反垃圾协调小组发布近期中国大陆地区垃圾邮件服务器黑名单

当前反垃圾邮件技术纵览分析

　　垃圾邮件发送方式揭密

　　说简单一点，垃圾邮件(SPAM Email)就是批量发送的未征得收信人同意的电子邮件。垃圾邮件的发送方式归纳起来有以下几种情况：其一，垃圾邮件发送者利用宽带连接，建立SMTP服务器，大量发送垃圾邮件；其二，病毒邮件、蠕虫邮件，利用操作系统或者应用系统的漏洞，大量转发含带病毒的邮件；其三，邮件服务器Openrelay漏洞被人利用进行垃圾邮件的发送；其四，利用IDC提供的邮件服务，以正常用户的方式进行垃圾邮件的发送。

　　反垃圾邮件机理大全

　　到现在为止，目前国际上主要有哪些技术手段能够帮助我们抵御垃圾邮件呢？下面我们来大致了解一下：

　　IP 地址、域名、邮件地址黑白名单方式

　　这种技术手段是最传统的方式，它通过黑名单技术对垃圾邮件进行屏蔽，通过白名单技术对允许的邮件进行放行。

　　基于信头、信体、附件的内容过滤方式

　　该项技术目前尚不成熟，因为现在的群发程序自动生成和发送的垃圾邮件对于发件人、收件人、邮件主题甚至邮件内容都是随机生成的，使得该种技术目前应用范围日趋狭窄。

　　基于统计分析的贝叶斯算法技术

　　基于统计的原则，采用标记权重的方式，根据对用户认为的垃圾邮件和非垃圾邮件进行统计计算，生成过滤规则，具有学习渐进的功能，可以逐渐取得好的效果。

　　基于连接频率的动态规则方式

　　由于一个正常用户发送邮件的数量和频率远远低于垃圾邮件发送者，因此我们可以根据垃圾邮件发送具有一定时间内邮件数量和邮件连接频率都非常大的情况，从频率和数量对垃圾发送者的连接行为进行控制。

　　电子邮票方案

　　因为垃圾邮件发送具有大规模发送成本很小的行为特征，微软公司提出了对发送邮件进行收费的解决方案。不过这种方式却是对广大的正常邮件发送者带来了新的负担，还需考虑。

　　Challenge-Response 方式

　　挑战－应答模式是从增加垃圾邮件发送者时间成本上入手，要求每发送一封邮件，就要求发件人回答一些问题的方式来增加发送时间。

　　Domainkeys 方式

　　这是一种基于 PKI 的方式对邮件发送者进行验证，对邮件信息进行加密保护，对收信人实现防抵赖机制。

　　SPF 方式

　　这是一种源头认证的方式，它通过改变域名系统的数据库，接受方核实邮件实际来源是否和 SPF 注册的一致来判断邮件是否为假冒邮件。

新型的反垃圾邮件技术 --互免技术

关于发信过程
（1）双方服务器握手，测试收信方是否也为互免服务器
（2）如收信方不是互免服务器（即为普通服务器），则按正常的发信过程发送邮件本身（此时作为发信方的互免服务器退化为普通服务器）
（3）如收信方是互免服务器，则仅仅传递邮件的指针，而不传递该邮件本身，邮件本身放在发信者的发信箱内。

关于收信信箱

　　互免服务器的用户的收信信箱内有两种格式的邮件

　　一种是来自普通服务器的正常邮件。

　　另一种是来自互免服务器的邮件指针。邮件指针含正常的邮件头部（内有发信者的电子邮件地址及标题信息等）和邮件位置指示。收信者可以根据发信者的电子邮件地址及标题信息，初步判断其是否为垃圾邮件。如判断是，则不阅读/不下载，并拒绝签收；如无法判断，则阅读/下载邮件（系统根据邮件位置指示信息下载邮件），阅读后如判断是垃圾邮件，则拒绝签收；如不是垃圾邮件，则可签收，也可以不动作（对方服务器默认签收）；如无法阅读/下载该邮件，则说明该邮件已经被对方删除/回收。

关于发信信箱

　　互免服务器的用户的发信信箱内有两种格式的邮件

　　一种是发往普通服务器的邮件（用户选项中可以选择不保存此类邮件）。

　　另一种是发往互免服务器的邮件，由于只发送了邮件指针，邮件本身就存放与此（邮件指针中的邮件位置指示的URI也定位与此）。发信者可查看邮件被阅读（指被收信者阅读）的状态，未被阅读和被拒绝签收的状态一致，均为未被阅读；已被阅读为已被阅读状态（用户选项可以选择自动删除此类邮件）。对于未被阅读的邮件，发信者可以对邮件进行修改，或者删除来回收该邮件。注意：当邮件被收信者阅读/下载后没有签收动作的，系统自动添加入签收的信息。

关于转发邮件

　　转发邮件是用户开启的功能，在实施时会遇到四种情况

（1）是互免服务器A向互免服务器B转发来自互免服务器C的邮件。此时互免服务器A收到的一定是邮件指针，而由于邮件位置指示放在邮件指针的头部，所以转发时检查头部已有邮件位置指示则不再产生新的邮件位置指示。

（2）是互免服务器A向互免服务器B转发来自普通服务器C的邮件。邮件被留在互免服务器A的用户的发信信箱内。同时互免服务器A根据该邮件产生邮件指针发向互免服务器B。

（3）是互免服务器A向普通服务器B转发来自互免服务器C的邮件。此时互免服务器A收到的一定是邮件指针，互免服务器A根据邮件位置指示下载该邮件转发给普通服务器B。

（4）是互免服务器A向普通服务器B转发来自普通服务器C的邮件。此时互免服务器A已经退化为普通服务器，转信过程同普通服务器。

关于群发邮件

　　转发邮件是用户开启的功能，存在发垃圾邮件风险，系统可选择稍作限制。

　　互免服务器在群发邮件的投递过程中将邮递列表中的普通服务器的用户按正常收发过程操作，邮递列表中的互免服务器的用户按互免垃圾邮件技术只发送邮件指针，并且重复占用发信者发信信箱的空间。如：同一封邮件发给互免服务器的三个用户，则在发信信箱内保存三个分别针对三个用户的邮件拷贝。

关于反垃圾邮件的效果

（1）反垃圾邮件的效果依赖于收信者拒绝签收（特别是阅读后仍拒绝签收）。这些被拒绝签收的邮件和未被阅读的邮件状态相同，使发信者如果是垃圾制造者很难知道发送垃圾邮件的目的是否已经达到（不知道对方未阅读还是阅读完后拒绝签收）。如果这样的邮件多了（这正式垃圾邮件的一个特征），最终会占满垃圾制造者的发信空间，使之自己阻碍自己继续制造垃圾邮件。而如果发信者发送的是正常业务的邮件未被签收，那么根据常理推测收信方未阅读；

（2）采用了只传送邮件指针的方法，而且一些垃圾邮件没能被阅读/下载就被拒绝签收，使得网络的流量下降；

（3）再者未被阅读的垃圾邮件的增多也使垃圾制造者维护发信信箱的维护量变大，无形中增加了发送垃圾邮件的成本；

（4）同时尽管几经转发，但是仍能从邮件指示得到邮件发送者，这也有助于威慑垃圾邮件的发送者。

　　此外现在电子邮件的信箱日益增大，有时甚至1G以上，为不影响反垃圾的效果，应限制发信信箱的容量，而增加用户收信信箱的容量。

关于使用范围

邮件过滤技术

　　在对抗垃圾邮件的技术中还有一种极为重要的技术是邮件过滤技术（Mail Filter）。通过实时黑名单技术并不能完全解决垃圾邮件的问题，使用邮件过滤技术与之配合才能更有效的消除垃圾邮件带来的影响。

　　邮件过滤按照邮件系统的角色结构可以分为三类：

　　•  MTA （邮件传输代理）过滤

　　•  MDA （邮件递交代理）过滤

　　•  MUA （邮件用户代理）过滤

　　MTA过滤是指MTA在会话过程中对会话的数据进行检查，对于符合过滤条件的邮件进行过滤处理。邮件会话过程中有两个阶段可以进行过滤：

　　1、邮件发送邮件数据前，即在发送DATA指令前的过滤。在发送DATA指令前，邮件对话可以在SMTP连接开始、HELO/EHLO指令、MAIL FROM指令和RCPT TO指令中对会话数据进行检查。

