首页 > 传媒 > 关键词  > 正文

Check Point 揭示Outlook 三种攻击向量

2023-12-14 14:33 · 稿源: 站长之家用户

背景

在数字时代,人们主要通过电子邮件进行交流,因此电子邮件平台的安全性至关重要。自从各种AI工具不断落地以来,钓鱼邮件攻击的难度与成本均有大幅下降,因此导致此类攻击数量与受害者损失频创新高。在 2022 年,美国共计发生“商业电子邮件入侵”时间两万余起,造成损失近 27 亿美元。然而仅在 2023 年第 一季度,同类攻击事件在美国就已发生近四万次。在刚刚过去的 2023 年第三季度,我国国内企业邮箱用户共收到钓鱼邮件超 8 千万封,同比激增47%,环比增幅也达23%。这些数字无疑正在警示企业IT管理者,如果对企业邮件系统的安全性疏于管理,其后果将十分严重。最近 Check Point Research 对 Microsoft Office 中广泛使用的电子邮件客户端 Outlook 进行了全面分析,揭示了三种主要攻击向量:常见、普通和高 级。通过分析典型企业环境中针对 Outlook 的各种攻击向量,Check Point将从安全研究的角度审视日常邮件操作可能带来的安全风险。

注:本文所述研究是在典型/默认的 Outlook + Exchange Server 环境中,并在安装了截至 2023 年 11 月安全更新的最 新 Outlook 2021(Windows 桌面版)上进行。

常见:超链接攻击向量

在这种攻击向量中,攻击者发送包含恶意 Web 超链接的电子邮件。一旦点击这些链接,用户便会被定向到网络钓鱼网站,启动浏览器漏洞利用,甚至触发使用复杂技术的零日漏洞利用。虽然看似简单,但安全风险大多来自于浏览器而非 Outlook 本身。Outlook 将可用性放在首位,认为对每次超链接点击都进行确认是不切实际的。因此,用户应使用可靠的浏览器,并谨慎防范网络钓鱼攻击。

普通:附件攻击向量

攻击者会利用用户打开电子邮件附件的正常行为。当用户双击附件时,Outlook 会尝试在 Windows 上调用该文件类型的默认关联应用。因此,安全风险取决于附件文件类型的注册应用的稳健性。如果文件类型被标记为“不安全”,Outlook 就会阻止它。对于未分类的文件类型,系统会提示用户点击两次进行确认。因此,用户必须谨慎行事,对于来自不可信来源的附件,切勿轻易点击“打开”按钮。

高 级:电子邮件查看和特殊对象攻击向量

电子邮件查看攻击向量

当用户在 Outlook 中查看电子邮件时,这种载体(又称“预览窗格”攻击)会构成威胁。在处理 HTML 和 TNEF 等不同电子邮件格式时可能会出现漏洞。为了增强安全性,建议将 Outlook 配置为只读纯文本电子邮件,但这样做可能会影响可用性,因为在此类纯文本电子邮件中可能无法查看链接和图片。

Outlook 特殊对象攻击向量

这种高 级攻击向量会利用零日漏洞,例如 CVE-2023-23397。攻击者可通过发送恶意“提醒”对象来入侵 Outlook,从而在用户打开 Outlook 并连接到电子邮件服务器时触发漏洞。值得注意的是,受害者甚至不必查看电子邮件便会触发攻击。这凸显了及时进行安全更新和谨慎操作的重要性。

结论和防范措施

综上所述,保护 Outlook 用户需要多措并举。用户应避免点击未知链接,谨慎打开来自不可信来源的附件,并始终确保将 Microsoft 办公套件升级到最 新版本和更新。 更为重要的是,IT决策者应该考虑将邮件系统纳入整体安全策略管理体系。上文揭示的所有攻击向量均可借助 Check Point 解决方案进行有效监控和防范,包括 Check Point 电子邮件安全和协作安全解决方案。Harmony Email & Collaboration 能够为 Microsoft 365、Google Workspace 以及所有协作和文件共享应用提供全面保护。该解决方案专为云电子邮件环境而设计,是唯 一能够防止(而不仅仅是检测或响应)威胁侵入收件箱的解决方案。

Harmony Endpoint 可提供最 高安全级别的全面端点保护;XDR/XPR 能够通过关联整个安全资产中的事件并结合行为分析、来自 Check Point Research 和 ThreatCloud AI 的实时专有威胁情报以及第三方情报,快速识别最复杂的攻击。

