关键词:瑞星;网络钓鱼;钓鱼网站
　　phishing这个单词从发音上来看和fishing是相同的,后者在我们的英文词典中可以轻松找到释义:“钓鱼、捕鱼”,而前者在略为古老或简易的字典中则难觅踪迹,我们将其翻译成为“网络钓鱼”,这是一种目前在互联网上越来越流行的网络攻击手段。之所以称其为“钓鱼”,原因很简单,因为这种攻击手段和真正意义上的钓鱼有着很多共同点,网络钓鱼也会释放一个诱饵——通常是仿冒的网页,诱使网民上钩,从而得到用户的敏感信息与金钱。
　　作为一种黑客的攻击手段,网络钓鱼的整个过程中一般不存在病毒木马等恶意软件,网页或软件的所有代码都是合法有效的,黑客仅仅使用了一个假冒正规网站的网页来完成他们的攻击,这种社会工程学手段让传统的杀毒软件对其几近于无可奈何。简单的攻击获得了丰厚的回报,因此,这种攻击模式在近期迅速崛起,成为中国互联网上的最大威胁之一。作为用户,我们如何去应对这种挑战,而安全厂商现在能否来一同帮助用户?带着这些疑问,我们拜访了瑞星安全专家唐威,希望能够得到一个让我们满意的答复。
　　
　　 黑客们的诱饵
　　
　　既然要进行网络钓鱼,当然离不开诱饵。一个能够吸引用户的好诱饵是成功钓鱼的第一步,也是最重要的一步。唐威向我们介绍道,目前国内网络上最常用的诱饵不外乎两种:通过搜索引擎竞价排名来进行欺诈和利用色情与裸聊信息诱骗用户。
　　搜索引擎的竞价排名一般都一视同仁,只要付费,就可以得到靠前的排名。一些钓鱼网站利用竞价排名,利用知名企业的关键字,将自己出现在搜索引擎搜索结果列表的前几位。WwW.11665.coM此时的诱饵就是用户的需求信息,例如:用户需要购买某知名品牌手机,通过搜索引擎搜索,并且点击搜索引擎搜索结果中的第一个,进入之后,实际上,这是一个虚假的钓鱼网站,钓鱼网站会提示用户输入个人信息,并汇款“购买”该手机,但当用户汇款之后,却会发现并未看见手机,金钱也无法返还,浪费的时间和精力更是让人伤心,想要追查,甚至连当初“购买”手机的网站都不复存在了。
　　另外一种常见的诱饵当属色情信息,网民的“性趣”经久不衰也让该类网站的数量不断上升,欺诈方法也层出不穷。在大多数情况下,提供免费注册,再利用各种手段将免费用户转换成为收费用户是这些网站欺诈手段上的共同点。由于色情网站的特殊性,当用户受到危害时,很少会选择报警或者寻求帮助,这也助长了网络罪犯的嚣张气焰。
　　了解了这些钓鱼的方法,我们当然要问,如何解决这些问题?解决问题的方法当然有很多,比如政府的打击、搜索引擎供应商的安全检查等等,但是这些都不是我们用户所能主导和控制的,从网民的层面如何去保障安全,借助一些技术手段不失为一种良方。
　　
　　 瑞星的解决思路
　　
　　通过和唐威的沟通,我们了解到,瑞星也已经关注到了网络钓鱼泛滥的问题,并且投入了大量资源去开发防范这种威胁的技术。在与唐威沟通之前,我们对于能否从技术手段上防御网络钓鱼实际上存在着很多疑虑,原因正如上文所表述的,钓鱼网站本身并没有存在恶意代码,并且域名以天为单位快速变化。这种社会工程学而非技术的攻击手法,如果从技术上进行防御,对于软件的智能化,需要给予很高的要求,而误杀和漏杀更几乎难以避免。
　　唐威表示,我们的担忧非常有道理,但瑞星目前已经有一套不错的解决思路来应对这种挑战。

　　通过唐威的介绍,我们了解到,目前主流的反钓鱼网站技术的核心主要是url识别,但是这种方法对于安全软件供应商而言,工作量巨大,同时,恶意url库的质量和更新频率并不能够得到保证。现在业界无疑需要一种新的方法,而瑞星的技术手段将可能成为解决钓鱼网站威胁的重要思路。
　　瑞星的技术解决思路主要来自于四个层面:钓鱼网站不良信誉系统和域名相似度系统、知名网站备案系统和页面相似度系统、智能分析技术、相关辅助技术。
　　钓鱼网站不良信誉系统和域名相似度系统,实质上我们可以将其理解成为升级版的url黑名单技术。唐威介绍说,瑞星通过建立一套针对网站的信誉评估系统,从网站域名与知名企业域名的相似度等各个方面对其进行风险评估,一旦网站的风险评估值超过某临界值,就将其界定成为钓鱼网站。
　　与之对应的,知名网站备案系统和页面相似度系统就类似于升级版的url白名单技术。瑞星通过分析知名网站的备案信息、网站布局、图片内容等特征,来提取出知名网站的“指纹”信息,如果有某些网站的指纹和这些知名网站及其类似,同时又拥有不同的域名,那即可判定,这些网站就是仿冒知名网站的钓鱼网站。
　　以上两个层面的技术手段都实现了一定程度上的智能化,而瑞星关于钓鱼网站的智能分析技术更是将智能化推进到了极致。瑞星智能分析技术包含有三个模块:网页行为特征智能分析、钓鱼行为的智能分析和虚拟机技术。网页行为特征智能分析从原理上类似杀毒软件对于二进制文件的特征码扫描,通过提取网页的行为特征信息,与恶意行为特征信息进行比对,从而确定网站的行为合法性;钓鱼行为的智能分析就类似于杀毒软件中的主动防御模块,由于大多数钓鱼网站都会有一套明显的行为规则,比如输入大量用户信息和要求用户汇款转账等,通过建立钓鱼网站的这些类似行为规则,来进行网站的识别;虚拟机技术则是更进一步的智能化,将网页放置到瑞星的虚拟机中进行执行,通过执行结果判定网站的合法性。
　　除此以外,瑞星的架构中还提供了一些辅助功能,比如邮件中的链接安全保障等。
　　不难看到,瑞星的解决策略能够解决原有的url识别技术的一些缺陷,自动处理和提前防御是这套方案的显著特点,智能化的解决思路从头至尾地贯彻到整个方案中,其优点显而易见,安全系统对于网站的处理速度大大加快。仅有快速的识别,但无法将识别到的信息反馈给用户,让用户可以进行拦截,这也是不成功的,唐威向我们表示,瑞星在反钓鱼网站上也采用了云安全技术,所有用户共同来分享云安全上反钓鱼的成果,这也让瑞星在处理钓鱼网站信息时可以做到以秒为单位来对用户的客户端进行响应。
　　
　　成品化的反钓鱼技术
　　
　　再好的技术手段,没有集成到产品中面向最终用户推送,都难以谈得上成功。在这点上,瑞星值得表扬,通过我们的了解,上文提到的反钓鱼技术,在瑞星2011公测版中已经进行了集成,而其正式版瑞星预计短期内也将问世,届时,中国的网民也将能享受到这一最新技术。