越强势。所以我觉得，之于南海事件，我们中国必须强硬起来，这段时间以来，党和政府带领全国人民与日本当局非法抓扣我渔民的不法行径作了坚决的斗争，取得了一定的成果。作为一名普通的中国公民，我坚决支持和拥护中央对钓鱼岛相关问题的决策，对此次事件中取得的成果也深感欣慰。同时我觉得要做好在钓鱼岛及南海问题上打一场局部战争的准备，但是我们要坚持和平共处五项原则，不打第一枪，但是如果个别国家就这一问题公然挑衅，我们要做到决不手软、首战必胜。还有一点很重要，那个就是理性爱国。要有效引导民间爱国力量形成凝聚力，要引导人民群众在钓鱼岛及南海问题上，要与党和政府保持一致，要在遵守法律的范围内理性地表达自己的爱国情绪，不过激，不添乱，要相信党和政府有智慧和能力解决好这个问题。同时，可以就钓鱼岛和南海主权问题向国际社会发表蓝皮书之类的文件，揭露日本、一些东盟国家的无耻行径和个别霸权主义国家违背国际公约的丑恶嘴脸，争取国际社会的理解和支持。加强与台湾方面在钓鱼岛及南海问题上协调沟通。台湾与大陆同根同族、血脉相连。绝大部分台湾同胞具有中华民族大义，在我领土主权受到外来威胁和侵犯时与大陆是一致的。能否通过海协会与台湾海基会就钓鱼岛问题进行沟通协商，在解决钓鱼岛问题上加强合作与沟通，充分发挥台湾省在钓鱼岛问题上的积极作用，也能起到增加台湾同胞对“一个中国”的认同感。对那些在钓鱼岛问题宁抱美日大腿、甘当美日的鹰犬“台独”分子，要通过媒体进行声讨，予以孤立。

中日首次恢复磋商钓鱼岛问题 篇6

在会前两天，日本防卫大臣中谷元表示对“中国海军进出太平洋日趋活跃”的警惕，中国国防部1月12日则在官网上以醒目方式批评这位日本新防卫大臣。此前日媒预告称，此次磋商结束后即会对媒体进行说明，但时间也可能推迟到1月13日。中方知情人士1月12日向记者透露，对此次磋商“不用抱很大希望”，鉴于历史问题和岛屿争端，当前中日战略和军事互信都很低，而造成该局面的责任都在日方。“但谈比不谈好”，他说，至少目前中日双方都有谈的氛围，这也是一种努力。

据日本时事通讯社报道，这次会议由日中防卫部门的课长级（相当于中国处级）干部参加。不对媒体开放，双方也没有公布参加人员名单。而据知情人士向记者透露，参与磋商的中方代表不仅有海军，还有外交部、海洋局等部门人士。因为此事不仅涉及军方，在东海海域中国海警船也是主要力量。谈判内容不但包括中国国防部与日本防卫省之间设立热线电话，还涉及中国海警和日本海保厅之间建立热线。

据共同社1月12日晚间消息，12日双方可能就通信方式、使用频率以及在何种军阶的干部间设置热线等进行了具体讨论。文章称，为防止围绕钓鱼岛等发生不测事态，双方争取在今年内启动上述机制。日本新闻网1月12日称，涉及东海防空识别区的两国空军的“规避空域”，也是这次会议的商讨内容。

东海相关知情人士向记者证实，当前在钓鱼岛海域中日海空力量非常集中。中国海军和空军实施了常态化战备巡逻，与此同时日本海上自卫队的舰机对中方进行近距离警戒监视，擦枪走火的可能性增加。2014年6月，国防部曾公开日本F-15战斗机近距离跟踪中国图-154飞机，最近距离约30米，严重影响中方飞行安全。

2012年6月，中日防务部门海上联络机制第三轮专家组磋商在北京举行。同年9月，相关协商因钓鱼岛问题中断。国防部新闻发言人杨宇军在当年10月的例行记者会上回应称，中日关系因为日本政府非法“购买”钓鱼岛而处于严峻局面，两国防务领域交流也不可避免地受到影响，其责任完全在日方。

时事通讯社1月12日报道称，“虽然日中关系已经脱离了最坏时期，但依然严峻”。《产经新闻》称，磋商结束后会对媒体进行结果说明，但是时间也可能推迟到1月13日。日本防卫省有关人员称，这是因为“也有中国的意向，日本不能单独判断”。

