搜索

[14727] 2019-10-21_企业邮件安全防护实践

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2019-10-21_企业邮件安全防护实践 企 业 邮 件 安 全 防 护 实 践 F r e e B u f   2 0 1 9 - 1 0 - 2 1 以 下 文 章 来 源 于 F r e e B u f 企 业 安 全   ， 作 者 张 海 仓 邮 件 系 统 作 为 一 种 有 效 的 内 外 部 工 作 沟 通 平 台 ， 在 企 业 内 得 到 广 泛 使 用 。 同 时 ， 广 告 邮 件 、 垃 圾 邮 件 、 钓 鱼 邮 件 等 问 题 就 成 了 企 业 邮 件 安 全 头 号 难 题 。 所 以 我 们 的 企 业 安 全 人 员 以 往 更 邮 件 系 统 作 为 一 种 有 效 的 内 外 部 工 作 沟 通 平 台 ， 在 企 业 内 得 到 广 泛 使 用 。 同 时 ， 广 告 邮 件 、 垃 圾 邮 件 、 钓 鱼 邮 件 等 问 题 就 成 了 企 业 邮 件 安 全 头 号 难 题 。 所 以 我 们 的 企 业 安 全 人 员 以 往 更 多 关 注 反 垃 圾 邮 件 ， 向 对 数 据 保 密 ， 反 钓 鱼 方 向 演 进 。 多 关 注 反 垃 圾 邮 件 ， 向 对 数 据 保 密 ， 反 钓 鱼 方 向 演 进 。 然 而 ， 从 E m a i l 诞 生 到 今 天 ， S M T P 协 议 没 有 根 本 性 变 化 。 这 对 攻 击 者 而 言 是 一 个 利 好 消 息 。 因 此 ， 邮 件 成 为 了 突 破 一 家 企 业 边 界 ， 发 起 网 络 攻 击 和 信 息 窃 取 非 常 好 的 入 口 。 我 们 看 到 ， 近 年 来 随 着 技 术 水 平 的 提 升 和 利 益 的 趋 动 ， A P T 攻 击 、 勒 索 软 件 开 始 流 行 起 来 。 从 美 国 大 选 ， 希 拉 里 邮 箱 被 黑 客 攻 破 到 每 一 个 人 都 遇 到 的 L o c k y ， W a n n e r c r y   勒 索 软 件 通 过 钓 鱼 邮 件 方 式 大 量 传 播 ， 很 多 企 业 用 户 中 招 导 致 文 档 被 加 密 都 有 从 侧 面 印 证 这 一 点 。 本 文 从 作 者 从 企 业 建 设 和 个 人 日 常 邮 件 使 用 两 个 层 面 ， 既 为 企 业 邮 件 安 全 建 设 提 出 建 议 ， 也 为 个 人 日 常 邮 件 使 用 提 供 一 些 技 巧 ， 帮 助 企 业 减 少 邮 件 方 面 所 面 临 的 困 扰 。 0 x 0 1 企 业 建 设 企 业 建 设 服 务 器 通 用 安 全 防 护 服 务 器 通 用 安 全 防 护 大 多 邮 件 服 务 器 同 大 多 数 企 业 自 建 立 系 统 一 样 ， 很 多 客 户 的 邮 件 也 都 有 对 外 的 W E B 端 ， 因 此 ， 对 外 发 布 后 都 有 W E B 应 用 系 统 所 面 临 的 攻 击 邮 件 系 统 都 有 可 能 遇 到 。 如   a n y m a c r o 邮 件 系 统 S Q L 注 入 ： a n y m a c r o 是 国 内 较 流 行 的 一 家 企 业 级 邮 箱 系 统 ， 客 户 主 要 为 教 育 / 政 府 机 构 。 注 入 点 存 在 的 位 置 ： h t t p s : / / m a i l . x x x . c o m / d o w n . p h p ? n e t d i s k = 1 因 此 ， 在 基 础 防 护 这 部 分 ， 建 议 企 业 在 邮 件 系 统 防 护 过 程 中 部 署 N F ， I P S ， W A F 等 安 全 防 护 设 备 ， 以 保 护 邮 件 服 务 器 的 基 础 环 境 安 全 。 F r e e B u f 企 业 安 全 企 业 安 全   . 专 注 企 业 安 全 的 精 品 内 容 分 享 平 台 ， 聚 焦 热 点 企 业 安 全 话 题 与 策 略 方 案 ， 助 推 企 业 安 全 建 设 发 展 。
邮 件 服 务 器 特 有 威 胁 防 护 邮 件 服 务 器 特 有 威 胁 防 护 1 、 发 件 人 身 份 伪 造 防 护 、 发 件 人 身 份 伪 造 防 护 除 了 互 联 网 或 W E B 业 务 通 用 的 安 全 问 题 外 ， 邮 件 还 有 其 自 身 的 一 些 性 安 全 隐 患 ， 最 为 常 见 的 是 邮 件 发 件 人 身 份 伪 造 。 邮 件 发 件 身 份 伪 造 攻 击 是 指 攻 击 者 冒 充 、 伪 造 或 篡 改 真 实 的 用 户 地 址 来 发 送 邮 件 ， 以 达 到 迷 惑 被 攻 击 者 ， 实 现 钓 鱼 或 其 他 目 的 。 也 是 近 年 来 攻 击 者 使 用 邮 件 进 行 攻 击 最 为 常 用 的 方 式 。 究 其 根 本 原 因 是 S M T P 协 议 本 身 的 缺 陷 ^ 1 引 起 的 。 S T M P 协 议 被 设 计 和 制 作 时 ， 鉴 于 历 史 原 因 ， 并 没 有 考 虑 到 身 份 认 证 等 安 全 性 问 题 。 使 用 S M T P 进 行 邮 件 发 送 时 ， 其 实 是 不 需 要 进 行 发 送 者 身 份 认 证 的 ， 这 可 能 和 各 位 感 受 到 的 情 况 不 一 样 ， 我 们 发 送 邮 件 时 都 需 要 登 录 呀 ， 其 实 ， 这 是 邮 件 服 务 商 来 实 现 的 ， 而 并 不 是 S M T P 协 议 所 必 须 的 。 鉴 于 这 种 缺 陷 ， 邮 件 发 送 人 往 往 可 以 冒 充 他 人 的 身 份 进 行 邮 件 发 送 。 常 见 的 防 护 方 法 有 发 件 人 策 略 框 架 （ S P F ） 和 域 名 密 钥 识 别 邮 件 （ D K I M ） 两 种 ， 下 面 分 别 描 述 。 