hcie-security內(nèi)容修訂17套第二部分hc郵件過濾技術(shù)

1、修訂記錄課程編碼適用產(chǎn)品產(chǎn)品版本課程版本ISSUEHC13031106USG6000V1R1V1.0開發(fā)/優(yōu)化者時(shí)間審核人開發(fā)類型（新開發(fā)/優(yōu)化）王銳2014-08-15王銳開發(fā) 丁祖賢2015-04-22優(yōu)化本頁不打印HC13031106 郵件過濾技術(shù) 目標(biāo)學(xué)完本課程后，您將能夠:了解垃圾郵件的基本概念；了解垃圾郵件的產(chǎn)生及危害；熟悉垃圾郵件過濾技術(shù)原理；掌握垃圾郵件過濾技術(shù)應(yīng)用。 目錄垃圾郵件介紹垃圾郵件過濾技術(shù)介紹RBL郵件過濾技術(shù)郵件內(nèi)容過濾技術(shù)垃圾郵件過濾技術(shù)應(yīng)用電子郵件基本概念電子郵件是種通過網(wǎng)絡(luò)提供信息交換的通信方式。完整的電子郵件一般包括郵件地址、主題、正文、附件。SMTPPO

2、P3MUAMTA電子郵件基本原理一封電子郵件的發(fā)送過程如下圖所示：SMTPDNS MX發(fā)件人收件人DNS服務(wù)器用戶代理Outlook本地MTA 遠(yuǎn)端MTA 用戶代理OutlookSMTPPOP3垃圾郵件的定義攜帶病毒和木馬的郵件也是垃圾郵件！ 垃圾郵件是包括下述屬性的電子郵件：收件人事先沒有提出要求或者同意接收的廣告、電子刊物、各種形式的宣傳品等宣傳性的電子郵件；收件人無法拒收的電子郵件；隱藏發(fā)件人身份、地址、標(biāo)題等信息的電子郵件；含有虛假的信息源、發(fā)件人、路由等信息的電子郵件。垃圾郵件產(chǎn)生原因經(jīng)濟(jì)利益的驅(qū)動(dòng)；SMTP協(xié)議缺陷；開放的互聯(lián)網(wǎng)；無意導(dǎo)致的誤發(fā)送。垃圾郵件的發(fā)送手段通過各種方法（購

3、買，偷竊）獲取接收人列表；使用專門的服務(wù)器來發(fā)送垃圾郵件；通過破解等黑客手段挾持他人服務(wù)器或者主機(jī)來發(fā)送垃圾郵件；破解他人的社交網(wǎng)絡(luò)帳號(hào)來發(fā)送垃圾郵件；綜合運(yùn)用多種躲避垃圾郵件檢查的手段?；ヂ?lián)網(wǎng)垃圾郵件現(xiàn)狀Page 9垃圾郵件占總郵件數(shù)量的比例大約在 80% - 90%；垃圾郵件占用了大量的網(wǎng)絡(luò)資源和存儲(chǔ)空間；垃圾郵件浪費(fèi)了郵件使用者的寶貴時(shí)間；由于釣魚等行為的存在，垃圾郵件嚴(yán)重影響了信息安全。垃圾郵件的危害降低生產(chǎn)力；被黑客利用；損害ISP品牌形象；危害社會(huì)。垃圾郵件主要類型病毒和木馬郵件商業(yè)宣傳郵件政治宣傳郵件色情宣傳郵件郵件服務(wù)器垃圾郵件在這些類型的垃圾郵件中，目前尤以病毒郵件居多，高達(dá)

