「你的e-mail是多少？」，「嗨！記得聯絡喔！我給你我的e-mail好了？」…，這些話語顯示了e-mail在現在許多人的生活裡，已經逐漸佔有重要地位，但是它安全問題你知道有哪些嗎？水可載舟亦可覆舟，使用e-mail時要小心才是。

俗語說得好「賠錢生意沒人做，殺頭生意有人做」，這種情形似乎在擔負著越來越高價值的網路電子郵件上可以看出了。許多人利用電子郵件互通有無的同時，也有許多人利用它來竊取他人機密。電子郵件的安全問題和其他網路相關議題一樣，同樣遭受著類似的侵擾。一般來說這些侵擾的威脅來源可以分成下面幾種，我們將一一來談這些威脅。

(一)駭客侵入

這種駭客入侵又可以分成三種不同類型：

1.侵入其他使用者郵件

這種侵入目的著眼於兩點，第一是讀取該使用者信件，第二是假借他的名義發出訊息。遇到這種侵入，一般對策可以分成下面幾種：

(1)利用NAT (Network Address Translator)來保護公司內部位址：外部攻擊者要攻擊網路內部主機時，它必須先啟動掃描工作，以尋找或確定所要攻擊主機位置。但是如果企業使用NAT功能，那內部可以使用私人位址，在轉呈對外位址，這樣要由外面來攻擊內部主機就不太容易。

(2)對使用這登入郵件輸入錯誤密碼次數做限制(例如三次錯誤之後便跳離主機)：如果對輸入沒有限制，那容易讓其他有心侵入者不斷做錯誤嘗試的工作以找出登入密碼。

(3)郵件密碼要定期更換：郵件密碼如果定期更換，那當郵件密碼洩露時，至少可以減少危害時間。

(4)採用適當的安全保護策略(如編碼與認證系統)：郵件一旦出公司郵件伺服主機之後，就不再受到公司防護裝置保護，這時便需要對郵件資料做編碼或是認證保護，以確保郵件的真實性與隱密性。

2.從外面侵入公司內部系統

這種事件是許多入侵事件(或電影)的主角，如果該公司擔負許多重要任務或研發工作，那它會是許多駭客心目中的理想目標。在這方面我們可以用下面方法防範：

(1)設立防火牆與IDSs(入侵偵測系統)系統：防火牆可以過濾掉許多已知的攻擊封包，如果再搭配入侵偵測系統，那會更方便對來往封包進行監控工作，以刪除有危害的可疑封包。

(2)保護公司對外的Routers(因為Router擔負許多TCP連線方面的重要資料)：Routers不只是擔負packets傳送的功能，它也儲存有許多SNMP方面的私密資料，因此如果攻擊者要攻擊你的網路，或是癱瘓者整個網路，那Routers會是處在第一防線的裝置。

中標:3.侵入其他使用者的公司(third-party)系統

這通常是專家級的入侵手法，許多跳躍式攻擊法便是以這為攻擊發起點。一般對此侵入的防範方法有：

(1)對router linking進行規劃，讓公司使用者看不見third-party的系統。

(2)對員工下載或使用的軟體進行監控，以防止駭客程式在公司內部使用。

(3)訂立嚴懲策略。

(二)病毒(Viruses)

網路加速病毒的散佈，其形式有好幾種:

(1)附件型檔案病毒(如:巨集病毒)：許多病毒可以用附件型態轉寄給其他朋友，例如I love You或是階段蟲(stage worm)，使用者只要一開啟該郵件，便會感染。

(2)電子郵件炸彈(mail bombs)：這種是起源於非常早的的郵件攻擊方式，它利用同時開啟大量(ex:數十萬封)郵件的方式，來癱瘓郵件伺服器。

(3)開啟時自動執行的病毒(ex: Trojan Horse)：這種病毒會在檔案被開啟之後自動執行，它可以中斷使用者所使用的電腦或是刪除特定檔案，有些還會將root內的超級使用者權限更改。

面對這種攻擊性的病毒，一般有下面幾種策略可預防：

(1)使用電子郵件安全防護軟體，將所有進入的郵件先掃描過(包含附件)。

(2)盡量不要經由電子郵件去接收安全性較差的HTML文件或是Java Applets。

(3)將郵件分類處理，有附件郵件放在一台主機，沒有附件的郵件放在另一台主機，然後再進行下一步的掃描與安全檢測工作。

(三)敏感性文件

因為電子郵件非常方便，有許多人拿電子郵件來從事一些散佈敏感文件或是不法文件的管道，例如夾帶機密文件或是猥褻圖片。目前這方面還比較無法被管制，除非你將他的郵件內容取出來檢視，但是這又違反網路隱私權。且一般電子郵件安全工具並無法檢視這些內容，雖然他們可以一一過濾進入郵件主機的郵件之附屬檔案(包含文字檔或是影像檔)，但是他們卻無法檢視誰去接受這些郵件。因此，在機密文件散播上，e-mail成為另一個漏洞所在。

(四)未經授權軟體

許多人喜歡去網路上抓一些免費或是共享軟體，但是要注意，這些軟體是不是具有可信度。否則到時候在公司執行的一些免費軟體，如果是海盜軟體那就會造成不必要的損失。因在管制上面有一些方法可用：

(1)下載軟體：公司可以使用一些掃毒程式或是監管策略，限制員工的下載軟體種類或是使用。在下載之後，可用郵件方面的安全防護軟體將下載檔案掃描過，尤其是那些exe的可執行檔更是要小心。一個比較明哲保身的方法，是不要去那些可信度不高的網站(例如:我的xxx網站)下載免費軟體。

(2)輸出軟體：對於公司內部或是未經授權可分散的軟體，公司應該要進行列舉與管制，以免因未經授權的輸出分散軟體而造成不必要的誤會或損失。

(五)垃圾郵件(Junk Mail)

垃圾郵件讓大家最討厭的可能是浪費時間與佔用郵件信箱空間的方面，不過在最近大家對隱私權與法律方面的注意，這種垃圾郵件數量已經不像以前那樣多。要預防垃圾郵件的方法有下面幾種方式：

收信方面：

(1)設定連結到系統的路由器或是郵件安全軟體，將一些已知垃圾郵件來源位址阻絕。

(2)警告使用者在使用郵寄列表(Mailing Lists)方面應注意的規定與條款。

(3)在申請ISP時應該詢問其有關垃圾郵件方面的管制措施。

送信方面：

在這方面不論是個人或是公司都要特別注意，因為這種廣告郵件如果未在對方允許的情況下寄送，那可能會激怒商業夥伴或是得到反效果，除此之外甚至還可能為此觸犯法令。

(六)偽造訊息(ex: spoofing)

通常郵件的存取密碼如果太短，或是太有規律，容易讓其他有心者登入你的郵件信箱，進而取得你的郵件訊息或是其他私人機密。因此，除了郵件存取密碼建議要定期更改之外，選用較長的密碼也是比較安全的作法。最好不要將密碼共用，例如提款卡密碼和郵件登入密碼相同…，以免造成被冒用的風險增高。一旦自己的郵件信箱被其他有心者侵入，他便可以假借你的名義濫發郵件。一般在這方面如果涉及到比較重大的決策事件時，通常會採用編碼與數位簽名方式證明該郵件的真實性。因此在這方面一些使用對策如下：

(1)使用好的郵件安全防護軟體針對spoofing進行監控，如果察覺到spoofing事件的發生，便應該對使用者提出警告。

(2)對電子郵件的使用規定定下一個明確的使用方針，並嚴格限制其他使用者猜測他人郵件密碼，否則停止其相關權限並主動告發。

(七)超大型檔案

這種郵件正是郵件主機與使用者最頭痛的。筆者的朋友曾經有一次寄了一件裡面有多笑話的郵件給我，該檔案約2.3 Mb，當時我為了收這信件收了好久(因為我用的是撥接方式)，最後不得已只好直接上網用IMAP方式收件。但是這情形如果生在那些不支援IMAP的郵件主機身上，那我許多郵件一定會被卡在那邊！這只是2.3Mb的檔案就這樣了，那遇到更大的檔案時便可想而知。因此，許多人要癱瘓郵件者主機，便是利用傳送這種大量檔案的方式。而郵件主機如要預防這種情形有下面幾種方法:

收信方面：

(1)阻斷來自特定位址的郵件：有些惡意郵件來源如果已經知道，便應該調查其所在IP位址與Class類別，並以其相關部份的CIDR prefix作為拒絕位置。

(2)利用設定郵件安全掃描軟體關鍵字的方式，對郵件內容進行統計與掃描工作，被判定相似郵件可以先隔離起來做進一步處理，如他們是相同的，則予以刪除並將來源位置列入拒絕服務名冊。

(3)利用間隔停機方式，在停機期間更改主機位址(避免flooding式的攻擊法)。因為郵件主機位置不斷在變，所以要使用廣播式的流量攻擊法便不太容易。且也可以搭配偵測系統，監視是否有網路IP掃描動作發生。

送信方面：

如果主機大量送出這些重複郵件可能是由於下面因素所導致：

(1)郵件主機硬體或是軟體發生錯誤：因為郵件主機counter功能故障或是體控制功能故障，導致相同郵件不斷機出，不過這種可能性不高。

(2)使用者使用全體轉送功能：一般使用者利用郵寄名冊的方式，將同一訊息轉寄給許多人。當mailing lists很大時，郵件主機便會加重負擔。

(3)廣告發信軟體使然：現在有許多廣告信件的發信軟體，可以在短時間內將信件發送到客戶端，其發信速率之快以及量太大，這都可能會導致郵件主機無法負荷。

(八)未經允許揭露敏感資料

輸出敏感資料

因為電子郵件幾乎無所不往，所以它已經被用來當作傳送敏感文件的另一項選擇，這比傳統攜帶磁碟片或是光碟的方式要快速得多。目前有許多人是以破釜沈舟的精神去發布郵件的，也就是說他不怕被找到，但是他希望在被察覺時，他的目的已經完成。這的確是很麻煩，因為即使即時查到他人傳送機密文件出去，此時即時逮捕他，文件也已經不知散佈到哪裡去以及很難查出還有誰知道了。在這方面有一些對策可用：

(1)限制攜帶檔案：如果寄出的郵件要附加檔案，那附加檔案的大小便要受限制(例如不得超過10MB)，這樣可以避免一些較大型專案資料文件被以電子郵件方式附加出去。

(2)對郵件內容簡要檢查：利用電子安全軟體，設定一些關鍵字或是片語來檢查輸出郵件的大致內容。

結論

由上面可知，一般電子郵件的主要處理原則可以分為下面幾類型：(1)架構防火牆；(2)對輸入或輸出檔案進行病毒掃描；(3)和員工約法三章；(4)對附屬進入郵件主機的附件進行檢測；(5)用安全防護軟體工具過濾可疑訊息或拒絕服務。而每一種類型所能對付的電子郵件安全威脅各有不同，但最重要的是要管理人員與使用者在這方面要多加注意，這樣才能杜絕調不必要的網路攻擊。的確，電子郵件是非常方便，但是它的安全性也不容忽視。