海军军事学术研究所研究员张军社1月12日对记者说，目前中美建立了重大军事行动相互通报机制和公海海域海空军事安全行为准则。中韩两军也有军事热线。中日建立类似机制有迫切性和必要性。不单针对东海的复杂情况，还包括近年来中国海军常态化的远海训练，在公海航行时日本舰机对我舰艇的抵近侦察、跟踪监视，这都是造成海空事故的根源。如果未来谈得比较成功，根据互信程度的层级，可以进行海上活动的事先通报。

（据《环球时报》）

闲话钓鱼 篇7

垂钓人群中, 有好多的类型:有专家类, 这类人钓技高深, 参加过钓鱼竞赛;有职业型的, 以计时钓为主, 钓到鱼后到市场上摆地摊;有豪华型的, 一根鱼竿几千元, 一个鱼箱过万元, 开着豪华轿车带着亲密者一起垂钓;我属于休闲型的, 清风山色伴鱼叟, 淡忘红尘看鱼钓, 不求漂动鱼篓满, 一身轻松度晚秋。

垂钓, 本来是一项体育活动, 但是, 钓鱼的哲理却在市场竞争的大潮中得到了广泛的外延, 最典型的是钓鱼消费。逛商场到处可以看到商家用“钓鱼”的方法促销, 采用“满200元送500元券”“满300元减100元”等方式广揽顾客。须知, 会买的不如会卖的, 钓鱼促销, 消费者占不了便宜。

当今, 最紧俏、最值钱的“商品”是权力。所以, 在市场经济这个“大鱼场”中, 不法商人作为钓鱼人, 总是把注意力集中在有权人的身上, 他们和有权人交朋友、拉关系、套近乎, 在有权人面前, 低三下四、点头哈腰、有求必应。他们受利益驱动, 把金钱、美色作钓饵, 钓有权人上钩。一些贪食贪色的“大鱼”“小鱼”一批又一批地吞钩。某县一不法煤老板花100万元“钓”到一顶县委书记的帽子, 转瞬, 他由一个“钓者”摇身一变而成为被钓者。许多不法商人和一些有求于他的下属拥到了他的周围, 他利用调整班子、招标项目承包商的机会, 几个月就吞下了几百万元的“鱼饵”, 结果, 上任仅一年多就进了“班房”。

“钓鱼者”有一个共性, 在他们施钓行贿时, 总是装出一付“仗义”“忠厚”的面孔, 信誓旦旦地表示:绝对守口如瓶, 绝对保证受贿人的安全。但是, 一旦东窗事发, 他们为了解脱自己, 摇身一变, 争当“坦白揭发”急先锋。可见, 这种靠权钱、权色交易结成的所谓“攻守同盟”都是不堪一击的。

无数事实提醒我们, 要“克己复廉”, 要严格要求自己。老子说过:“祸莫大于不知足, 咎莫大于欲得, 故知足之足, 常足矣。”苏轼在《前赤壁赋》中也说:“且夫天地之间, 物各有主, 苟非吾之所有, 虽一毫而莫取。”

小猫钓鱼 篇8

夏天的池塘里长满了碧绿的荷叶，挨挨挤挤的，好像一个个绿色的大圆盘。小猫站在池塘边向四周瞧了瞧，找了一个有空隙的地方蹲下来，从袋子里抓了一把香喷喷的鱼食，向水面上撒去，招待鱼儿们。接着，将红色的蚯蚓穿在渔钩上当鱼饵，慢慢地放入水中，然后在一旁静静地等候。过了好一会儿，水面上冒起了水泡，渔竿动了一下。小猫心想：鱼儿鱼儿，快快上钩吧!我等你半天了，肚子正饿着呢。又过了一会儿，渔竿动静大了一些，慢慢地在移动，好像要将渔竿拖下水，小猫觉得收渔竿的时机成熟了，用力猛地一拉，“哇，好重!看来今天钓到大鱼了!”小猫使出吃奶的力气，好不容易将大鱼拎出水面。小猫仔细一看，根本不是什么大鱼，而是一只靴子。小猫失望极了，用力往地上一扔。这时，奇迹出现了，只见靴子在地上左右摇晃，水不时地向外飞溅，小猫上前一看：“哇!好多鱼呀!今天发财了，可以和妈妈美餐一顿了!”

