CipherTrust亚太地区技术及市场拓展总监致辞

从电子邮件发展趋势来看它会在未来受到挑战，垃圾邮件，因为播种面很广，问题非常严重，在座的可能每个人都有E-Mail，受到垃圾邮件困扰。这是怎么产生的呢？其实就是黑客采用木马进入到没有防卫的机器，用它们的有害作用来发送。各种手段供给一些帐号或者盗窃或者网上钓鱼等欺诈手段，我们要避免企业的邮件信息受到威胁。在短短的半年垃圾邮件的数量从平均每个人每个礼拜收到9封到19封，对GDP的损害也达几十亿。

我们对垃圾邮件的防治手段也做了一些变化，因为垃圾邮件受广泛的传播，使带病毒、木马性质的恶化到在网上钓鱼，很多的一些知名度高的企业都受到被网上钓鱼的邮件来使他们受到信誉影响，我们看到的很大例子就是大的银行或者信用卡公司等。

垃圾邮件发送手段也在不断变化着，以前是用OP和OR发送，现在发展成了发送人地址随即变化，内容也在变化，仿造送件人的地址随机而变，恶化到可以改文字，改内容，人的视觉和机器的判断是有差别的，比如说人看不到白字，机器不管是黑、白字都可以辨别，利用这种错觉来伪造自己的身份到垃圾邮件里面。

在一个很平常的邮件信箱里会看到，好的邮件大概在12-15%，70%以上的都是非常垃圾的，中间有一段是比较中性的，就是说有些公司有些人认为是垃圾邮件。单靠系统来控制已经很困难了。

认识到这个，我们设计出了一套解决方案，首先邮件安全措施要有一个整体的规划，不管是垃圾或者病毒或者是各种攻击；还有一个就是要适应多种语言的判断；

这个基础在哪里呢？就在我们的解决方案里。首先入侵的检测和防火墙的功能一定要摆在那里。我在前几次的演讲中大家问我们有了防火墙，为什么还要用这个防火墙，这是一些网络层的网络墙是没有办法判断的，如果判断到就是判断能够要去掉第7层，在网络前端检测的速度也就跟不上了。我现在讲防火墙是针对邮件性质的防火墙。

侦测也一个反垃圾技术，我们要共享，不能各自为战。还要有灵活数量的更新，因为你要看垃圾是什么时候发的。

大概怎么做呢？讲一下我们技术的做法，基本上需要一个网关，这个网关会摆在邮件服务器前面，是在防火墙之后，所有上到邮件服务器的都通过他的检测，应用一个行为的信用数据来给每个邮件打分，这样就会看到是否是垃圾邮件。到目前为止我们有4000多个感应器在互联网上，它随时收到垃圾邮件。这个感应器会侦探到垃圾邮件行为的流量，用行为流量来摆在一个数据库里面，这个数据库可以随时被网关运用。所以，实施的方案很简单，网关机器解决方案有三个手段是我们一定要解决的。

另外就是防病毒的技术。有两个，一个是已知的病毒特征库。我们有一个行为判断能力，靠4000个探测器，如果一个病毒被探测出来，这个病毒就会发一些有同样特征的邮件，在全球感染之前我们的感应速度是在30分钟之内，我们就可以算多少机器有同样性质。

有了一套已知的防病毒和未知的互补邮件系统相对来说是非常安全的。

最后说一些防垃圾的方案，是一个综合的判断。无非市场上用的技术就是防垃圾，怎么判断是不是垃圾，有大概20多条不同的特征，把这些特征分析一下就会得到一个结果。其实很简单，如果是垃圾邮件一定会改变它的行为，一发就会改变很多，是无目标的，会隐藏发件人真正的姓名或者地址，这些特征都会被检测到。对这些坏的行为会打分，就是信誉的值，如果是好人是不会做假的。比如中国计算机报发NEWS不会隐藏自己的身份。基于协议的特征库我们会跟踪，基于关键字或者信头我们也会判断给一个数值出来，还有基于客户对于垃圾邮件的判断。

综合这几个方面我们打个比喻，每一个邮件有一个特征库，就是发送的频率，是不是礼拜一、二、三发，如果包括NEWS，有自己的行为，这个不能叫做垃圾。还有你发比例是多少，邮件里面的特征，URL，把20几种的特征集中在一起，我们把一个数值，用社会学和行为学给个分，对每个特征里面垃圾成分有多少，判出一个分的高低,滤率在92-95%，误判率在千分之一。

还有一个措施多数企业现在还没有认识到，就是初步的防护。大家在任何时候都基本上没有保护。有的邮件有机密，送邮件的人并不知道是机密的。这样一套方案对其就会有所改善。还有知识产权法律责任，包括用户的私隐会不会从E-Mail送出去，这是初站的保护。

CipherTrust集成各种所需的解决方案，把解决E-Mail防卫系统可以想象得到的技术都整合在了一起。

公司是2000年成立的，我们有6年的历史，总公司研发部在美国，1/3的500强企业都用我们的方案。

主持人：谢谢丁伟先生，看看哪位听众有问题提出？

提问：国内现在有没有客户？

丁伟：这些企业在中国都用我们的东西，我们去年中进到国内，现在发展得很好，有超过10家以上的用户在用我们的产品。

提问：反病毒技术主要是看到你们的产品对新爆发的病毒特征有无主动分析的技术，我想问一下在分析之后会不会主动发送去全世界反病毒库里？本地在病毒爆发情况下会不会直接进行处理？

丁伟：是这样做的，我刚才讲了如果一个机器带一个病毒，我们就不叫全球的病毒，所谓爆发病毒就意味这已经传染到很多机器了，就知道这个模式是一模一样的，感染是不断的爆发，这种特征通常是在做数据库的话，是在30分钟设置，也可以做铺设，铺设的过程给大家讲一下，其中很关键的就是URL，不管是做生意、广告，有很多恶意的想进到你的邮件里面，那么我们会提醒你这个URL是不能上的，在30分钟之内，这个速度是非常快的。