為何堅持「服務器端」攔截？
- 單點部署，全網受益：僅在前端網關/郵件轉發服務器配置，免去每台客戶端安裝升級維護。
- 節省帶寬與存儲：垃圾郵件在入網關即被丟棄，不佔用內部頻寬、磁盤、CPU。
- 策略更豐富、組合更靈活：可結合 IP 信譽、SPF/DKIM/DMARC、內容指紋、啟發式規則、用戶白黑名單等多層防禦。
市面商業反垃圾網關動較 10 萬元且誤判率常超 20%，中小企業更宜挖掘現有郵件服務器內建能力，構建第一道防線。
Exchange 2000/2003 核心防禦招式
招式一：徹底切斷「開放轉發」通道
原理：開放轉發允許外部 SMTP 通過本服務器發送非本域郵件。垃圾郵件發送者利用此盜用帶寬、污染 IP 信譽，導致正常郵件被全球拒收。
配置：Exchange 默認關閉開放轉發。檢查「默認 SMTP 虛擬服務器」→「傳遞」→「轉發限制」→ 僅允許「已驗證用戶」或「本地 IP 列表」轉發。
招式二：來源與流量雙重控制
- 連接控制：僅允許特定 IP/網段連接 SMTP（如已知合作夥伴、內部應用服務器）。
- 速率限制：限制單一 IP 單位時間連接數、郵件數、收件人數，防禦字典攻擊與爆破發信。
招式三：多層過濾規則引擎
| 層級 | 技術 | 作用 |
|---|
| 協議層 | SMTP 命令合法性檢查、PIPELINING 控制 | 阻斷異常客戶端 |
| 信封層 | 發件人地址合法性、SPF 記錄驗證、RBL 即時黑名單 | 攔截偽造發件人、已知垃圾 IP |
| 內容層 | 關鍵詞/正則/貝葉斯/指紋/圖片 OCR、附件類型/大小限制 | 識別營銷推廣、釣魚、惡意代碼 |
| 用戶層 | 個人白/黑名單、安全郵件列表 (Safe Senders) | 滿足個性化需求 |
招式四：郵件尋呼/傳真/列表/新聞/多語言等增值服務安全化
若啟用上述服務，務必同樣套用過濾策略，防止成為新攻擊面。
硬件網關補充：基於設備的反垃圾郵件服務器
結合企業網拓撲，在 DMZ 區部署專用反垃圾硬件網關（如 Barracuda、IronPort），負責：
- 前置清洗 90%+ 明顯垃圾郵件。
- 提供郵件加密、數據防洩漏 (DLP)、歸檔合規。
- 將疑似郵件標記後轉發至內部 Exchange 再次精細過濾。
形成「硬件粗篩 + 軟件精篩 + 用戶自定」三級防禦體系。
結語
Exchange 內建能力若配置得當，已能攔截 80% 以上垃圾郵件。關鍵在於：拒絕開放轉發、嚴控連接來源與速率、啟用多層過濾規則、善用 RBL/SPF/DKIM、必要時前置硬件網關。不要讓垃圾郵件進入內網，才是成本最低、效果最好的策略。