4、40%以上。垃圾郵件技術(shù)分析動(dòng)態(tài)IP動(dòng)態(tài)內(nèi)容分布式發(fā)送結(jié)合病毒特性垃圾郵件多采用IP地址或域名變換技術(shù)，達(dá)到欺騙反垃圾郵件系統(tǒng)的目的。關(guān)鍵字動(dòng)態(tài)變化；采用附件代替文本內(nèi)容；信頭、正文動(dòng)態(tài)變化；內(nèi)容圖片化。采用分布式的發(fā)送方式，以防止地址或域名屏蔽。結(jié)合蠕蟲病毒的自動(dòng)傳播機(jī)制，實(shí)現(xiàn)垃圾郵件的大量發(fā)送。 目錄垃圾郵件介紹垃圾郵件過濾技術(shù)介紹RBL郵件過濾技術(shù)郵件內(nèi)容過濾技術(shù)垃圾郵件過濾技術(shù)應(yīng)用常見的垃圾郵件過濾技術(shù)統(tǒng)計(jì)法列表法源頭法其它貝葉斯靜態(tài)黑名單SenderID內(nèi)容過濾帶寬/連接限制 靜態(tài)白名單Domainkeys圖片識(shí)別技術(shù)郵件數(shù)量限制RBLSPF意圖分析技術(shù)信譽(yù)評(píng)級(jí)垃圾郵件過濾技術(shù)統(tǒng)計(jì)法

5、貝葉斯算法：基于統(tǒng)計(jì)方法，采用標(biāo)記權(quán)重的方式，根據(jù)對(duì)已知的垃圾郵件和非垃圾郵件為樣本進(jìn)行的內(nèi)容分析和統(tǒng)計(jì)來計(jì)算下一封郵件為垃圾郵件的概率，生成過濾規(guī)則。連接/帶寬統(tǒng)計(jì)：通過統(tǒng)計(jì)單位時(shí)間內(nèi)某固定IP地址試圖連接的數(shù)量是否在預(yù)定范圍，或限制有效帶寬實(shí)現(xiàn)反垃圾郵件。郵件數(shù)量限制：限制單個(gè)IP在單位時(shí)間內(nèi)可發(fā)送的郵件數(shù)量。信譽(yù)評(píng)分技術(shù)：基于統(tǒng)計(jì)的技術(shù)，采用信譽(yù)評(píng)級(jí)的方法實(shí)現(xiàn)郵件等級(jí)定義。垃圾郵件過濾技術(shù)列表法DNS-RBLs技術(shù)：通過域名反向解析檢查所收到郵件的IP地址與其名稱是否一致， 該技術(shù)對(duì)于使用虛假IP發(fā)送的垃圾郵件有較好的過濾效果。靜態(tài)黑名單：通過配置靜態(tài)黑名單對(duì)垃圾郵件進(jìn)行過濾，但該方法對(duì)

6、于IP地址、域名變換技術(shù)并無效果，因此在實(shí)際網(wǎng)絡(luò)中并未采用。靜態(tài)白名單：通過設(shè)置可信名單的方式實(shí)現(xiàn)，同樣有靜態(tài)黑名單方法的問題。垃圾郵件過濾技術(shù)源頭法SenderID：該方案為Microsoft提出，并得到多數(shù)網(wǎng)絡(luò)廠商支持，但并未通過 IETF。該技術(shù)完全依賴于DNS特性，因此容易遭受攻擊。SPF技術(shù)：SPF 是發(fā)送方策略框架 (Sender Policy Framework) 的縮寫，其 目的用于防止偽造郵件地址 。Domainkeys：采用驗(yàn)證郵件發(fā)件人是否與其聲稱的郵件域一致，并驗(yàn)證郵件的 完整性。該技術(shù)為一種公鑰+私鑰的簽名技術(shù)。垃圾郵件過濾技術(shù)其他多重圖片識(shí)別技術(shù)：識(shí)別通過圖片進(jìn)行隱

