聚焦IDC

１、继续加深反垃圾邮件的立法，加入对垃圾邮件提供者的严厉惩罚，斩断垃圾邮件利益链的最上层，这样，垃圾邮件才有可会从源头减少。

２、尽量选购包含了所有主流垃圾邮件过滤技术的产品，并且仔细考查它们的处理方式、性能、误判率和漏判率，以及扩展性和各种产品之间的兼容性等。还有，产品的提供商和销售商的服务方式和后期维护能力也要在考虑的范围。

３、制定与自己实际需求相应的邮件安全策略。反垃圾邮件并不是一种技术或服务就可以完成的，而且它应当包括在整个邮件系统的安全策略之内，它是一种多种技术和服务相互协作的一个系统的过程。同时，在设计邮件系统时就应当将安全设计理论考虑进出，应当从企业网络边界、邮件服务器和客户端三个层面一起进行安全部署。如果有条件，最好每一层所使用的产品都不是同一提供商的。这是因为每个提供商在邮件系统安全的各个层面都有自己最拿手的，也有自己比较弱的，因此，充分利用每个产品最好的功能应用到相应的层面，达到的效果才是最好的。

4、将邮件系统安全策略集成到企业的整个IT安全策略当中，充分利用其它安全设备来减少邮件系统的安全威胁。同样，提高邮件系统的安全，也会减少给企业带来其它途径的安全威胁。邮件系统安全与企业整个IT环境的安全是相辅相承的。

5、加强对电子邮件用户的网络安全知识的培训工作。

总之，反垃圾邮件是一场持续而艰苦的斗争，我们只有不断地了解垃圾邮件的发展方向，充分利用已有的垃圾邮件过滤产品，构造行之用效的垃圾邮件防范措施，才能将垃圾邮件所带来的风险控制在我们能够承受的水平之内，电子邮件才能真正意义上为我们带来效益。

在垃圾邮件和伴随而来的邮件欺诈问题愈演愈烈的今天，其安全风险的主要威胁在于用户处理邮件安全问题的经验不足，事实上针对此类威胁需要展开有针对性的防御手段加以防护。

一 采用身份盗窃保护

多数身份盗窃保护提供个人信用报告，用户可以从中查看自己的信用历史并验证其是否最新、最精确。多数服务允许用户每天监控信用情况，并提醒任何可疑的活动，比如非法使用该用户姓名开账户或查询用户的信用文件。身份盗窃保护还可以帮助用户改正信用文件中的任何错误，在一定程度上提高用户的防欺诈能力。

二 不要使用主邮件地址

在网上随意使用主邮件地址让垃圾邮件制造者有更多的机会把用户加入他们的邮件列表中。使用临时或不重要的账号进行在线交易。

三 使用临时或一次性信用卡

在可疑的情况下，使用临时或一次性信用卡。多数大银行都提供此类信用卡以避免信用卡被滥用。

四 不要打开

尽可能不要打开垃圾邮件。垃圾邮件经常包含特定软件程序，让垃圾邮件制造者能够判断多少或哪些邮件地址收到并打开了邮件。绝大多数可疑邮件都是垃圾邮件。

五 不要回应

对于来自未知或可疑地址的邮件，最好的方法是删除它们，或让垃圾邮件过滤器隔离它们。如果用户回复垃圾邮件，甚至要求把自己的邮箱地址从发送的邮件列表中删除，垃圾邮件发送方会确定用户的邮箱地址是有效的，那么用户的收件箱将成为更多垃圾邮件的目标。如果用户不确定来自某个公司的个人信息请求是否合法，请直接联络这家公司或通过浏览器直接访问其网站。

六 不要点击

如果用户点击垃圾邮件中的链接（即使是”退订”链接），用户的计算机会可能感染间谍软件或病毒。如果邮件（来自银行、信用卡公司、eBay、PayPal等等）中要求用户点击某个链接验证账户信息，千万不要这样做。这些金融机构已经拥有用户的详细账户信息，因此验证或确认是不必要的。简单地删除这样的邮件即可。如果对一封来自你熟悉的机构的邮件存有疑问，请通过电话联络他们。

七 不要购买

垃圾邮件之所以存在是因为有利可图。发送一百万封邮件的成本几乎可以忽略不计。一百万中有一个人购买他们的东西，他们就能赚钱。永远不要从垃圾邮件发送者那里购买任何东西。告诉朋友和家人也不要购买，不管他们的产品看上去有多吸引人。

八 不要相信你读到的每一件事情

在节日期间，转发警告邮件和链式邮件是很普遍的事情。垃圾邮件发送者可以从这些转发邮件中获得大量的邮件地址信息。经过多次转发，这些邮件可能会包含数百个有效的邮件地址。唯恐错过信息或希望捉弄其他人的人们会发现他们已经成为垃圾邮件发送者的目标。

九 一定确保ISP或公司拥有垃圾邮件 病毒和间谍软件保护

垃圾邮件经常与病毒有关，因此用户同时需要反垃圾邮件和反病毒保护。垃圾邮件中的链接经常指向包含间谍软件或恶意软件的网站。向ISP或公司的IT部门确认拥有抵御这些威胁的安全措施。在网关处有反垃圾邮件、反病毒和反Web恶意软件保护非常重要。

