垃圾郵件的五大特性分析及應(yīng)對技巧
對于垃圾郵件，已經(jīng)在《中國互聯(lián)網(wǎng)協(xié)會反垃圾郵件規(guī)范》中給出了一個明確的定義，但是它并不足以讓我們了解垃圾郵件的產(chǎn)生、發(fā)送及其背后所隱藏的秘密。作為網(wǎng)管員或電子郵件用戶，只有了解垃圾郵件所隱含的秘密，尤其是垃圾郵件發(fā)送者所使用的躲避垃圾郵件過濾的技術(shù)，才會知道垃圾郵件防范的具體細(xì)節(jié)在哪些方面。
一、垃圾郵件的產(chǎn)生流程及其背后的利益關(guān)系
垃圾郵件并不是無中生有的，對于純商業(yè)性質(zhì)的垃圾郵件來說，它是由一些想通過電子郵件來銷售或宣傳某種產(chǎn)品的廠商所提供的，這也就是垃圾郵件的提供者。但是，垃圾郵件的提供者并不會自己去發(fā)送它們，而是將發(fā)送任務(wù)交給某些擁有大量郵箱地址的專業(yè)垃圾郵件發(fā)送者或團(tuán)體，并按某種協(xié)議付給發(fā)送者一定的費用。剩下的工作，就是發(fā)送者如何按提供者的要求將一定數(shù)理的垃圾郵件發(fā)送到最終的各用戶郵箱中。垃圾郵件提供者看到了此種方式所帶來的低成本和高效率，而發(fā)送者看得了發(fā)送垃圾郵件帶來的利益，并且這種利益會隨著最終發(fā)送數(shù)量的增多而不斷增加。他們之間的不斷利用，就構(gòu)成了現(xiàn)在垃圾郵件泛濫的根本原因所在。
但是，垃圾郵件要想最終到達(dá)眾多的用戶郵箱之中，也不是人們想象中的那么簡單。首先，發(fā)送者必需得到相當(dāng)多的有效郵箱地址，這樣才能滿足提供者發(fā)送數(shù)量的要求。發(fā)送者一般在剛開始時是向一些機(jī)構(gòu)或個人直接購買或在互聯(lián)網(wǎng)中進(jìn)行搜索的方式得到，當(dāng)在這個圈子中熟習(xí)以后，還可以通過與其它發(fā)送者之間相互交互的方式來擴(kuò)大郵箱地址庫。現(xiàn)在，許多網(wǎng)站中給出的電子郵箱地址，都將“@”符號改為了“#”號，就是為了防止被按“@”符號為關(guān)鍵字郵箱地址收集軟件搜索到。
另一方面，就是如何確保垃圾郵件都能最終到達(dá)用戶郵箱當(dāng)中，不然，一切都是枉然。解決此問題的關(guān)鍵，就是如何躲避各種反垃圾郵件產(chǎn)品的過濾。現(xiàn)在，一些技術(shù)高超的發(fā)送者已經(jīng)使用了許多相當(dāng)有效的方法來躲避被過濾，并且其發(fā)展速度要快于反垃圾郵件技術(shù)，這也是為什么垃圾郵件不能完全被過濾的主要原因。
最后，就是要解決被追蹤的問題，這是垃圾郵件發(fā)送者設(shè)法使自己免于法律懲罰所要進(jìn)行的必要手段。一般會通過下列方式中的一種或幾種來達(dá)到目的：
1、修改垃圾郵件頭中與發(fā)送者相關(guān)的所有域的內(nèi)容，使這些內(nèi)容與自己無任何聯(lián)系。
2、使用第三方可以匿名轉(zhuǎn)發(fā)郵件的郵件服務(wù)器來發(fā)送垃圾郵件;
3、自建郵件服務(wù)器，并使用代理服務(wù)器進(jìn)行網(wǎng)絡(luò)連接;
4、通過控制正常的郵件服務(wù)器來發(fā)送垃圾郵件，通過Rootkit隱藏在服務(wù)中的痕跡;
