“邮件门”愈演愈烈，如何避免成为“下一个”?

电子邮件系统伴随互联网的发展，已经有40年的历史，如今却成为最容易被攻击的薄弱一环。2016年邮件安全事件愈演愈烈，从总统候选人、足球明星、企业高管到普通电子邮件用户，都措不及防地被邮件安全事件波及。

一、邮件安全事件破坏力惊人

希拉里“邮件门”、贝克汉姆“邮件门”，牵出一长串黑历史，总统落选、名人形象破灭;雅虎邮箱帐户泄露、大型公司陷巨额邮件诈骗等等，直接导致收购交易中止、巨额财产损失、公司股价下跌等灾难性后果。仅2016年发生的邮件安全事故，足以给企业补上沉重的一课，邮件安全事件的破坏力，已经不是泄露少量信息那么简单，一旦处理不当将给企业带来毁灭性打击。您还在花重金加强网络安全防护体系建设，那么邮件安全将是不容忽视的一环。

二、邮件安全——企业安全的阿喀琉斯之踵

目前，电子邮件仍是企业沟通和信息传递最重要的手段，80%以上办公文档、95%以上的公司业务数据、机密文件，都通过电子邮件传递和交流。但是，邮件服务器安全防护不当、安全管理水平低下、客户端安全防护脆弱等因素，使得邮件安全成为企业安全的阿喀琉斯之踵，极易受攻击的致命薄弱点。在日益严峻的市场竞争中，也许一次企业邮件安全事故，足以给企业带来致命杀伤力。

根据360互联网安全中心预测，2017年邮件安全事件将呈现大规模爆发态势，至少产生以下重大影响：

· 邮箱盗号将影响超过 600万企业，50%以上的企业都会遭遇此类攻击;

· 机密信息窃取将影响超过10万企业，但多数情况下企业可能不知情或无感知;

· 基于邮件的商业欺诈将造成经济损失超过50亿元;

· 通过邮件传播的敲诈者病毒将造成经济损失超过2亿元。

三、邮箱攻击的主要方法

· 垃圾邮件

每天高达2000余万封，全年总量约为73亿封，占到企业用户收到邮件总量的69.8%。

· 邮箱盗号

拖库、撞库、暴力破解、木马盗号、钓鱼盗号等手段盗取用户电子邮箱的账户和密码，平均每天遭遇疑似盗号攻击事件约1.0万件。

· 钓鱼邮件

攻击者仿冒特定身份的人或组织，对企业用户或企业用户的邮件联络对象进行欺诈;而攻击者所使用的邮箱发件人的显示名、前缀和后缀都有可能经过精心伪装，进而迷惑被攻击者。

· 带毒邮件

攻击者主要是通过在邮件中夹带有病毒的邮件附件，并诱骗攻击目标打开附件的方式实施攻击。Coremail论客与360的联合监控平台每天截获6000封左右的带毒邮件，最高峰时期可达单日数万封。

四、如何避免陷入下一个“邮件门”

早期的邮件协议并非基于安全而设计的，无法验证发件人身份、无法加密邮件内容，邮件系统常用的弱口令密码认证方式也早已无法适应复杂的互联网安全环境，而邮件系统中心化更加剧了用户凭证批量泄露的安全风险，以及由此造成的身份冒用、电子邮件欺诈等安全事故。

为解决电子邮件身份可信验证、用户凭证安全、用户数据安全等问题，沃通CA推荐的安全电子邮件解决方案如下：

1、 邮件服务器端：

1)为邮件服务器部署沃通SSL证书，保护服务器与客户端之间的数据传输安全，防止中间人窃取和篡改;

2)邮件接收服务器(POP3/IMAP) 和发送服务器(SMTP) 部署沃通SSL证书，确保链路加密;

3)管理邮件服务器时，使用沃通客户端证书实现强身份认证登录，替代不安全的弱口令密码登录方式，防止管理员账户被盗用，造成邮件服务器数据泄露;

4)设置SMTP严格传输安全，根据可信公钥列表验证TLS证书，仅接受特定的TLS连接，并拒绝任何其他连接;

5)启用DMARC协议进行电子邮件认证，邮件发送方通过特定方式 (DNS) 公开标明自己所用的发件服务器 (SPF)，并对发出的邮件内容进行数字签名 (DKIM)，而邮件接受方检查收到的邮件是否来自发送方授权过的服务器，并且核对数字签名是否有效。对于未通过检查的邮件，可按照指定策略进行处理，比如直接投入垃圾箱或者彻底拒收。

2、 邮件客户端：

1)采用支持数字证书加密、签名的邮件客户端登录管理电子邮件账户;

2)申请沃通免费电子邮件加密证书实现强身份认证登录，替代不安全的弱口令密码登录方式;

3)采用沃通免费电子邮件加密证书加密每一份电子邮件内容，加密后的电子邮件即使被窃取、被泄露也是密文状态，没有私钥无法解密邮件内容，确保电子邮件全程安全;

4)采用沃通免费电子邮件加密证书为每一份电子邮件签名，确保邮件来源可信，防止钓鱼邮件或带毒邮件攻击;

5)拒收没有数字签名的电子邮件。

只有在每个环节都严格地配置安全认证机制，遵循安全管理策略，才能更好地提升邮件系统的安全可信程度，避免成为下一个“邮件门”主角。