十 利用常识

如果看上去就像垃圾邮件或网络欺诈，很可能就是，删除它。

安全电子邮件是指收发信双方都拥有电子邮件数字证书的前提下，发件人通过收件人的数字证书对邮件加密, 如此一来，只有收件人才能阅读加密的邮件，在Internet上传递的电子邮件信息不会被人窃取，即使邮件被截留或发错邮件，别人也无法看到邮件内容，保证了用户之间通信的安全性。

安全电子邮件知多少？

作为企业网络应用核心之一，电子邮件为企业进行信息交流提供了有力支持。在带给人们便利的同时，电子邮件也带来了诸如垃圾信息、密码被破译、邮件被监听等安全问题，随着安全电子邮件技术的发展，电子邮件所遭遇的安全问题正在被逐步化解。

端到端的安全电子邮件技术

端到端的安全电子邮件技术保证邮件从发出到被接收的整个过程中，内容无法修改，并且不可否认。PGP和S/MIME是目前两种成熟的端到端安全电子邮件标准。

PGP（Pretty Good Privacy）被广泛采用，通过单向散列算法对邮件内容进行签名，以保证信件内容无法被修改，使用公钥和私钥技术保证邮件内容保密且不可否认。发信人与收信人的公钥都保存在公开的地方，公钥的权威性则可以由第三方进行签名认证。在PGP系统中，信任是双方的直接关系。

S/MIME (Secure/Multipurpose Internet Mail Extensions)同PGP一样，利用单向散列算法和公钥与私钥的加密体系。但是S/MIME也有两方面与PGP不同：一是S/MIME的认证机制依赖于层次结构的证书认证机构，所有下一级的组织和个人的证书由上一级的组织负责认证，而最上一级的组织（根证书）之间相互认证；二是 S/MIME将信件内容加密签名后作为特殊的附件传送。S/MIME的证书格式采用X.509，与网上交易使用的SSL证书有一定差异。在国外，Verisign向个人提供S/MIME电子邮件证书；在国内则有北京天威诚信公司提供支持该标准的产品。在客户端，Netscape Messenger和Microsoft Outlook都支持S/MIME。

传输层的安全电子邮件技术

电子邮件包括信头和信体。端到端安全电子邮件技术一般只对信体进行加密和签名，信头则由于邮件传输中寻址和路由的需要，必须保证不变。在一些应用环境下，可能会要求信头在传输过程中也能保密，这就需要传输层的技术作为后盾。目前主要有两种方式能够实现电子邮件在传输过程中的安全: 一种是利用SSL SMTP和SSL POP; 另一种是利用VPN或者其他IP通道技术。

SMTP（简单邮件传输协议）是发信的协议标准，POP（邮箱协议）是收信的协议。SSL SMTP和SSL POP即在SSL所建立的安全传输通道上运行SMTP和POP协议，同时又对这两种协议作了一定的扩展，以便更好地支持加密认证和传输。这种模式要求客户端的E-mail软件和服务器端的E-mail服务器都支持并且都必须安装SSL证书。基于VPN和IP通道技术，封装所有的TCP/IP服务，也是实现安全电子邮件传输的一种方法。这种模式往往是整个网络安全机制的一部分。

邮件服务器的安全与可靠性

建立一个安全的电子邮件系统，仅仅依赖安全标准还远远不够，还需要保障邮件服务器本身的安全性。

针对邮件服务器的攻击可分为网络入侵和服务破坏两种。对于网络入侵的防范，主要依赖于软件编程时的严谨程度。对于防范服务破坏，用户可以从防止外部攻击、防止内部攻击以及防止中继攻击三方面考虑。

防止来自外部网络的攻击，包括拒绝来自指定地址和域名的邮件服务连接请求，拒绝收信人数量大于预定上限的邮件，限制单个IP地址的连接数量，暂时搁置可疑的信件等。防止来自内部网络的攻击包括拒绝来自指定用户、IP地址和域名的邮件服务请求，强制实施SMTP认证，实现SSL POP和SSL SMTP以确认用户身份等，防止中继攻击，包括完全关闭中继功能，按照发信和收信的IP地址和域名灵活地限制中继，按照收信人数限制中继等。

万网邮箱伴侣是首款实现电子邮件安全加密的客户端，该客户端登录时，可以通过Webmail和Outlook发送（无论对方的邮局在何处申请）和接收全程 加密的邮件，不仅仅可以实现传输通道加密，更重要的能实现邮件内容的加密，即使邮箱密码被盗或者邮件内容遭恶意窃取，也不用担心泄露重要机密。

电子邮件安全供应商Proofpoint公司委托Forrester研究公司做的一项调查发现，41%的公司(拥有20000名员工甚至更多的公司)向员工支付费用以让员工手动读取或者自动分析其他员工发送的电子邮件，这些公司正在测试可能向公司外部泄露重要数据的情况，不管是有意的或是无意的。这种查看个人邮件行为是合法的，美国法院规定使用公司设备发送或者接受到的电子邮件都属于公司财产，可以由公司进行查看管理。

