邮件账号防盗与SMTP劫持检测

1. 攻击入口分析

邮件账号被盗的典型攻击路径有三条。第一条是弱口令暴力破解：攻击者使用字典对SMTP/POP3/IMAP服务进行自动化登录尝试，密码为纯数字、公司名缩写、键盘序列（如qwerty）的被破概率极高。根据OWASP ASVS V2.1要求，认证系统应检测并阻断自动化凭证填充攻击。第二条是终端木马窃取：用户的Windows主机感染键盘记录木马（Keylogger），Outlook/Foxmail中保存的邮箱密码被窃取并回传C2服务器。第三条是社会工程，攻击者仿冒IT部门发送钓鱼邮件诱导用户"验证密码"。

三种入口的最终结果一致：攻击者获得有效的SMTP AUTH凭证，可正常通过邮件服务器的发信认证。从SMTP协议层看，攻击者发送的邮件与正常用户无可区分——都是经过AUTH LOGIN/PLAIN认证、MAIL FROM地址合法的邮件。这使得传统基于IP黑名单和内容过滤的反垃圾引擎在检测已认证账号的异常发信行为时存在盲区。

2. 弱口令检测策略

密码策略是账号安全的第一道防线。根据NIST SP 800-63B §5.1.1，验证器（密码）的最小长度应不少于8字符，且不应设置过于复杂的组合规则（如强制大小写+数字+符号）——这种规则反而会促使用户使用可预测的变形（Password1!）。更有意义的策略是：

2.1 基于字典的弱口令预检

在用户设置或修改密码时，实时检测以下弱口令特征并拒绝：

• 密码包含用户名或其子串（admin123、zhangsan2024）
• 密码为纯数字且长度小于10位
• 密码为纯字母且长度小于8位
• 密码出现在已知泄露密码字典（如Have I Been Pwned Pwned Passwords API，使用k-anonymity模型仅提交SHA-1前5位）
• 密码符合高概率模式：qq+手机号、公司名+年份、键盘序列

昆仑邮件系统的账号安全模块内置了弱口令检测引擎，可在管理员后台设置密码最小长度和复杂度策略。启用后在用户注册和修改密码环节强制拦截弱口令。

2.2 登录失败限速与告警

Postfix/Dovecot层面通过fail2ban实现登录失败限速：

# /etc/fail2ban/jail.local — SMTP/POP3/IMAP 登录保护
[postfix-sasl]
enabled  = true
port     = smtp,465,587,submission
filter   = postfix-sasl
logpath  = /var/log/mail.log
maxretry = 5
bantime  = 3600
findtime = 600

[dovecot]
enabled  = true
port     = pop3,pop3s,imap,imaps,993,995
filter   = dovecot
logpath  = /var/log/mail.log
maxretry = 5
bantime  = 1800
findtime = 300

上述配置的含义：对SMTP AUTH认证失败，同一IP在10分钟（600秒）内失败5次即封禁1小时（3600秒）；对POP3/IMAP，5分钟内5次失败即封禁30分钟。 maxretry 设置为5而非默认的3，是为了在给用户足够容错空间（密码输错2-3次）的同时，有效阻止速度较慢的字典攻击。

3. SMTP劫持实时检测

账号被盗后最典型的行为特征是发信模式突变。正常用户的邮件发送频率和邮件体量分布相对稳定——平均每天10-50封，单封邮件大小在10KB-500KB之间。账号被盗后，攻击者会以极高频率发送结构相似的垃圾邮件。检测这类异常需要在发信频率、邮件体积相似度、收件人离散度三个维度分别设阈值。

3.1 频率异常检测

统计每个账号在滑动时间窗口（如5分钟）内的发信数量。当单个账号的5分钟内发信数超过历史平均值的3倍标准差时触发一级告警；超过5倍标准差或单用户阻塞邮件队列（排队邮件大于200封）时触发二级告警并自动锁定账号。

3.2 邮件体积相似度分析

攻击者群发的垃圾邮件通常具有高度相似的邮件体大小——因为每封邮件的正文模版相同，唯一的差异是收件人地址。通过对用户近期发出的邮件大小进行聚类分析，若发现短时间内发出的N封邮件大小方差极小（标准差 < 100 bytes），且总量超过50封，即可判定为自动化群发。

3.3 收件人离散度

正常用户的收件人是其日常通信的同事和合作伙伴，收件人域相对集中（公司域名占 60%+）。被盗账号的垃圾邮件会发送到大量不同的外部域，收件人列表与历史通信模式完全不匹配。当单次登录会话中向超过50个不同域发送邮件时，触发告警。

4. 自动封禁与恢复流程

检测到异常发信行为后，自动化响应流程如下：

清理队列中的待发送邮件是关键步骤——若不清理，即使修改了密码，攻击者在封禁前已提交到Postfix队列中的邮件仍会被投递出去。在昆仑邮件系统的队列管理界面中，管理员可以按发件人过滤队列并批量删除：

# Postfix 队列清理：删除特定发件人的所有待发送邮件
postqueue -p | awk '/^[A-F0-9]+/ {id=$1} /compromised@example.com/ {print id}'   | postsuper -d -

5. Open Relay诊断

当邮件服务器队列中突然出现大量来自外部域的发信请求时，首先要区分是单个账号被盗还是系统本身被配置为Open Relay。两者的排查路径完全不同：

• 单个账号被盗：队列中绝大多数邮件的信封发件人（MAIL FROM）来自同一内部账号，收件人散布在不同外部域。排查：检查该账号的IMAP/POP3登录日志，确认是否有异常IP登录。
• Open Relay：队列中邮件的信封发件人来自不同外部域，且发件人并非系统内用户。这意味着Postfix的 smtpd_relay_restrictions 配置有误，允许了未认证的外部中继。

Open Relay诊断命令：

# 检查 Postfix 中继限制配置
postconf smtpd_relay_restrictions
# 预期输出（Postfix 2.10+ 默认）：
# smtpd_relay_restrictions = permit_mynetworks, permit_sasl_authenticated, defer_unauth_destination

# 在线测试工具（不依赖服务器环境）：
# telnet relay-test.mail-abuse.org
# MX Toolbox: https://mxtoolbox.com/diagnostic.aspx → SMTP Test → Open Relay Test

如果 smtpd_relay_restrictions 的值包含 permit 且没有 defer_unauth_destination 或其他拒绝规则，说明系统存在Open Relay风险。应立即修改配置并重载Postfix：

postconf -e 'smtpd_relay_restrictions=permit_mynetworks,permit_sasl_authenticated,defer_unauth_destination'
postfix reload

6. 预防体系总结

完整的邮件账号防盗防护应覆盖以下五个层面：

对于使用昆仑邮件系统的组织，账号安全模块提供了开箱即用的弱口令检测、异常发信监控和自动封禁能力，管理员可在Web后台的可视化安全面板中查看实时告警和处理历史。