7、藏的垃圾郵件。意圖分析技術(shù)：郵件動(dòng)機(jī)分析技術(shù)。內(nèi)容過濾：通過分析郵件的內(nèi)容采用關(guān)鍵字過濾方法。NGFW郵件過濾技術(shù)支持情況功能描述發(fā)送方向接收方向SMTPPOP3IMAP垃圾郵件防范檢測、阻斷和告警不支持不支持匿名郵件檢測檢測、阻斷和告警檢測、阻斷和告警僅支持檢測、告警，無法阻斷郵箱地址檢查檢測和阻斷檢測和阻斷僅支持檢測、告警，無法阻斷郵件附件控制檢測、阻斷和告警檢測、阻斷和告警僅支持檢測、告警，無法阻斷 目錄垃圾郵件介紹垃圾郵件過濾技術(shù)介紹RBL郵件過濾技術(shù)郵件內(nèi)容過濾技術(shù)垃圾郵件過濾技術(shù)應(yīng)用RBL郵件過濾RBL（Real-time Blackhole List），即反垃圾郵件。RBL通過定

8、義一個(gè)黑名單列表，在該列表中的IP地址對(duì)外發(fā)布的郵件即為垃圾郵件。提供RBL服務(wù)的機(jī)構(gòu)會(huì)實(shí)時(shí)更新黑名單列表來保證可以過濾最新的垃圾郵件。RBL過濾只支持對(duì)SMTP協(xié)議傳輸?shù)泥]件進(jìn)行過濾。RBL應(yīng)用場景及工作流程TRUST收件人內(nèi)部SMTP服務(wù)器DMZ外部SMTP服務(wù)器DNS服務(wù)器RBL服務(wù)器NGFWRBL過濾的列表本地白名單本地黑名單遠(yuǎn)程實(shí)時(shí)黑名單X. X. X. X.RBL過濾的響應(yīng)方式告警（Alert）：正常轉(zhuǎn)發(fā)郵件，并發(fā)出日志告警信息。阻斷（Block）：阻斷郵件，并發(fā)出日志告警信息。 目錄垃圾郵件介紹垃圾郵件過濾技術(shù)介紹RBL郵件過濾技術(shù)郵件內(nèi)容過濾技術(shù)垃圾郵件過濾技術(shù)應(yīng)用郵件內(nèi)容過濾

9、帶來的價(jià)值郵件內(nèi)容過濾特性從郵件中提取郵件要素并對(duì)其進(jìn)行過濾，消除其帶來的內(nèi)容安全威脅，給用戶帶來如下價(jià)值：防信息泄露；屏蔽敏感信息和反動(dòng)言論；收發(fā)郵件權(quán)限控制；防帶寬過度占用。SMTP/POP3郵件過濾TRUST內(nèi)網(wǎng)用戶服務(wù)器NGFWInternet內(nèi)網(wǎng)用戶發(fā)送不符合配置要求的郵件，將被阻斷。Outlook客戶端SMTP/POP3郵件內(nèi)容過濾是指當(dāng)內(nèi)網(wǎng)用戶通過郵件客戶端收發(fā)郵件時(shí)，對(duì)郵件地址、附件大小和數(shù)量進(jìn)行監(jiān)控。郵件內(nèi)容過濾方式過濾配置項(xiàng)匹配方式引用的公共模式組類型收件人或發(fā)件人郵件地址前綴/后綴/關(guān)鍵字/精確郵件地址附件大小直接配置，不引用公共模式組-附件數(shù)量直接配置，不引用公共模式組

10、- 目錄垃圾郵件介紹垃圾郵件過濾技術(shù)介紹RBL郵件過濾技術(shù)郵件內(nèi)容過濾技術(shù)垃圾郵件過濾技術(shù)應(yīng)用郵件過濾配置思路開始結(jié)束配置本地黑名單/白名單（可選）配置RBL黑名單（可選）配置郵件附件控制（可選）配置安全策略（必選）配置匿名郵件檢測（可選）配置郵箱地址檢查（可選）配置本地黑名單/白名單配置RBL黑名單配置RBL黑名單(續(xù)) .cn垃圾郵件配置文件在“郵件內(nèi)容過濾”中引用后才能生效。配置RBL黑名單(續(xù))profile_mail_untrust_dmz配置匿名郵件檢測profile_mail_untrust_dmz配置郵箱地址檢查配置郵箱地址檢查(續(xù))配置郵件附件控制配置安全策略思考題單選題下列反垃圾郵件技術(shù)中，屬于采用統(tǒng)計(jì)方法的是