如果员工在电子邮件、即时消息、博客、互联网讨论组、社交网站(如Myspace等)以及媒体共享网站(如YouTube等)中泄露未经授权的重要信息，可能面临炒鱿鱼的风险。根据Forrester研究的结果表明，26%的大型企业表示他们已经至少解雇了一名违反电子邮件政策的员工。

另外一种谬论就是，如果你想要避免电子邮件带来的潜在问题，可以在接收或者阅读电子邮件后予以删除，并要求发送对方也同样进行删除。事实是，即时立即删除电子邮件，也有可能通过复原或者磁盘备份等方式被其他人查看。

另一方面，不要认为管理层有权利阅读你的电子邮件，你就有同样的权利阅读管理层或者其他员工的电子邮件。

总的来说，在处理电子邮件时，要谨慎小心，这对管理层同样适用，不管是大型企业还是小型企业，最常用的方法就是创建企业电子邮件政策，明确规定电子邮件的使用方法以及管理层对电子邮件管理权利。这样能够在第一时间预防很多问题。

公司同样可以要求员工保留旧邮件，根据美国法律规定，故意删除电子邮件阻碍联邦调查的公司最高可面临100万美元的罚款。

有很多应用程序可以帮助公司管理和分析电子邮件，如MailMeter Archiv就是适合5到5000名员工公司使用的产品。该软件可以获取所有员工发送和接收的信息，并保存在数据库中，同时还能分析电子邮件以检测内容，这能够帮助你确定哪些人发送了很多邮件，哪些人向重要客户发送了邮件， 或者哪些人向外部发送笑话、音乐或者客户列表。如果你不希望某些人看到这些电子邮件，可以选择时候电子邮件加密程序，标准程序就是PGP Desktop，该程序能够自动加密电子邮件，向那些没有加密程序的人发送自我解密邮件。

电子邮件的实用性很强，不管是商业用途还是个人用途，但是像所有通信媒介一样，电子邮件有优点也有缺点，那就是安全性，层层环节使我们不知道怎么可以使它安全。

2009年8月31日消息：2009年8月20日-28日，由中国互联网络信息中心（CNNIC）承办的亚太地区顶级域名组织北京会议（APTLD北京会议）和第28届亚太网络信息中心开放政策会议（APNIC28会议）相继在北京召开。会议就国际互联网界普遍关注的IP地址紧缺问题、互联网安全运维问题以及国际化域名的建设等多项内容展开了热烈的讨论。其中，面对日益严重的网络攻击等网络安全问题，与会的互联网专家普遍认为，要从国家层面加强互联网的安全与治理，重视并加大域名系统等重要网络基础设施的保护力度，为亿万网民营造一个”安全、可靠”的互联网环境……

不久前，韩国总统府、国防部和韩国一些主要银行等11家主流网站，遭到黑客攻击。事后，韩国情报机构发表声明说，韩国1.2万台个人电脑和国外 8000台个人电脑遭黑客”俘虏”，沦为攻击工具。无独有偶，几乎在同一时期，大洋彼岸的美国，其财政部、特工处、交通部等单位的14家网站也遭黑客攻击。国际著名网络安全专家Roland Dobbins在对美国7月份的 DDOS网络攻击进行分析后表示，网络攻击技术越来越智能化，针对域名系统的攻击与日俱增，网络攻击是互联网头上的一片新乌云。域名系统就像是”空气”，平时我们感觉不到它的存在，但是一旦出现问题，其影响可能是”致命”的。

实际上，发生在异国他乡的网络攻击事件离我们并不遥远，中国同样不是网络安全的避风港。近期告破的”5·19″六省网络故障事件，就是由于个别网站的域名解析系统受到网络故击，导致电信DNS服务器故障而造成。CNNIC副主任李晓东表示，域名系统是一种公开服务，历来是被攻击的对象，从”5·19″网络故障发生的过程来看，相关机构对域名系统的重要性认识不足，重视程度不够，安全保障能力比较低。

APTLD主席Jonathan认为，维护互联网运行安全人人有责，任何一个机构都不能独善其身。在国际层面上，各个国家和地区一定要通力合作才能解决问题，这个做法在对付蠕虫病毒的事件上已经得到很好的实践。在顶级域名安全方面， CNNIC刚刚启用了CN域名北美节点，形成了国内主要运营商顶级节点和亚欧美海外顶级节点组成的国家域名服务平台。前不久因地震和台风导致海缆中断，CN域名未受影响，节点部署在保障CN域名解析的安全性和稳定性上初见成效。

目前发达国家都非常重视互联网的安全与治理，均将其纳入到其国家安全战略的核心。美国总统奥巴马专门设立了白宫网络安全办公室，负责互联网安全与治理，并组建了网络战司令部。英国政府最近也设立网络安全办公室，加强对互联网安全的管理力度。与会专家建议，发达国家对网络安全的重视值得我们借鉴，驱散在网络攻击的新乌云需要在国家战略层面上部署。