梭子鱼反垃圾邮件方案

PAGE上海鸿羽来贸易有限公司方案书第一章1.1垃圾邮件的危害在近几年的时间里，无论高校、企业以及政府部门面临垃圾邮件的威胁成指数级增长，垃圾邮件占电子邮件总通讯量的达到60%以上，而这一数字在三年前仅为8%；与此同时，垃圾邮件的类型以及发送手段也愈加复杂化、多样化；电子邮件也一跃成为病毒的主要传播方式；这一系列的变化对企业网络构成了严重的威胁，这种威胁不仅仅是造成用户时间的损失，还包括系统资源的损耗，严重的还造成系统破坏。因此，如何保护企业免受病毒邮件及垃圾邮件的侵袭，保证网络及信息安全成为网络管理员的第一责任。垃圾邮件已占全球电子邮件的69%。（亚洲经济，2004年6月）在国际上每天有超过150亿封垃圾邮件被发送出去，2003年全国有470亿封邮件流入了用户信箱，平均每人每天收到2.85封垃圾邮件。根据IDC的分析，到2006年，垃圾邮件数量将在2003年数量的增加一倍。根据Radicattigroup预估调查(June，2003)，到2007年全球垃圾邮件将占所有Email流量的70%据FerrisResearch研究报导指出，垃圾电子邮件每年让美国及欧洲企业分别损失高达89亿美元和25亿美元。除了上述金额的损失之外，垃圾邮件的损害还可归类为：消费者的信任——这是电子邮件使用者的第一大问题，由于垃圾邮件的泛滥，用户失去了对电子邮件的信任；据调查约有29%的用户因此而减少了电子邮件的使用。降低工作效率—使用者会浪费无谓的时间阅读并处理这些无用的电子邮件。不当内容—垃圾邮件中可能包含攻击性文字，大多是人身攻击，此种邮件可能会伤害特定的个人或群组。此外，还有相当数量的与色情、非法宗教、以及其他与国家法规相悖的信息，也将对收件人造成不同程度的冲击。第二章垃圾邮件特征分析2.1垃圾邮件定义若广泛来定义垃圾邮件，只要是收信者认为所收到的Email并非想阅读的内容，严重者甚至觉得信件内容或收信的频繁会让人嫌恶，都可称为垃圾邮件。若以信件内容及发送行为来定义垃圾邮件，泛指与内容无关，传送给多个收件者的邮件或粘贴物，且收件者并没有明确要求接受该邮件。也可以是传送给与邮件主题不相关的新闻组或者清单服务器的同一邮件的重复张贴物。国际上比较一致的看法，所谓垃圾邮件指未经用户许可，但却被强行塞入用户的电子邮件，垃圾邮件简称UCE（未经请求的商业广告邮件）或UBE（未经请求的大量寄送邮件），但是使用最广泛的则是SPAM。2.2垃圾邮件通常含有如下特征：1.

具有群发软件特有特征的邮件；2.

邮件包含多个相似的收件人地址，并按照一定顺序排序；3.

伪造各种ＭＵＡ发出的邮件；4.

伪造了邮件路由的邮件；5.

邮件内容包含敏感的关键字，比如“法轮功”等；6.

邮件MD5特征值完全相同的多个邮件；7.

邮件信头的各种特征，例如：To的用户名在标题起始处；8.

发送的Multipart邮件中包含text/plain及text/html，其中text/plain包含伪造内容，而text/html包含垃圾内容；9.

