msg 240 企业 如何有效阻挡 spam 与 spim

MSG 240MSG 240企业企业如何有效阻挡如何有效阻挡 SPAMSPAM 与与SPIM SPIM

胡义胡义咨询顾问咨询顾问上海星移软件有限公司上海星移软件有限公司

概述概述

垃圾邮件问题垃圾邮件问题ExchangeExchange 如何阻挡垃圾邮件如何阻挡垃圾邮件

现有方法及面临的挑战现有方法及面临的挑战Sender ID & SPFSender ID & SPF

新的危机新的危机———— SPIMSPIM

LCSLCS 如何帮助企业阻挡如何帮助企业阻挡 SPIMSPIMIIMF for LCSIIMF for LCS

总结总结

垃圾邮件问题垃圾邮件问题

垃圾邮件占了垃圾邮件占了 70% 70% 电子邮件流量电子邮件流量仅三年前才仅三年前才 8%8%

每天有每天有 145145 亿封垃圾邮件亿封垃圾邮件每年消耗全球商家每年消耗全球商家 205205 亿美元亿美元

威胁安全和隐私威胁安全和隐私病毒病毒盗取身份证件内容盗取身份证件内容

低投入低投入 ++ 高利润高利润 ++ 匿名匿名

企业对阻挡垃圾邮件的需求企业对阻挡垃圾邮件的需求

误报误报 : : 首要顾虑首要顾虑尽量在网关阻挡尽量在网关阻挡

使用户看不到使用户看不到减少对网络带宽和其他系统资源的影响减少对网络带宽和其他系统资源的影响

对管理的要求对管理的要求端对端的解决方案端对端的解决方案简化管理简化管理公司和最终用户之间的平衡公司和最终用户之间的平衡

ExchangeExchange 如何阻挡垃圾邮如何阻挡垃圾邮件件

现有方法现有方法

网关服务器 Transport

Exchange Server 2003

邮箱服务器Store

垃圾邮件文件夹

垃圾邮件文件夹

收件箱Outlook内容分检

Exchange 2003 OWA

Outlook 2003

SCL = Spam Confidence Level 垃圾邮件信任级别

现有方法现有方法

垃圾邮件 ?

用户自定义的

安全 / 阻止发件人

智能过滤器 (IMF)

第三方产品

接受 / 拒绝列表实时阻止名单实时阻止名单

((RBL)

发件人 / 收件人过滤

Message + SCL

垃圾邮件 ?

用户自定义的

安全 / 阻止发件人

收件箱

用户自定义的

安全 / 阻止发件人

SMTP 邮件

启用过滤器后的邮件流启用过滤器后的邮件流telnet mail1.contoso.org 25 telnet mail1.contoso.org 25

连接控制连接控制EHLO EHLO domain.comdomain.com MAIL FROM: MAIL FROM: joejoe@@domain.comdomain.com

全局接受列表全局接受列表全局拒绝列表全局拒绝列表发件人过滤发件人过滤

RCPT TO: RCPT TO: sallysally@@contoso.orgcontoso.orgRBLRBL 特例收件人 特例收件人 收件人过滤收件人过滤RBLRBL 过滤过滤过滤不存在的收件人过滤不存在的收件人

DATA <CRLF>.<CRLF>DATA <CRLF>.<CRLF>EOD EOD

检查检查 FromFrom 字段字段 (P2)(P2) 满足发件人过滤满足发件人过滤智能邮件过滤器网关阈值智能邮件过滤器网关阈值

现有方法的局限性现有方法的局限性

发件人过滤发件人过滤没有实际应用价值没有实际应用价值

收件人过滤收件人过滤无法避免无法避免 HarvestHarvest 攻击攻击

连接过滤连接过滤如果如果 ExchangeExchange 不做为邮件网关？不做为邮件网关？

RBLRBL严重依赖于严重依赖于 Black ListBlack List 提供商提供商不及时不及时

Exchange 2003 SP2 Exchange 2003 SP2 给我们提给我们提供什么供什么

连接过滤连接过滤SMTPSMTP 过滤过滤内容过滤内容过滤入站邮件处理规则 入站邮件处理规则

Exchange 2003 SP2 Exchange 2003 SP2 AntiSpamAntiSpam

连接过滤连接过滤Exchange 2003Exchange 2003 可以可以不作为邮件网关不作为邮件网关

SMTPSMTP 过滤过滤SMTP tar pitSMTP tar pit

内容过滤内容过滤IMF —— Anti-IMF —— Anti-PhishingPhishing

Custom Message Custom Message WeightWeight

Sender ID Filtering Sender ID Filtering

Sender ID FilteringSender ID Filtering

Sender ID Sender ID 记录记录example.com TXT “v=spf1 -all”example.com TXT “v=spf1 -all”

