【电子通信如何建立数字信任】

在网络钓鱼攻击兴起之后，多数企业会定期开展针对员工的钓鱼邮件培训，只不过这样的培训效果不尽人意，在一份针对企业的钓鱼报告中，钓鱼邮件的攻击频率在过去几年中成倍增加，反钓鱼工作组甚至观察到了有记录以来的最剧烈的网络钓鱼活动，该钓鱼攻击的频率甚至是2020年的四倍之多。

据调查，基于工作环境从企业到居家的改变，远程办公的兴起让钓鱼攻击活动变得异常活跃，针对远程办公的大规模钓鱼活动已经在行动了，侦察到的可疑邮件数量也颇为惊人。

网络钓鱼活动很大程度上影响了企业业务的开展，2022年5月，联邦调查局发布了一份关于钓鱼邮件的报告，报告记录了自2016 年到2021 年期间因商业电子邮件泄露造成的国内和国际经济损失高达430亿美元。

针对钓鱼邮件泛滥的局面，企业不得不思考一个问题，即在收发工作邮件时，如何确定收件人和发件人的身份以及邮件内容的完整性。而通过在邮件通信中加入安全协议的数字信任策略，则能让收件人简单的区分可信和可疑邮件。

建立信任

钓鱼邮件攻击事件频发，原因在于电子邮件通常基于明文协议传输，没有加密、无法验证邮件发送者身份，非常容易被拦截、攻击、篡改或仿冒。传统的网络安全技术已经不足以保证系统和系统内敏感数据的安全性，在如今严峻的网络安全形势下，使用S/MIME电子签名邮件证书进行邮件收发是当今最佳的邮件安全解决方案之一。

S/MIME（Secure/MultipurposeInternet Mail Extensions），即安全/多用途网际邮件扩充协议。电子邮件安全的信任基础是S/MIME 数字证书。S/MIME 数字证书是用于客户端身份验证、文档签名、电子邮件签名和电子邮件加密。这些证书对电子邮件进行数字签名，允许用户验证自己作为发件人的身份，并使任何人都无法更改电子邮件的内容。

它还可以通过确保邮件消息不会被预期收件人以外的任何人截获和阅读来保证隐私。此外，S/MIME电子邮件证书允许用户签署重要文件，以证明其自签署以来未被篡改。

使用S/MIME进行加密时，需要注意几点，比如用户需要在他们接收电子邮件的其他设备中持有相同的私钥才能解密通信。否则，他们将仅限于在有密钥的桌面或设备上阅读邮件。此外，终端用户需要保留关键历史记录，以便在笔记本电脑或其他硬件崩溃或受到损害时检索电子邮件记录，同时管理PKI的 IT 安全团队应该支持密钥托管和恢复。PKI管理解决方案可以与 Microsoft Endpoint Manager 等统一端点管理 (UEM) 解决方案集成并自动管理密钥托管，从而简化了证书生命周期管理。

部分通过邮件传输敏感数据的行业，其数据必须要经过加密，例如金融服务公司传送个人财务数据或医疗保健公司传送个人健康信息。企业的策略也会对传输敏感数据的邮件有安全要求，以此来保护数据机密性或知识产权。

在落实邮件安全策略里，企业要考虑的不仅仅是企业内部的邮件，还有企业和企业之间的邮件，如果电子邮件通信只在公司域内，IT专业人员可以使用链接到私有 CA 或中间机构的私有 S/MIME 证书。如果企业正在保护发送到公司边界之外的电子邮件，那么必须使用公共S/MIME证书，将其链接到公共受信任的根目录，例如DigiCert。

DMARC

公司还可以采取其他措施来防止企业内的网络钓鱼，例如实施DMARC，DMARC全称Domain-based Message Authentication, Reporting and Conformance ，是基于现有的DKIM和SPF两大主流电子邮件安全协议发展而来的。

实施DMARC目的：主要是识别并拦截钓鱼邮件，从而确保用户的个人信息安全。

DMARC校验的核心：

DMARC的核心思想是邮件发送方通过特定方式公开标明自己会用到的发件服务器（SPF），并对发出的邮件内容进行签名（DKIM），而邮件的接收方则检查收到的邮件是否来自发送方授权过的服务器，并核对签名是否有效。

对于未能通过检查的邮件，接收方则按照发送方制定的策略进行处理，例如直接投入垃圾箱或拒收，从而有效避免伪造的钓鱼邮件进入用户收件箱。

DNS流量监控

除了上述方法，企业还可以将其 DNS 服务视为其电子邮件信任计划的另一个解决方案。DNS流量是一个丰富的数据源，可以使用机器学习对其进行分析，以显示某个域的正常情况和异常情况。流量异常检测可以分析可疑或异常活动，便于IT专业人员能够阻止定向攻击。

单纯的依靠简单的企业培训在电子邮件攻击成倍增加的今天，并不能足以满足企业保护机密信息或敏感数据的需求，技术在进步，钓鱼策略也在进步，随着钓鱼策略的升级，用户很难分辨邮件的对面是否是钓鱼攻击者，只有在电子邮件通信中建立坚实的数字信任基础，才能减少数据泄露的可能。