5、通過控制僵尸網(wǎng)絡(luò)中的主機(jī)來發(fā)送垃圾郵件;
6、也可通過自己的多臺郵件服務(wù)器，設(shè)置按某個時間間隔，一次只發(fā)送十到二址封垃圾郵件，讓反垃圾郵件產(chǎn)品不能通過行為檢測方式來判斷這些主機(jī)為垃圾郵件服務(wù)器。一段時間后，也能達(dá)到相當(dāng)大的垃圾郵件發(fā)送數(shù)量。
只有同時滿足了上述的三個條件，垃圾郵件發(fā)送者與提供者之間的利益關(guān)系才能真正實現(xiàn)。
二、主流垃圾郵件編寫技術(shù)全接觸
在上面已經(jīng)提到過，垃圾郵件發(fā)送成功的關(guān)鍵就是如何突破反垃圾郵件產(chǎn)品的重重封鎖，所使用的手段就是各種垃圾郵件編寫技術(shù)。
1、通過修改郵件頭中的IP地址或域名，來躲過以黑白名單方式的垃圾郵件過濾。偽造郵件頭中的某些關(guān)鍵域中的內(nèi)容，使用一款名為Advanced Direct Remailer的軟件就可以輕易實現(xiàn)。不過，一些使用DNS反向查詢技術(shù)和使用簽名認(rèn)證的產(chǎn)品能過過濾這種方式發(fā)送的垃圾郵件。
2、將垃圾郵件中每個單詞的字母或漢字之間用空格或一些特殊字符(如“-”或“+”號)隔開，這樣就能輕易躲過基于關(guān)鍵字和文本內(nèi)容分析技術(shù)的過濾，而且其反過濾效果到現(xiàn)在還相當(dāng)有效，并且不需要任務(wù)工具就可以輕易實現(xiàn)。但是，現(xiàn)在一些反垃圾郵件廠商開始在其產(chǎn)品中增加了識別特殊字符和詞重組功能，以便能提高識別這種方式發(fā)送的垃圾郵件。
3、用數(shù)字替換垃圾郵件中英文單詞中的某些字母，例如使用“1”數(shù)字替換“i”，用“0”替換“o”等，這樣也能夠躲過其于文本分析的內(nèi)容過濾。只是，這種方式只能使用在發(fā)送英文的垃圾郵件中，且修改后郵箱用戶有時不能完全理解其原來的意義，因此，只會在一些不會產(chǎn)生歧義的地方使用。
4、用ASCII碼來代替字母，例如字母B用ASCII碼66來代替，而在郵箱用戶端卻可以正常顯示為單詞，并構(gòu)成完整的句子。可以用此來躲過基于內(nèi)容和統(tǒng)計概率的檢測過濾。但是，現(xiàn)在已經(jīng)有許多反垃圾郵件產(chǎn)品中加放了ACCII碼識別功能，因而現(xiàn)在此種方式并不常用。
5、還有一種方法也是非常容易實現(xiàn)和使用比較頻繁的，就是先編寫幾段正常的郵件內(nèi)容，然后將這些內(nèi)容的字體顏色設(shè)置與背景色相同，例如白色文字與白色的背景;然后，在這些正常的郵件內(nèi)容當(dāng)中插入垃圾郵件內(nèi)容，但其字體顏色與背景色是不同的，例如黑色文字與白色背景。這樣，就能躲過基于內(nèi)容和統(tǒng)計概率方式的過濾，而在郵箱用戶端，又只會顯示出垃圾郵件的內(nèi)容。
