反lj邮件技术重点 过滤技术介绍

yudi669

目前最主要的对抗lj邮件的技术是邮件过滤技术(Mail Filter)。实时黑名单技术只是其中的一种特定的方法。

　　金笛邮件过滤按照在邮件系统结构中的角色可以分为三类：

　　MTA(邮件传输代理)过滤

　　MDA(邮件递交代理)过滤

　　MUA(邮件用户代理)过滤

　　MTA过滤是指MTA在会话过程中对会话的数据进行检查，对于符合过滤条件的邮件进行过滤处理。邮件会话过程中有两个阶段可以进行过滤：

　　邮件发送邮件数据前，即在发送DATA指令前的过滤。在发送DATA指令前，邮件对话可以在SMTP连接开始、HELO/EHLO指令、MAIL FROM指令和RCPT TO指令中对会话数据进行检查。

　　SMTP连接时，可以检查客户端IP地址是不是特定的不允许连接的地址，如被列入黑名单IP就会被立刻拒绝连接。这里的黑名单可以是实时黑名单(RBL)，也可以是访问列表。

　　对HELO/EHLO指令所提供的身份，可以检查是不是FQDN(完全限定域名，包括完整的主机名、域名的地址)、是不是要求的身份等。

　　对MAIL FROM指令所提供的邮件来源，可以检查是不是有效域(可以通过DNS反向查询检查)、是不是FQDN、是不是符合RFC822格式等。

　　对RCPT TO指令所提供邮件接收者，可以检查是不是属于允许转发的域、是不是符合RFC822格式、是不是通过认证的发信人等。

　　如果在检查中该会话符合过滤的条件，就可以按照过滤规则采取相应的动作，如直接在会话阶段断开连接、发出警告代码等。

　　邮件发送邮件数据前的检查也叫做信封检查。

　　邮件发送邮件数据后，即在发送DATA指令后的过滤。在通过一个点的单行结束DATA指令后，可以对DATA指令接收到的数据进行检查，这包括信头检查和信体检查。在DATA指令所传送的数据中，信头和信体是通过一个空行分隔开的。

　　信头检查。通常lj邮件在信头中都有一定的特征可供识别。通过这些特定信头字段可以很快地识别为lj邮件。

　　信体检查。有时候通过信头检查还不足以判断一封邮件是否是lj邮件，往往还要针对情况进行信体检查。

　　信头一般都比较小，通常在1KB-10KB之间，检查信头也比较快。而信体检查就要检查大量的数据，会给邮件服务器带来很大的负载，所以通常信体检查放在其他检查的后面进行。目前最流行的信体检查是贝叶斯(Bayes)算法的内容概率检查。

　　邮件发送邮件数据后的检查实际上是在邮件数据传输基本完毕后进行的，因此并不能节省下被lj邮件占用的带宽和处理能力，只是可以让用户不再收到这些已被过滤的lj邮件。

　　MDA过滤是指MDA在从MTA中接收到信件，在本地或远程进行递交时进行检查，对于符合过滤条件的邮件进行过滤处理。

　　很多的MDA都支持在这个过程进行过滤，如Procmail、Maildrop和Cyrus-IMAP等，甚至它们本身就是作为过滤器使用的。这些过滤器使用过滤语言(如Sieve，它是一个标准化的邮件过滤语言，现在已成为IETF标准)来制订过滤规则，因此配置比较灵活、功能强大。但是由于是在邮件递交阶段进行过滤，同MTA的邮件发送邮件数据后的检查一样，并不能节省下被lj邮件占用的带宽和处理能力，只是可以让用户不再收到这些已被过滤的lj邮件。

　　MTA和MDA过滤都是邮件服务器端的过滤，而MUA过滤是邮件用户的客户端的过滤。多数流行的邮件客户端，如Outlook、Outlook Express、Netscape Mail、Foxmail等都支持MUA过滤。

　　邮件过滤技术作为一个有效的对抗lj邮件的手段，就如同杀毒软件对bd的查杀一样，也是需要不断根据情况更新邮件过滤规则的。通常都是管理员自行根据lj邮件监测情况来更新过滤规则。不过本站所推出的BBL服务可以用于邮件服务器的规则过滤，BBL中的过滤规则是我们经过整理的lj邮件受益人列表，详情请参阅我们的BBL服务。

　　邮件过滤是一项应用的相当早也相当广泛的技术，因而也发展的比较完善。绝大多数的主流邮件系统都支持邮件过滤，一些不直接支持该功能的邮件系统也可以通过补丁或外置的邮件过滤器来实现邮件过滤