2 、 、 S P F 防 邮 件 伪 造 防 邮 件 伪 造 S P F ( S e n d e r   P o l i c y   F r a m e w o r k )   是 一 种 以 I P 地 址 认 证 电 子 邮 件 发 件 人 身 份 的 技 术 。 其 工 作 流 程 如 下 : 当 企 业 定 义 了 邮 件 域 名 的 S P F 记 录 之 后 ， 邮 件 接 收 方 会 在 收 到 你 的 邮 件 后 ， 首 先 检 查 域 名 对 应 的 S P F 记 录 ( 图 中 2 步 ） ， 来 确 定 发 送 者 的 I P 地 址 是 否 包 含 在 S P F 记 录 里 （ 图 中 3 步 ） ， 从 而 判 断 邮 件 的 真 实 发 送 源 。 如 果 发 件 I P 存 在 于 S P F 记 录 中 ， 就 认 为 是 一 封 正 确 的 邮 件 （ 图 中 5 步 ） ， 否 则 会 被 认 为 是 一 封 伪 造 的 邮 件 进 行 退 回 或 丢 弃 处 理 （ 图 中 6 步 ） 。 S P F 可 以 防 止 别 人 伪 造 你 来 发 邮 件 ， 是 一 个 反 伪 造 性 邮 件 的 解 决 方 案 。 设 置 正 确 的   S P F   记 录 可 以 提 高 邮 件 系 统 发 送 外 域 邮 件 的 成 功 率 ， 也 可 以 一 定 程 度 上 防 止 别 人 假 冒 你 的 域 名 发 邮 件 。 （ 1 ） 设 置 S P F 记 录 S P F   是 通 过 「 S P F   记 录 」 和 「 T X T   记 录 」 来 检 查 的 。 使 用   T X T   记 录 主 要 是 兼 容 性 的 考 量 ： 一 部 分 老 的   D N S   服 务 器 有 可 能 不 支 持   S P F   记 录 ， 因 此 只 能 拿   T X T   记 录 来 代 替 ； O p e n S P F   建 议 在 这 段 过 渡 时 期 ， S P F   记 录 和   T X T   记 录 都 要 添 加 ， S P F   记 和   T X T   记 录 因 此 也 是 非 常 相 近 的 。 以 阿 里 云 图 形 化 配 置 为 例 :
（ 2 ） 记 录 类 型 ： 选 择 T X T ; 主 机 记 录 ： 一 般 是 指 子 域 名 的 前 缀 （ 如 需 为 子 域 名 为   m a i l . d n s - e x a m p l e . c o m   添 加   T X T   记 录 ，   主 机 记 录 输 入 m a i l ； 如 需 为 d n s - e x a m p l e . c o m 添 加 T X T 记 录 ， 主 机 记 录 输 入 @ ） , 常 见 的 作 法 是 输 入 @ 为 d n s - e x a m p l e . c o m 添 加 S P F 记 录 ; 解 析 线 路 ： 默 认 为 必 选 项 ， 未 设 置 会 导 致 部 分 用 户 无 法 解 析 ; 记 录 值 ： 最 典 型 的   S P F   格 式 的   T X T   记 录 例 子 为 “ v = s p f 1   a   m x   ~ a l l ” ， 表 示 只 有 这 个 域 名 的   A   记 录 和   M X   记 录 中 的   I P   地 址 有 权 限 使 用 这 个 域 名 发 送 邮 件 。 也 要 以 使 用 I P 来 进 行 设 置 ， 格 式 如 下 ： 如 果 要 让 其 他 域 名 或 其 他 公 司 的 邮 件 系 统 可 为 代 发 邮 件 ， 可 以 加 入 其 他 域 名 ， 对 应 的 I P 或 对 应 公 司 s p f 记 录 中 的 值 ， 格 式 如 下 ： T T L ： 为 缓 存 时 间 ， 数 值 越 小 ， 修 改 记 录 各 地 生 效 时 间 越 快 ， 默 认 为 1 0 分 钟 。 如 果 是 使 用 的 自 建 服 务 器 ， 修 改 对 应 的 配 置 文 件 即 可 ， 以 B I N D 9 为 例 ^ 2 ， 配 置 语 法 如 下 ： 3 、 、 D K I M （ （ D o m a i n K e y s I d e n t i f i e d   M a i l ） 防 邮 件 做 伪 造 ） 防 邮 件 做 伪 造 域 名 密 钥 识 别 邮 件 （ D K I M ） 是 一 种 防 范 电 子 邮 件 欺 诈 的 验 证 技 术 。 其   使 用 一 对 密 钥 （ 一 个 私 钥 和 一 个 公 钥 ） 来 验 证 邮 件 内 容 是 否 被 篡 改 或 伪 造 ， 主 要 通 过 以 下 步 骤 来 实 现 。 1 、 将 与 邮 件 服 务 器 匹 配 的 公 钥 添 加 到 邮 件 域 名 系 统   ( D N S )   记 录 中 ， 通 常 通 过 T X T 记 录 来 实 现 。 2 、 发 件 服 务 器 使 用 私 钥 对 所 有 外 发 的 邮 件 中 添 加 加 密 标 头 。 3 、 收 件 方 电 子 邮 件 服 务 器 从 D N S 记 录 中 获 取 公 钥 ， 并 使 用 此 公 钥 解 密 邮 件 标 头 ， 来 验 证 邮 件 来 源 。 其 工 作 原 理 及 流 程 如 下 图 ： （ 1 ） 配 置 D K I M D K I M 的 设 置 比 较 简 单 ， 从 其 工 作 原 理 来 看 ， 只 需 要 如 下 3 点 即 可 ： 为 您 的 网 域 生 成 域 名 密 钥 。 生 成 密 钥 时 有 两 点 需 要 注 意 ， 如 你 使 用 的 D N S 的 t x t 记 录 为 2 5 6 位 ， D K I M 密 钥 长 度 要 选 择 1 0 2 4 位 ， 如 果 没 有 此 限 制 ， 则 可 以 选 择 2 0 4 8 位 密 钥 。 如 果 注 册 商 支 持   2 0 4 8   位 的 密 钥 ， 我 们 建 议 您 使 用 该 长 度 的 密 钥 。 