网络安全和垃圾邮件技术防范体系

5  垃圾邮件防范技术

目前，垃圾邮件呈现如下特点：发件人地址随着邮件主题随机变化、伪造邮件头干扰信息、信体内容随机变化、正文以图片方式显示等。而反垃圾邮件目前尚无国际标准，有缺陷的协议应用极为广泛，很难有一种新协议新技术立刻取代现有协议，所以现阶段无法彻底根治垃圾邮件问题。但我们可以基于3种类型的垃圾邮件进行分类讨论分析，在今后的垃圾邮件治理过程中针对不同类型的垃圾邮件进行疏堵结合，尽可能降低垃圾邮件对网络安全的威胁。从垃圾邮件的产生与传播特征入手，防范技术可分为预防技术与过滤拦截技术。广为熟知的防范新技术有修补服务器漏洞，关闭开放式转发（Open Relay），针对IP，域名和邮件地址设置黑白名单等。目前，热点的预防性技术主要有：挑战应答模式（Challenge-Response），Domain Keys，SPF (Sender Policy Framework)，SenderID，电子邮票等。这些基于完善协议加强认证思路的防范技术需要MTA（Mail Transport Agent邮件传输代理）与MDA（Mail Deliver Agent邮件投递代理）配合应用才能起效，但由于目前标准不统一，普及度有限，所以从防范技术入手收效甚微。垃圾邮件过滤是目前使用最为广泛的防范垃圾邮件手段。从垃圾邮件的分类基于行为和基于内容的角度来看，判别过滤垃圾邮件技术也可以分为基于发件进行"行为识别"和基于内容进行"内容过滤"。

5.1  "行为识别"技术

"行为识别"技术是指根据邮件发送行为判断其是否是合法的技术。采用这种技术，可以不用考虑邮件内容，仅仅根据其发送的行为判断此邮件是否属于垃圾邮件。邮件传输遵循SMTP协议的，任何不满足该协议规范的邮件都有理由判断为垃圾邮件。"行为识别"通过对邮件发件行为与若干条规则进行比对，同时还需要通过大量统计发送垃圾邮件行为特征，不断分析正常和异常的发件行为特点，将垃圾邮件特征形成行为识别模型。"行为识别"技术模型中包含了发件源头信誉的检查、SMTP连接频率、反向域名解析验证等诸多要素，"行为识别"是针对协议进行的扫描，不涉及信体内容，有效地避免了内容图片化，正文文字变造引起的过滤失效。"行为识别"技术所作的判断过程基本在开始传输DATA之前结束。采用垃圾邮件行为模式识别模型不仅大大提高了垃圾邮件辨别的准确率，而且不需要对信件的全部内容进行扫描，无需接受完整邮件，节约了网络和邮件服务器资源。

5.2  "内容过滤"技术

除去网络攻击目的垃圾邮件外，其他的垃圾邮件都需要通过邮件内容达到其目的。因此，针对内容过滤的"内容过滤"技术应运而生。早期的内容过滤是根据关键字库中的关键字，将信件正文进行分词，一旦分词与关键字匹配一致即判断为垃圾邮件。但是，相同的词语在不同的语境中语义会有很大差异，因此关键字过滤误判率很高。目前，内容过滤技术主要采用基于统计的方法，是指对邮件内容进行分词统计然后对内容进行主题分类，从而实现过滤。目前，常用的文本分类统计技术有贝叶斯算法，该方法在进行过滤之前，需要庞大的垃圾数据样本库。过滤时先通过统计获得特征项在垃圾邮件中出现的先验概率，再利用统计中的贝叶斯公式，求得含有这些特征项的邮件是垃圾邮件的后验概率，该过滤方法是以先验概率进行内容评分，从而判定其所属类型。此外，还有基于SVM(支撑向量基)的过滤，基于神经网络的过滤等。

尽管我国《防范互联网垃圾电子邮件技术要求》给出垃圾邮件客户机防范功能要求和防范垃圾邮件的方法，并明确了电子邮件的格式，但是垃圾邮件发送者在利益的驱动下不断改进发送垃圾邮件的方法，因此急需专业、系统的防范体系与设备支撑反垃圾邮件工作。

6  垃圾邮件防范体系

根据目前垃圾邮件的现状与特征，我们根据实际工作经验总结出了基于预防与过滤拦截相结合的多层防范体系（见图3）。

图3  垃圾邮件防范体系图

一封邮件的送达需要从邮件用户代理（MUA）到邮件传输代理(MTA)再到邮件投递代理(MDA)多个环节，我们可以针对每个环节进行多层次的防范。垃圾邮件发送者制造一封垃圾邮件要通过MTA传播出去，因此首先关闭MTA到MTA之间开放式转发（Open Relay），不给垃圾邮件跳转传播的机会。在MTA（Mail Transport Agent，邮件传输代理）将电子邮件传送至MDA（Mail Deliver Agent，邮件投递代理）的时候，应该采取行为过滤的方式对垃圾邮件进行过滤，通过行为过滤可以去除A型和B型垃圾邮件，此后再将剩余的邮件采取"内容过滤"的方式进行过滤。从网络分层的角度讲，可以在网络层进行如IP并发连接限制、IP连接频率限制、IP连接速率控制、动态黑白名单等行为识别过滤。在会话层进行DNS反向查询、HELO域名有效性查询、行为模式判断等行为识别。最后，在应用层进行基于自定义规则库、贝叶斯过滤或其它算法的内容过滤等。如果相关发件源头认证技术能够形成统一的标准并予以广泛推广，从MTA到邮件MDA之间引入适当的认证也会大大抑制垃圾邮件。

在进行拦截过滤的同时，用户应及时向邮件服务提供商提供个人垃圾邮件样本和反馈过滤情况，以便邮件服务提供商适时做出适当调整。各个具备内容过滤功能的产品需要大量垃圾邮件样本，丰富自己的规则库，理论上垃圾邮件样本库趋于无限大，过滤效果趋近于100%。同时，各个具有过滤功能的服务器或其他设备应定期将本系统垃圾邮件动态信息逐级上报，并根据上一级垃圾邮件信息处理中心下发的策略对本系统进行调整（见表1）。

表1  垃圾邮件分层过滤表

先采取"行为模式"识别后采取"内容过滤"的好处是，"行为模式"在协议扫描时是不接受邮件信体数据的，也就是说付出较小的代价进行初筛，过滤掉大部分垃圾邮件后再采取"内容过滤"的方式分析剩余信件的内容进行再次筛查。

邮件服务器过滤的效果无法达到绝对准确，当用户收到通过过滤的信件时，可以根据个人偏好判断、分辨出漏判信件，并通过查看过滤报表找出误判信件并将信息反馈至过滤设备，过滤设备根据用户反馈信息进行调整。

7  结束语

本文从垃圾邮件的产生原因与传播特点论述了垃圾邮件的技术防范体系。我国《中华人民共和国电信条例》明确把电子邮件服务归类为增值服务，鉴于垃圾邮件对网络安全的巨大危害和对广大用户工作生活的侵扰，应积极推动电子邮件技术及其相关标准和协议的演进，加大对与发送垃圾邮件者的惩处力度。