6、將垃圾郵件文本內(nèi)容嵌入到圖片當(dāng)中，并對圖片進(jìn)行降噪處理，但以不影響閱讀為底線，然后作為附件發(fā)送。它主要用來躲避基于內(nèi)容的過濾和基于統(tǒng)計概率的過濾。對圖片降噪的方法是通過增加多個低像素的圖片框來作為圖像噪聲，然后編寫腳本來旋轉(zhuǎn)所有的圖片框，將要顯示主要內(nèi)容的圖片框的顯示時間加長，其它低像素的圖片框的顯示時間非常短，就能達(dá)到即能正常顯示垃圾郵件內(nèi)容，又增加了垃圾郵件過濾器檢測難度的目的。只是現(xiàn)在主要的反垃圾郵件產(chǎn)品中都提高了郵件附件圖像識別能力，并加入了行為模式檢測技術(shù)，已經(jīng)能夠很好地識別圖片方式的垃圾郵件。并且其編寫方式比較麻煩，現(xiàn)在圖片方式的垃圾郵件已經(jīng)大大減少。
7、將垃圾郵件做成PDF文件，然后以附件的方式發(fā)送。這是垃圾郵件發(fā)送者繼圖片式垃圾郵件效果不高后使用的另一種相似的編寫技術(shù)，但此種方式的反垃圾郵件過濾功能要大大優(yōu)于前一種，現(xiàn)在，雖然一些號稱使用了行為模式檢測技術(shù)的反垃圾郵件產(chǎn)品能過濾部分與此相關(guān)的郵件，但穿過的成功率卻比過濾得的要高得多。因此，PDF垃圾郵件的比率將會不斷升高。
8、將垃圾郵件內(nèi)容做成MP3或視頻文件，然后作為郵件附件發(fā)送，這是最近才出現(xiàn)的垃圾郵件方式。雖然還沒有過濾這種方式的技術(shù)，但是，由于為了降低垃圾郵件的體積，垃圾郵件發(fā)送者不得不降低音頻的比特率及視頻的像素，這樣一來，郵箱用戶在打開時所聽到的音頻和看到的視頻都很不清楚，根本起不到垃圾郵件發(fā)送的目的。因此，這種方式的使用率將不會很高。
要明白的是，垃圾郵件發(fā)送者在發(fā)送垃圾郵件時，并不只使用上述列出的編寫方法中的某一種，而是會同時使用多種方法來組合使用的，這樣才能提高發(fā)送的成功率。而且，垃圾郵件發(fā)送者仍然會不斷地開發(fā)出新的編寫技術(shù)，以應(yīng)對也不斷推陳出新的垃圾郵件過濾技術(shù)。
三、垃圾郵件穿透能力的驗證方法
雖然使用了躲避反垃圾郵件產(chǎn)品檢測的方法，但是，這并不意味著所發(fā)送的垃圾郵件就一定能穿過它們。這是因為，每種垃圾郵件過濾產(chǎn)品所使用的方法和性能并不相同，以及其設(shè)置也不相同。因此，要驗證所使用的躲避技術(shù)是否有效，就得在各種不同的垃圾郵件過濾環(huán)境中進(jìn)行實驗。實驗的方法可以是自己構(gòu)建這樣的環(huán)境，這對于某些垃圾郵件發(fā)送者來說是不可能有財力支持的。但是，一些有條件的垃圾郵件發(fā)送者，例如處于某種企業(yè)環(huán)境中，就可以利用本企業(yè)的郵件過濾產(chǎn)品來做試驗。還有一種方法，就是注冊一些免費的郵箱，然后編寫垃圾郵件發(fā)送給自己或者朋友的郵箱當(dāng)中，來驗證是否可以被正常接收，這種方式是即快又省，而且試驗的產(chǎn)品又全面。
四、垃圾郵件帶來的危害
垃圾郵件所帶來的危害是相當(dāng)大的，它不僅會占用人們大量處理郵件的時間，降低工作效率;還會占用用戶寶貴的網(wǎng)絡(luò)帶寬資源，阻礙正常的關(guān)鍵網(wǎng)絡(luò)業(yè)務(wù)運行;并且，郵件用戶為了阻止垃圾郵件的不斷增長，不得不投入額外的垃圾郵件過濾硬件或軟件來應(yīng)對，這要花費用戶大量的金錢和管理開銷，以及增加企業(yè)原本已經(jīng)相當(dāng)復(fù)雜了的IT安全基礎(chǔ)架構(gòu)和安全防范策略的復(fù)雜性。對于企業(yè)郵件用戶來說，其雇員數(shù)量越多，為每個雇員所花費的垃圾郵件過濾費用就會不斷的提高，這是相當(dāng)驚人的一筆開支。