邮件中使用混淆的URL，使用URL编码字符；10.HTML邮件的内容或注释中含有大量无意义字串；11.邮件信头没有To字段；2.3垃圾邮件的类型引自根据博威特网络分析，目前垃圾邮件类型居前五位的依次是医药类、成人色情类、误导或非法产品广告、金融类广告以及营销类广告。参见上图。用户收到的垃圾邮件的语言构成上图是国内用户收到的垃圾邮件语言构成，因此用户应选择支持多语言过滤能力的垃圾邮件。2.4垃圾邮件成为犯罪工具垃圾邮件成为跨国有组织转发垃圾邮件的犯罪行为，单靠一个国家的力量或单纯依靠技术很难应对，因此企业必须主动采取相应手段，防御垃圾邮件的威胁中介人：分配订单、负责双方的结算垃圾邮件发送者：接受来自全球的订单并收集整理电子邮件地址代理人或合作人：注册大量的域名和虚拟主机转发垃圾邮件中介人：分配订单、负责双方的结算垃圾邮件发送者：接受来自全球的订单并收集整理电子邮件地址代理人或合作人：注册大量的域名和虚拟主机转发垃圾邮件2.5垃圾邮件业者取得名单的来源当您收到垃圾邮件的时候，常常发现寄信者您根本不认识，那对方为何有您的邮件地址呢？如果是「病毒或蠕虫」，一定是通讯簿中有您Email的朋友不小心中毒，然后寄出来的；如果是「广告邮件」，一般他们都是通过下面几种途径获得大量的邮件地址（按照最常见的取得方式介绍）：1、购买Internet上有很多人在卖大量的邮件地址，相信不少人都收过这种贩卖邮件地址的广告信件，只要数百元，您就有少则百万个以上的邮件地址。而且很多还附上发广告信的软件，该软件会以伪造的发信者来发信，让收信者无法追踪来源。广告商就利用这份邮件名单开始大量寄送广告信件，名单中的人就会常常收到广告了。2、邮址自动收集程序Internet是个四通八达的世界，有人编写了邮件地址自动收集程序，在Internet上到处跑，将邮件地址收集传回。广告商不一定要会自己开发程序，因为某些网站上面就可以下载得到，或者通过贩卖邮址自动收集程序的广告，向广告商购买而得。3、人工收集如果发广告信的人无法取得邮址名单或邮址自动收集程序（不知道去哪买、不会自己写），最后一招就是土法炼钢，到Internet上到处逛，手动方式将看到的邮址抄下来，建立自己的邮寄名单。4、利用邮件服务器漏洞利用邮件服务器的漏洞，将信件寄给此服务器上邮件帐号的拥有人。通常，一台邮件服务器支持最多数千帐号（因为太多系统会吃不消；所以大公司可能有好几台邮件服务器），而且使用此方法要有相当专业知识或刚好知道方法，否则不可能使用这种方法。