Threat Emulation 和 Check Point 网关可提供超越任何下一代防火墙 (NGFW) 的卓越安全防护。这些网关专为零日安全防护而设计,具有 60 多项创新安全服务,是防御第五代网络攻击的好选择。 同时,Check Point Research 一直在主动监测网上与 Outlook 和电子邮件相关的攻击。作为一家领先的安全公司,Check Point 始终致力于不断为全球客户开发创新的检测和保护技术。

如欲深入了解这些攻击向量,请参阅 Check Point Research 博客上的完整报告。

推广

特别声明:以上内容(如有图片或视频亦包括在内)均为站长传媒平台用户上传并发布,本平台仅提供信息存储服务,对本页面内容所引致的错误、不确或遗漏,概不负任何法律责任,相关信息仅供参考。站长之家将尽力确保所提供信息的准确性及可靠性,但不保证有关资料的准确性及可靠性,读者在使用前请进一步核实,并对任何自主决定的行为负责。任何单位或个人认为本页面内容可能涉嫌侵犯其知识产权或存在不实内容时,可及时向站长之家提出书面权利通知或不实情况说明,并提供身份证明、权属证明及详细侵权或不实情况证明(点击查看反馈联系地址)。本网站在收到上述法律文件后,将会依法依规核实信息,沟通删除相关内容或断开相关链接。

  • 相关推荐
  • 大家在看
  • LoomFlows:收集高质量用户反馈

    LoomFlows是一个收集高质量用户反馈的平台。它帮助您简化高质量反馈的收集,识别有影响力的机会,并通过构建合适的功能来加速发展。LoomFlows提供收集用户反馈的渠道、反馈分析、注释截图、Loom视频反馈等功能。它适用于个人和团队,有不同的定价计划供选择。

  • EazyCaptions:创建吸引人的视频,无需编辑技能

    EazyCaptions是一个让用户能够创建吸引人的视频的工具,无需编辑技能。它提供了眼球吸引的字幕、音效和B Roll素材,帮助用户制作出专业水准的视频。使用EazyCaptions,您可以节省大量的编辑时间,通过自动AI字幕生成准确的字幕,并自动突出重点词汇和添加表情符号。此外,它还提供了库存素材和快速的调整功能,帮助用户制作更多样化的视频内容。EazyCaptions适用于各种类型的创作者和内容创造者,如博主、教育工作者、评论员、新闻媒体等。定价方案灵活,包括免费试用和付费选项。

  • Merlin AI Plugins:AI插件,提升工作流效率

    Merlin是一个强大的AI助手,通过GPT 4技术提供1点击访问多种AI插件,包括视频摘要、网页抓取、邮件回复、社交媒体增长等功能。免费下载使用。

  • Udio AI:创造独特的 MP3音乐,立即免费使用

    Udio AI音乐生成器是一个用于音乐创作和分享的应用程序,可以根据您的输入,在您喜欢的风格中生成令人惊叹的音乐。它经过大量的音乐数据训练,可以快速创建您自己的音乐。Udio AI适用于音乐爱好者、创作者以及需要创作灵感的人。免费试用3次。

  • Businessflow Recruit:招聘革命,AI 助力招聘流程优化

    通过 AI 助手,提高招聘效率,降低成本,为公司找到最佳适应的候选人。拥有简历分析、候选人排名、自动面试等功能。定价根据企业规模定制。

  • Wookeys AI:一站式AI助手,为您提供生成文本、图像、代码、视频、音频等的解决方案

    Ultimate AI Assistant是一款综合AI助手,可帮助您简化任务,提高工作效率。它提供了生成文本、图像、代码、视频、音频等多种功能,具有高度定制化的AI解决方案。无论您是需要生成创意文案、设计图像、编写代码、制作视频还是创作音乐,Ultimate AI Assistant都能满足您的需求。该产品定价根据功能和使用量而定,详情请访问官方网站。

  • Sakura FM:与AI角色聊天

    Sakura AI是一个能够与AI角色聊天的平台。通过与AI角色的对话,用户可以探索、发现和创造新的AI体验。开始聊天,释放你的想象力。

  • lensa.app:影像增强AI工具

    Lensakey是一款影像增强AI工具,可一键进行照片修饰、去除干扰、应用时尚滤镜和效果,并创建独特的AI头像。它可以提升您的社交媒体影响力,轻松提升照片质量。

  • StockTune:免费音乐,无限可能

    StockTune 是一个免费音乐库,提供商用和个人使用的免费音乐下载,无需署名。库中拥有丰富多样的高品质音乐曲目,能够满足不同需求。价格:免费。

  • heardeer:10分钟内收集1000+用户访谈反馈

    heardeer可以在10分钟内收集1000+用户访谈反馈,让AI处理繁琐的用户访谈,您可以专注于更重要的任务。heardeer提供全球用户访谈,无需雇佣翻译人员,让用户以自己的母语参与访谈。同时,heardeer提供详细的转录和深度分析,为您节省时间。快来试试heardeer,开始您的用户访谈吧!

