钓鱼攻击引发的安全事件,涉及到国内多家网站,已经严重损害了用户的利益,影响了企业的声誉,危害整个电子商务市场的稳健发展.因此,企业有必要建立一个完善的反钓鱼监控体系,以提高网站系统的风险防御能力.文章介绍了钓鱼攻击的研究和对策,给出了一种较为可行的思路,即基于钓鱼攻击发生的时间线索,从"事前预警""事中防御"和"事后整改"三个阶段,分别实施有针对性的监测和控制.事前预警阶段，需要在钓鱼者之前，尽可能多地找出各种可能被钓鱼攻击利用的弱点，包括来自业务系统自身的缺陷，业务系统运行的支撑环境弱点，以及来自互联网的安全威胁。所以，本阶段可以考虑综合使用业务安全风险评估、业务环境脆弱性评估，以及钓鱼风险实时监测等多种方法，以确保预警工作的完备性。事中主动防御阶段，关停钓鱼网站，从客户端抓起，及时阻断钓鱼威胁。事后整改和教育阶段，一方面要基于当前案例的分析结论，修补业务流程、业务环境存在的弱点;另一方面要加强终端用户的安全意识培训力度，防范于未然。