如 果 您 先 使 用   1 0 2 4   位 密 钥 ， 后 期 切 换 到   2 0 4 8   位 密 钥 ， 也 不 会 有 任 何 影 响 。 可 以 使 用   o p e n s s l   工 具 生 成 一 对 公 钥 和 密 钥 ， W i n d o w s   和   L i n u x   都 可 以 操 作 ， 请 自 行 搜 索 方 法 ； 或 者 在 h t t p : / / d k i m c o r e . o r g / t o o l s / 网 站 在 线 生 成 。 向 网 域 的   D N S   记 录 添 加 公 钥 。 电 子 邮 件 服 务 器 可 使 用 此 密 钥 读 取 邮 件   D K I M   标 头 。 开 启   D K I M   签 名 功 能 以 开 始 将   D K I M   签 名 添 加 到 所 有 外 发 邮 件 中 。 （ 2 ） 配 置 D K I M 操 作 示 例 具 体 操 作 步 骤 根 据 邮 件 服 务 商 的 不 同 而 略 有 不 同 ， 以 下 以 W i n m a i l 为 例 进 行 说 明 ^ 3 ： 第 1 步 ， 在 ” 反 垃 圾 设 置 ” / “ S M T P 设 置 ” 下 ，   选 择 ” 启 用   D K I M   ( D o m a i n K e y s   I d e n t i f i e d   M a i l )   检 查 ” 。 第 2 步 ： W i n m a i l   里 设 置 域 名 发 件 使 用   D K I M   数 字 签 名 在 要 设 置 的 域 名   a b c . c o m   属 性 的   D K I M   标 签 里 点 击 ” 生 成 私 钥 ” v = s p f 1   i p 4 : 1 9 2 . 0 . 2 . 1 2 8   i p 4 : 1 9 8 . 5 1 . 1 0 0 . 1 2 8   i p 4 : 2 0 3 . 0 . 1 1 3 . 0 / 2 4   i p 6 : 2 0 0 1 : d b 8 : : / 3 2   ? a l l v = s p f 1   i n c l u d e : s p f - a . m a i l . q q . c o m   i n c l u d e : s p f - b . m a i l . q q . c o m   i n c l u d e : s p f - c . m a i l . q q . c o m   i n c l u d e : s p f - d . m a i l . q q . c o m   i n c l u d e : s p f - e . m a i l . q q . c o m   i n c l u d e : s p f - f . m a i l . q q . c o m   - a l l q q . c o m .   3 6 0 0   I N   T X T   " v = s p f 1   i n c l u d e : s p f - a . m a i l . q q . c o m   i n c l u d e : s p f - b . m a i l . q q . c o m   i n c l u d e : s p f - c . m a i l . q q . c o m   i n c l u d e : s p f - d . m a i l . q q . c o m   i n c l u d e : s p f - e . m a i l . q q . c o m   i n c l u d e : s p f - f . m a i l . q q . c o m   - a l l " s p f - a . m a i l . q q . c o m .   3 6 0 0   I N   T X T   " v = s p f 1   i p 4 : 2 0 3 . 2 0 5 . 2 5 1 . 0 / 2 4   i p 4 : 1 0 3 . 7 . 2 9 . 0 / 2 4   i p 4 : 5 9 . 3 6 . 1 2 9 . 0 / 2 4   i p 4 : 1 1 3 . 1 0 8 . 2 3 . 0 / 2 4   i p 4 : 1 1 3 . 1 0 8 . 1 1 . 0 / 2 4   i p 4 : 1 1 9 . 1 4 7 . 1 9 3 . 0 / 2 4   i p 4 : 1 1 9 . 1 4 7 . 1 9 4 . 0 / 2 4   i p 4 : 5 9 . 7 8 . 2 0 9 . 0 / 2 4     - a l l " s p f - b . m a i l . q q . c o m .   3 6 0 0   I N   T X T   " v = s p f 1   补 充 为 对 应 的 A 或 A A A A 记 录 "     / * 定 义 S P F 域 名 所 对 应 的 I P * / . . .     / * 定 义 S P F 域 名 所 对 应 的 I P * /