小猫一边收渔竿，一边想着妈妈开心的样子，心里乐开了花。他急忙提着水桶，唱着歌，一路蹦蹦跳跳地回家了。

钓鱼记 篇9

我们来到了官桥岭头,便在岸上一字排开,把鱼钩用力甩向池中,等鱼上钩。过了好久,大家似乎要睡着了。忽然,我的浮标动了动,沉了下去,我激动得一颗心怦怦乱跳,紧紧拉住鱼竿,尽全力往岸边拔。还没来得及拉出水面,鱼儿就跑得无影无踪。害得我边跺脚边往回走,大家也嘘嘘感到很遗憾。叔叔告诉我们,见鱼上钩后,不要马上拉!掌握方法后,我们又回到位置上……又一次,我的浮标动了一下,我沉住气,瞪大眼睛,盯着鱼线落下的地方,等一会儿,见浮标沉下一大段,我用力把鱼钩甩上了岸,我尖叫着:“钓上来了!”旁边的人也大叫:“钓到了!钓到了!”大人们都跑出来,收获战利品。其他人也钓到了。

下午三四点,大人催着回家了,小伙伴们望着鱼池,依依不舍。

钓鱼的启示 篇10

一个中午间休时分,我在教室里批改作业。教室里只剩下几个学生在吃午餐,张扬也在其中。

不经意的抬头,看见张扬正在喝饮水机里的水。记忆中,他是没有交水费的。为了证实我的猜测,我翻开了账目明细,张扬果然没有交水费。那他为什么要喝饮水机里的水?是不是渴极了?为了弄清事情的原因,我把张扬叫过来。

细问之下,我才知道,事情远没有我想像的那么简单。原来班级里有一半的学生没交水费,现在,这一半的学生都在理直气壮地喝着“免费水”。

面对我的询问,张扬表现出一副满不在乎的样子:他们都喝呀!

我想起我们学过的一篇课文《钓鱼的启示》。文章讲的是34年前一个月光如水的夜晚,鲈鱼捕捞开放日的前一夜,“我”和父亲去钓鱼。“我”有幸钓到了一条美丽的大鲈鱼,可那时距离开放捕捞鲈鱼的时间还有两个小时。于是,父亲要求“我”把鲈鱼放回湖里去。尽管到处是静悄悄的,皎洁的月光下看不见其他人和船的影子。可是,父亲毋庸置疑的态度让我不得不沮丧地把鲈鱼放回湖中。

34年后,“我”成了一名著名的建筑工程师,功成名就的“我”,从自身成长的经历中深深体会到“从小受到的教育,就会获得道德实践的勇气和力量”的道理。那个令人难忘的夜晚,使“我”获得的是终身受益的启示。那是一份无法用金钱换取的人生财富。

“道德只是个简单的是与非的问题,实践起来却很难。”的确如此,对待学生喝“免费水”的问题,我不能以对错来判断。因为正如张扬所说,看见别人那么做才去做的,而别的学生又是因为口渴极了才去“借水”喝的。“借”的次数多了,也就习惯成自然。我相信学生都知道这样做是错误的,但一落实到实践中,他们并不觉得有什么不妥,因为“大家”都这么做。

也许,这是看似平常的一件小事。但是,从道德的角度来看,它却不是一件小事。

如果我对这件事置之不理,就对那些交水费的学生不公平,甚至还会让他们产生一种心理:不交水费也能喝水。而那些没交水费却喝着水的学生,更因为占了便宜而沾沾自喜,会认为不劳而获是正确的。这种思想一旦在学生的心底扎下了根,我不知道当他们在自己的人生道路上遇到一个又一个“诱惑”的时候,会不会也能正确地做出取舍?

古人说:勿以善小而不为,勿以恶小而为之。我想,对学生进行行之有效的教育是必要的。

钓鱼台原是皇帝钓鱼处 篇11

有一次，章宗皇帝去垂钓，銮驾队伍如长龙一般逶迤向前，钓了半天，一条鱼也没有钓上来，他一看皇宫来的銮驾人员太多，鱼儿哪敢咬钩？一怒之下除留少数文武大臣和侍卫以外，其他人员全部被他撵走，后来果然钓上一些活蹦乱跳的鱼儿。从此以后，章宗皇帝出宫垂钓轻车简从，一改以往出宫垂钓时人们前呼后拥的热闹场面。

