23、基于电子邮件的快速流量技术分析与应对策略

基于电子邮件的快速流量技术分析与应对策略

1. 电子邮件流量分析

为了打击垃圾邮件，电子邮件提供商对每个用户的邮件发送量进行了限制，这些限制包括每日发送的邮件数量和每封邮件的收件人数。当用户达到限制后，在最多24小时内无法发送新邮件，但仍可接收邮件。以下是一些主流电子邮件提供商的每日发送限制：
| 电子邮件提供商 | 每日发送邮件数量 |
| — | — |
| Gmail | 500 |
| Outlook | 100 |
| 163 | 50 |
| Foxmail | 50 |
| Sina | 30 |

从表中可以得出，每个僵尸程序每天发送的邮件数量不应超过最小值30。因此，在实验中我们将每个僵尸程序每天发送的邮件数量设置为n = 20。假设僵尸网络由5000个僵尸程序组成，那么每天的邮件总量为T = 100000。

根据https://talosintelligence.com的数据，2017年6月全球共有59209个可用的电子邮件服务器。因此，每个电子邮件服务器每天平均将收到超过600万封邮件。假设所有僵尸程序都使用同一个电子邮件服务器，恶意邮件的比例仅约为1.6%。如果防御者使用传统的检测方法来定位僵尸程序成员，他们只能找到该电子邮件服务器作为僵尸网络的控制服务器，因为每个僵尸程序成员都会向该邮件服务器发送消息。如果防御者封锁检测到的电子邮件服务器，98.4%的无辜用户将受到牵连。而且，僵尸程序会使用不同的电子邮件服务提供商和服务器进行通信，关闭电子邮件服务器的效果会更差。因此，电子邮件流量技术是可行的，传统的检测和封锁方法对基于电子邮件流量的僵尸网络无效。