“ 选 择 器 ” 一 定 要 有 ， 默 认 是 :   m a i l ， 可 以 自 己 设 置 ， 完 整 拷 贝 上 面 的   “ T X T   记 录 ” , 例 如 : W i n m a i l   会 从 私 钥 自 动 生 成 公 钥 进 而 生 成   T X T   记 录 值 ， 所 以 只 输 入 私 钥 就 可 以 了 。 第 三 步 第 三 步 .   在 域 名 服 务 商 域 名 解 析 系 统 里 增 加 一 条   T X T   记 录 ， 例 如 ： 增 加   T X T   记 录 后 ， 需 要 一 段 时 间 （ 1 0 分 钟 - 2 4 小 时 ） 才 能 生 效 ， 可 以 使 用 命 令 行 查 询 ： 如 果 已 经 生 效 ， 会 显 示 ： 第 四 步 . 如 果   W i n m a i l   里 有 多 域 名 ， D K I M   要 生 成 不 同 的 密 钥 分 别 设 置 ， 也 可 以 有 的 设 置 有 的 不 设 置 第 五 步 接 收 邮 件 测 试 ， 确 认   D K I M   检 查 生 效 可 以 使 用   q q   邮 箱 发 进 来 一 封 邮 件 ， 查 看   W i n m a i l 里 的   s m t p   日 志 ， 会 有 出 现   D K I M   v e r i f y i n g   e n a b l e d   或   启 用   D K I M   验 证   字 样 。 第 六 步 发 送 邮 件 测 试 ， 确 认 每 封 邮 件 信 头 里 存 在   D K I M   数 字 签 名 字 串 发 一 封 邮 件 到 内 部 邮 箱 ， 发 给 自 己 也 可 以 ， 查 看   W i n m a i l   里 的   s m t p   日 志 ， 会 有 出 现   D K I M   s i g n i n g   e n a b l e d 、 启 用   D K I M   签 名   字 样 。 在   W e b m a i l   里 查 看 这 封 邮 件 ， 选 择 ” 更 多 ” - “ 邮 件 源 码 ” ， 在 邮 件 头 里 会 出 现 一 段 如 下 文 字 ： 外 发 一 封 邮 件 到 外 网 邮 箱 ， 查 看   W i n m a i l   里 的   s m t p   日 志 ， 会 有 出 现   D K I M   s i g n i n g   e n a b l e d 、 启 用   D K I M   签 名   字 样 。 如 果 是 发 到   q q . c o m ,   在   Q Q   W e b m a i l   打 开 这 封 邮 件 ， 选 择 “ 显 示 邮 件 原 文 ” ， 在 邮 件 头 里 会 出 现 一 段 如 下 文 字 ： 4 、 基 于 域 的 消 息 认 证 ， 报 告 和 一 致 性 （ 、 基 于 域 的 消 息 认 证 ， 报 告 和 一 致 性 （ D M A R C ） ） 那 在 配 置 了 S P F 和 D K I M 后 ， 如 何 让 外 界 得 知 旗 下 域 名 的 电 子 邮 件 提 供 何 种 方 式 认 证 身 份 ？ 是 使 用 S P F , D K I M ， 还 是 两 者 都 使 用 ？ 如 果 寄 件 者 身 份 未 能 得 到 百 分 之 百 确 认 ， 收 件 者 可 以 如 何 处 理 邮 件 ？ 是 放 进 垃 圾 箱 ， 还 是 直 接 回 绝 ？ 有 没 有 一 种 机 制 可 以 让 邮 件 管 理 员 了 解 此 时 此 此 刻 是 否 有 第 三 者 正 在 伪 冒 其 网 域 身 份 发 送 电 子 邮 呢 ？ 带 着 这 些 问 题 ， 我 们 了 解 一 下 D M A R C 。 基 于 域 的 消 息 认 证 ， 报 告 和 一 致 性 （ D M A R C ， D o m a i n - b a s e d   M e s s a g e   A u t h e n t i c a t i o n ,   R e p o r t i n g   a n d   C o n f o r m a n c e ） 是 一 套 以   S P F 防 邮 件 伪 造 D K I M （ D o m a i n K e y s I d e n t i f i e d   M a i l ） 防 邮 件 做 伪 造 为 基 础 的 电 子 邮 件 认 证 机 制 ， 可 以 检 测 及 防 止 伪 冒 身 份 、 对 付 网 络 钓 鱼 或 垃 圾 电 邮 。 ^ 4 邮 件 管 理 员 可 以 通 过 在 网 域 的   D N S   记 录 中 添 加   D M A R C   政 策 ， 从 而 启 用 基 于 网 域 的 消 息 认 证 、 报 告 和 一 致 性 ( D M A R C )   验 证 机 制 。 该 策 略 同 样 使 用 采 用   D N S   T X T   记 录 形 式 ， 指 定 您 的 网 域 如 何 处 理 可 疑 电 子 邮 件 。 D M A R C   政 策 支 持 三 种 处 理 可 疑 电 子 邮 件 的 方 式 ： 不 对 邮 件 采 取 任 何 操 作 ， 仅 将 其 记 录 在 每 日 报 告 中 。 将 邮 件 标 记 为 垃 圾 邮 件 。 G m a i l   会 将 这 些 邮 件 放 入 收 件 人 的 垃 圾 邮 件 文 件 夹 。 通 知 接 收 邮 件 的 服 务 器 拒 绝 邮 件 。 这 也 会 导 致   S M T P   将 邮 件 退 回 给 发 件 人 。 D M A R C   T X T   记 录 值 ： 标 记 名 标 记 名 称 称 是 否 必 是 否 必 需 需 说 明 和 值 说 明 和 值 v 必 需 协 议 版 本 。 必 须 为   D M A R C 1 p 必 需 指 定 网 域 处 理 可 疑 邮 件 的 方 式 ： n o n e ： 不 对 邮 件 采 取 任 何 操 作 。 将 可 疑 邮 件 记 录 在 每 日 报 告 中 。 q u a r a n t i n e ： 将 邮 件 标 记 为 垃 圾 邮 件 ， 并 将 其 移 至 收 件 人 的 垃 圾 邮 件 文 件 夹 。 收 件 人 可 以 通 过 查 看 其 垃 圾 邮 件 查 看 邮 件 。 r e j e c t ： 通 知 接 收 邮 件 的 服 务 器 拒 绝 邮 件 。 发 生 这 种 情 况 时 ， 接 收 邮 件 的 服 务 器 应 该 会 向 发 送 邮 件 的 服 务 器 发 送 退 件 通 知 。 p c t 可 选 设 置 要 对 百 分 之 多 少 的 可 疑 邮 件 应 用   D M A R C   政 策 。 可 疑 邮 件 是 指 未 通 过   D M A R C   检 查 的 邮 件 。 