  • OneAccord:实时AI翻译为教堂

    OneAccord是一个实时AI翻译平台,为教堂提供语言翻译和字幕服务。它通过AI模型和人工校对,帮助教堂克服语言障碍,使教堂服务对听障人士也能无障碍参与。平台支持多种语言翻译和字幕功能,并提供定制品牌和在线访问。用户可以根据自己的需求选择月度订阅或一次性使用,并可以根据使用时间、语言和听众数量等参数来估算费用。

  • Kursaha:AI驱动的客户获取和参与解决方案

    Kursaha是一种AI驱动的客户获取和参与解决方案,通过定向广告活动、营销策略和参与客户来推动业务增长。核心功能包括实时分析、集成、自动生成OTP和验证、AI驱动的聊天自动化、受众预测和行为队列等。Kursaha是营销数据和产品团队的完整解决方案,帮助他们增强客户参与和获取策略。

  • AI Singing:AI音乐生成器

    AI音乐生成器是一个能够免费生成音乐的AI音乐生成器。它可以自动生成歌曲和歌唱。

  • Blahget:您的智能AI语音驱动型预算助手

    Blahget是一款先进的AI预算助手,可简化财务管理。它利用GPT-4驱动的语音识别技术,实现无缝跟踪支出和收入。从今天开始您的智能预算之旅吧。它可以通过语音快速创建、编辑和删除记录,支持搜索、筛选和排序等操作,并可执行数学计算。迄今已记录超过10万条数据条目。

  • Tools4AI:100% Java实现的LLM代理和大型行动模型

    Tools4AI是100%用Java实现的大型行动模型(LAM),可作为企业Java应用程序的LLM代理。该项目演示了如何将AI与企业工具或外部工具集成,将自然语言提示转换为可执行行为。这些提示可以被称为"行动提示"或"可执行提示"。通过利用AI能力,它简化了用户与复杂系统的交互,提高了生产力和创新能力。

  • SlideAI:AI制作演示文稿

    Slides AI是一款AI制作演示文稿的工具。它利用先进的AI算法分析您的主题,生成相关内容,并创建专业的PowerPoint幻灯片。Slides AI可以为您节省时间和精力,让您轻松创建专业而引人注目的演示文稿。

  • Ping Parrot:AI聊天机器人,帮助您处理客户支持

    Ping Parrot是一个AI聊天机器人平台,可以帮助您快速构建自定义的聊天机器人,并将其嵌入到您的网站上,帮助您处理客户支持。无需编码即可使用。聊天机器人可以根据您的数据进行训练,学习并提供最佳答案。您可以定制聊天机器人的外观以匹配您的品牌,并在80种语言中提供帮助。

  • Inpaint-web:免费的去除水印和物体的工具

    Inpaint-web 是一款永久免费的在线工具,只需一点击即可去除照片中的不想要对象,同时提供修复瑕疵功能。其独特的照片去除和修复功能让用户轻松实现照片编辑需求。用户无需下载安装任何软件,直接在网页上使用。Inpaint-web 定位于为用户提供便捷、高效的照片编辑解决方案。

  • MA-LMM:面向长期视频理解的大规模多模态模型

    MA-LMM是一种基于大语言模型的大规模多模态模型,主要针对长期视频理解进行设计。它采用在线处理视频的方式,并使用记忆库存储过去的视频信息,从而可以在不超过语言模型上下文长度限制或GPU内存限制的情况下,参考历史视频内容进行长期分析。MA-LMM可以无缝集成到当前的多模态语言模型中,并在长视频理解、视频问答和视频字幕等任务上取得了领先的性能。

  • eezyCollab:AI驱动的高效、低成本的影响力营销工具

    eezyCollab是一款AI驱动的影响力营销工具,能快速匹配合适的KOL,进行批量化电子邮件营销,帮助中小企业以低廉的成本进行影响力营销。该产品无需营销专业知识即可上手使用,简单易用,大幅提高了影响力营销的效率和可及性。

今日大家都在搜的词: