TW201602828A - 偵測及預防網路釣魚攻擊 - Google Patents

Abstract

具體實施例係關於偵測與防止網路釣魚攻擊。在一個方案中，電腦系統存取訊息並分析訊息中的內容，以判定是否存在鏈結。鏈結具有鏈結目標與標定顯示為相關聯於鏈結的至少一些文字(亦即鏈結錨)，其中標定顯示的文字指示所指定的目標。接著在判定訊息中存在鏈結時，電腦系統判定鏈結目標是否符合標定顯示的文字所指定的目標，而若電腦系統判定標定顯示的文字所指定的目標不符合鏈結目標，則電腦系統標示訊息以指示訊息包含至少一個可疑鏈結。

Description

偵測及預防網路釣魚攻擊

本發明相關於偵測及預防網路釣魚攻擊。

網際網路瀏覽器允許使用者觀看全世界的網站位置處的網頁，並與這些網頁互動。這些網站的大多數，不論是私人或公眾的、個人或企業的，是合法的且不對他們的使用者產生威脅。然而，一些網站試圖使用合法網站的外觀與感覺，以欺騙使用者而讓使用者洩漏可能為敏感的個人資訊，諸如使用者名稱與密碼。這種惡意作法通常稱為「網路釣魚(phishing)」。網路釣魚時常出現在包含看起來是合法網站，但實際上卻是惡意網站的鏈結的電子郵件中。

本文說明的具體實施例係關於偵測與防止網路釣魚攻擊。在一個具體實施例中，電腦系統存取訊息並分析訊息中的內容，以判定是否存在鏈結。鏈結具有鏈結目標以及至少一些文字，此等文字被標定為與鏈結相關聯而顯示(亦即鏈結錨(anchor))，其中標定顯示的文字指示所指定的目標。接著，在判定訊息中存在鏈結時，電腦系統判定鏈結目標是否符合標定顯示的文字所指定的目標，且若電腦系統判定標定顯示的文字所指定的目標不符 合鏈結目標，則電腦系統標示訊息以指示訊息包含至少一個可疑的鏈結。

在另一具體實施例中，電腦系統接收指示已選擇了指定鏈結的指示。鏈結具有鏈結目標以及標定顯示為與鏈結相關聯的至少一些文字，其中標定顯示的文字指示所指定的目標。電腦系統判定鏈結目標是否符合標定顯示的文字所指定的目標，且在判定標定顯示的文字所指定的目標不符合鏈結目標時，電腦系統觸發警告以指示鏈結為可疑的。

在又另一具體實施例中，電腦系統識別相關聯於使用者的敏感資訊。電腦系統接收指示要傳送包含至少一些敏感資訊之資料至伺服器的伺服器要求，並判定指示敏感資訊要傳送至何處的目標位址。電腦系統隨後判定目標位址未列在已知安全列表內，且在判定要傳送敏感資訊之至少一部分至未列在已知安全列表中的目標時，電腦系統觸發警告以指示所接收的伺服器要求包含敏感資料且要被傳送至非已知為安全的位置。

提供此發明內容以由簡化形式介紹一些概念選擇，這些概念被進一步說明於下面的實施方式中。此發明內容並不意為識別所主張標的的關鍵特徵或必要特徵，亦不意為用於幫助判定所主張標的的範圍。

下面的說明將闡述額外的特徵與優點，且部分將為在本發明領域中具有通常知識者根據此說明而清楚得知，或可藉由實施本文教示內容而習得。藉由附加申請專 利範圍中特定指出的手段及其結合者，可理解並獲得本文所說明的具體實施例的特徵與優點。在閱讀下面的說明與附加申請專利範圍後，本文所說明的具體實施例的特徵將變得更為清楚。

100‧‧‧電腦架構

101‧‧‧電腦系統

102‧‧‧處理單元

103‧‧‧記憶體

104‧‧‧通訊模組

105‧‧‧訊息

106‧‧‧鏈結

107‧‧‧指示

108‧‧‧訊息存取模組

109‧‧‧內容分析模組

110‧‧‧判定模組

111‧‧‧標記模組

112‧‧‧警告產生模組

113‧‧‧敏感資訊識別模組

114‧‧‧顯示器

115‧‧‧警告

116‧‧‧經標示的訊息

117‧‧‧可疑鏈結

200‧‧‧方法

210-240‧‧‧步驟

300‧‧‧方法

310-330‧‧‧步驟

400‧‧‧方法

410-450‧‧‧步驟

500‧‧‧環境

501‧‧‧使用者

502‧‧‧鍵盤

503‧‧‧電子裝置

504‧‧‧輸入

505‧‧‧網路釣魚防止服務

506‧‧‧瀏覽阻擋器

507‧‧‧敏感資訊阻擋器

508‧‧‧網際網路網站

601A‧‧‧鏈結目標

601B‧‧‧鏈結目標

602A‧‧‧顯示文字

602B‧‧‧顯示文字

為了進一步解釋本文所說明的具體實施例的前述的特徵與其他的特徵，將參考附加圖式以呈現更特定的說明。應理解到這些圖式所繪製的僅為本文所說明具體實施例的範例，且因此不應被視為限制具體實施例的範圍。將透過使用附加圖式，由額外的特定性與細節說明並解釋具體實施例，在圖式中：