第三章梭子鱼垃圾邮件防火墙产品介绍3.1博威特公司简介博威特网络技术公司是全球最大的反垃圾邮件厂商，梭子鱼垃圾邮件防火墙在全球市场占有率高居首位。是国际上最受信赖的反垃圾邮件产品之一。是一款软硬件集成的解决方案。2004年国际权威杂志networkcomputer对国际上主要的十款垃圾邮件进行评测，梭子鱼综合评分第一名，获得优胜奖及编辑选择奖；在东京国际电子信息展上获得特别奖。2004年国际权威NetworkComputer杂志反垃圾邮件软硬评测第一名。2004年，获NetworkComputer杂志编辑选择奖。并予以专题报道。2004年参加业界知名杂志反垃圾邮件产品评测。2004年，东京国际信息展上获得最佳展出奖。分支机构博威特在中国上海设有全国技术中心，在北京、广州等地设有办事处：系统性能梭子鱼垃圾邮件防火墙提供强大、可拓展的垃圾邮件及病毒防护功能，可防止邮件服务器不堪重负。采用基于WEB的管理控制界面，操作简便，界面友好。整合了十数项垃圾邮件过滤技术，设置了10层垃圾及病毒过滤层，可有效地抵御垃圾邮件及病毒袭击。该产品易于安装，10分内即可顺利安装并运行产品，且无需安装软件也无需对现有系统进行修改。它具备自动的更新功能，极大地减轻了管理负担，同时也使得邮件服务器达到最大程度的保护。3.2梭子鱼垃圾邮件过滤技术介绍垃圾邮件是对简单邮件传输协议(SMTP)协议的一种滥用，该协议是基于RFC524基础在实施在邮件系统之中。RFC524在1973年提出，是在一个计算机安全还不是一个主要问题的时代发展起来。正因为如此，RFC524不是一个非常安全的命令集，使它及SMTP协议很容易被滥用。绝大多数垃圾邮件制作工具利用了SMTP的安全漏洞。伪造信头，伪装发件人地址，隐藏发件人系统，混淆邮件内容，这样就非常困难甚至无法识别真的发件人。针对不同类型的垃圾邮件，梭子鱼采用了十数项垃圾邮件过滤技术，从不同的角度对邮件进行严格的检查，准确的识别出垃圾邮件将其隔离或阻断。需要指出的是，梭子鱼之所以要采用这么多过滤技术，原因在于不同的垃圾邮件阻断技术帮助用户阻断不同类型的垃圾邮件，任何一种垃圾邮件阻断技术都有优点和缺点及限制，垃圾邮件发送者一直试图通过变化的发送技术绕过反垃圾邮件技术，采用一个全面包含最有效垃圾邮件阻断技术的整体解决方案。1关键字过滤或称词语过滤，是一个简单但是有效的阻断绝大多数垃圾邮件的方法。词语过滤识别包含特定关键字的所有邮件，比如“Viagra”、“法轮功”等在垃圾邮件中经常发现的词语，垃圾邮件发送者经常变更关键字词，对此博威特进行跟踪，向用户提供最新的关键字清单。2基于规则的评分系统基于规则的评分系统是比词语过滤更为复杂的垃圾邮件阻挡技术。这些系统，也被称为人工智能（AI）系统，博威特网络基于海量邮件的分析，定义了近6000条垃圾邮件规则，每一条规则对应一定的评分，一封邮件与规则库进行比较，每符合一条规则加上该规则评分，获得的分数越高，该邮件是垃圾邮件的可能性就越高。如果一封邮件超过一定得分门槛，该邮件将被分类为垃圾邮件。由于垃圾邮件发送人及制造垃圾邮件的程序不是静态的，因此博威特持续追踪互联网上的垃圾邮件的变化，及时更新规则库。采用这项技术，可以清除90%的收到邮件中的垃圾邮件。