WebMail應用之安全隱患及對策

Internet使用者通過Web頁面收發Email的形式被稱為WebMail。 與使用專用郵件收發程式如OutLookExpress、The_bat相比，WebMail在具備便利優勢的同時，也存在了很大的安全隱患。 本文就對這些安全隱患及對策進行討論，我想，無論對於普通WebMail使用者，還是WebMail系統的提供者，都有一定的借鑒意義。 簡 介無論是國外的Hotmail、YahooMail，還是國內的SinaMail、SohuMail，都使Internet使用者能夠通過Web頁面在世界各地方便地收發Email。 但是，未經授權使用WebMail、從WebMail入口收到惡意程式碼等惡性案件也在不斷地增加。 因此，使用WebMail面臨著安全性挑戰，每個上網單位都應認真考慮這個問題！ 基本上，WebMail的安全隱患及對策主要體現在病毒防禦、內容過濾、加密技術、WebMail系統安全構架、建立安全規則等方面。 下面分別討論。 病毒防禦 在缺乏制約措施的情況下使用WebMail的最嚴重威脅就是可能下載攜帶電腦病毒的電子郵件。 為此，需要在使用者端和伺服器端協同操作，共同創建一個良好的、分層次的反病毒防禦環境。 通常，反病毒軟體要安裝在網路的防火牆、SMTP閘道、電子郵件伺服器、檔案伺服器和使用者工作站上。 如果使用專用郵件收發程式，在郵件抵達使用者桌面前，可以首先經過SMTP閘道上的反病毒軟體的掃描和檢查。 如果發現了病毒，相關電子郵件將被剝離其附件後發送或者乾脆刪除此郵件。 假設「初審過關」，還不算萬事大吉，郵件伺服器上的反病毒軟體將對收到的郵件進行第二次掃描檢測。 最後，當使用者真正接收郵件時，客戶機上的反病毒軟體再次執行掃描檢測。 呵呵，這過程象不象電影中進入秘密部門前的安檢情景？ Email在見到上帝前，得到了最嚴格的審查。 但是，如果使用WebMail，就會繞過SMTP閘道以及電子郵件伺服器這兩道關卡。 這時，解決方法有兩個： 1、依靠使用者PC機上的反病毒軟體及防火牆單兵作戰。 維護好一個集中的、分層次的、可自動更新殺毒軟體的反病毒防禦體系，確保最後一關上的反病毒軟體更新及時。 這是技術層面上的關鍵解決措施。 2、完善病毒防範管理制度，在一個組織中嚴格WebMail的使用限制。 比如，只允許PC管理部門的人員使用WebMail，因為他們的技術水準相對較高，遇到病毒感染時會採取正確的措施。 使用電子郵件內容篩檢程式進行防範 凡是使用電子郵件的使用者，都會經常乃至天天收到來自世界各地的新朋友的甜言蜜語或者小道消息。 或者，有些使用者喜歡不斷地製造這些資訊，發送給其他人。 「來而不往非禮也」嗎！ 這樣的事件很多。 例如，2000年9月，Dow公司解雇了24名因在公司電腦上儲存併發送有關性和暴力圖片的雇員。 這些事實表明，未經認可電子郵件的收發是一個組織中遭受的最實質性的威脅之一，在組織中強制安裝電子郵件內容過濾系統非常重要！ 電子郵件內容過濾產品可以解決這個問題。 例如，HTTP://www.gfi.com/ 的郵件提煉（Mail Essentials）產品可檢查進出組織的資料資訊，如果發現一個電子郵件包含一個指定的惡意關鍵字，那麼這個郵件將被隔離進一步審查。 498)this.width=498;' onmousewheel = 'javascript:return big(this)' src="/files/uploadimg/20051219/1015190.jpg"> 如果郵件經過SMTP閘道，那麼可以在其上安裝電子郵件內容過濾產品。 如果使用WebMail，那麼這個篩檢程式應對WebMail的使用有所限制。 使用加密技術 加密是保護所有敏感電子郵件的最有效方法，許多專用郵件收發程式都提供了加密手段，例如我一直使用的The_bat!就具有PGP加密手段： 498)this.width=498;' onmousewheel = ' javascript:return big(this)' src="/files/uploadimg/20051219/1015191.jpg">但是如果使用WebMail，通常情況下就沒有這種加密保障了。 