第1圖圖示說明電腦架構，可在此電腦架構中操作本文所說明的具體實施例，包含偵測與防止網路釣魚攻擊。

第2圖圖示說明用於偵測與防止網路釣魚攻擊的範例方法的流程圖。

第3圖圖示說明用於偵測與防止網路釣魚攻擊的替代性範例方法的流程圖。

第4圖圖示說明用於偵測與防止網路釣魚攻擊的替代性範例方法的流程圖。

第5圖圖示說明替代性計算架構，可在此計算架構中操作本文所說明的具體實施例，包含偵測與防止網路釣魚攻擊。

第6A圖與第6B圖圖示說明超文本標示語言(HTML)鏈結錨標記(anchor tag)的具體實施例。

本文所說明的具體實施例係關於偵測與防止網路釣魚攻擊。在一個具體實施例中，電腦系統存取訊息並分析訊息中的內容，以判定是否存在鏈結。鏈結具有鏈結目標以及標定顯示為與鏈結相關聯的至少一些文字(亦即鏈結錨)，其中標定顯示的文字指示所指定的目標。接著，在判定訊息中存在鏈結時，電腦系統判定鏈結目標是否符合標定顯示的文字所指定的目標，且若電腦系統判定標定顯示的文字所指定的目標不符合鏈結目標，則電腦系統標示訊息以指示訊息包含至少一個可疑的鏈結。

在另一具體實施例中，電腦系統接收指示已選擇了指定鏈結的指示。鏈結具有鏈結目標以及標定顯示為相關聯於鏈結的至少一些文字，其中標定顯示的文字指示所指定的目標。電腦系統判定鏈結目標是否符合標定顯示的文字所指定的目標，且在判定標定顯示的文字所指定的目標不符合鏈結目標時，電腦系統觸發警告以指示鏈結為可疑的。

在又另一具體實施例中，電腦系統識別相關聯於使用者的敏感資訊。電腦系統接收指示要傳送包含至少一些敏感資訊之資料至伺服器的伺服器要求，並判定指示敏感資訊要傳送至何處的目標位址。電腦系統隨後判定目標位址未列在已知安全列表內，且在判定要傳送敏感資訊 之至少一部分至未列在已知安全列表中的目標時，電腦系統觸發警告以指示所接收的伺服器要求包含敏感資料且要被傳送至非已知為安全的位置。

下面的討論現在指向可執行的數個方法與方法步驟。應注意到，雖然可由一些順序討論方法步驟，或可在流程圖中將方法步驟圖示說明為由特定順序發生，但除非因為步驟係根據在執行此步驟之前的另一步驟的完成而特定說明或要求，否則並非必須需要任何特定的次序。

本文所說明的具體實施例，可實施各種類型的計算系統。這些計算系統現在逐漸採取各種廣泛的形式。計算系統可例如為手持式裝置、器具、膝上型電腦、桌上型電腦、大型主機、分散式計算系統、或甚至為傳統上不被視為計算系統的裝置。在此說明書與申請專利範圍中，用詞「計算系統」被廣泛地界定為包含任何裝置或系統(或裝置與系統之結合者)，此等裝置或系統包含至少一個實體且有形的處理器以及實體且有形的記憶體，此記憶體上能夠具有可由處理器執行的電腦可執行指令。計算系統可分散在網路環境中，並可包含多個計算系統構成部分。

如第1圖圖示說明，計算系統101通常包含至少一個處理單元102與記憶體103。記憶體103可為實體系統記憶體，此記憶體可為揮發性的、非揮發性的、或可為兩者之一些結合者。本文中使用的用詞「記憶體」亦可指向非揮發性大量存儲器，諸如實體儲存媒體。若計算系統為 分散式，則處理能力、記憶體能力、及(或)儲存能力亦可為分散式。

本文所使用的用詞「可執行式模組」或「可執行式部件」，可指向可在計算系統上執行的軟體物件、途程、或方法。本文所說明的不同的部件、模組、引擎、與服務，可被實施為在計算系統上執行的物件或程序(例如作為個別的線程)。

在下面的說明中，參考由一或更多個計算系統執行的步驟來說明具體實施例。若由軟體實施此種步驟，則執行步驟的相關聯計算系統的一或更多個處理器回應於已執行了電腦可執行指令，而指示計算系統的作業。例如，可在形成電腦程式產品的一或更多個電腦可讀取媒體上實施此種電腦可執行指令。此種作業的範例涉及資料的操縱。可在計算系統101的記憶體103中儲存電腦可執行式指令(以及所操縱的資料)。計算系統101亦可包含通訊通道，此等通訊通道允許計算系統101在有線網路或無線網路上與其他訊息處理器通訊。