3贝叶斯过滤器贝叶斯分析：命名于著名数学家托马斯▫贝叶斯（1702-1761)，他发展了一个数学领域全新的可能性推论理论。贝叶斯分析采用过去事件的知识预测未来事件。当收到一封邮件时，过滤器使用贝叶斯过滤与以前收到的垃圾邮件与合法邮件的中相同词语与短语出现的频率对比此邮件中有问题的词语与短语的来确定垃圾邮件的可能性。贝叶斯过滤器是非常强大的，它能自动适应垃圾邮件的变化，也是阻断垃圾邮件最为精确的技术。如果采用贝叶斯数据库技术，垃圾邮件识别率持续提高；若不采用该技术，则一段时间后，垃圾邮件识别率将出现反复，参见下图：时间梭子鱼包括贝叶斯过滤时间梭子鱼包括贝叶斯过滤梭子鱼不包括贝叶斯过滤4IP黑名单IP黑名单是一个常用的垃圾邮件阻断技术。该技术不需要占用计算机资源，非常易于实施。如管理员发现某个IP经常性的发送垃圾邮件，可以将其列入IP黑名单，快速的阻断该垃圾邮件源。为了便于管理使用该功能，梭子鱼提供了垃圾邮件发送者IP排行榜，方便管理员决策。5RBLs(实时黑名单)RBLs(实时黑名单),也被称为DNSRBLs,检查所有收到邮件的IP地址，与在RBL中的IP地址核对。如果该IP地址是RBL的一部分，该邮件被识别及阻断。与黑名单不同，实时黑名单不是由使用单位手动维护的，RBL运营商维护公共RBLs,使用单位仅需订阅该实时黑名单服务。6DNSMX记录查找这是一项对于垃圾邮件发送者采用虚假发自及/或回复邮件地址的有效阻断技术。梭子鱼在发自邮件地址的域上进行查找。如果该域没有一个有效的DNSMX记录，这样发自地址就是无效的，该邮件就被分类为垃圾邮件。对回复邮件地址也可以进行相应查找。7反向DNS查找这是一种有效的垃圾邮件阻断技术，梭子鱼对收到邮件的来源IP地址采用反向DNS查找，如果反向DNS查找提供的域与邮件上的来源IP地址相符合，该邮件被接受。如果不符合，则拒绝该邮件。8新反向查找系统梭子鱼还采用了采用发件人许可发自(SPF)以及微软MicrosoftCallerID等新反向查找技术，该技术可以确定一封从某一特定域发送的邮件是否允许从特定的IP地址发出。从而有效地防止了垃圾邮件通过伪造发件人发送邮件。9发件人邮件地址列入黑名单管理员可将发件人或发件人域列入黑名单、可有效且快速的阻止垃圾邮件的侵入。10指纹识别技术博威特公司设置了大量蜜罐，或者说诱骗邮件地址，是用于收集大量的垃圾邮件。通过处理形成邮件指纹库，梭子鱼将收到的邮件与指纹库进行核对，从而能迅速的识别出垃圾邮件。11速率控制及其相关技术垃圾邮件发送者经常试图通过在很短一段时间发送大量邮件阻塞邮件服务器。这被称为DOS(拒绝服务)攻击。梭子鱼采用该项技术，能有效地阻止该项针对邮件服务器的攻击行为。12意图分析启发式检测（HeuristicDetection)会进行一连串的内部测试，决定该邮件是否是垃圾邮件，检查邮件中的URL链接，确定邮件是否为垃圾邮件，垃圾邮件引擎侦测到变化型文字，垃圾邮件引擎会自动回复到原先字词，例如V.I.A.G.R.A回复为VIAGRA。13病毒扫描梭子鱼独创的双层病毒扫描技术，专业查杀病毒邮件。其邮件病毒特征代码居同行前列。此外，针对邮件协议、邮件信头、邮件转发等梭子鱼采用了相关技术进行检查。

