根据一项新研究表明，在联邦政府最大的50家IT承包商中，只有一家承包商采用了重要的电子邮件安全措施来抵御网络钓鱼攻击。
全球网络联盟（GCA）调查发现，除了一家公司（Engility分析公司）外，美国联邦机构承包商（包括洛克希德·马丁、Booz Allen Hamilton和AT&T等）都没有使用基于域的邮件验证、报告和一致性(DMARC) 协议来阻止网络钓鱼攻击活动。
还有另一家承包商--工程和咨询公司Tetra Tech部署了次级DMARC控制，可以隔离钓鱼邮件。同时，根据这项研究显示，超过半数的承包商尚未部署任何DMARC相关措施。
网络钓鱼攻击是黑客最喜欢的网络入侵工具。多年来，联邦政府一直在试图抵御网络钓鱼攻击。DMARC是通过创建公共记录来检查电子邮件发件人是否被授权代表域发送邮件来抵御网络钓鱼攻击。
美国国土安全部的一项指令要求联邦机构在2018年1月15日前部署DMARC，然而，有些机构无法到最后期限都没能完成该要求。此外，联邦机构的安全程度取决于它最薄弱的环节，而攻击者则瞄准承包商来收集敏感的美国政府信息。
例如，美国参议院武装部队委员会在2014年的一项调查结果显示，国家黑客在一年内通过攻击承包商入侵美国运输司令部达20次，但该指挥部仅知道其中两次入侵。
全球网络联盟总裁菲利普·雷丁格(Philip Reitinger)在一份声明中表示：“政府承包商应该认识到，攻击者在遇到障碍时不会放弃，他们只会努力寻找另一个薄弱环节。”
雷丁格称：“美国和英国的国家领导人正在积极推动部署DMARC，因为他们了解这种威胁以及精心设计的网络钓鱼骗局可能对关键机构产生严重影响。美国主要承包商获得数十亿美元的资金来负责保护我们大部分联邦IT基础设施，他们应该采取措施来保护政府及其公民。”
全球网络联盟只要发现松懈的DMARC部署，就会发出警报。该非营利组织在4月初表示，美国总统行政办公室管理的26个域名中只有一个使用DMARC来阻止网络钓鱼活动。
本文由安全内参翻译自CyberScoop
声明：本文来自安全内参，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
