金笛郵件系統(tǒng)空中攔截反垃圾引擎

采取哪些反垃圾技術(shù)

網(wǎng)絡(luò)控制層

經(jīng)驗分析，發(fā)送垃圾郵件的服務(wù)器通常會同時大批量向某些域的多個帳號發(fā)送垃圾郵件，對于這種發(fā)送垃圾郵件方式，可通過設(shè)定一定的網(wǎng)絡(luò)訪問頻率控制進(jìn)行有效的阻隔。JDMail針對這種攻擊提供兩種設(shè)置方式，并自動將發(fā)送垃圾郵件的IP歸為垃圾IP（SpamIP）列表。

通過smtp 服務(wù)層拒絕明顯的發(fā)送垃圾郵件smtp 連接，大大減輕后臺投遞系統(tǒng)和反垃圾引擎的負(fù)擔(dān)。

通過統(tǒng)計分析，我們發(fā)現(xiàn)發(fā)送垃圾郵件的smtp 連接具有以下特點(diǎn)。

• 同一IP同時的smtp連接數(shù)非常大。
• 同一IP一段時間內(nèi)，smtp的連接頻率非常高。

一般出現(xiàn)這兩種情況，都表示源發(fā)件人極有可能在發(fā)送垃圾郵件。

通過設(shè)置這兩個參數(shù)可控制這類型的smtp連接，從而截斷發(fā)送垃圾郵件的源頭，默認(rèn)已經(jīng)適合大部分場景，無需單獨(dú)配置。

根據(jù)垃圾郵件發(fā)送者IP的地理位置，與 APNIC 的IP信息庫核對結(jié)果，確定來源是否真實，如果真實則通過，否則可能為可疑郵件。因為IP 來源無法偽裝，所以這個反垃圾策略比較有效。

黑名單

通過黑名單, JDMail系統(tǒng)可設(shè)置屏蔽任何一個IP，一個網(wǎng)段；也可屏蔽任何一個發(fā)信人，一個域。

實時黑名單(RBL)主要利用互聯(lián)網(wǎng)公開的RBL資源判斷是否為垃圾郵件。RBL 一般是通過DNS 查詢的方式提供判斷某個IP或域名是否是垃圾郵件發(fā)送源的服務(wù)。另外，由于國外大多數(shù)RBL都對來自中國的ip 有“歧視”，所以我們并不能完全依靠RBL 來判斷一封郵件是否是垃圾郵件，只能根據(jù)RBL查詢結(jié)果判斷該郵件是否垃圾郵件的可能性。

• RBL 服務(wù)器：指定RBL 查詢域名后綴。
• DNS 查詢類型：根據(jù)具體的RBL 要求指定DNS 查詢記錄類型。
• 匹配表達(dá)式：指定RBL 查詢結(jié)果的匹配模式，表達(dá)式格式采用perl 正則表達(dá)式，如果為空，則表示如果可查到RBL結(jié)果，則符合條件。

目前所知比較有效的RBL服務(wù)器為：

• xbl.spamhaus.org
• bl.spamcop.net
• cbl.anti-spam.org.cn
• cdl.anti-spam.org.cn

灰名單

灰名單技術(shù)源于：http://www.greylisting.org/ 。

灰名單技術(shù)基本假設(shè)是：病毒和垃圾郵件，通常都是一次性的，如果遇到錯誤，不會重試。

發(fā)垃圾郵件的軟件不會對郵件服務(wù)器返回的錯誤做出任何重試，而只是簡單的在日志里記錄發(fā)送失敗而已。而病毒引發(fā)的郵件風(fēng)暴則更加不會識別郵件服務(wù)器返回的錯誤，因為這些病毒僅僅是簡單的發(fā)送郵件，發(fā)送時根本不理會服務(wù)器的狀態(tài)。

Greylist的設(shè)計大體上是基于一種重試的原則，即當(dāng)收到某個IP想給某個收件人發(fā)信的會話時，它先簡單的返回一個臨時錯誤（4xx），并拒絕此請求，正常的郵件服務(wù)器都會在一段時間內(nèi)（如半小時）重發(fā)一次郵件。如還是相同的ip地址和收件人，則判斷此ip地址為合法服務(wù)器，予以放行。如果是非正常的郵件，那么或者將永遠(yuǎn)也不再進(jìn)行重試，或者會瘋狂重試，但由于間隔太近，而遭拒絕。因此，Greylist只要設(shè)置一個合適的放行間隔，就可以在很大程度上對這類垃圾郵件有著良好的免疫能力。Greylist的一大特點(diǎn)就是不會丟信，正規(guī)的郵件服務(wù)器認(rèn)為4xx錯誤只是臨時性、軟性的錯誤，會隔一段時間重試，因此郵件還是可以投遞成功。但Greylist的主要缺點(diǎn)是即時延遲（delay），延遲從幾分鐘到幾個小時不等。對于一些對郵件及時性要求高的客戶，Greylist可能不是一個很好的選擇。

趨勢分析

趨勢分析原理為，所有垃圾郵件都有目標(biāo)指向，比如：賣藥廣告郵件都會在郵件內(nèi)容里指定賣藥的電話、郵件或網(wǎng)站，如果不指定這些信息，發(fā)送垃圾郵件也就沒有意義了。趨勢分析法就是通過分析郵件里的電話、郵件或網(wǎng)站鏈接內(nèi)容，通過匹配判斷他的指向從而判斷郵件是否是垃圾郵件。

郵件來源判斷

主要通過分析郵件的來源，如：發(fā)件人ip ，發(fā)件人，發(fā)件域等內(nèi)容，來判斷垃圾郵件的可能性。

內(nèi)容過濾

通過郵件內(nèi)容關(guān)鍵字分析，可為符合內(nèi)容分析結(jié)果的郵件打上相應(yīng)的垃圾郵件評分。這類規(guī)則的判斷條件類似系統(tǒng)的過濾規(guī)則?？蓞⒖歼^濾規(guī)則設(shè)定來設(shè)定過濾評分內(nèi)容，同時金笛云反垃圾規(guī)則庫會通過收集客戶報告的垃圾郵件的特點(diǎn)不斷更新規(guī)則庫，定期推送到客戶郵件服務(wù)器更新。

主題分析引擎

主題分析原理是基于：同一類垃圾郵件的內(nèi)容大多都相似，通過相似度進(jìn)行分析，以確定是否為垃圾郵件。比如代開發(fā)票的垃圾郵件，內(nèi)容都有 “代開”，“發(fā)票”，“稅”這類詞，通過對同一類型垃圾郵件的統(tǒng)計分析，可以歸納這類垃圾郵件的主要關(guān)鍵字，通過關(guān)鍵字匹配度，確認(rèn)是否是垃圾郵件。