明朝开国皇帝朱元璋（1368-1398年在位）对钓鱼有着特殊嗜好，经常出宫到花红柳绿、鸟鸣蟀唱的湖畔钓鱼。一天，他命才子解缙陪他去御花园荷花池垂钓。解缙开竿后接连钓上几条银光闪闪的鱼，很是开心。然而，朱元璋的钓竿却迟迟不动，很长时间也不见大小鱼儿的踪影。解缙见状心想，今儿皇上乘兴而来，倘若一条鱼也钓不上来，万一恼羞成怒可不得了。于是，他眉头一皱计上心来，毕恭毕敬地上前说：“启奏万岁，那小小的鱼儿是个非常知礼的东西。”朱元璋听后问道：“此话怎讲？”解缙出口吟了一首诗：“数尺丝纶落水中，金钧抛去无影踪。凡鱼不识朝天子，万岁君王只钓龙。”朱元璋正在恼怒中，一听此诗后顿感自己至尊无上，满腔怒火被抛到九霄云外，立刻转怒为喜。

乾隆皇帝（1735—1796年在位）活到了89岁高龄，在当时可谓是个天文数字，为历代皇帝寿命之最，他的长寿并非偶然，与他长期恋钓有关。乾隆皇帝在位60年中，不少时光是在垂钓中度过的，有时大臣们不得不将国家大事移至望海楼上奏皇上。1774年金秋，乾隆皇帝在望海楼钓上了不少鱼，一副手竿忙不停闲，休息时他雅兴上来，亲手御笔“钓鱼台”三个遒劲大字，从此望海楼易名钓鱼台而驰名中外。

新一轮网络钓鱼 篇12

连日来, 美国富国银行和加拿大TD信托公司都在提醒客户注意防范此类攻击。而在爱达荷州, 律政司和爱达荷银行家协会也分别向自己的消费者发出警示, 其中包括谎称来自富国银行的人打给该州众多消费者的诈骗电话。除了富国银行外, 爱达荷州的公司处也发出警告称, 此类有针对性的语音和文字攻击方式已经瞄上爱达荷州的博伊西联邦信贷联盟和联邦银行的首页。

总检察长劳伦斯·沃顿 (Lawrence Wasden) 解释道:“这些警示信息旨在尽可能传达给每一位潜在的受害者。其实发件人不知道任何有关收信人本人或其银行卡的资料。据说许多收到此类信息者办理的银行账户, 并不是发出警示消息的银行或信用社。”

诈骗电话和文本消息通常被称为语音和短信钓鱼。据报道说, 此类诈骗招数通常是, 告诉消费者他们的信用卡或借记卡已经泄密, 以此要求消费者拨打某个骗子提供的电话号码, 并提供个人银行信息以激活自己的银行卡。

沃顿强调:“银行绝不会与消息者联系去询问对方的账户号码。因为你所在的开户银行是知道消费者账户的。这些电话都是钓鱼手段, 通常情况下意味着有人试图盗窃你的账户信息并取走你的财产。”

为了强调基于网络和移动手机的诈骗计划, 爱达荷州的公司处日前发布了一本防身份盗窃手册, 以帮助那些个人信息遭到窃取消费者。

专注于网上和移动银行领域的富国银行发言人米歇尔·雷内·斯科特 (Michele Rene Scott) 称, 在所有诈骗模式中钓鱼式攻击受到了主要关注。她说:“一般来讲, 骗子并不知道接收到他们钓鱼信息的人到底是富国银行还是美联银行的客户。他们只是抱着侥幸心理, 哪怕正确的几率是1%, 也会暗自庆幸。”

网络钓鱼花样层出不穷

钓鱼式攻击正呈上升趋势, 与被盯上之前相比, 银行的金融服务工作做得更加细致。

一个旨在打击网上攻击快速增长的组织——全球性财团的IT领导者国际反网络钓鱼工作组 (APWG) 的负责人戴夫·杰文斯 (Dave Jevans) 称, 银行和信用社需要打起十二分精神面对更多针对消费者、成员和内部员工的攻击和诈骗。

杰文斯说:“银行与客户是网络钓鱼攻击中的最大目标, 其中55%的钓鱼攻击指向银行, 而支付服务平台如贝宝占到25%。所以说, 80%的钓鱼攻击矛头都对准了银行和支付服务平台。”这个数字是惊人的。

据APWG在6月份的调查显示, 270名被调查者中有三分之一表示他们曾多次受到钓鱼攻击。网站的安全漏洞被列为是网络犯罪分子最常利用的缺口。

APWG认为, 金融机构并不适合行使此种监测职能, 以辨别那些从未曾出现过且是零时差攻击的异常行为和可疑流量模式。9月初, 联邦存款保险公司公布了一个在其眼皮底下发生的针对消费者的钓鱼计划。

艾琳飓风过后的下个周一, 联邦调查局发出一份有关潜在欺诈性电子邮件的声明, 该邮件看似出自慈善组织或其他救济性捐赠机构。“骗子利用灾难为借口, 假借慈善组织的名义向民众征收捐款。”

美国联邦调查局公布了一个链接, 内容是互联网犯罪投诉中心所做的一个揭露欺诈性捐款计划的声明。利用新近发生的灾难为借口进行诈骗已不是什么新鲜事。就在去年BP石油泄漏事件发生后, 诈骗分子也曾借机向金融机构及其客户进行诈捐。

银行和客户需严防死守

就其本身而言, 富国银行说它正在采取相关措施预防网上欺诈现象的进一步恶化。除了7×24小时监测最新出现的文本、语音和电子邮件钓鱼计划, 银行也一直致力于与互联网服务提供商和其他机构一起合作, 一旦发现骗局就马上关闭交易。

斯科特说:“富国银行通过多种渠道监控可疑的账户活动, 如账户的行为或交易类型等。每当监测到可疑事件, 其中可能包括客户联系的客户具体行动, 我们都会采取特别行动。尽管我不能提供更多的细节, 但我可以负责任地告诉你, 我们非常重视客户的安全。”

富国银行还通过其网上欺诈信息中心的安全提示, 对网上和移动手机银行诈骗的预防和安全给予提醒。

加拿大TD信托公司和美国TD银行也采取了类似的办法。在攻击加拿大TD信托公司Easy Web网上银行平台的钓鱼事件被确定后, 该公司提醒其客户, 如果收到一封看似来自该银行的电子邮件, 不要做任何回应, 也不要点击其附带的链接。

TD银行已经向客户发出声明:“任何已经遇到或认为自己可能已经成为网上诈骗 (如网络钓鱼、间谍软件和电子邮件欺诈等) 受害者的TD公司客户, 都被要求通过其网上银行诈骗窗口联系TD公司, 并发送任一种证明文件 (如电子邮件的副本、反病毒/反间谍软件的扫描日志) 到phishing@td.com。”

Akamai科技公司的安全情报总监约书亚·科曼 (Joshua Corman) 日前也说, 未来一段时间, 钓鱼攻击事件只会增不会减。银行很难彻底防范, 因为钓鱼攻击不需要很大的困难或挑战就可为骗子带来高额回报。科曼表示:“骗子利用网络钓鱼进行诈骗, 就是基于这种不劳而获的心理。而且网络钓鱼也确实让金融机构和客户难以抵御, 并为其大跌眼镜。”

一旦某种网络钓鱼模式被犯罪团伙确认为几乎百试不爽, 这些类型的钓鱼或语音攻击就会很快达到登峰造极的地步, 科曼说:“这只是网络钓鱼事件的自然进化。”一旦某种攻击被确定是有效且收获颇丰的, 骗子就会多次利用。

科曼坦言:“趋势一直朝着更加有针对性的攻击方向进行;不是针对某组织中的某个特定的人, 而是针对更具体的公司, 比如某家银行。而金融机构里反病毒的技术人员却无法及时识破最新的诈骗手段。这是一个自定义的恶意软件, 并不是一些随随便便的反病毒软件就能将其杀死。”

链接

摄取键盘余温或可窃取密码

骗子又出新招, 窃取密码再辟新径。加利福尼亚大学圣迭戈分校的研究人员透露, 他们经研究发现, 客户在ATM机上进行存取款等操作之后, 紧随其后的使用者只需用一个数码红外摄像机就能确定你按了哪些键, 准确率在80%左右。即使在1分钟之后, 摄像机的准确率也能达到50%。

不过, 这种方法只能确定你按过哪些键盘, 并不能确定按键的顺序, 因此要顺利辨别出密码也比较困难。而且还有一个漏洞就是, 这种方法只适用于塑料键盘, 因为金属键盘会反射出过多的热量干扰波, 从而干扰红外摄像机的正常工作, 有可能让其发生误判。还有一个缺点就是, 这种设备比较昂贵 (一套拿得出手的设备大约要1.8万美元) , 一般小额诈骗者不会采取这种手段, 因此普及率不会很高。

即便这样, 也改变不了金融机构安全系统存在漏洞的事实。不仅是使用率很高的ATM机, 还有防盗门、保险箱等都存在这种危险, 塑料质地的键盘尤其危险。