本文所說明的具體實施例可包含或利用特別用途或一般用途電腦系統，此電腦系統包含電腦硬體，諸如(例如)一或更多個處理器與系統記憶體，此將於下文更詳細討論。系統記憶體可被包含在總體記憶體103內。系統記憶體亦可被稱為「主記憶體」，並可包含可由至少一個處理單元102在記憶體匯流排上定址的記憶體位置，在此情況中位址位置被確立在記憶體匯流排自身上。系統記 憶體傳統上為揮發性的，但本文所說明的原理亦適用於系統記憶體為部分(或完全為)非揮發性的環境中。

本發明範圍內的具體實施例，亦包含用於承載或儲存電腦可執行指令及(或)資料結構的實體媒體與其他電腦可讀取媒體。此種電腦可讀取媒體可為可由一般用途或特別用途電腦系統存取的任何可用的媒體。儲存電腦可執行指令及(或)資料結構的電腦可讀取媒體為電腦儲存媒體。承載電腦可執行指令及(或)資料結構的電腦可讀取媒體為傳輸媒體。因此，作為範例而不為限制，本發明的具體實施例可包含至少兩種完全不同種類的電腦可讀取媒體：電腦儲存媒體與傳輸媒體。

電腦儲存媒體為儲存電腦可執行指令及(或)資料結構的實體硬體儲存媒體。實體硬體儲存媒體包含電腦硬體，諸如隨機存取記憶體(RAM)、唯讀記憶體(ROM)、電子可抹拭唯讀記憶體(EEPROM)、固態硬碟機(solid state drives；SSDs)、快閃記憶體、相變化記憶體(phase-change memory；PCM)、光碟存儲器、磁碟存儲器或其他磁性儲存裝置、或可用於以電腦可執行指令或資料結構之形式儲存程式碼的任何其他硬體儲存裝置，此程式碼可由一般用途或特別用途電腦系統存取並執行，以實施所揭示的本發明的功能性。

傳輸媒體可包含用於承載為電腦可執行指令或資料結構形式之程式碼，並可由一般用途或特別用途電腦系統存取的網路鏈結及(或)資料鏈結。將「網路」界定 為致能在電腦系統及(或)模組及(或)其他電子裝置之間傳輸電子資料的一或更多個資料鏈結。當在網路或另一通訊連結(不論是固線式、無線式、或是固線式或無線式之結合者)上傳輸或提供資訊至電腦系統時，電腦系統可將連結視為傳輸媒體。前述的結合者亦應被包含在電腦可讀取媒體的範圍內。

再者，在到達各種電腦系統部件時，為電腦可執行指令或資料結構形式的程式碼，可自動從傳輸媒體傳輸至電腦儲存媒體(反之亦然)。例如，在網路或資料鏈結上接收到的電腦可執行指令或資料結構，可被緩衝在網路介面模組(例如「網路介面控制器(NIC)」)內的RAM中，且隨後終究被傳輸至電腦系統RAM及(或)在電腦系統處較不具有揮發性的電腦儲存媒體。因此，應瞭解到電腦儲存媒體可被包含在亦利用(或甚至主要利用)傳輸媒體的電腦系統部件中。

電腦可執行指令例如包含在執行於一或更多個處理器處時，使一般用途電腦系統、特別用途電腦系統、或特別用途處理裝置執行一些功能或功能組的指令與資料。例如，電腦可執行指令可為二元碼、中間格式指令(諸如組件語言)、或甚至為原始碼。

在本發明領域中具有通常知識者將理解到，可在具有許多類型的電腦系統配置的網路計算環境中實施本文所說明的原理，此等電腦系統配置包含個人電腦、桌上型電腦、膝上型電腦、訊息處理器、手持式裝置、多處理 器系統、微處理器式或可編程式消費者電子產品、網路個人電腦、迷你電腦、大型主機電腦、行動電話、個人數位助理(PDA)、平板、呼叫器、路由器、切換器、以及類似者。亦可在分散式系統環境中實施本發明，其中透過網路鏈結(不論是固線式資料鏈結、無線式資料鏈結、或是固線式或無線式資料鏈結之結合者)的本地電腦系統與遠端電腦系統兩者皆執行工作。因此，在分散式系統環境中，電腦系統可包含複數個電腦系統構成部分。在分散式系統環境中，程式模組可位於本地記憶體儲存裝置與遠端記憶體儲存裝置兩者中。

在本發明領域中具有通常知識者亦將理解到，可在雲端計算環境中實施本發明。雲端計算環境可為分散式的，但此並非必須。在為分散式時，雲端計算環境可被國際性地分散在一組織內，及(或)具有由多個機構擁有的部件。在此說明書與下面的申請專利範圍中，「雲端計算」被界定為用於致能對於可配置式計算資源(例如網路、伺服器、存儲器、應用程式、及服務)之共享庫的隨選(on-demand)網路存取的模型。「雲端計算」之定義不限於在適當部署時，可從此種模型獲得的其他數個優點之任意者。