该域不会向外发送邮件该域不会向外发送邮件example.com TXT “v=spf1 mx -all”example.com TXT “v=spf1 mx -all”

入站入站 SMTPSMTP 服务器同样用于向外发送该域的邮件服务器同样用于向外发送该域的邮件example.com TXT “v=spf1 ip4:192.0.2.0/24 –all”example.com TXT “v=spf1 ip4:192.0.2.0/24 –all”

仅仅允许来自特定地址段的仅仅允许来自特定地址段的 IPIP 向外发送该域的邮向外发送该域的邮件件

example.com TXT “v=spf1 mx include:myesp.com –example.com TXT “v=spf1 mx include:myesp.com –all” all”

外包外包example.com TXT “spf2.0/pra ip4:192.0.3.0/24 –all”example.com TXT “spf2.0/pra ip4:192.0.3.0/24 –all”

PRA PRA 检测检测

Sender ID Sender ID 记录记录

Sender ID Sender ID 实例实例X-Gmail-Received: d43ef46a568dee920d77e8fdd847c55ef7706134X-Gmail-Received: d43ef46a568dee920d77e8fdd847c55ef7706134Delivered-To: abby.hu@gmail.comDelivered-To: abby.hu@gmail.comReceived: by 10.38.206.46 with SMTP id d46cs7866rng;Received: by 10.38.206.46 with SMTP id d46cs7866rng; Sat, 25 Dec 2004 03:11:04 -0800 (PST)Sat, 25 Dec 2004 03:11:04 -0800 (PST)Received: by 10.38.67.76 with SMTP id p76mr241897rna;Received: by 10.38.67.76 with SMTP id p76mr241897rna; Sat, 25 Dec 2004 03:11:03 -0800 (PST)Sat, 25 Dec 2004 03:11:03 -0800 (PST)Return-Path: <bomt_zhang@hotmail.com>Return-Path: <bomt_zhang@hotmail.com>Received: from mail16.hi5.com (mail16.hi5.com [66.28.245.61])Received: from mail16.hi5.com (mail16.hi5.com [66.28.245.61]) by mx.gmail.com with ESMTP id 79si63813rna;by mx.gmail.com with ESMTP id 79si63813rna; Sat, 25 Dec 2004 03:11:04 -0800 (PST)Sat, 25 Dec 2004 03:11:04 -0800 (PST)Received-SPF: softfail (gmail.com: domain of transitioning bomt_zhang@hotmail.com does not designate Received-SPF: softfail (gmail.com: domain of transitioning bomt_zhang@hotmail.com does not designate

66.28.245.61 as permitted sender)66.28.245.61 as permitted sender)Received: from sherry (10.100.10.66) by mail16.hi5.com (PowerMTA(TM) v3.0r4) id hpl56806tqof; Sat, 25 Dec Received: from sherry (10.100.10.66) by mail16.hi5.com (PowerMTA(TM) v3.0r4) id hpl56806tqof; Sat, 25 Dec

2004 03:09:23 -0800 (envelope-from <bomt_zhang@hotmail.com>)2004 03:09:23 -0800 (envelope-from <bomt_zhang@hotmail.com>)Message-ID: <31457423.1103973064306.JavaMail.root@sherry.hi5.com>Message-ID: <31457423.1103973064306.JavaMail.root@sherry.hi5.com>From: Bomt Zhang <bomt_zhang@hotmail.com>From: Bomt Zhang <bomt_zhang@hotmail.com>To: abby.hu@gmail.comTo: abby.hu@gmail.comSubject: InvitationSubject: InvitationMime-Version: 1.0Mime-Version: 1.0Content-Type: multipart/alternative; Content-Type: multipart/alternative;

boundary="----=_Part_346527_12224381.1103973064284"boundary="----=_Part_346527_12224381.1103973064284"

Sender IDSender ID

Exchange 2003 SP2 Exchange 2003 SP2 AntiSpamAntiSpam

部署实例 部署实例 – – 微软微软 ITIT

两个 两个 SMTP SMTP 虚拟服虚拟服务器务器对进出两个方向的邮对进出两个方向的邮件作不同的处理 件作不同的处理 (( 身身份验证份验证 , , 过滤过滤 ) )

先过滤垃圾邮件再检先过滤垃圾邮件再检查病毒查病毒

Front End SMTP Gateway

Internet Inbound SMTP VS (2)

External DNS

Outbound SMTP VS (1)External DNS Settings

To Exchange Hubs

SMTP Connector

Address space *; DNS

From Exchange

HUBs

Inbound SMTP Virtual Server

Anonymous

Basic Authentication

Integrated Windows Auth.

