企业邮件安全防护实践

- “显示邮件原文”，在邮件头里会出现一段如下文字：

DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; 
    d=abc.com; s=mail; t=1458091059; h=Date:From:To: 
    Reply-To:Subject:Message-ID:Content-Type:MIME-Version; bh=JtLpkA 
    GBbI9j6KEs01UI/CKmX5rvvrJ6O9QcCgb5i1I=; b=J5xXBMdm8Q5Y66orv+Skoq 
    ... 
    cT/oVvXPMvEbi+mJwoqbM= 

4、基于域的消息认证，报告和一致性(DMARC)

那在配置了SPF和DKIM后，如何让外界得知旗下域名的电子邮件提供何种方式认证身份?是使用SPF,DKIM，还是两者都使用?如果寄件者身份未能得到百分之百确认，收件者可以如何处理邮件?是放进垃圾箱，还是直接回绝?有没有一种机制可以让邮件管理员了解此时此此刻是否有第三者正在伪冒其网域身份发送电子邮呢?带着这些问题，我们了解一下DMARC。基于域的消息认证，报告和一致性(DMARC，Domain-based Message Authentication, Reporting and Conformance)是一套以 SPF防邮件伪造DKIM(DomainKeysIdentified Mail)防邮件做伪造为基础的电子邮件认证机制，可以检测及防止伪冒身份、对付网络钓鱼或垃圾电邮。^4邮件管理员可以通过在网域的 DNS 记录中添加 DMARC 政策，从而启用基于网域的消息认证、报告和一致性 (DMARC) 验证机制。该策略同样使用采用 DNS TXT 记录形式，指定您的网域如何处理可疑电子邮件。DMARC 政策支持三种处理可疑电子邮件的方式：

• 不对邮件采取任何操作，仅将其记录在每日报告中。
• 将邮件标记为垃圾邮件。Gmail 会将这些邮件放入收件人的垃圾邮件文件夹。
• 通知接收邮件的服务器拒绝邮件。这也会导致 SMTP 将邮件退回给发件人。

DMARC TXT 记录值：

DMARC 政策示例：

注：要将报告发送到多个电子邮件地址，请使用英文逗号分隔电子邮件地址。

添加 TXT 记录以启用 DMARC

在_dmarc处添加一条 DNS 记录

TXT record name(TXT 记录名称)：在 DNS 主机名下方的第一个字段中输入：

_dmarc.abc.com 

TXT record value(TXT 记录值)：在第二个字段中输入指定您的 DMARC 政策的值，例如：

v=DMARC1; p=reject; rua=mailto:postmaster@qq.com, mailto:dmarc@qq.com 

注：以上解析将实现“拒绝所有未通过 DMARC 检查的邮件。将每日报告发送到以下两个地址：postmaster@qq.com 和 dmarc@qq.com。SMTP 将未通过检查的邮件退回给发件人”政策。

3. 小结

对大部分企业来讲，通过以上步骤的加固和优化，可以大幅度提升企业邮件安全性，有效防止被伪造，即便是被伪造，由于以上配置的成功引用可以让大部分伪造邮件退回或当作垃圾邮件处理，强烈自建邮箱系统的用户通过以上配置加强邮件系统。另外，如果你的邮箱配置了SPF或DKIM后，大部分公网邮箱也会将您企业邮箱的信任程度提升，这将有助于提高邮箱发信成功率。

4. 企业邮件系统配置

第一部分主要向大家介绍了邮件系统所面临的一些技术漏洞和所需要采取的措施，这部分将从邮件系统配置和使用方面来帮助企业进行邮件系统加固。这里的配置主要是加强邮件日常使用的安全性，降低用户在日常使用过程中信息泄露风险或是在密码泄露后，尽可能地将损失降至最低。

(1) 收发信密码独立设置

攻击者对于日常邮件系统的攻击，最主要的是针对邮件密码的攻击。通过获得邮箱密码来进行信息窃取或者以被攻击邮箱为工具进行其他攻击。建议企业在日常的邮件设置中，将收件密码和发件密码独立设置。此时，如果收件密码泄露后，攻击者并不能使用该邮箱进行发件操作，进行钓鱼邮件发送或病毒木马投递，有效保护邮件和其他通讯录成员的安全。

(2) 收件密码采用双因素认证

前面说到，日常邮件使用过程中，邮件登录密码(通常是收信密码)比较容易被攻击者拿到。建议企业将收发信密码独立后，对于收信密码进行双因子强认证，尽可能降低密码泄露的风险。同时，由于SMTP协议的局限性，收信密码攻击者可以通过相关工具进行暴力破解。如果有员工使用了弱口令，则很容易被攻击者拿下。这里多说一下，很多企业认为自己的WEB邮箱有验证码等方式，可以防止暴力破解，其实这种限制仅在WEB层面有效，如果攻击者直接使用SMTP协议认证工具进行暴力破解或密码猜测，就直接绕过了WEB层的验证码。

(3) 配置防猜解防攻击

（编辑：江门站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!