Exchange　Server　2003　反垃圾邮件经验谈(中)--钉子-Exchange　MVP

:: Blog List ::

Exchange Server 2003 反垃圾邮件经验谈(中)

钉子发表于 2008-9-12 0:49:12

二． 协议级保护

在连接级保护后，下一层防御就是 SMTP 协议级保护。将对发送 SMTP 主机与接收 SMPT 主机之间的会话进行分析，以检验发件人地址与收件人地址是否经允许，并确定发件人的域名的有效性。在Exchange 2003主要提供以下三种过滤手段：

1. 发件人筛选

使用发件人筛选功能可以阻止手动维护的特定发件人邮件地址，并可以对这类邮件进行多种操作。

配置方法：

1）在 Exchange 系统管理器中展开“全局设置”。

2）右键单击 “邮件传递”，然后单击“属性”。

3）单击“发件人筛选”选项卡。

4）在“发件人”中可以手动增加需要过滤的发件人邮件地址。

5）根据需要你可以选择勾选“存档筛选邮件”、“筛选发件人为空的邮件”等等。

2. 收件人筛选

使用收件人筛选功能可以阻止发送到手动维护的特定收件人地址的电子邮件，并可以实现对发往服务器不存在的邮件地址的电子邮件进行过滤。

配置方法：

1）启动 Exchange 系统管理器。

2）展开“全局设置”。

3）单击“邮件传递”并选择“属性”。

4）单击“收件人筛选”选项卡。

5）根据需要选择“筛选不在目录中的收件人”。

6）如果需要增加特定的收件人，单击“添加”后输入完全的收件人的地址即可。

3. 发件人ID筛选

发件人ID筛选是根据发件方的IP地址来验证，所发的电子邮件是否为发件人邮件地址所在域的指定邮件发送服务器的IP相符（SPF记录）的一种手段，如果IP与SPF记录声明的IP不相符规不通过发件人ID筛选（而没有建立SPF记录的域名的邮件将直接通过发件人ID筛选）从而防止冒用它人域名发送邮件的情况。

配置方法：

1）启动 Exchange 系统管理器。

2）展开“全局设置”。

3）用鼠标右键单击“邮件传递”并选择“属性”。

4）单击“发件人 ID 筛选”选项卡。

5）选择所需的发件人 ID 筛选选项，比如：接收，删除，拒绝。

4. 建议

1）如果要启用发件人ID筛选，必须要“全局设置”－“常规”－“外围IP列表及内部IP范围配置”中指定网关或是内部网络中服务器的 IP 地址，否则将有可能出现7518事件日志。

2）建议为自己的公司使用的域名人创建SPF记录。

3）当选择在“收件人筛选”中勾选了“筛选不在目录中的收件人”后，为防止字典攻击（DHA）请启用Tar Pit 功能，详情查看微软KB84285文章，地址如下：http://support.microsoft.com/kb/842851

二． 内容级保护

Exchange Server 2003 SP2 中的内容过滤，主要依靠Microsoft Research 已申请专利的机器学习技术SmartScreen为基础，集成到―― “智能邮件筛选器(IMF)”中，利用启发式分析的方法，对来自外部的电子邮件进行是合法邮件还是垃圾邮件作出一个正确的概率评估，给邮件SCL（SPAM Confidence Level）值，以区分可能是垃圾邮件的等级，等级越高，邮件是垃圾邮件的可能性就越大。此外，利用PCL（Phishing Confidence Level）值，IMF还能对钓鱼邮件进行防范。

1. “智能邮件筛选”配置方法：

1）启动 Exchange 系统管理器。

2）展开“全局设置”。

3）用鼠标右键单击“邮件传递”，然后选择“属性”。

4）单击“智能消息筛选”选项卡。

5）在“网关阻止配置”中设定需要阻止的邮件SCL值，并选择所需阻止操作。

1）在垃圾邮件存储配置中设定设定需要阻止的邮件SCL值

2.建议：

1）SCL 等级的范围是从 0 到 9。等级越高，邮件是垃圾邮件的可能性就越大。建议的保守的SCL值组合为8和6，笔者认为较有效的SCL值组合为6和4.

2）IMF是基于内容过滤的技术，所以会出现误判的情况，所以建议在阻止邮件时使用“存档”的操作。以方便对误判的正常邮件进行提取，存档后的邮件存放在\Exchsrvr\mailroot\vsi n\UCEArchive 中存档，其中 n 是 SMTP 虚拟服务器实例编号。此目录可以修改，注册表键值为
HKEY_LOCAL_MACHINE\Software\Microsoft\Exchange\ContentFilter\ ArchiveDir

（类型为STRING，值为所需目录的全路径，如"E:\Archive"）

3）当发现 7515事件日志时请注意微软鉴于成本考量,认为垃圾邮件的大小不可能超过3M，IMF不扫描超过3M的邮件。

4）当IMF网关阻止配置操作设定为“拒绝”时，垃圾邮件的发送方会更到类似“5.7.1 Requested action not taken: Message Refused”这样的NDR信息，为了便于对方了解拒绝的原因，建议修改这个默认信息为更为详细的信息，注册表键值为：HKLM\Software\Microsoft\Exchange\ContentFilter\CustomRejectResponse

5）微软在每个月的第一个星期三和第三个星期三通过 Microsoft Update 和自动更新技术提供智更新IMF，请增加以下注册表键值：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Exchange\ ContentFilterState (类型为DWORD , 值为1)

建议第一次升级时直接访问Microsoft Update网站并手动手动IMF。

6） IMF根据设定SCL值对所有收到的邮件进行过滤，但有一些企业因为种种原因需要对特殊收件人的邮件地址，进行排除操作，也就是所有发向某个地址的邮件都经过IMF过滤，要实现这个功能，查看微软KB912587文章，地址如下：（http://support.microsoft.com/kb/912587）。