CN100484107C - 一种邮件筛选方法、装置及系统 - Google Patents

Abstract

本发明公开了一种筛选邮件的方法，以克服现有反垃圾邮件技术不能解决发送者的欺骗行为的技术问题，该方法的步骤包括：A、在网络层截取原始邮件的数据报文信息；B、将所述数据报文信息经过协议分析和会话还原得到原始邮件；C、判断所述原始邮件是否为垃圾邮件，若是，则阻断该邮件，否则，放行该邮件。相应地，本发明还公开了一种邮件筛选装置及系统。

Description

一种邮件筛选方法、装置及系统

技术领域

本发明涉及电子邮件系统领域，更为具体地说，本发明涉及一种邮件筛选方法、装置及系统。

背景技术

随着信息时代的到来，电子邮件在人们的生活中扮演越来越重要的角色，企业进行业务往来更加依赖于邮件系统的正常运行。邮件系统的安全以及信息传递内容的管理也变得极为重要。然而企业资源也不断地遭到病毒程序、垃圾邮件、非法内容的侵犯，干扰企业正常运作，造成邮件系统的瘫痪，泄漏企业机密信息，可能会损害企业的信誉甚至导致企业陷入法律纠纷。一种比较低价有效的解决方法就是在互联网和内部子网之间设立一个网关，在垃圾邮件到达组件服务器之前就将垃圾邮件成功阻断。

简单邮件传输协议(Simple Mail Transfer Protocol，SMTP)是传输控制协议/互连网协议(Transmission Control Protocol/Internet Protocol，TCP/IP)族中的一员，主要对电子邮件从发送地址传送到接收方地址，也即对传输的规则作了规定。在对SMTP协议的处理中，系统可以在透明网桥的模式下实现完全的对邮件的存储转发，并实现对SMTP协议的各种攻击的防范功能。SMTP通常有两种工作模式：发送SMTP和接收SMTP。参考图1，图示了SMTP协议通信模型。

建立传送通道：发送SMTP在接收到用户的邮件请求后，判断邮件是否为本地邮件，若是则直接投送到用户的邮箱，否则向域名服务器(Domain NameSever，DNS)查询远端邮件服务器的邮件交换(Mail Exchange，MX)记录，并建立与远端接收SMTP之间的一个双向通道，此后SMTP命令由发送SMTP发出，由接收SMTP接收，而应答则反向传送。

传送邮件：传送通道建立后，SMTP发送者发送电子邮件(E-mail)命令指明邮件发送者。如果SMTP接收者可以接收邮件则返回OK应答。SMTP发送者在发出RCPT命令确认邮件是否接收到。如果SMTP接收者接收，则返回OK应答；如果不能接收到，则发出拒绝接收应答，双方将如此重复多次。

传送完毕：当接收者收到邮件报文后会接收到特别的序列(\r\n.\r\n)表示传送完毕，如果接收者成功处理了邮件，则返回OK应答。

SMTP服务器一般使用25号端口号，一般的反垃圾邮件网关系统都是在收到邮件结束标志以后，将邮件存储转发，在SMTP邮件发送方和接收方之间建立连接时，接收方只是简单地查询发送是否是一个合法用户，不区分正常的邮件发送和垃圾邮件发送行为，一旦接收方的接收服务器准备好接收邮件，它就无条件地响应发送方发送请求。现在的大多数服务器都带有SMTP认证，对于来自客户端的邮件发送请求，一般需要身份认证，才发送，但对于来自发送方邮件服务器的投递请求，几乎所有邮件都会全部接收，没有任何限制。参照互联网工程任务组(Internet Engineering Task Force，IETF)的关于SMTP协议的请求注解(Request For Comments，RFC)文档821：SMTP在有些场合时不安全的，它不能限制邮件发送者的某些欺骗行为。

垃圾邮件制造者正是利用了这个协议设计上的漏洞，在发送邮件时伪造发信人的特征信息，如：发信人、信件路由等，甚至在通过匿名转发、开放转发和开放代理等技术手段后，垃圾邮件的发信人特征几乎可以完全蒙混过去，这就导致垃圾邮件泛滥。

目前市场上流行的反垃圾邮件网关，需要增加一台邮件网关服务器，修改其DNS中的MX邮件服务器记录指向邮件网关，同时配置邮件网关，将所有经过扫描过滤的邮件，投递到原来的服务器。但仍然对诱骗技术无能为力。