　　如果在检查中该会话符合过滤的条件，就可以按照规则采取相应的动作，如直接在会话阶段断开连接、发出警告代码等。

　　邮件发送邮件数据前的检查也叫做信封检查。

　　2、邮件发送邮件数据后，即在发送DATA指令后的过滤。在通过一个点的单行结束DATA指令后，可以对 DATA 指令接收到的数据进行检查，这包括信头检查和信体检查。在DATA指令所传送的数据中，信头和信体是通过一个空行分隔开的。

　　信头一般都比较小，通常在1KB － 10KB之间，检查信头也比较快。而信体检查就要检查大量的数据，会给邮件服务器带来很大的负载。所以通常不做信体检查。

　　邮件发送邮件数据后的检查实际上是在邮件数据传输基本完毕后进行的，因此并不能节省下被垃圾邮件占用的带宽和处理能力，只是可以让用户不再收到这些已被过滤的垃圾邮件。

　　MDA过滤是指MDA在从MTA中接收到信件，在本地或远程进行递交时进行检查，对于符合过滤条件的邮件进行过滤处理。

　　很多的MDA都支持在这个过程进行过滤，如Procmail、Maildrop和Cyrus-IMAP等，甚至它们本身就是作为过滤器使用的。这些过滤器使用过滤语言（如Sieve，它是一个标准化的邮件过滤语言，现在已成为IETF标准）。来制订过滤规则，因此配置比较灵活、功能强大。但是由于是在邮件递交阶段进行过滤，同MTA的邮件发送邮件数据后的检查一样，并不能节省下被垃圾邮件占用的带宽和处理能力，只是可以让用户不再收到这些已被过滤的垃圾邮件。

　　MTA和MDA过滤都是邮件服务器端的过滤，而MUA过滤是邮件用户的客户端的过滤。多数流行的邮件客户端，如Outlook、Outlook Express、Netscape Mail、Foxmail等都支持MUA过滤。

　　邮件过滤技术作为一个有效的对抗垃圾邮件的手段，就如同杀毒软件对病毒的查杀一样，也是需要不断根据情况更新邮件过滤规则的。通常都是管理员自行根据垃圾邮件监测情况来更新过滤规则。不过本站即将推出一个推荐的信头过滤规则和信体过滤规则，并不断根据情况进行更新。用户可以订阅这些规则并参考应用到自己的邮件系统中。

　　邮件过滤是一项应用的相当早的技术，因而也发展的比较完善。已经有很多主流的邮件系统支持邮件过滤，一些不直接支持该功能的邮件系统也可以通过补丁或外置的邮件过滤器来实现邮件过滤。

反垃圾邮件技术—实时黑名单

　　为了有效地拒绝来自恶意的垃圾邮件来源站点和 /或被利用的垃圾邮件来源站点所发来的垃圾邮件，最直接和有效的办法就是拒绝该来源的连接。

　　虽然从理论上说，这样也有可能会拒绝掉来自该站点的正常邮件，从而造成邮件不能正常的投递，但是有以下理由支持我们这样做：

　　•  接收任何来源的邮件则有可能导致邮箱中充满了垃圾邮件，影响了邮件服务器的性能和容量以及带来高额的带宽费用，而且导致了收取邮件的人浪费了不必要时间处理这些垃圾邮件；

　　•  通过程序过滤垃圾邮件不但从技术上不能保证完全可靠，而且会对服务器带来很多负载；

　　•  通过人工一一分拣邮件基本上是不可行的，不但从工作量上不可承受，而且有可能会带来隐私问题；

　　•  通过拒绝恶意的垃圾邮件站点的连接，可以使垃圾邮件的实际发送量下降，从而缩小了垃圾邮件市场和压制了垃圾邮件的发展；

　　•  通过拒绝被利用的垃圾邮件来源站点的连接，可以使该站点的管理员能充分认识到被利用所带来的后果，从而消除被利用的条件。

　　综合以上利弊，我们认为，通过将确认后的垃圾邮件来源站点（无论是否是恶意与否）放入一个黑名单（Blackhole List），然后通过发布该名单来保护邮件服务器不受到黑名单中站点的侵扰确实是一个目前对抗日益严重的垃圾邮件的行之有效的方法。

　　目前在黑名单技术上最流行和最有前景的是实时黑名单（Realtime Blackhole List ，简称 RBL）技术。通常该技术是通过 DNS 方式（查询和区域传输）实现的。目前国外流行的几个主要的实时黑名单服务器都是通过DNS方式提供的，如Mail-Abuse的RBL、RBL+等。国内目前尚未出现比较大的RBL服务。

　　实时黑名单实际上是一个可供查询的IP地址列表，通过DNS的查询方式来查找一个IP地址的A记录是否存在来判断其是否被列入了该实时黑名单中。举例来说，比如如果要判断一个地址 111.222.333.444 是否被列入了黑名单，那么使用黑名单服务的软件会发出一个 DNS 查询到黑名单服务器（如 cbl.anti-spam.org.cn ），该查询是这样的： 444.333.222.111.cbl.anti-spam.org.cn 是否存在A记录？如果该地址被列入了黑名单，那么服务器会返回一个有效地址的答案，按照惯例，这个地址是 127.0.0.2 （之所以使用这个地址是因为 127/8 这个地址段被保留用于打环测试，除了 127.0.0.1 用于打环地址，其它的地址都可以被用来做这个使用，比如有时候还用 127.0.0.3 等。）。如果没有列入黑名单，那么查询会得到一个否定回答。

　　有时候，由于邮件服务器非常繁忙，而且这个查询结果是不缓存的，那么对黑名单服务器的查询会非常多，导致查询响应迟缓。在这种情况下，可以使用 DNS 的区域传输，将黑名单服务器的数据传输到本地的 DNS 服务器，然后对本地的 DNS 服务器进行查询即可。区域传输可以设置为手工更新、定时更新或自动更新等方式，这依赖于你的应用。

　　黑名单服务器的 DNS 查询和区域传输，并不是都可以随意使用的。有些服务器可供任何人查询和区域传输，而有些只对特定的用户开放。

反垃圾邮件新技术 Mirapoint邮件栏杆

　　对于一套垃圾邮件防御方案，高截获率和低误判率意味着能更加有效地保护企业电子邮件系统的安全，因而业界通常把这两项指标作为判断垃圾邮件解决方案优劣的原则性标准。今年以来，不少专业媒体以及第三方机构纷纷将一项防范垃圾邮件的殊荣颁给了 Mirapoint公司，因为其高达98%的垃圾邮件截获率和零误判率使Mirapoint垃圾邮件解决方案在业界创下了一个新的记录。

　　前不久， Mirapoint公司全球区域运营副总裁Christophe Culine来华期间，详细介绍了Mirapoint公司治理垃圾邮件的独特手段。Christophe Culine谈到，不同于依靠台式机或邮件服务器上的软件进行防范的传统措施，Mirapoint公司认为，最科学合理的方法应当是将垃圾邮件拦截在网络外部，在不占用网络及系统资源的情况下最大限度降低垃圾邮件对网络安全的潜在威胁。

　　Mirapoint的邮件栏杆（MailHurdle）即是其贯彻这一理念开发的全新技术。邮件栏杆技术的原理类似于污水处理厂，通过在网络边缘建立一道栏杆，以简便易行、成本低廉的措施将各种不受欢迎的电子邮件，以及恶意的蠕虫、病毒等拦截在网络外部，完全避免了传统方式对企业资源的损耗以及可能产生的风险。

　　Mirapoint于1992年进入中国市场，Culine表示，针对国内用户对可靠性与安全性日益增长的需求，Mirapoint将充分做好产品的本地化工作，提供切实符合中国用户实际需求的电子邮件解决方案。Mirapoint公司亚太区总裁任兆雄表示，截至公司本财年第三财季，Mirapoint今年在中国的营业额已经达到去年全年的两倍，而整个财年将有望达到去年的三倍。任兆雄也对未来发展做出了乐观预期，他预计明年在中国的目标是实现两倍以上的增长。