Das Internet Storm Center hat einen Maßnahmenkatalog vorgestellt, um gegen Phishing vorzugehen. Anders als andere sieht das ISC den Handlungsbedarf nicht beim Anwender, sondern bei den Unternehmen, die sicherheitsrelevante Dienste anbieten.
Wenn es sich da mal nicht täuscht...
Als ersten Punkt nennt der Autor Johannes Ullrich das konsistente Auftreten nach außen. So sollten Unternehmen ihre E-Mails grundsätzlich immer mit der selben E-Mail-Adresse versenden.
Wie wäre es denn mit einer GPG/PGP Signatur? Das wäre für jeden leicht prüfbar.
Sogar Microsoft setzt auf diese....
Des weiteren fordet Ullrich vorbeugende Maßnahmen, um aktiv auf Phishing-Kampagnen reagieren zu können. Beispielsweise könnten Firmen ihren E-Mail-Eingang nach verdächtigen Bounces durchsuchen oder die Log-Dateien ihrer Web-Server auf seltsame Referrer überwachen, um dann die Kunden auf eine Warnseite zu lenken.
Irgendwie widerspricht sich dieser Absatz, oder? Wenn die ersten Bounces eingehen, ist das Chaos schon in vollem Gange... also wieso Vorbeugend?
Auch die schlechte Angewohnheit, Web-Seiten speziell auf einen Browser auszurichten und sogar zusätzliche Features wie JavaScript oder Active-X vorauszusetzen, kritisiert Ullrich. Seiner Ansicht nach sollten die Unternehmen Wert darauf legen, dass Anwender ihr System absichern und sie nicht dazu zwingen, sinnvolle Sicherungsmaßnahmen wie den Verzicht auf aktive Inhalte aufzugeben.
Dem stimm ich voll zu. Abgesehen davon haben wir heutzutage PHP, mit dem wir aktive Inhalte realisieren können. Kein Mensch benötigt ActiveX!
heise Security - News - 6-Punkte-Plan gegen Phishing