由此可见，存在现有反垃圾邮件技术不能解决发送者的欺骗行为的技术问题。

发明内容

本发明的实施方式所要解决的技术问题在于，提供一种筛选邮件的方法、装置以及系统，以解决现有反垃圾邮件技术不能解决发送者的欺骗行为的技术问题。

为了解决上述技术问题，本发明的实施方式提出了一种筛选邮件的方法，该方法的步骤包括：

A、在网络层截取原始邮件的数据报文信息；B、将所述数据报文信息经过协议分析和会话还原得到原始邮件；C、判断所述原始邮件是否为垃圾邮件，若是，则阻断该邮件，否则，放行该邮件。

其中，步骤A具体包括：

a、将所述原始邮件的数据报文信息从操作系统协议栈重定向到用户程序空间；

b、用户程序空间的用户程序扣留所述数据报文信息中的最后一个数据包，并将其余数据报文信息进行备份后回注到所述操作系统协议栈。

步骤C具体包括：对所述原始邮件进行邮件分析，若是垃圾邮件，则丢弃所述最后一个数据包以阻断该邮件，否则，回注所述最后一个数据包到所述操作系统协议栈以放行该邮件。

相应地，本发明的实施方式提出了一种邮件筛选装置，该装置包括：

数据报文截取模块，用于在网络层截取原始邮件的数据报文信息；

协议分析模块，与数据报文截取模块耦接，用于对所述数据报文信息进行协议分析和会话还原以得到原始邮件；

邮件分析模块，与所述协议分析模块和数据报文截取模块耦接，用于判断所述协议分析模块还原得到的原始邮件是否为垃圾邮件，若是，则阻断该邮件，否则，触发所述数据报文截取模块放行该邮件。

另一方面，本发明的实施方式还提供了一种邮件筛选系统，包括邮件客户服务端、邮件服务器，在邮件客户端和邮件服务器之间耦接有邮件筛选装置，该装置包括：

数据报文截取模块，用于在网络层截取原始邮件的数据报文信息；

协议分析模块，与数据报文截取模块耦接，用于对所述数据报文信息进行协议分析和会话还原以得到原始邮件；

邮件分析模块，与所述协议分析模块和数据报文截取模块耦接，用于判断所述协议分析模块还原得到的原始邮件是否为垃圾邮件，若是，则阻断该邮件，否则，触发所述数据报文截取模块放行该邮件。

实施本发明具有以下有益效果：

本发明的实施方式提供的一种筛选邮件的方法、装置及系统的技术方案是通过在网络层截取原始邮件的数据报文信息，然后根据该数据报文信息会话还原出原始邮件并判断其是否为垃圾邮件，如果是垃圾邮件就将其阻断，否则放行邮件。每当接收到邮件数据信息，都要判断其是否为垃圾邮件，有效地克服了转发模式上一些垃圾邮件的诱骗技术，以达到有效地阻止垃圾邮件的效果。

附图说明

图1是现有的一种SMTP协议通信模型；

图2是本发明一种邮件筛选系统的具体实施例的结构示意图；

图3是图2所示实施例中数据报文截取模块的结构示意图；

图4是图2所示实施例中协议分析模块的结构示意图；

图5是图2所示实施例中邮件分析模块的结构示意图；

图6是本发明一种筛选邮件的方法一个具体实施例的主流程图；

图7是本发明一种筛选邮件的方法一个具体实施例的详细流程图；

图8是图7中步骤S708的具体流程图。

具体实施方式

本发明的实施方式提供的一种筛选邮件的方法、装置及系统的技术方案是通过在在网络层截取原始邮件的数据报文信息，然后根据该数据报文信息会话还原出原始邮件并判断其是否为垃圾邮件，如果是垃圾邮件就将其阻断，否则放行邮件。

参考图2，图示了本发明的一种邮件筛选系统的具体实施例的结构示意图。该系统包括：邮件客户端201、邮件筛选装置202及邮件服务器203。其中，邮件筛选装置202包括：

数据报文截取模块2021，用于在网络层截取原始邮件的数据报文信息。

协议分析模块2022，与数据报文截取模块2021耦接，用于对所述数据报文信息进行协议分析和会话还原以得到原始邮件。

邮件分析模块2023，与协议分析模块2022和数据报文截取模块2021耦接，用于判断所述原始邮件是否为垃圾邮件，若是，则阻断该邮件，否则，放行所述邮件。

其中，如图3所示，数据报文截取模块2021包括：

数据包重定向模块301，用于将数据报文信息从操作系统(如Linux系统)协议栈重定向到用户程序空间，即利用网络包过滤和IP数据包对列机制将所述数据报文信息从操作系统协议栈传送到用户程序空间；

数据包处理模块302，与数据包重定向模块301耦接，用于扣留所述数据报文信息中的最后一个数据包，并将其余数据报文信息备份到IP报文队列后回注到所述Linux系统协议栈。

其中

数据包重定向模块301包括：

网络数据包过滤单元3011，用于截取所述源端口号或目的端口号为25的SMTP数据报文信息；

IP队列传送单元3012，与网络数据包过滤单元3011耦接，用于将所述截取的数据报文信息从Linux系统协议栈传送到用户程序空间。

如图4所示，协议分析模块2022包括：

IP分片处理单元401，用于对所述数据报文信息进行IP分片处理；

TCP数据流重组单元402，用于对经过所述IP分片处理后的数据报文信息进行数据流重组，还原出原始信息；

SMTP会话还原单元403，对经过TCP数据流重组单元402重组还原出来的原始信息进行SMTP会话还原得到原始邮件；

邮件队列管理单元404，采用双缓冲队列对所述原始邮件进行缓冲队列管理。

如图5所示，邮件分析模块2023包括：

攻防检测单元501，用于对邮件进行攻击防护检测；

邮件头检测单元502，与攻防检测单元501耦接，用于对所述邮件的邮件头检测分析，判断该邮件是否为垃圾邮件；

行为过滤单元503，用于对经过邮件头检测单元502处理后的邮件进行基于行为的过滤；

统计分析单元504，用于对经过行为过滤单元503处理后的邮件进行统计分析，判断是否为垃圾邮件；

查毒单元505，用于检查经过统计分析后的邮件是否含有病毒；

规则过滤单元506，用于对经过查毒单元505处理后的邮件进行规则过滤。

在上述实施例中，邮件筛选装置不仅可以筛选客户端发送到邮件服务器的邮件，还可以筛选邮件服务器到客户端或另一服务器的邮件。

上面详细叙述了本发明的实施例提供的一种邮件筛选系统和装置的具体实施方案，下面结合附图进一步阐述本发明的实施例提供的一种筛选邮件的方法的具体实施方案。

参考图6，图示了本发明一种筛选邮件的方法一个具体实施例的主流程图；该方法包括：

步骤S601，在网络层截取原始邮件的数据报文信息，具体包括；a、将所述原始邮件的数据报文信息从操作系统协议栈重定向到用户程序空间，b、用户程序空间的用户程序扣留所述数据报文信息中的最后一个数据包，并将其余数据报文信息进行备份后回注到所述操作系统协议栈；

步骤S602，将所述数据报文信息经过协议分析和会话还原得到原始邮件

步骤S603，判断所述原始邮件是否为垃圾邮件，若是，则阻断该邮件，否则，放行该邮件。

为了进一步阐述本发明的实施例提供的方法的技术方案，参考图7，图示了本发明一种筛选邮件的方法一个具体实施例的详细流程图。该方法包括：

步骤S701，通过网络数据包滤波(Netfilter)机制将源端口号或目的端口号为25的SMTP数据报文信息截取下来；

步骤S702，通过IP数据包队列(IP_Queue)机制将截取下来的所述数据报文信息从Linux系统协议栈传送到用户程序空间；

步骤S703，用户程序空间的用户程序扣留所述数据报文信息中的最后一个数据包(如SMTP数据报文信中仅含有\r\n.\r\n的数据包)，其余数据报文信息备份到IP队列，然后回注到所述Linux系统协议栈，具体包括：b1、用户程序空间的用户程序扣留所述数据报文信息中的数据包并将其备份到IP报文队列中，b2、如果所述数据包是会话中的最后一个数据包，则扣留，否则将其回注到所述操作系统协议栈；

步骤S704，对所述数据报文信息进行IP分片处理；

步骤S705，对经过所述IP分片处理后的数据报文信息进行TCP数据流重组；

步骤S706，对经过所述TCP数据流重组后的数据报文信息进行SMTP会话还原得到原始邮件信息；

步骤S707，采用双缓冲队列对所述原始邮件进行邮件缓冲队列管理，等待进行邮件分析；

步骤S708，对所述原始邮件进行邮件分析，若是垃圾邮件，则丢弃所述最后一个数据包以阻断该邮件，否则，回注该数据包到所述Linux系统协议栈以放行该邮件。

其中，如图8所示，步骤S708具体包括：

步骤S7081，对所述邮件进行攻击防护检测，并更新防护日志，如在较短时间内收到同一IP地址发送来的大量邮件，则一定程度上认为可能受到攻击；

步骤S7082，对所述邮件进行邮件头检测分析，比如，提取FROM域的值判断是不是在黑名单中，如果是，则进入步骤S7088，否则进入步骤S7083；

步骤S7083，对通过所述邮件头检测检测的邮件进行基于行为的过滤，如果符合垃圾邮件条件，则进入步骤S7088，否则进入步骤S7084；

步骤S7084，对通过所述基于行为的过滤的邮件进行统计分析，如利用贝叶斯方法判断邮件中敏感词汇为垃圾邮件的概率，如果符合垃圾邮件条件，则进入步骤S7088，否则进入步骤S7085；

步骤S7085，对所述统计分析的邮件进行查杀病毒，如果附件中含有病毒，则进入步骤S7088，否则进入步骤S7086；

步骤S7086，对经过查毒的邮件进行规则过滤，根据相关规则对邮件进行判分，如果所得分数超过规定的阈值，则进入步骤S7088，否则进入步骤S7087；

步骤S7087，回注所述最后一个数据包到所述操作系统协议栈以放行该邮件；

步骤S7088，丢弃所述最后一个数据包以阻断该邮件，并在本地对所述邮件进行备份。

在上述所有实施例中所述的操作系统不限于Linux系统。

一方面，本发明的实施方式提供的一种筛选邮件的方法、装置及系统的技术方案是通过利用SMTP时延特性在网络层截取数据包，扣留所述数据包中最后一个数据包，然后会话还原出原始邮件并判断其是否为垃圾邮件，如果是，则丢弃所述最后一个数据包，使得其余数据包到达目的端也无法重组还原出原始邮件，否则，回注所述最后一个数据包，使其与其余数据包一起在目的端还原出原始邮件。这样有效地克服了转发模式上一些垃圾邮件的诱骗技术以及分布式拒绝服务(Distributed Deny Of Service，DDos)等网络攻击，以达到有效地阻止垃圾邮件的效果。

另一方面，本发明的实施例对邮件服务器的配置没有任何要求，不影响网络拓扑结构，达到即插即用的效果。并且，本发明的实施例中的邮件筛选装置及系统具有双向过滤功能，它提供双向SMTP和邮局协议第3版本(Post OfficeProtocol 3，POP3)过滤功能，有效地解决了传统反垃圾邮件系统仅支持SMTP单向过滤得缺陷。在服务器端，不仅能防止服务器接收垃圾邮件而且能防止服务器被利用作为垃圾邮件的发送源，同时在客户端，还能防止收信者接收到垃圾邮件和阻止不良分子接收反动邮件。

再一方面，本发明的所有具体实施例的技术方案在实施过程中，对客户端是透明的，可以通过采用模块化的插件方式无缝嵌入邮件筛选装置，可以帮助用户跟踪并记录SMTP、POP3、聊天室、垃圾短信等内容，还能扫描并防止病毒在网络中传播。

以上所揭露的仅为本发明一种较佳实施例而已，当然不能以此来限定本发明之权利范围，因此依本发明权利要求所作的等同变化，仍属本发明所涵盖的范围。

Claims (11)

1、一种筛选邮件的方法，其特征在于，该方法的步骤包括：

A、在网络层截取原始邮件的数据报文信息；

B、将所述数据报文信息经过协议分析和会话还原得到原始邮件；

C、判断所述原始邮件是否为垃圾邮件，若是，则阻断该邮件，否则，放行该邮件。

2、如权利要求1所述的方法，其特征在于，步骤A具体包括：

a、将所述原始邮件的数据报文信息从操作系统协议栈重定向到用户程序空间；

b、用户程序空间的用户程序扣留所述数据报文信息中的最后一个数据包，并将其余数据报文信息进行备份后回注到所述操作系统协议栈。

3、如权利要求2所述的方法，其特征在于，步骤B具体为：

通过对所述备份的数据报文信息和所述最后一个数据包进行协议分析和会话还原，得到原始邮件；

步骤C具体为：

对所述原始邮件进行邮件分析，若是垃圾邮件，则丢弃所述最后一个数据包以阻断该邮件，否则，回注所述最后一个数据包到所述操作系统协议栈以放行该邮件。

4、如权利要求2或3所述的方法，其特征在于，步骤a具体包括：

a1、通过网络包过滤机制截取源端口号或目的端口号为25的SMTP数据报文信息；

a2、通过IP数据包队列机制将截取的所述数据报文信息从操作系统协议栈传送到用户程序空间；

步骤b具体包括：

b1、用户程序空间的用户程序扣留所述数据报文信息中的数据包并将其备份到IP报文队列中；

b2、如果所述数据包是会话中的最后一个数据包，则扣留，否则将其回注到所述操作系统协议栈。

5、如权利要求3所述的方法，其特征在于，步骤B具体包括：

c1、对所述数据报文信息进行IP分片处理；

c2、对经过所述IP分片处理后的数据报文信息进行TCP数据流重组；

c3、对经过所述TCP数据流重组后的数据报文信息进行SMTP会话还原得到原始邮件信息；

c4、采用双缓冲队列对所述原始邮件进行邮件缓冲队列管理，等待进行邮件分析。

6、如权利要求3所述的方法，其特征在于，步骤C具体包括：

d1、对所述邮件进行攻击防护检测，并更新防护日志；

d2、对所述邮件进行邮件头检测分析，如果判断为垃圾邮件，则进入步骤d8，否则进入步骤d3；

d3、对通过所述邮件头检测检测的邮件进行基于行为的过滤，如果符合垃圾邮件条件，则进入步骤d8，否则进入步骤d4；

d4、对通过所述基于行为的过滤的邮件进行统计分析，如果符合垃圾邮件条件，则进入步骤d8，否则进入步骤d5；

d5、对所述统计分析的邮件进行查杀病毒，如果是病毒邮件，则进入步骤d8，否则进入步骤d6；

d6、对经过查毒的邮件进行规则过滤，如果通过规则过滤，则进入步骤d7，否则进入步骤d8；

d7、回注所述最后一个数据包到所述操作系统协议栈以放行该邮件；

d8、丢弃所述最后一个数据包以阻断该邮件，并在本地对所述邮件进行备份。

7、一种邮件筛选装置，其特征在于，该装置包括：

数据报文截取模块，用于在网络层截取原始邮件的数据报文信息；

协议分析模块，与数据报文截取模块耦接，用于对所述数据报文信息进行协议分析和会话还原以得到原始邮件；

邮件分析模块，用于判断所述协议分析模块还原得到的原始邮件是否为垃圾邮件，若是，则阻断该邮件，否则，触发所述数据报文截取模块放行该邮件。

8、如权利要求7所述的装置，其特征在于，所述数据报文截取模块包括：

数据包重定向模块，用于将所述数据报文信息从操作系统协议栈重定向到用户程序空间；

数据包处理模块，与所述数据包重定向模块耦接，用于扣留所述数据报文信息中的最后一个数据包，并将其余数据报文信息备份到IP报文队列后回注到所述操作系统协议栈；

所述协议分析模块包括：

IP分片处理单元，用于对所述数据包进行IP分片处理；

TCP数据流重组单元，用于对经过所述IP分片处理后的数据包进行数据流重组；

SMTP会话还原单元，对经过所述TCP数据流重组单元重组还原出来的信息进行SMTP会话还原得到原始邮件；

邮件队列管理单元，采用双缓冲队列技术对所述原始邮件进行邮件队列管理。

9、如权利要求8所述的装置，其特征在于，所述数据包重定向模块包括：

网络数据包过滤单元，用于在网络层截取所述源端口号或目的端口号为25的SMTP数据报文信息；

IP队列传送单元，与网络包过滤单元耦接，用于将截取的所述数据报文信息从操作系统协议栈传送到用户程序空间。

10、一种邮件筛选系统，包括邮件客户端、邮件服务器，其特征在于，在邮件客户端和邮件服务器之间耦接有邮件筛选装置，该装置包括：

数据报文截取模块，用于在网络层截取原始邮件的数据报文信息；

协议分析模块，与数据报文截取模块耦接，用于对所述数据报文信息进行协议分析和会话还原，得到原始邮件；

邮件分析模块，用于判断所述协议分析模块还原得到的原始邮件是否为垃圾邮件，若是，则阻断该邮件，否则，触发所述数据报文截取模块放行该邮件。

11、如权利要求10所述的系统，其特征在于，所述数据报文截取模块包括：

数据包重定向模块，用于将所述数据报文信息从操作系统协议栈重定向到用户程序空间；

数据包处理模块，与所述数据包重定向模块耦接，用于扣留所述数据报文信息中的最后一个数据包，并将其余数据报文信息备份到IP报文队列后回注到所述操作系统协议栈。

Images