再者，本文所說明的系統架構可包含複數個獨立部件，每一獨立部件貢獻系統的功能性，而作為整體。在解決平台延展性的議題時，此模組性允許增加的彈性，且對此提供了各種優點。透過使用具有受限功能範圍的較 小尺度部件，可更輕易地管理系統複雜度與成長。透過使用這些鬆弛耦合模組，增強了平台錯誤容忍度。為了業務需要，各個部件可以逐步成長。模組式發展亦轉譯成減少的新功能上市時間。可加入或減去新功能，而不衝擊核心系統。

第1圖圖示說明電腦架構100，可在電腦架構100中利用至少一個具體實施例。電腦架構100包含電腦系統101。電腦系統101可為任何類型的本地電腦系統或分散式電腦系統，包含雲端計算系統。電腦系統101包含用於執行各種不同功能的模組。例如，通訊模組104可經配置以與其他計算系統通訊。計算模組104可包含可接收來自其他計算系統的資料，及(或)傳送資料至其他計算系統的任何有線或無線的通訊手段。通訊模組104可經配置以與資料庫、行動計算裝置(諸如行動電話或平板)、嵌入式或其他類型的計算系統。

電腦系統101進一步包含訊息存取模組108，訊息存取模組108經配置以存取諸如訊息105的訊息。訊息可為電子郵件訊息、文字訊息、或其他類型的訊息(可包含超連結)(例如106)。電腦系統101的內容分析模組109可經配置以分析訊息內容，以判定內容內是否存在超連結或「鏈結」。在一些具體實施例中，內容分析模組109可經配置以分析其他形式的內容，包含影像、視頻、或任何其他種類的媒體、或可包含可用於進行網路釣魚之鏈結的其他內容。判定模組110可分析鏈結106以判定鏈結106 是否為可疑的。若存在不一致性(諸如不符合的顯示文字與鏈結目標)，或存在可指示網路釣魚意圖的其他不規則性或指定性質，則鏈結可被認為是「可疑的」。

當然，如第6A圖圖示，在第6A圖中HTML鏈結錨標記可包含鏈結目標601A(例如「www.uspto.gov」)與一部分的顯示文字602A(「USPTO Website」)。網路釣魚攻擊時常意圖假冒網站，建置相同於認證網站、同時具有僅稍微不同的鏈結目標的網站。因此，如第6B圖圖示，鏈結目標601B可為「www.uspfo.gov」或「www.usplo.gov」或一些其他外觀類似的變異者。顯示文字602B可與第6A圖中的顯示文字完全相同。因此，除非使用者非常小心，否則使用者可不會注意到他們所要求的網站(例如藉由輸入錯誤)並非是他們實際上意圖前往的網站。一旦位於惡意網站，使用者即容易被誘使提供敏感資訊給攻擊者。因此在本文的具體實施例中，電腦系統101的判定模組110可判定鏈結的鏈結目標不符合鏈結的顯示文字，並可對使用者觸發警告115，通知使用者他們即將選擇或已選擇(例如藉由點擊或觸控)的鏈結為可疑的並可為惡意的。

因此，本文所說明的具體實施例係設計為在鏈結錨或顯示文字不同於href鏈結目標時，防止使用者跟隨可能為惡意的鏈結，且進一步防止使用者意外地傳送網域憑證給惡意者。電腦系統101的敏感資訊識別模組113可經配置，以識別使用者輸入及(或)傳送敏感資訊(諸如使 用者名稱與密碼)至已知為不安全或非已知為安全、或符合其他限制特性的網站。例如，具體實施例可試圖判定使用者的憑證是否意為用於指定網域，並可在將此憑證組傳送至位於此網域之外的任何伺服器(例如位於企業內部網路之外，或位於使用者的用戶鑑別名稱(UPN)後綴之外，其中對於使用者帳戶的預設UPN後綴為包含使用者帳戶的網域的網域名稱系統(DNS)網域名稱)之前提供警告115。計算系統101可進一步經配置以針對鏈結錨估算鏈結文字，並實施標記模組111以在不符合時標記不符合。

敏感資訊識別模組113可經配置以監測鍵盤上的鍵擊、智慧型手機或其他行動裝置上的觸控輸入、或監測其他類型的使用者輸入，諸如手勢或滑鼠點擊。敏感資訊識別模組113隨著時間可學習到使用者資訊的哪些是敏感資訊。例如，敏感資訊識別模組113可使用文字分析，以判定何時正輸入使用者名稱或密碼，或何時正輸入數字串(例如電話號碼、社會保險號碼、生日、信用卡卡號、銀行帳戶號碼等等)。敏感資訊識別模組113可持續監測使用者輸入，以判定何時已輸入了敏感資訊，且隨後可判定此敏感資訊要被傳送至何處。

若敏感資訊要被傳送至已知的安全目標伺服器，則將傳送資料而不警告。然而，若使用者的敏感資料要被傳送至未知目標或已知為不安全的目標伺服器，則將產生警告115且將不傳送使用者的資料。可追蹤此種事件，並可記錄對應的資訊，包含要傳送哪些資料以及要傳 送資料至何處。可將此種記錄資訊儲存在資料存儲器中及(或)傳送至其他位置/個體以供進一步分析。若使用者正傳送敏感資訊至他們認知為安全的網站，則可超控(override)警告115並可無視警告以傳送敏感資訊。亦可在於不信任網站上偵測到使用者名稱或密碼欄位時，隨即產生警告。判定模組110可判定網域不受信任，並判定網頁具有類似於「使用者名稱」或「密碼」的欄位或字詞。在此種情況中，可預先警告使用者網站可為對於敏感資訊的網路釣魚網站。下面將分別針對第2圖的方法200、第3圖的方法300、以及第4圖的方法400來進一步解釋這些概念。

考慮前述的系統與架構，可根據所揭示標的以實施的方法，在參考第2圖、第3圖、與第4圖的流程圖之後將可被更佳理解。為了簡化解釋，方法被圖示並說明為步驟方塊序列。然而應瞭解並理解到，所請標的並不限於步驟方塊的順序，而一些步驟方塊可依不同順序發生，及(或)與除本文所繪製並說明以外的其他步驟方塊同時發生。再者，此後所說明方法的實施，並非需要所有所圖示說明的方塊。

第2圖圖示說明用於偵測與防止網路釣魚攻擊的方法200的流程圖。現在將頻繁地參考計算環境100的部件與資料來說明方法200。

方法200包含存取至少一個訊息的步驟(步驟210)。例如，訊息存取模組108可存取訊息105。訊息105 可為電子郵件訊息、文字訊息、或能夠包含超連結的一些其他形式的內容。可作為在傳遞電子郵件或文字訊息至終端使用者之前掃描電子郵件或文字訊息的服務的部分，而掃描訊息105。或者，可由在終端使用者的電子裝置上執行的應用程式(例如瀏覽器或電子郵件應用程式)掃描訊息105。在一些情況中，可由執行為對於另一應用程式的插件(plug-in)的服務來掃描訊息。此服務可識別存在訊息中的所有鏈結。

方法200接著包含分析訊息中的內容以判定是否存在鏈結的步驟，此鏈結具有鏈結目標與標定顯示為與鏈結相關聯的文字的至少一部分，標定顯示的文字指示所指定的目標(步驟220)。內容分析模組109可分析訊息105的內容，以判定訊息中是否存在任何鏈結106。內容分析模組109可經配置以尋找超文本標示語言(HTML)超連結或其他類型的鏈結。這些鏈結允許使用者選擇鏈結，並被導覽至鏈結中指定的目標。例如第6A圖圖示，鏈結錨標記(<a>)中的鏈結目標601A為href目標，且被標定為「www.uspto.gov」。實際上，使用者所看到的顯示在瀏覽器上或電子郵件內的顯示文字602A為「USPTO Website」。然而，此文字可為包含「按此」或類似者的任何文字字串。因此，儘管顯示文字可表明一種意義，但實際的鏈結目標可為完全不同的意義。且在一些情況中，鏈結目標與顯示文字可為有意使人感到困惑地類似的(如 第6B圖，其中鏈結目標601B為「www.uspfo.gov」而顯示文字602B為USPTO Website)。

在判定訊息中105存在至少一個鏈結時，方法200包含判定鏈結目標是否符合標定顯示文字所指定的目標之步驟(步驟230)。在第6A圖圖示的範例具體實施例中，鏈結目標601A符合顯示文字602A，而在第6B圖的範例具體實施例中，鏈結目標601B不符合顯示文字602B。若判定模組110判定標定顯示文字(例如602A)所指定的目標不符合鏈結目標(例如601A)，則方法200執行標示訊息以指示訊息包含至少一個可疑鏈結之步驟(步驟240)。標記模組111因此可標示判定為具有不符合的鏈結目標與顯示文字的鏈結的訊息105。經標示的訊息116可被顯示於顯示器114上，並可包含紅色旗標符號或其他標誌，讓使用者知道訊息具有可疑鏈結117。額外或替代地，經標示訊息可被顯示為警告115的部分，警告115被產生以通知使用者他們應再次考慮瀏覽此鏈結。

當然，可由通知標示訊息，此通知通知訊息接收者訊息不應被開啟，或者鏈結不應被遵循。若使用者理解到鏈結目標並判定此鏈結目標為安全的，則使用者可忽略警告並繼續進行。然而在一些情況中(諸如其中使用者正試圖瀏覽已知不安全的網站)，瀏覽器、電子郵件用戶端、或任何執行訊息分析的應用程式或服務，可藉由防止任何資料要求被傳送至此位置，以防止使用者瀏覽鏈結目標。再者，在對於經標示訊息的情況中，可完全防止使用 者與訊息內的鏈結互動，或至少防止使用者與訊息內的一些鏈結互動。互動可包含以滑鼠點擊鏈結、懸停在鏈結上、以手勢或觸控選擇鏈結、以語音指令選擇鏈結、或可開始瀏覽與傳送或要求資料的一些其他與鏈結互動的方式。

一旦訊息已被標示為具有可能為可疑的鏈結，則電腦系統10可即產生記錄資訊，以記錄相關於經標示訊息的細節，包含何時接收到訊息、訊息來自何人、訊息的一般內容或特定內容、包含鏈結目標與顯示文字的實際鏈結，或可有用於判定訊息來源者的任何其他相關的資料。可本地地或遠端地在資料存儲器中儲存此記錄資訊，或可將此記錄資訊傳送至另一位置或個體，以進一步分析。例如，維持資料庫是有優點的，此資料庫具有已知的網路釣魚網站、已知包含網路釣魚網站鏈結的訊息、已知包含網路釣魚鏈結之訊息的發送者等等。

在一些情況中，在判定模組110判定鏈結目標相關聯於已知為不安全的位置時，警告產生模組112可產生警告115，警告115包含對於判定為可疑之鏈結的指示。警告可顯示鏈結的顯示文字以及相關聯於此鏈結的鏈結目標兩者。以此方式，使用者可能夠觀看鏈結的顯示文字與鏈結目標，並判定顯示文字與鏈結目標確實不符合，而鏈結目標並非使用者所意圖的目標。或者，使用者可觀看鏈結目標，並可判定使用者知道目標是安全的並想要瀏覽此目標而忽略警告，即使知道不符合或偵測到指示鏈結為可疑的的任何其他特性。在此階段，亦可提供使用者按鈕或 其他使用者介面(UI)物件，以指示使用者知道鏈結目標網站是安全網站，且在往後的訊息掃描中不應被標示。隨後，網站被加入已知安全列表。往後，在接收到包含所指定鏈結目標的隨後訊息時，服務或應用程式將防止他們被標示為可疑的，因為他們已知為安全的。

現在看到第3圖，第3圖圖示說明用於偵測並防止網路釣魚攻擊的方法300的流程圖。現將頻繁參考計算環境100的部件與資料來說明方法300。

方法300包含接收指示之步驟，此指示指示所指定的鏈結已被選擇，此鏈結具有鏈結目標以及標定顯示為相關聯於鏈結的文字的至少一部分，標定顯示的文字指示所指定的目標(步驟310)。例如，瀏覽器應用程式、訊息掃描服務、或其他網路釣魚防止服務，可接收指示107，指示107指示所指定的鏈結106已被由一些方式選擇。如上文所提及的，鏈結包含鏈結目標以及允許使用者看見鏈結的所顯示文字的一些部分。判定模組110可判定鏈結目標是否符合顯示文字所指定的目標(步驟320)。若判定模組110判定顯示文字所指定的目標不符合鏈結目標，則方法200執行觸發警告以指示鏈結為可疑之步驟(步驟330)。警告產生模組112可因此產生警告，以通知使用者他們所選擇的鏈結在某些方面是可疑的，且不應瀏覽此鏈結。

在至少一個具體實施例中，指示指示在網頁瀏覽器應用程式處接收到已被選擇的所指定鏈結。此指示可 由瀏覽器自身接收，或可由執行在瀏覽器上的插件接收。可例如由使用者與網頁瀏覽器應用程式互動而觸發指示。使用者可例如透過電子郵件入口觀看電子郵件。此電子郵件可包含具有鏈結的訊息，而使用者可由一些方式選擇此鏈結。此將觸發對於鏈結目標與顯示文字的分析。若分析指示鏈結在一些方面為可疑的，則指示將被傳送至瀏覽器，瀏覽器將顯示警告及(或)防止資料要求(由超連結選擇產生)被發送。

因此，以此方式，可監測並分析使用者與網頁瀏覽器的互動，以確保使用者不試圖使用可疑鏈結瀏覽。若在使用者瀏覽中的任何時間點，顯示文字指定的目標不符合鏈結目標，則網頁瀏覽器應用程式可防止使用者與網頁瀏覽器的互動瀏覽此鏈結，或至少顯示警告以指示鏈結目標非已知為安全的。在判定鏈結目標為已知安全的目標時，使用者可抑止此種警告訊息，或者網域名稱系統(DNS)將自動將使用者再引導至正確的網站。

第4圖圖示說明用於偵測並防止網路釣魚攻擊的替代性方法400的流程圖。現將分別頻繁參考第1圖的環境100與與第5圖的環境500的部件與資料，以說明方法400。

方法400包含識別相關聯於使用者的敏感資訊的一或更多個部分的步驟(步驟410)。例如，敏感資訊識別模組113可識別相關聯於使用者的敏感資訊，諸如使用者的使用者名稱與密碼、財務資訊(例如銀行帳戶或信 用卡卡號)、醫療資訊、或使用者想要保持隱私的其他類型的非公開資訊。敏感資訊識別模組113可使用關鍵字、使用在使用者與瀏覽器、電子郵件應用程式或其他應用程式互動時逐漸收集來的資訊、使用已知的號碼序列(例如以識別信用卡卡號)、或使用其他文字型樣或欄位，以識別此類型的資訊。

接著，方法400包含接收伺服器要求之步驟，此伺服器要求指示要傳送資料的一或更多個部分至包含敏感資訊的至少一部分的伺服器(步驟420)。伺服器要求可由中介服務接收，或可在使用者的電腦系統處接收。判定模組110可判定指示要傳送敏感資訊至何處的目標位址(步驟430)、判定目標位址未列在已知安全列表內(步驟440)、並觸發警告以指示所接收的伺服器要求包含敏感資料且正被傳送至非已知為安全的位置(步驟450)。電腦系統101的警告產生模組112可產生警告，此警告通知使用者即將要傳送可能為敏感的資訊，並詢問使用者是否想要繼續。警告亦可顯示目標網域及(或)完整全球資源定位器(URL)，以進一步幫助使用者決定是否要發送資訊。

在一個具體實施例中，如第5圖圖示，網路釣魚防止服務505可被具現化並可執行在使用者501的計算系統上，或可執行在中間計算系統上。使用者可在他們的電子裝置503處(諸如智慧型手機、平板或膝上型電腦)，或經由實體鍵盤502在另一計算系統處提供輸入。使用者 的輸入504可包含敏感資訊。網路釣魚防止服務505可被執行為瀏覽器的部分、或作業系統服務的部分、或監測使用者與網際網路網站508的互動的網頁流量監測服務的部分。網路釣魚防止服務505可包含瀏覽阻擋器，此瀏覽阻擋器阻擋瀏覽可疑或已知為不良的網站，特別是由模組110判定為具有不符合的超連結顯示文字與超連結目標的網站。網路釣魚防止服務505亦可包含敏感資訊阻擋器507，敏感資訊阻擋器507防止敏感資訊被發送至被認為在某些方面是不安全的或可疑的其他網際網路網站508。

因此，網路釣魚防止服務505或敏感資訊阻擋器507可監視使用者在電腦系統處的輸入504，並判定使用者輸入包含敏感資訊。可使用關鍵字、片語、或數字序列、或識別一些類型的資訊的其他方法，來識別相關聯於使用者的此敏感資訊。在判定敏感資訊要被傳送至未列在已知安全列表中的目標時，網路釣魚防止服務505可記錄資訊的一或更多個部分，此等部分關於目標位址及(或)關於要傳送那些敏感資訊。網路釣魚防止服務可進一步將目標位址儲存及(或)出版為網路釣魚網站，使其他人可覺察到此網站的本質。若任何敏感資訊要被傳送至未列在已知安全列表中的目標，則敏感資訊阻擋器507將防止敏感資訊被傳送至目標位址，並可進一步通知使用者防止了資料被洩漏至網路釣魚嫌疑網站。

因此，提供了偵測與防止網路釣魚攻擊的方法、系統、與電腦程式產品。本文所說明的概念與特徵可 被由其他特定的形式實施，而未脫離他們的精神或說明性的特性。所說明的具體實施例在所有方面皆應僅被視為說明性的而非限制性的。因此，本揭示內容的範圍係由附加申請專利範圍指示，而非由前述說明指示。所有位於申請專利範圍的均等範圍的意義與範圍內的改變，皆包含在申請專利範圍的範圍內。

100‧‧‧電腦架構

101‧‧‧電腦系統

102‧‧‧處理單元

103‧‧‧記憶體

104‧‧‧通訊模組

105‧‧‧訊息

106‧‧‧鏈結

107‧‧‧指示

108‧‧‧訊息存取模組

109‧‧‧內容分析模組

110‧‧‧判定模組

111‧‧‧標記模組

112‧‧‧警告產生模組

113‧‧‧敏感資訊識別模組

114‧‧‧顯示器

115‧‧‧警告

116‧‧‧經標示的訊息

117‧‧‧可疑鏈結

Claims (20)

1. 一種電腦系統，包含以下：一或更多個處理器；一或更多個電腦可讀取儲存媒體，其上儲存有電腦可執行指令，該等電腦可執行指令在由該一或更多個處理器執行時，使該計算系統執行一種用於偵測與防止一網路釣魚攻擊的方法，該方法包含以下步驟：存取步驟，存取至少一個訊息；分析步驟，分析該訊息中的內容以判定是否存在一鏈結，該鏈結具有一鏈結目標與標定顯示為相關聯於該鏈結的文字的至少一部分，標定顯示的該文字指示一所指定目標；判定步驟，在判定訊息中存在至少一個鏈結時，判定該鏈結目標是否符合標定顯示的該文字所指定的該目標；以及標示步驟，在標定顯示的該文字所指定的該目標不符合該鏈結目標時，標示該訊息以指示該訊息包含至少一個可疑鏈結。
2. 如請求項1所述之電腦系統，其中標示該訊息以指示該訊息包含至少一個可疑鏈結的該標示步驟，觸發一通知以通知一訊息接收者該訊息不應被開啟，或該鏈結不應被遵循。
3. 如請求項1所述之電腦系統，其中使用者被防止與被標示為可疑的訊息中的鏈結互動。
4. 如請求項1所述之電腦系統，該電腦系統進一步包含：產生步驟，產生記錄資訊以記錄一或更多個細節，該等細節相關於判定為包含至少一個可疑鏈結的該訊息；以及儲存步驟，在一資料存儲器中儲存所產生的該記錄資訊。
5. 如請求項4所述之電腦系統，該電腦系統進一步包含：發送步驟，發送所產生的該記錄資訊至一所指定的個體。
6. 如請求項1所述之電腦系統，該電腦系統進一步包含判定該鏈結目標是相關聯於已知為安全的位置或是已知為不安全的位置。
7. 如請求項1所述之電腦系統，其中所觸發的該警告顯示對於所指定的該鏈結的實際鏈結目標的一指示。
8. 如請求項7所述之電腦系統，該電腦系統進一步包含：接收步驟，接收一輸入，該輸入指示一所指定鏈結目標已知為安全的；以及 防止步驟，防止包含該所指定鏈結目標的隨後訊息被標示。
9. 如請求項8所述之電腦系統，其中該所指定鏈結目標被加入一已知安全鏈結目標列表。
10. 一種用於偵測與防止網路釣魚攻擊的電腦實施方法，該方法位於包含至少一個處理器的一電腦系統處，並包含以下步驟：接收步驟，接收對於已選擇了一所指定鏈結的一指示，該鏈結具有一鏈結目標與標定顯示為相關聯於該鏈結的文字的至少一部分，標定顯示的該文字指示一所指定目標；判定步驟，判定該鏈結目標是否符合標定顯示的該文字所指定的該目標；以及觸發步驟，在標定顯示的該文字所指定的該目標不符合該鏈結目標時，觸發一警告以指示該鏈結為可疑的。
11. 如請求項10所述之方法，其中在一網頁瀏覽器應用程式處接收對於已選擇了一所指定鏈結的該指示，該指示係由對於該網頁瀏覽器應用程式的至少一個使用者互動來觸發。
12. 如請求項11所述之方法，其中在標定顯示的該文字所指定的該目標不符合該鏈結目標時，該網頁瀏覽器應用程式防止使用者與該網頁瀏覽器互動而瀏覽 該鏈結。
13. 如請求項10所述之方法，其中在判定該鏈結目標為一已知安全目標時，指示該鏈結為可疑的該警告可被一使用者抑止。
14. 一種用於偵測與防止網路釣魚攻擊的電腦實施方法，該方法位於包含至少一個處理器與一記憶體的一電腦系統處，並包含以下步驟：識別步驟，識別相關聯於一使用者的敏感資訊的一或更多個部分；接收步驟，接收指示資料的一或更多個部分要被傳送至伺服器，該資料包含敏感資訊的至少一部分；判定步驟，判定一目標位址，該目標位址指示敏感資訊的該至少一部分要被傳送至何處；判定安全步驟，判定該目標位址未列在一已知安全列表內；以及觸發步驟，在判定敏感資訊的該至少一個部分要被傳送至未列在該已知安全列表中的一目標時，觸發一警告以指示所接收的該伺服器要求包含敏感資料且正被傳送至非已知為安全的一位置。
15. 如請求項14所述之方法，該方法進一步包含以下步驟：監測步驟，在該電腦系統處監測該使用者的輸入；以 及判定敏感資訊步驟，判定該使用者的該等輸入已造成敏感資訊被輸入該電腦系統。
16. 如請求項14所述之方法，其中使用關鍵字、片語、或數字序列，來識別相關聯於該使用者的敏感資訊的該一或更多個部分。
17. 如請求項14所述之方法，該方法進一步包含以下步驟：記錄步驟，在判定敏感資訊的該至少一部分要被傳送至未列在該已知安全列表中的一目標時，記錄關於該目標位址的資訊的一或更多個部分。
18. 如請求項17所述之方法，該方法進一步包含以下步驟：出版該目標位址以作為一網路釣魚網站。
19. 如請求項14所述之方法，該方法進一步包含以下步驟：在判定敏感資訊的該至少一部分要被傳送至未列在該已知安全列表中的一目標時，防止敏感資訊的該至少一部分被傳送至該目標位址。
20. 如請求項19所述之方法，該方法進一步包含以下步驟：通知該使用者已防止了資料被洩漏至一網路釣魚嫌疑網站。