必 须 是   1   到   1 0 0   之 间 的 整 数 。 默 认 值 为   1 0 0 。 r u a 可 选 用 于 接 收 有 关 您 网 域 的   D M A R C   活 动 报 告 的 电 子 邮 件 地 址 。 请 使 用 您 自 己 的 电 子 邮 件 地 址 或 创 建 新 的 电 子 邮 件 地 址 来 接 收 报 告 。 电 子 邮 件 地 址 必 须 包 含   m a i l t o : ， 例 如 ： m a i l t o : d m a r c - r e p o r t s @ a b c . c o m s p 可 选 为 主 网 域 中 子 网 域 发 送 的 邮 件 设 置 政 策 。 如 果 您 想 为 子 网 域 指 定 不 同 的   D M A R C   政 策 ， 请 使 用 此 选 项 。 n o n e ： 不 对 邮 件 采 取 任 何 操 作 。 将 可 疑 邮 件 记 录 在 每 日 报 告 中 。 q u a r a n t i n e ： 将 邮 件 标 记 为 垃 圾 邮 件 ， 并 保 留 邮 件 以 进 行 后 续 处 理 。 * r e j e c t ： 指 示 接 收 邮 件 的 服 务 器 拒 绝 邮 件 。 a d k i m 可 选 设 置   D K I M   匹 配 模 式 。 该 模 式 会 指 定 邮 件 信 息 与   D K I M   签 名 应 有 的 匹 配 程 度 。 s ： 严 格 。 发 件 人 域 名 必 须 与   D K I M   邮 件 标 头 中 对 应 的   d = n a m e   完 全 匹 配 。 r ： 宽 松 （ 默 认 设 置 ） 。 允 许 部 分 匹 配 。 接 受   D K I M   邮 件 标 头 中   d = d o m a i n   的 任 何 有 效 子 网 域 。 a s p f 可 选 设 置   S P F   匹 配 模 式   ( A S P F ) 。 该 模 式 会 指 定 邮 件 信 息 与   S P F   签 名 应 有 的 匹 配 程 度 。 s ： 严 格 。 邮 件 的   f r o m :   标 头 必 须 与   S M T P   M A I L   F R O M   命 令 中 的   d o m a i n . n a m e   完 全 匹 配   r ： 宽 松 （ 默 认 设 置 ） 。 允 许 部 分 匹 配 。 接 受   d = d o m a i n   的 任 何 有 效 子 网 域 。 D M A R C   政 策 示 例 ： 针 对 未 通 过 针 对 未 通 过   D M A R C   检 查 的 邮 件 执 行 的 操 作 检 查 的 邮 件 执 行 的 操 作 T X T   记 录 内 容 记 录 内 容 m a i l . _ d o m a i n k e y . a b c . c o m   T X T   k = r s a ;   p = M I G f M A 0 G C S q G S I b 3 D Q E B A Q . . . 记 录 类 型           主 机 记 录                                                 记 录 值     T X T             m a i l . _ d o m a i n k e y           k = r s a ;   p = M I G f M A 0 G C S q G S I b 3 D Q E B A Q . . . n s l o o k u p   - q = t x t   m a i l . _ d o m a i n k e y . a b c . c o m m a i l . _ d o m a i n k e y . a b c . c o m   t e x t   =   " k = r s a ;   p = M I G f M A 0 G C S q G S I b 3 . . . D K I M - S i g n a t u r e :   v = 1 ;   a = r s a - s h a 2 5 6 ;   c = r e l a x e d / r e l a x e d ;           d = a b c . c o m ;   s = m a i l ;   t = 1 4 5 8 0 9 0 4 8 7 ;   h = D a t e : F r o m : T o :           R e p l y - T o : S u b j e c t : M e s s a g e - I D : C o n t e n t - T y p e : M I M E - V e r s i o n ;   b h = R B r z M 2           c c F C Y S k S J U K w S j 5 F Q / I Q j 6 U r O I 1 / + r Z i w 0 + a I = ;   b = E s n 3 j 8 4 H z z V C + V b R g f / i 7 N           . . .           S W t P g V y J x 9 1 C J K F G b V a F I = D K I M - S i g n a t u r e :   v = 1 ;   a = r s a - s h a 2 5 6 ;   c = r e l a x e d / r e l a x e d ;           d = a b c . c o m ;   s = m a i l ;   t = 1 4 5 8 0 9 1 0 5 9 ;   h = D a t e : F r o m : T o :           R e p l y - T o : S u b j e c t : M e s s a g e - I D : C o n t e n t - T y p e : M I M E - V e r s i o n ;   b h = J t L p k A           G B b I 9 j 6 K E s 0 1 U I / C K m X 5 r v v r J 6 O 9 Q c C g b 5 i 1 I = ;   b = J 5 x X B M d m 8 Q 5 Y 6 6 o r v + S k o q           . . .           c T / o V v X P M v E b i + m J w o q b M =