Apply Sender Filter

Relay for Anonymous

Relay for Authenticated

IP Restrictions

Requires TLS Encryption

Resolve Anonymous

DefaultFully Qualified Domain Name

Apply Recipient Filter

Apply Connection Filter

Outbound SMTP Virtual Server

Anonymous

Basic Authentication

Integrated Windows Auth.

Apply Sender Filter

Relay for Anonymous

Relay for Authenticated

IP Restrictions

Requires TLS Encryption

Resolve Anonymous

mailx.microsoft.comFully Qualified Domain Name

Apply Recipient Filter

Apply Connection FilterApply IMF

Apply IMF

Exchange 2003 网关

Exchange 2003 Routing HUBs

邮箱服务器

Internet

Front End SMTP Gateway

Internet Inbound SMTP VS (2)

External DNS

Outbound SMTP VS (1)External DNS Settings

To Exchange Hubs

SMTP Connector

Address space *; DNS

From Exchange

HUBs

Inbound SMTP Virtual Server

Anonymous

Basic Authentication

Integrated Windows Auth.

Apply Sender Filter

Relay for Anonymous

Relay for Authenticated

IP Restrictions

Requires TLS Encryption

Resolve Anonymous

DefaultFully Qualified Domain Name

Apply Recipient Filter

Apply Connection Filter

Outbound SMTP Virtual Server

Anonymous

Basic Authentication

Integrated Windows Auth.

Apply Sender Filter

Relay for Anonymous

Relay for Authenticated

IP Restrictions

Requires TLS Encryption

Resolve Anonymous

mail.microsoft.comFully Qualified Domain Name

Apply Recipient Filter

Apply Connection FilterApply IMF

Apply IMF

新的危机新的危机———— SPIMSPIM

什么是什么是 SPIM?SPIM?IM + SPAMIM + SPAM

SpimSpim 呈爆炸性成长呈爆炸性成长20042004 年底年底 1515 亿条亿条

威胁威胁通过通过 IMIM传播病毒传播病毒通过通过 IMIM 发布广告发布广告嵌入嵌入 IMIM 的超文字链接的超文字链接

LCSLCS 如何帮助企业阻挡如何帮助企业阻挡 SPIMSPIM

LCS 2005 SP1LCS 2005 SP1 内建内建 IMFilterIMFilter

LCS 2005 SP1LCS 2005 SP1 提供额外插件提供额外插件智能即时消息筛选器智能即时消息筛选器增强的 增强的 URL URL 筛选功能 筛选功能 增强的文件筛选器控制增强的文件筛选器控制记录功能记录功能

智能即时消息筛选器智能即时消息筛选器

增强的 增强的 URL URL 筛选功能筛选功能阻止所有 阻止所有 Intranet Intranet 和 和 Internet Internet 超链接 超链接 阻止包含超链接的即时消息阻止包含超链接的即时消息…………

增强的文件传输控制增强的文件传输控制阻止特定文件扩展名的文件传输请求 阻止特定文件扩展名的文件传输请求 阻止所有文件传输请求 阻止所有文件传输请求

IIMF for LCS 2005 SP1IIMF for LCS 2005 SP1

总结总结

在和垃圾消息的斗争中没有万能药在和垃圾消息的斗争中没有万能药在这场斗争中，微软公司不断增加阻挡垃圾在这场斗争中，微软公司不断增加阻挡垃圾邮件的新功能和不断创新技术邮件的新功能和不断创新技术我们的目标是通过结合微软公司和第三方合我们的目标是通过结合微软公司和第三方合作伙伴的产品，为减少垃圾邮件提供更加完作伙伴的产品，为减少垃圾邮件提供更加完善的端对端解决方案善的端对端解决方案

The Sender ID FrameworkThe Sender ID Framework

Exchange 2003 Product Team Exchange 2003 Product Team BlogBlog

LCS 2005 IIMF OverviewLCS 2005 IIMF Overview