2015 年


2015-03-23

技術服務處 資深經理 張世鋒

別慌張!談郵件外寄主機被加入網路黑名單(RBL)的處理與預防實務

網路上即時阻擋清單(Real time Block List,RBL)的來源,除了具公信力的第三組織外,也有國際防毒大廠建立的垃圾信網路信用評價(Network Reputation Services)或者電信公司 ISP 業者自行蒐集的黑名單為主。本文針對 RBL 問題,提供常見的處理方式與預防機制的說明。外寄主機加入黑名單較常見的原因有以下:

1.外寄大量廣告信
未在收件方郵件主機合法名單,或發信行為遭其他郵件主機或郵件使用者檢舉為垃圾信發信主機。

2.郵件帳號遭盜用
因使用者帳號密碼遭盜用,對其他郵件主機進行大量發信,發信行為被判斷為異常發信行為(ex. DoS/DDoS 攻擊)遭檢舉至 RBL 單位。

3.產生退信攻擊行為
因該寄件人為垃圾信主機偽造發送,郵件主機收信後,因「帳號不存在」或該「帳號空間不足」產生退信,因大量對外發送退信造成主機被判斷為退信攻擊主機。

4.網路架構問題造成
因公司對外公開 Public IP 僅有 1 組,內部多套系統共用下,如其中 1 套系統產生中毒或遭惡意程式攻擊,造成該 IP 被檢舉為黑名單。


當發生黑名單問題時,先進行系統檢查

如發生問題時,請先檢查可能的發生原因。例如,當收到退信通知,發現外寄信件有被阻擋時,如為郵件主機遭檢舉,可以從收發信紀錄查詢時間區段內有無異常的大量外寄信件或退信,針對問題帳號先進行停權;如為其他外寄閘道設備,可以從該閘道設備提供的紀錄檢閱中,檢查時間區段內有無異常的大量外寄信件或退信,針對異常發送或遭盜用帳號,切回後端郵件系統進行停權,避免持續發送與接收大量退信。提醒,申請解除阻檔前,務必確認是否已解決帳號被盜發、或寄發大量 EDM 信件出去等問題,以避免申請解除之後,又再被加入黑(灰)名單中。接下來可依照公司現有環境選擇適合的處理機制,包含:
 

  • 置換外寄或郵件主機IP
    IP 取代原外寄主機 IP 先恢復正常寄信。待 RBL 封鎖解除後,可置換回原 IP 或轉成備用。(注意:此方式需預先完成相關 DNS 設定。)
     
  • 置換外寄主機
    如現有環境有其他外寄閘道設備,亦可設定將外寄信件遞送閘道設備對外送信,待 RBL 解除後,再將設定改為由郵件主機直接送信。
     
  • 申請解除封鎖
    從退信訊息分析 RBL 單位,登入該 RBL網站,線上申請解除封鎖各個 RBL 單位解除方式不同,可參考各 RBL 網站說明。
     
  • 設定 IP 白名單
    如有緊急信件需遞送,可請收件方主機將我方外寄主機 IP 加入白名單。
     

平時做好預防措施,降低發生機率

依公司資源多預留備用IP,是提供緊急置換是最基本的預防機制,但使用此方法需預先完成相關 DNS 設定。其次檢查網路架構,避免對外僅使用一組 Public IP 的風險。針對跟公司往返密切的單位,可以事前約定加入彼此的白名單,減少因彼此主機被列為 RBL,導致無法正常互寄信件。

關於查閱是否被加入 RBL 黑名單,網路上也有組織專門在提供定時監看 RBL 網站的服務,可以參考使用。如下資料所示

網路監看 RBL 單位:http://www.anti-abuse.org



最後可依照郵件系統主機或外寄主機的功能,定時監看有無可疑的發信行為,例如時間區段內「同一寄件人、同一信件來源、同一信件標題」等發信數量超過系統定義的風險標準,發現後立即檢查可疑帳號或行為進行處理。



讀信安全的部份,建議可以例如讀信時可設定去除信件內 JavaScript 語法或強制將信件轉換為純文字格式,提高人員讀信安全及避免誤點惡意連結造成帳密外洩。或者可調整密碼安全政策設定、設定 WebMail 登入提供虛擬螢幕鍵盤或圖形驗證碼、定期進行密碼變更與弱密碼分析。



最後在帳號管理的部份,建議可以定時透過工具檢查使用者帳密強度是否安全,或者定期檢查現有郵件帳號是否有久未使用的帳號,進行帳號處理或暫停發信功能,其次定期進行電腦掃毒,降低因中毒造成不合法行為。