对 未 通 过   D M A R C   检 查 的 邮 件 不 执 行 任 何 操 作 。 通 过 电 子 邮 件 将 每 日 报 告 发 送 到   d m a r c @ q q . c o m 。 v = D M A R C 1 ;   p = n o n e ;   r u a = m a i l t o : d m a r c @ q q . c o m 对 于 未 通 过   D M A R C   检 查 的 邮 件 ， 将 其 中 的   5 %   放 入 收 件 人 的 垃 圾 邮 件 文 件 夹 。 通 过 电 子 邮 件 将 每 日 报 告 发 送 到   d m a r c @ q q . c o m 。 v = D M A R C 1 ;   p = q u a r a n t i n e ;   p c t = 5 ;   r u a = m a i l t o : d m a r c @ q q . c o m 拒 绝 所 有 未 通 过   D M A R C   检 查 的 邮 件 。 将 每 日 报 告 发 送 到 以 下 两 个 地 址 ： p o s t m a s t e r @ q q . c o m   和   d m a r c @ q q . c o m 。 S M T P   将 未 通 过 检 查 的 邮 件 退 回 给 发 件 人 。 v = D M A R C 1 ;   p = r e j e c t ;   r u a = m a i l t o : p o s t m a s t e r @ q q . c o m ,   m a i l t o : d m a r c @ q q . c o m 针 对 未 通 过 针 对 未 通 过   D M A R C   检 查 的 邮 件 执 行 的 操 作 检 查 的 邮 件 执 行 的 操 作 T X T   记 录 内 容 记 录 内 容 注 ： 要 将 报 告 发 送 到 多 个 电 子 邮 件 地 址 ， 请 使 用 英 文 逗 号 分 隔 电 子 邮 件 地 址 。 添 加   T X T   记 录 以 启 用   D M A R C 在 _ d m a r c 处 添 加 一 条   D N S   记 录 T X T   r e c o r d   n a m e （ T X T   记 录 名 称 ） ： 在   D N S   主 机 名 下 方 的 第 一 个 字 段 中 输 入 ： T X T   r e c o r d   v a l u e （ T X T   记 录 值 ） ： 在 第 二 个 字 段 中 输 入 指 定 您 的   D M A R C   政 策 的 值 ， 例 如 ： 注 ： 以 上 解 析 将 实 现 “ 拒 绝 所 有 未 通 过   D M A R C   检 查 的 邮 件 。 将 每 日 报 告 发 送 到 以 下 两 个 地 址 ： p o s t m a s t e r @ q q . c o m   和   d m a r c @ q q . c o m 。 S M T P   将 未 通 过 检 查 的 邮 件 退 回 给 发 件 人 ” 政 策 。 小 结 小 结 对 大 部 分 企 业 来 讲 ， 通 过 以 上 步 骤 的 加 固 和 优 化 ， 可 以 大 幅 度 提 升 企 业 邮 件 安 全 性 ， 有 效 防 止 被 伪 造 ， 即 便 是 被 伪 造 ， 由 于 以 上 配 置 的 成 功 引 用 可 以 让 大 部 分 伪 造 邮 件 退 回 或 当 作 垃 圾 邮 件 处 理 ， 强 烈 自 建 邮 箱 系 统 的 用 户 通 过 以 上 配 置 加 强 邮 件 系 统 。 另 外 ， 如 果 你 的 邮 箱 配 置 了 S P F 或 D K I M 后 ， 大 部 分 公 网 邮 箱 也 会 将 您 企 业 邮 箱 的 信 任 程 度 提 升 ， 这 将 有 助 于 提 高 邮 箱 发 信 成 功 率 。 企 业 邮 件 系 统 配 置 企 业 邮 件 系 统 配 置 第 一 部 分 主 要 向 大 家 介 绍 了 邮 件 系 统 所 面 临 的 一 些 技 术 漏 洞 和 所 需 要 采 取 的 措 施 ， 这 部 分 将 从 邮 件 系 统 配 置 和 使 用 方 面 来 帮 助 企 业 进 行 邮 件 系 统 加 固 。 这 里 的 配 置 主 要 是 加 强 邮 件 日 常 使 用 的 安 全 性 ， 降 低 用 户 在 日 常 使 用 过 程 中 信 息 泄 露 风 险 或 是 在 密 码 泄 露 后 ， 尽 可 能 地 将 损 失 降 至 最 低 。 1 、 收 发 信 密 码 独 立 设 置 、 收 发 信 密 码 独 立 设 置 攻 击 者 对 于 日 常 邮 件 系 统 的 攻 击 ， 最 主 要 的 是 针 对 邮 件 密 码 的 攻 击 。 通 过 获 得 邮 箱 密 码 来 进 行 信 息 窃 取 或 者 以 被 攻 击 邮 箱 为 工 具 进 行 其 他 攻 击 。 建 议 企 业 在 日 常 的 邮 件 设 置 中 ， 将 收 件 密 码 和 发 件 密 码 独 立 设 置 。 此 时 ， 如 果 收 件 密 码 泄 露 后 ， 攻 击 者 并 不 能 使 用 该 邮 箱 进 行 发 件 操 作 ， 进 行 钓 鱼 邮 件 发 送 或 病 毒 木 马 投 递 ， 有 效 保 护 邮 件 和 其 他 通 讯 录 成 员 的 安 全 。 2 、 收 件 密 码 采 用 双 因 素 认 证 、 收 件 密 码 采 用 双 因 素 认 证 前 面 说 到 ， 日 常 邮 件 使 用 过 程 中 ， 邮 件 登 录 密 码 （ 通 常 是 收 信 密 码 ） 比 较 容 易 被 攻 击 者 拿 到 。 建 议 企 业 将 收 发 信 密 码 独 立 后 ， 对 于 收 信 密 码 进 行 双 因 子 强 认 证 ， 尽 可 能 降 低 密 码 泄 露 的 风 险 。 同 时 ， 由 于 S M T P 协 议 的 局 限 性 ， 收 信 密 码 攻 击 者 可 以 通 过 相 关 工 具 进 行 暴 力 破 解 。 如 果 有 员 工 使 用 了 弱 口 令 ， 则 很 容 易 被 攻 击 者 拿 下 。 这 里 多 说 一 下 ， 很 多 企 业 认 为 自 己 的 W E B 邮 箱 有 验 证 码 等 方 式 ， 可 以 防 止 暴 力 破 解 ， 其 实 这 种 限 制 仅 在 W E B 层 面 有 效 ， 如 果 攻 击 者 直 接 使 用 S M T P 协 议 认 证 工 具 进 行 暴 力 破 解 或 密 码 猜 测 ， 就 直 接 绕 过 了 W E B 层 的 验 证 码 。 3 、 配 置 防 猜 解 防 攻 击 、 配 置 防 猜 解 防 攻 击 上 面 说 过 ， 基 于 S M T P 协 议 本 身 的 局 限 性 ， 登 录 密 码 很 有 可 能 被 暴 力 破 解 ， 虽 然 大 多 数 邮 件 系 统 自 带 的 防 猜 解 并 不 能 抵 御 所 有 的 暴 力 猜 解 ， 但 在 此 仍 建 议 企 业 开 户 此 类 防 护 手 段 。 例 如 限 定 每 分 钟 或 一 段 时 间 内 每 个 I P 可 以 登 录 失 败 的 次 数 ， 限 定 每 分 钟 或 一 段 时 间 内 每 个 邮 箱 账 户 登 录 失 败 的 次 数 ， 限 定 每 分 钟 或 一 段 时 间 内 每 个 用 户 S M T P 认 证 次 数 等 等 。 4 、 关 闭 非 、 关 闭 非 S S L 服 务 及 不 安 全 的 服 务 及 不 安 全 的   S S L , T L S   版 本 且 关 闭 版 本 且 关 闭   R * * 使 用 S S L 加 密 可 以 有 效 防 止 中 间 人 攻 击 ， 以 及 对 邮 件 和 监 听 和 篡 改 。 并 且 为 了 加 密 保 护 的 有 效 性 ， 请 关 闭 不 安 全 的 S S L ， T L S 版 本 ， 且 关 闭 R 。 如 果 开 启 了 。 如 果 开 启 了 W E B 服 务 ， 请 在 服 务 ， 请 在 W E B 服 务 处 关 闭 对 服 务 处 关 闭 对 应 的 不 安 全 应 的 不 安 全 S S L 和 和 T L S 版 本 及 版 本 及 R 。 5 、 限 制 分 配 群 发 权 限 或 限 制 用 户 单 日 可 发 邮 件 数 目 上 限 、 限 制 分 配 群 发 权 限 或 限 制 用 户 单 日 可 发 邮 件 数 目 上 限 攻 击 者 通 常 拿 到 一 个 邮 箱 登 录 权 限 后 ， 并 不 满 足 于 当 前 邮 箱 中 的 内 容 。 会 通 过 该 邮 箱 进 行 战 果 扩 大 ， 常 见 的 作 法 是 通 过 群 发 邮 件 来 进 行 向 企 业 其 他 员 工 发 送 钓 鱼 邮 件 ， 获 得 更 多 的 邮 箱 登 录 权 限 。 如 果 是 其 他 反 动 组 织 ， 也 会 用 此 邮 箱 进 行 反 动 内 容 的 群 发 。 由 于 互 联 网 邮 箱 邮 件 在 发 送 数 目 ， 实 名 等 方 面 的 问 题 ， 所 以 邮 件 发 送 无 上 限 的 企 业 邮 箱 通 是 这 类 组 织 进 行 反 动 内 容 宣 传 的 首 选 。 因 此 ， 建 议 企 业 在 为 同 工 开 通 群 发 权 限 时 ， 谨 慎 设 计 ， 例 如 收 件 人 超 过 1 0 人 时 ， 可 以 提 示 请 减 少 发 件 人 或 分 批 发 送 。 对 于 工 作 中 确 实 有 群 有 需 要 的 员 工 ， 可 以 进 行 单 独 的 权 限 设 定 ， 也 可 以 以 建 立 特 殊 邮 件 组 的 方 式 规 避 群 发 的 使 用 。 同 时 ， 企 业 需 要 定 期 清 理 不 使 用 的 群 发 权 限 。 在 我 从 业 1 0 年 的 经 历 中 ， 群 发 功 能 也 就 使 用 过 一 次 ， 可 以 推 而 广 之 ， 很 多 企 业 的 员 工 ， 群 发 权 限 并 不 必 要 。 另 外 ， 对 于 一 个 邮 箱 单 日 可 以 发 送 的 邮 件 数 目 上 限 也 建 议 进 行 限 定 ， 以 提 高 攻 击 成 本 。 6 、 定 期 对 邮 件 进 行 归 档 、 定 期 对 邮 件 进 行 归 档 定 期 对 邮 件 进 行 归 档 ， 可 以 防 止 攻 击 者 拿 到 收 件 密 码 后 ， 过 多 的 收 取 邮 件 内 容 。 如 果 以 年 为 单 位 进 行 归 档 。 攻 击 者 就 算 拿 到 收 件 密 码 ， 也 仅 能 收 取 当 年 度 的 邮 件 ， 这 样 就 可 以 有 效 控 制 数 据 的 泄 露 范 围 。 如 果 归 档 时 间 更 短 ， 则 泄 密 范 围 就 会 更 小 。 建 议 以 1 8 0 天 为 归 档 周 期 ， 因 为 企 业 很 少 有 员 工 半 年 不 收 一 次 邮 件 。 7 、 进 阶 、 进 阶 1 : 部 署 沙 箱 等 产 品 对 邮 件 附 件 进 行 深 度 检 测 部 署 沙 箱 等 产 品 对 邮 件 附 件 进 行 深 度 检 测 企 业 通 过 部 署 邮 件 网 关 ， 可 以 反 垃 圾 、 防 病 毒 、 防 钓 鱼 等 ， 但 实 际 工 作 中 还 是 会 有 放 进 来 的 情 况 ， 我 们 建 议 有 条 件 的 企 业 ， 将 邮 件 网 关 投 递 到 企 业 邮 件 服 务 器 的 流 量 丢 到 沙 箱 进 行 分 析 ， 如 果 前 面 网 关 没 拦 截 而 沙 箱 有 发 现 问 题 ， 可 以 针 对 性 的 在 邮 件 网 关 进 行 加 强 ， 如 此 查 漏 补 缺 不 断 改 进 ， 安 全 能 力 肯 定 也 会 越 来 越 强 。 