3.3主要性能指标以下是梭子鱼的主要性能指标：梭子鱼垃圾邮件防火墙200

主要功能有效邮件有户数51--500域数量50个Web管理控制台邮件日志容量10GMicrosoftExchange邮件加速器堆叠负载均衡及冗余配置病毒扫描垃圾邮件阻挡硬件1UMiniRackmountChassis尺寸16.8”x1.7”x14重量8lbsEthernet10/100BaseTSerialPort(DB-9)DiagnosticConnectors前面板显示器电源显示器活动显示器收到邮件显示器邮件阻挡显示器重置按钮电源按钮电源供应ACInputVoltage100-240VoltsFrequency50/60HzACInputCurrent0.9Amps序号说明1★国际著名品牌；采用专用硬件体系；支持用户数：5000以上，不按用户许可数收费。2支持过滤语言种类：至少支持中文简体、中文繁体、英文三种语言邮件过滤。病毒邮件过滤：3★不加收病毒系统费用；支持病毒特征码按小时自动更新功能。4病毒管理与反垃圾邮件管理在同一界面。反垃圾邮件功能5可以限制来自相同客户端网络地址的最大同时连接数量。6可以限制来自相同客户端网络地址的最大连接频率。7可以限制来自同一网络地址单位时间内发送邮件数量。8可以判别电子邮件虚假路由，对伪造虚假路由的电子邮件限制发送。9支持RBLs（实时黑名单）过滤技术，并支持用户自订黑名单功能。10支持用户自定义信头、主题、信体关键字过滤功能，支持正则表达式。11★支持用户自定义IP黑白名单、发件人域黑白名单、发件人黑白名单、收件人黑白名单功能。12可根据规则扫描附件（多种附件格式：scr、doc、pdf、几种压缩文件rar、zip），附件格式可自定义。13★支持贝叶斯垃圾邮件过滤技术。14★支持基于规则的评分系统过滤技术，规则可按小时自动更新，规则库包含中文简体、繁体字符规则。15★支持邮件指纹过滤技术。16★支持意图分析过滤技术17★支持SPF技术,微软callerid技术抗攻击18能够应对各种专门针对邮件系统的攻击邮件响应19对不同邮件由用户定义采取不同的措施（如：阻断、隔离、标记）。20★支持全局隔离、分用户隔离两种方式。21支持分用户过滤策略定义。系统功能22支持多种操作系统（Linux、Windows等）23支持多种邮件系统（sendmail、exchange、lotusnotes等）24丰富、直观的统计报表功能，支持数据库化邮件日志系统，可根据发件人、收件人、邮件动作、原因等多种方式进行搜索。25支持多域多服务器26★系统可堆叠、集群27★系统自动负载均衡、冗余、群集设置同步。28★支持系统内核在线升级，并可恢复到以前版本。梭子鱼垃圾邮件防火墙的过滤结构梭子鱼垃圾邮件处理流程图每一封邮件进入梭子鱼垃圾邮件防火墙，只有通过了全部十层过滤，才会由梭子鱼转发给邮件服务器，从而保障了邮件服务器不受垃圾邮件侵扰，这十层过滤依次是：1拒绝服务攻击及安全防护层：可有效地阻止针对邮件服务器的DoS或DDoS攻击。2IP封锁清单：由公共RBLs及梭子鱼垃圾邮件IP黑名单数据库提供数据支持，该层可过滤超过30%的垃圾邮件，在某些地区甚至可阻断90%以上的垃圾邮件。3速率控制：该层检查某一IP的连接频率，如超过用户定义值，则阻止其连接，直至符合规定。该层还可限定每连接邮件数、每连接时长等。4第一层病毒防护：采用openresource引擎，可查杀绝大部分邮件病毒，该层也对压缩文件进行病毒检查。5第二层病毒防护：该层采用梭子鱼独创的杀毒引擎，对病毒进行彻底清查。1996~2000年病毒感染的来源（ICSA实验室）上表显示了今年来病毒来源百分比的变化，邮件成为病毒感染的主要方式，因此若采用了梭子鱼垃圾邮件防火墙，可有力的保护企业网并受病毒邮件的侵袭。在某些实际运行的方案中，用户采用梭子鱼并结合桌面防毒软件即可构建完整的企业网病毒防护。其经济性大大低于任何一种防毒方案。数据表明：梭子鱼邮件病毒特征代码高达25000个。是当今最全的邮件病毒库之一。6用户自定义规则：用户自定义的各种规则的检查，如发件人身份验证、收件人身份核实、关键字检查、附件类型等。7垃圾邮件指纹检查：该层依托梭子鱼庞大的邮件指纹库进行核查。梭子鱼垃圾邮件的样本来源有，1博威特公司在全球设置的大量蜜罐。这是指纹样本的主要来源。2全球数万台梭子鱼分类出的垃圾邮件。3某些型号的梭子鱼用户个人发送的垃圾邮件样本。8目的分析：该层依托博威特公司建立的bsf数据库进行检查，为了保障bsf数据库的准确性，该数据库中的url地址由人工分拣出来。梭子鱼的员工精通十数种语言，因此这些url地址覆盖了十数种语言的垃圾邮件发送网站或因垃圾邮件获利的网站。博威特公司在中国设有bsf数据库分拣小组，专门收集整理中文简体、繁体bsf数据库。9贝叶斯分析：对邮件的可能性进行推理分析。