在荷兰税务和海关管理局，我们多年来致力于与纳税人建立基于信任的紧密关系。我们认为，改善和维持这种关系将有助于我们以更高效、更持续的方式征收税款，支持#NoMorePhishing等倡议是我们持续努力的重要方式之一。作为一个高调的公共部门组织，我们每天都会收到像下面这样的钓鱼邮件。V an: Belastingdienst belastingaangifte@belastingdienst.nl Datum:23-08-2015 11:05:10 CEST Aan: xxxxxx@planet.nl Onderwerp: Belastingaangifte 2014 Bij controle van onze administratie hebben wij geconstateerd dat er een betalingsachterstand is ontstaan van uw belastingaangifte 2014. Wij hebben geprobeerd om het openstaande bedrag te incasseren, helaas is dit niet gelukt op het rekeningnummer dat bij ons bekend staat. Het huidige openstaande bedrag bedraagt 83,04 euro. U ontvangt ook een schriftelijke herinnering die vandaag per post is verstuurd. Thans verzoeken wij u vriendelijk om dringend het openstaand bedrag van ... Te betalen u kunt het bedrag overmaken naar bankrekeningnummer NL62ABNA XXXXXXXXX tnv belastingdienst" onder vermelding van betalingskenmerk BTW038372293N Als u deze betaling heeft voldaan kunt u de brief als niet verzonden beschouwen. Als u binnen acht dagen deze rekening niet heeft voldaan dan verzenden wij geen aanmaning en hierbij worden incasso kosten gerekend Ik hoop u voldoende geinformeerd te hebben. Wij zien uw betaling graag tegemoet en danken u voor uw medewerking. Met vriendelijke groet, Robert Versteegen Directeur Belastingdienst N.B. Dit is een automatisch verzonden e-mail, het is niet ogelijk deze e-mail te beantwoorden. Figure 1 — 一个真实的钓鱼邮件示例。在上面的真实例子中，一个目标荷兰纳税人收到了一封邮件，称他们必须通过电汇支付83.04欧元的税款到指定的银行账户（这是一个钱庄账户），否则将收取额外收款费用。通常，这种邮件的第一个明显迹象是电子邮件地址，但在这个例子中，它与荷兰税务和海关管理局的地址相同——belastingdienst.nl。因为我们尚未实施以下标准，所以有人可能滥用我们的电子邮件地址。通过使用最佳当前实践，如RFC 7208 – 发件人策略框架（SPF）授权在电子邮件中使用域名——我们开发了一种通用的技术，用于识别伪装成荷兰税务和海关管理局进行的钓鱼攻击。这种技术——前提是访问DNS日志——可以提供有关钓鱼邮件发送来源和接收者的见解。本文将讨论一些免费的标准、政策和协议，这些可以帮助任何组织降低其域名被滥用的风险。
钓鱼攻击的识别机制
荷兰税务和海关管理局通过实施RFC 7208 – 发件人策略框架（SPF）等最佳实践，开发了一种通用的技术来识别伪装成官方机构进行的钓鱼攻击。这种技术依赖于DNS日志的访问，可以提供有关钓鱼邮件发送来源和接收者的详细信息。通过分析这些数据，组织可以识别出异常的邮件流量模式，从而及时发现潜在的钓鱼攻击。
数据分析和取舍
为了有效地检测钓鱼攻击，组织需要收集和分析大量的数据。这包括DNS查询日志、邮件服务器日志以及网络流量数据。通过对这些数据的分析，组织可以识别出可疑的域名和IP地址，以及异常的邮件发送模式。在分析过程中，组织需要权衡数据的准确性和效率，以确保能够及时识别钓鱼攻击，同时避免误报。
实际意义
对于运维和网络工程师来说，了解如何检测域名是否被用于钓鱼攻击具有重要意义。通过实施上述技术和最佳实践，他们可以有效地保护组织免受钓鱼攻击的侵害，从而保护用户免受财务损失和隐私泄露的风险。此外，通过及时识别和响应钓鱼攻击，组织可以维护其品牌声誉，增强用户信任。
在荷兰税务和海关管理局的例子中，通过实施RFC 7208 – 发件人策略框架（SPF）等标准，他们成功地降低了域名被滥用的风险，并能够及时发现和应对钓鱼攻击。这为其他组织提供了一个宝贵的案例，展示了如何通过实施适当的技术和最佳实践来保护其域名免受滥用。
原文: APNIC Blog（2020-07-07）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog