Sectigo 網誌
電郵漏洞及 S/MIME 的防護作用
本文是系列網誌的首篇內容，將初步介紹企業和各類組織可能面對的電郵威脅、部署 S/MIME 技術可發揮的防護作用，以及遵守 GDPR、HIPAA 等資訊安全法規的必要性。隨着越來越多組織採用 S/MIME 技術，了解其多場景應用，有助更全面認識其價值，以及它如何協助企業抵禦電郵安全威脅。
電郵威脅類型
開展業務離不開電郵，這是顯而易見的事實。各行業的企業都將電郵視為不可或缺的通訊方式，用於員工與客戶、合作夥伴、供應商溝通，當然也用於員工內部聯絡。
但電郵通訊存在短板。郵件正文和附件面對的常見威脅包括被竊聽、竄改、偽造，使企業和組織容易遭受各類網絡攻擊。與此相關最常見的攻擊手段之一是釣魚攻擊。釣魚郵件偽裝成來自合法來源的郵件，實則包含惡意連結或有害附件。
這類攻擊有多種形式。最常見的一種是魚叉式釣魚攻擊，攻擊者冒充組織內部人員——通常是 CEO、CFO 或其他高層——針對特定個人及帳戶實施攻擊。財務、HR 等部門的員工可能會收到緊急電郵，要求其處理付款、傳遞機密資訊等，發件人會聲稱自己無法透過其他渠道確認請求的真實性。
這聽起來似乎很容易識別，但網絡犯罪分子的手段十分隱蔽。大家可能聽過域名仿冒（typosquatting）這類手段：黑客註冊與合法域名僅相差一兩個字母的域名，再用這些域名註冊乍看之下十分真實的電郵地址。事實上，很多情況下攻擊者連這一步都不需要。電郵欺騙操作簡單且成功率極高，這種方法會偽造電郵的「發件人」地址——釣魚者只需在電郵標頭的對應欄位填入想要偽裝的發件電郵，收件人看到的就會是這個偽造的地址。即使是對域名仿冒等簡單釣魚手段保持警惕、觀察力敏銳的員工，若電郵看起來來自合法來源，也可能無法識別出欺詐郵件。
潛在損害
這類攻擊可能導致行業機密、保密資訊、敏感數據外洩，甚至造成公司帳戶資金損失。更嚴重的是，這類安全事件還可能導致企業無法滿足強制性監管要求，處於不合規狀態。
這類攻擊造成損害的可能性真實存在。一份近期 FBI 報告顯示，自2020年4月以來，商業電郵詐騙（BEC）攻擊已造成20億美元的欺詐損失——BEC 是魚叉式釣魚攻擊的一種特定形式，最終目的是誘騙受害者向攻擊者轉賬。而上述數據僅包含已上報的事件，說明實際損失規模很可能遠高於此。事實上，BEC 攻擊造成的損失高於其他任何形式的網絡犯罪，這清楚表明，電郵安全防護必須成為所有企業首要關注的網絡安全事項之一。
損害還不止於直接的欺詐損失。發生數據外洩事件會削弱公眾和客戶的信任，對企業聲譽造成可能無法挽回的損害，進而影響企業營收。
S/MIME 的防護作用
不必擔心，我們有可行的防護方案。在接下來幾星期，Sectigo 團隊將詳細介紹各類組織如何使用數碼證書防禦此類攻擊（以及其他同類詐騙手段）。
安全/多用途互聯網郵件擴展（S/MIME） 電郵證書技術可解決電郵固有的安全問題與漏洞，既可以提升組織對竊聽行為的防護能力，也能保護員工免受依賴電郵渠道實施的社會工程學攻擊。與防病毒程式等常規電郵防護手段不同，S/MIME 的核心邏輯是驗證發件人身份，而非僅在收到電郵後偵測當中的威脅；同時它還能在電郵傳輸過程中保護郵件內容安全。
S/MIME 是如何解決電郵漏洞問題的？它從三個不同維度提升電郵通訊的安全水平。
- 驗證寄件人身份真實性，確認寄件人與其聲稱的身份一致。
- 對郵件內的所有正文內容和附件進行加密，防止惡意軟件在郵件傳輸過程中攔截通訊、讀取內容。
- 該協議還可提供完整性保障，確保傳輸的郵件未被竄改，讓收件人可以確認自己收到的郵件正文和附件與寄件人發送的內容完全一致
在本系列網誌的後續內容中，我們將探討企業和各類組織部署S/MIME技術的具體場景，包括將其作為防禦魚叉式網絡釣魚攻擊的手段，以及借助其滿足GDPR、HIPAA等資訊安全法規合規要求的方式。隨着越來越多的組織計劃部署這類技術，了解它可用於保護企業的各類應用場景，將有助於更全面地認識S/MIME的價值。
閱讀本系列網誌其他內容：