要實現加密傳輸，就需要在使用WebMail前，使用加密軟體手工對郵件附件進行加密處理。 對於普通使用者而言，這是件很麻煩的事，必須首先經過加密系統的培訓。 萬事總有特殊，HTTP://www.hushmail.com/ 是一個提供加密技術的WebMail網站，感興趣者可以前往一試： 498)this.width=498;' onmousewheel = 'javascript: return big(this)' src="/files/uploadimg/20051219/1015192.jpg">增強WebMail供應商的系統安全 根據近幾年安全事故數量統計，WebMail系統供應商的安全問題也值得重視。 例如，1999年8月，在Hotmail網站發現了一個安全性漏洞，通過它，攻擊者無需口令即可直接存取使用者帳號。 而且，近幾年來，Hotmail網站出現了一連串安全問題，每次事件都對上千個帳號的安全構成了潛在威脅。 因此，WebMail系統供應商必須努力加強其系統的安全鑒定程式。 同時，還要盡可能地縮短郵件伺服器進行安全檢測的時間間隔，使之看上去在「永不疲倦地工作」。 另外，如果郵件伺服器中儲存的資訊非常緊急，還應著重考慮實施伺服器鏡像或熱備份措施。 建立有效的安全規則和制度 要取得良好的效果，單純依靠技術是遠遠不夠的！ 「技術+管理」才是全面的、有效的根本策略。 一個組織的安全規則要描述清晰，易理解、可操作，使普通使用者和高級使用者都能真正地貫徹執行。 例如： 1、規定「本公司的工作人員在工作時間不得使用WebMail收發電子郵件，可能的WebMail系統包括Hotmail、Yahoo mail、SinaMail、SohuMail等等」。 2、規定「本公司的工作人員可以每週使用WebMail收發電子郵件不超過1次，除此之外，工作人員在工作時間不得使用WebMail收發電子郵件」。 另外，規則中還應描述違反規則可能造成的後果、如何對使用者使用方式進行監控等情況。 禁止使用WebMail的方案 如果要嚴格禁止內部使用者使用WebMail收發郵件，可以通過修改防火牆或路由器的網路設定來實現。 首先，確定要阻斷的WebMail網站之IP位址。 然後，在防火牆或路由器上設置對這些位址進行阻斷。 但是請注意，單單設定IP位址資訊還不行，因為提供WebMail的網站一般還提供其他的服務，例如Yahoo WebMail還兼有搜尋引擎的功能。 因此，必須進一步地確定WebMail服務的埠資訊。 另外，我們還可以使用網際網路過濾和監測軟體來禁止使用WebMail。 例如，HTTP://www.elronsw.com 的Elron網際網路管理器就是這麼一款軟體，通過在過濾字典中添加「Yahoo mail」，就可以有效阻斷對Yahoo WebMail的訪問： 498)this.width=498 ;' onmousewheel = 'javascript:return big(this)' height=262 src="/files/uploadimg/20051219/1015193.jpg" width=443>除了Elron外，使用網際網路監視軟體，如 HTTP://www.websense.com/，也可以達到限制訪問WebMail網站的目的， 所要做的就是在其安全性原則中明確禁止訪問網站的細節情況： 498)this.width=498;' onmousewheel = 'javascript:return big(this)' src="/files/uploadimg/ 20051219/1015194.jpg">結 語以上討論了在Web上收發電子郵件的安全隱患及防範對策， 我希望普通使用者和管理人員都可以從中學到了更多的防衛手段。 安全從來就不是一蹴而就、一勞永逸的事情，它是網路時代的萬里長征，需要技術、更需要管理，需要我們每一個網路人的不懈努力。 給力(0票)動心(0票)廢話(0票)專業(0票)標題党(0票)路過(0票) 原文：WebMail應用之安全隱患及對策 返回網路安全首頁