8 、 进 阶 、 进 阶 2 ： 将 沙 箱 情 报 对 接 实 现 安 全 运 营 ： 将 沙 箱 情 报 对 接 实 现 安 全 运 营 不 管 是 前 面 的 沙 箱 发 现 病 毒 ， 邮 件 管 理 员 主 动 采 取 措 施 处 理 ， 还 是 员 工 中 毒 后 管 理 员 被 动 着 手 处 理 ， 都 已 经 无 法 满 足 现 有 企 业 对 于 信 息 安 全 日 常 小 时 化 应 急 响 应 的 需 求 。 目 前 ， 比 较 热 的 概 念 是 将 沙 箱 ， 情 报 ， 本 地 安 全 设 备 进 行 连 动 ， 共 同 协 同 实 现 邮 件 安 全 实 时 防 护 ， 工 作 流 程 如 下 。 每 一 份 邮 件 接 收 ， 自 动 进 行 本 地 和 云 端 情 报 判 定 ， 对 于 恶 意 邮 件 进 行 处 理 ， 并 根 据 是 否 有 用 户 点 击 或 安 装 ， 对 具 体 的 终 端 进 行 针 对 性 防 护 或 隔 离 。 从 这 个 场 景 图 可 以 看 出 企 业 在 建 设 企 业 安 全 运 营 _ d m a r c . a b c . c o m v = D M A R C 1 ;   p = r e j e c t ;   r u a = m a i l t o : p o s t m a s t e r @ q q . c o m ,   m a i l t o : d m a r c @ q q . c o m
平 台 的 价 值 ， 对 于 平 台 建 设 而 言 ， 不 一 定 要 高 大 上 ， 多 美 观 酷 炫 ， 能 够 结 合 企 业 目 前 实 际 安 全 现 状 ， 针 对 性 的 解 决 企 业 安 全 所 面 临 的 问 题 即 为 有 用 的 平 台 。 而 且 ， 平 台 建 设 也 不 一 定 要 大 而 全 ， 符 合 自 己 的 场 景 的 小 而 美 的 平 台 有 时 候 更 有 价 值 。 0 x 0 2   个 人 邮 件 使 用 个 人 邮 件 使 用 使 用 客 户 端 收 取 邮 件 使 用 客 户 端 收 取 邮 件 个 人 在 邮 件 使 用 过 程 中 ， 尽 可 能 的 使 用 客 户 端 收 取 邮 件 。 通 过 客 户 端 收 取 邮 件 后 邮 件 大 部 分 多 保 留 在 本 地 ， 为 加 密 存 储 提 供 便 利 。 另 外 ， 我 们 也 要 看 到 很 多 企 业 的 邮 件 就 没 有 W E B 界 面 ， 如 果 站 在 企 业 安 全 的 角 度 讲 ， 可 以 减 少 企 业 的 被 攻 击 面 。 将 邮 件 存 放 在 加 密 盘 将 邮 件 存 放 在 加 密 盘 很 多 时 间 邮 件 内 容 的 泄 露 大 多 是 本 地 计 算 机 出 问 题 导 致 的 ， 如 电 脑 被 盗 或 遗 失 。 攻 击 者 通 过 简 单 的 操 作 就 可 以 读 取 硬 盘 中 的 内 容 。 因 此 建 议 员 工 将 邮 件 及 其 附 件 都 存 放 在 加 密 盘 中 ， 以 防 止 硬 盘 内 容 的 未 授 权 读 取 。 邮 件 内 容 不 要 保 存 副 本 在 服 务 器 邮 件 内 容 不 要 保 存 副 本 在 服 务 器 如 果 使 用 o u t l o o k 邮 件 客 户 端 ， 请 选 择 不 要 保 存 副 本 在 服 务 器 。 因 为 保 存 副 本 在 服 务 器 ， 如 果 企 业 没 有 进 行 过 邮 件 归 档 ， 攻 击 者 拿 到 收 信 密 码 后 ， 可 以 收 取 你 在 服 务 器 上 保 存 的 所 有 邮 件 。 从 而 造 成 邮 件 内 容 泄 密 ， 这 一 点 非 常 重 要 。 对 邮 件 内 容 进 行 核 实 对 邮 件 内 容 进 行 核 实 虽 然 前 面 讲 了 各 种 手 段 进 行 邮 件 内 容 防 伪 造 ， 但 仍 然 没 有 办 法 完 全 杜 绝 邮 件 内 容 的 伪 造 。 如 果 收 件 人 没 有 技 术 能 力 进 行 邮 件 内 容 及 发 件 人 的 核 实 ， 建 议 发 件 人 通 过 其 他 联 系 方 式 联 系 发 件 人 以 核 实 邮 件 内 容 ， 确 保 邮 件 内 容 的 真 实 性 ， 避 免 上 当 。 在 信 息 对 抗 日 益 激 烈 的 今 天 ， 学 会 怀 疑 和 多 渠 道 确 认 是 很 有 效 的 一 种 反 诈 骗 技 艺 。 其 他 其 他 对 于 像 弱 口 令 ， 所 有 系 统 使 用 通 用 密 码 这 类 问 题 并 不 是 邮 件 系 统 的 独 有 问 题 ， 是 个 人 在 使 用 信 息 系 统 时 必 须   的 安 全 意 识 ， 这 里 就 不 再 赘 述 。 最 重 要 的 一 点 最 重 要 的 一 点 通 过 以 上 技 术 仍 然 不 能 规 避 所 有 的 邮 件 伪 造 ， 例 如 A 公 司 的 域 w w w . a . c o m 根 本 就 没 有 邮 件 服 务 器 ， 攻 击 者 假 装 A 公 司 给 A 公 司 的 客 户 发 送 邮 件 时 ， 以 上 所 有 的 技 术 手 段 来 讲 都 是 无 效 的 。 因 此 ， 对 于 可 疑 邮 件 内 容 进 行 其 他 渠 道 的 确 认 ， 如 电 话 、 微 信 、 客 服 等 进 行 二 次 内 容 核 实 是 非 常 必 要 的 ， 也 是 最 有 效 的 防 止 钓 鱼 的 方 式 。 * 本 文 原 创 作 者 ： 张 海 仓 ， 本 文 属 于 本 文 原 创 作 者 ： 张 海 仓 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理