10垃圾邮件值评分：根据规则对邮件进行评分，并整合垃圾邮件指纹检查、目的分析、贝叶斯分析给出的评分，给出邮件的最终得分。这十层过滤经过了精心的安排，其检测过程符合四条法则：1垃圾邮件终止法则：若某一层过滤判定该邮件不合法或为垃圾，则立即阻断该邮件，结束进程，后面的各层检查不再进行。2按序检查法则：一个完整的smtp邮件发送从helo命令开始，因此梭子鱼从该进程的第一条命令开始依次进行检查。如发现为垃圾，其余数据将不再接收。3低消耗优先法则：占用系统资源较少的过滤层优先，耗费系统资源大的过滤层靠后。这样，系统能以最少的消耗处理最大量的邮件。4安全优先法则，涉及到系统重要安全的检查先进行。经过这样的优化，梭子鱼具有了强大的处理能力，日处理邮件量可达千万封。3.4梭子鱼垃圾邮件处理流程说明邮件在发送到邮件服务器之前，先经过梭子鱼十层过滤，据用户定义的评分规则，梭子鱼对邮件采取阻断、隔离、标记或允许四类动作。标记及允许的邮件发送给用户，隔离邮件将发送到隔离区，阻断邮件也被保留在系统中。被阻断的信件，用户可以查询并检视邮件内容、被分类的类别、阻断的原因…等资料，通过重送功能可将邮件重新发送。2用户可登录个人隔离区，检查隔离邮件，并可以将隔离邮件发送、删除，或分类为垃圾、并可定义自己的黑白名单。用户对所收到的邮件可以进行重新整理，该信息将反馈到梭子鱼及博威特运营中心，用于调整贝叶斯数据库，或进一步提取指纹等分析。3.5梭子鱼垃圾邮件防火墙架设与管理1梭子鱼垃圾邮件防火墙的安装。由于采用了软硬件一体化设计的思路，梭子鱼垃圾邮件防火墙的安装变得非常简单，这是因为梭子鱼：--无须安装任何软件--无须改变现有E-mail服务器的设定--支持各种操作系统，包括-Linux,MicrosoftWindows,Solaris,MacOS等；--支持各种邮件系统，包括Sendmail、PostOffice、MSExchange、LotusNotes。因此，梭子鱼的部署非常简单，通常只需十分钟即可完成。下图为安装逻辑图。梭子鱼安装在邮件服务器之前，来自因特网的邮件首先被发送到梭子鱼上，梭子鱼经过检测过滤掉不合格的危险的邮件，将合法的邮件发给邮件服务器。2简单透明的web操作界面简单透明的web操作界面与图形化报表梭子鱼垃圾邮件防火墙提供了简单透明的web操作界面，并配有在线帮助，梭子鱼安装完成后，95%的配置已经默认设置好，用户只需要根据自己的实际情况作一些调整即可。该管理界面包含五个部分：--基础管理页：梭子鱼的基本配置,如梭子鱼的网络设置，垃圾邮件评分等。配置王成后，梭子鱼即可处理垃圾邮件。--阻断/接受管理页：包括用户自定义IP黑白名单、域黑白名单、关键字过滤等内容。--高级管理页：主要包括邮件协议方面的设置、系统升级、备份、维护、群集等。--用户管理页：包括隔离邮件的处理，用户自定义过滤策略及用户名单的维护。--域设置管理页：多域、多邮件服务器的设置，域策略设置等。3丰富的报表统计功能梭子鱼以图表等不同的形式给出了系统处理邮件的状态报告，包括邮件日志统计数据库，每小时邮件流量统计图，每日邮件流量统计图，系统运行状态报表，每日不同类型邮件排行榜及图表等：上图中，不同的事件以不同的颜色表示，若鼠标置于某一数据的上方，则显示该数据占所有事件中的比例。下面的表和图显示了梭子鱼速率控制的前十排行榜，该表可以锁定攻击的IP源。根据用户的需要，可以设定统计的top数量，例如前二十、前100等。系统对每一封邮件的处理都作了详细的记录，参见上图，若点击某一条记录，还将显示该邮件的详细信息，方别用户对邮件进行分析。如用户想搜索某类邮件，或某一封邮件，可以通过上表中的过滤条件设置进行搜索，梭子鱼提供了按发件人、收件人、邮件得分、动作原因等十数种搜索条件，使得对邮件日志的阅读变得十分灵活。4自动更新服务博威特网络公司建立了一个强大的运营中心BarracudaCentral，近500名工程师在这个运营中心日以继夜地工作，监控互联网上最新的垃圾邮件及病毒发展趋势，并制作出最新的升级文件。梭子鱼垃圾邮件防火墙将自动接收这些文件，实现动态更新。动态更新使你的梭子鱼垃圾邮件防火墙能够：获取最新的攻击IP地址阻断已知的垃圾邮件阻断已知的垃圾邮件内容7*24小时升级病毒特征代码即时更新邮件指纹库即时更新垃圾邮件规则库系统内核自动升级通知3.6梭子鱼垃圾邮件防火墙的主要特性1性能强大由于采用了十数项垃圾邮件过滤技术，因此无论是何种类型的垃圾邮件，梭子鱼均能有效的进行识别，过滤效果出众，误判率漏判率均很低，领先于同类产品；由于优化了邮件过滤层结构，使得梭子鱼具有超强的处理能力，日处理邮件量可高达千万；此外，梭子鱼具备多语种垃圾邮件过滤能力，对中文简体、繁体、英文垃圾邮件均表现出出色的过滤效果。2高可靠性创新的硬件和软件一体化设计从设计起始就充分考虑了可靠性，它确保梭子鱼垃圾邮件防火墙一直能够有效运行。内建拒绝