五、垃圾郵件能消除嗎
垃圾郵件從出現(xiàn)到現(xiàn)在已經(jīng)過去了整整三十年，在這三十當(dāng)中，反垃圾郵件技術(shù)雖然有了長足的發(fā)展，但是，如今互聯(lián)網(wǎng)中的數(shù)據(jù)流量中的相當(dāng)一部分依然被垃圾郵件占用，這就足以說明，垃圾郵件的編寫技術(shù)要快過了垃圾郵件過濾技術(shù)的發(fā)展。因此，在目前或?qū)硐喈?dāng)長的一段時間內(nèi)，垃圾郵件依然會伴隨著所有的電子郵件用戶。
但是，我們不能眼睜睜地看著垃圾郵件就這么地肆掠下去。其實，通過對垃圾郵件的全面分析，我們也已經(jīng)了解到了它所存在的各種弱點。因此，只要垃圾郵件防范措施得當(dāng)，我們還是可以將垃圾郵件控制在我們能承受的范圍之內(nèi)的。
下面給出一些有用的建議如下：
1、繼續(xù)加深反垃圾郵件的立法，加入對垃圾郵件提供者的嚴(yán)厲懲罰，斬斷垃圾郵件利益鏈的最上層，這樣，垃圾郵件才有可會從源頭減少。
2、盡量選購包含了所有主流垃圾郵件過濾技術(shù)的產(chǎn)品，并且仔細(xì)考查它們的處理方式、性能、誤判率和漏判率，以及擴(kuò)展性和各種產(chǎn)品之間的兼容性等。還有，產(chǎn)品的提供商和銷售商的服務(wù)方式和后期維護(hù)能力也要在考慮的范圍。
3、制定與自己實際需求相應(yīng)的郵件安全策略。反垃圾郵件并不是一種技術(shù)或服務(wù)就可以完成的，而且它應(yīng)當(dāng)包括在整個郵件系統(tǒng)的安全策略之內(nèi)，它是一種多種技術(shù)和服務(wù)相互協(xié)作的一個系統(tǒng)的過程。同時，在設(shè)計郵件系統(tǒng)時就應(yīng)當(dāng)將安全設(shè)計理論考慮進(jìn)出，應(yīng)當(dāng)從企業(yè)網(wǎng)絡(luò)邊界、郵件服務(wù)器和客戶端三個層面一起進(jìn)行安全部署。如果有條件，最好每一層所使用的產(chǎn)品都不是同一提供商的。這是因為每個提供商在郵件系統(tǒng)安全的各個層面都有自己最拿手的，也有自己比較弱的，因此，充分利用每個產(chǎn)品最好的功能應(yīng)用到相應(yīng)的層面，達(dá)到的效果才是最好的。
4、將郵件系統(tǒng)安全策略集成到企業(yè)的整個IT安全策略當(dāng)中，充分利用其它安全設(shè)備來減少郵件系統(tǒng)的安全威脅。同樣，提高郵件系統(tǒng)的安全，也會減少給企業(yè)帶來其它途徑的安全威脅。郵件系統(tǒng)安全與企業(yè)整個IT環(huán)境的安全是相輔相承的。
5、加強(qiáng)對電子郵件用戶的網(wǎng)絡(luò)安全知識的培訓(xùn)工作。
總之，反垃圾郵件是一場持續(xù)而艱苦的斗爭，我們只有不斷地了解垃圾郵件的發(fā)展方向，充分利用已有的垃圾郵件過濾產(chǎn)品，構(gòu)造行之用效的垃圾郵件防范措施，才能將垃圾郵件所帶來的風(fēng)險控制在我們能夠承受的水平之內(nèi)，電子郵件才能真正意義上為我們帶來效益。
【編輯推薦】
