应用：postfix邮件服务器安全策略(下)

　　自动更新：

　　CCERT每周更新一次规则集，更新使用CCERT反垃圾邮件服务在6个月内处理过的垃圾邮件为样本。经常更新Chinese_rules.cf会使过滤效果更好。

　　    Linux有一个称为crond的守护程序，主要功能是周期性地检查 /var/spool/cron目录下的一组命令文件的内容，并在设定的时间执行这些文件中的命令。用户可以通过crontab 命令来建立、修改、删除这些命令文件。例如用 crontab命令实现每周一08:35自动更新：

　　首先建立一个文件，文件名称myproject(名称自己设定)：

　　＃crontab －e

　　文件内容：

　　35 08 * * 1 wget -N -P /usr/share/spamassassin www.ccert.edu.cn/spam/sa/Chinese_rules.cf; /etc/init.d/init-script restart

　　用vi编辑后存盘退出。

　　（3）使用 crontab命令添加到任务列表中：

　　＃crontab myproject

　　这样Linux服务器会在每星期一的8点35分会自动下载Chinese_rules.cf更新规则。

　　SpamAssassin使用基于规则的垃圾邮件过滤技术，比分布式黑名单运行得更快，因为分布式黑名单需要查询网络服务器。对大多数用户而言，它能捕捉几乎所有的垃圾邮件，而不需要隔离合法邮件。实际上它还提供了无限的调整和定制选项。

　　四、其他措施

　　1.隐藏邮件服务器IP地址

　　如果网络中有专门发送邮件的中央邮件服务器，为许多主机提供访问，那么必须隐藏邮件地址的主机名部分，（以postfix邮件服务器为例）例如一条名为：pc-jok.cao.com的主机上有一个jok用户那么它的邮件名称是：jok@pc-jok.cao.com main.cf加入两行：

　　masquerade_domain=$mydomian

　　masquerade_exceptions=root

　　第一行通知postfix邮件服务器对所在德 域允许地址化装，通过$mydomian变量完成，这样jok@pc-jok.cao.com变为jok@cao.com，第二行将root用户排除，即不对root用户伪装。

　　 2.防范DOS攻击：

　　　　DOS（拒绝服务攻击）一段时间以来成为许多单位邮件服务器的最大杀手。对于邮件服务器的拒绝服务攻击原理很简单，就是不断地向邮件服务器 发送大量的邮件，直到超过最大容量而崩溃为止。拒绝服务攻击有时并非有针对性的黑客行为，现在的病毒常常会利用自身的SMTP引擎，向感染电脑里 的存在的地址狂发大量邮件。如果中小企业认为自己的公司小，不会成为攻击目标，这种想法已经不现实了。对于中小企业来说，要预防DOS攻击比大型企业要容 易，因为小型企业往往不会有太多的邮件来往，我们可以根据业务量的大小，限制每个连接的邮件数，以及每封邮件的收件人数。这样，用户对于DOS攻击就可以 做到尽早地发现并采取措施，而不会等到服务器崩溃的时候才发现被人实施了DOS攻击。步骤如下：

　　2. 限制服务器使用的进程数目

　　 可以通过指定/etc/postfix/main.cf文件的下列参数来控制使用的并发进程总量：

　　 default_process_limit = 50

　　这样服务器被允许同时允许60个并发进程（例如smtp客户端、smtp服务器端和本地分发）。如果希望增加同时接受1000条信息，可以修改 /etc/postfix/ master.cf文件，使smtp服务的最大进程达到1000,如下所示：

　　#===========================================

　　# service type private unpriv chroot wakeup maxproc command + args

　　# (yes) (yes) (yes) (never) (60)

　　# ===========================================

　　smtp inet n - n - 1000 smtpd

　　 3.控制最大邮件尺寸

　　可以修改/etc/postfix/main.cf如下参数控制邮件尺寸

　　message_size_limit = 1073741824

　　这样服务器可以处理最大邮件尺寸是1073741824字节 (10兆).

　　 4. 控制同时发送一个远程服务器的邮件数量

　　同时向远程服务器发送太多SMTP连接是不合理的，也是危险的（可能会被认为是
发送垃圾邮件）。一些大的ISP站点（AOL、 Yahoo!、 Hotmail）通常要求优
化等到许可才能使用发送并发连接。Postfix 也能通过下面参数设定一个站点的最
大并发连接数量：

　　default_destination_concurrency_limit = 20

　　 这样使到达单一站点的并发连接数量不能超过20个。

　　5.安装防病毒软件：

　　F-Prot Antivirus软件包安装和配置过程：软件包格式： fp-linux-ws.rpm

　　软件包的大小（KB）：3970KB，下载地址：
http://files.f-prot.com/files/linux-x86/fp-linux-ws.rpm

　　安装F-Prot Antivirus软件包前，请先启动SpamAssassin服务器：

　　Wget  http://files.f-prot.com/files/linux-x86/fp-linux-ws.rpm

　　Wget －ivh fp-linux-ws.rpm

　　 升级的F-Prot Antivirus病毒库的操作：

　　# cd /usr/local/f-prot/tools/

　　# ./check-updates.pl （升级命令）

　　***************************************

　　* F-Prot Antivirus Updater            *

　　***************************************

　　Nothing to be done...

　　总结：Postfix是目前比较流行的，拥有相当好的安全性和高效率的邮件系统。Postfix自身带了很多反垃圾邮件的功能可以阻止一部分垃圾邮件，但是面对日益痴狂的垃圾邮件还是需要一些专业软件的支持。