首页›指南›电子邮件安全
电子邮件安全 · 了解
ANSSI 认为，电子邮件是工作站感染的主要途径：一个附件或一个链接就足以让恶意程序（包括勒索软件）进入。部署在邮箱之前的过滤器可以分析文件和链接、移除危险附件，并在点击时再次验证链接。但它既不能替代用户的谨慎，也不能替代攻击者无法删除的备份。
当附件被判定为危险时，有两种合理的处理方式：移除附件并投递邮件，同时附上说明；或将整封邮件放入隔离区。无论哪种方式，文件都不会到达工作站。
邮件中的链接会被分析：地址和域名的信誉、与知名品牌的相似度、域名是否新近注册。二维码带来一个特殊问题：它将链接从受保护的电脑转移到往往保护较弱的个人手机上。识别图片中的二维码，可以将该链接重新纳入管控。
但上午 9 点正常的链接，下午 2 点可能已被植入恶意内容。诈骗者先发送指向无害页面的链接，在邮件投递后再更换页面。这就是点击时防护的意义：链接被改写，在用户点击时经过一次验证。如果页面已变得危险，即使邮件已投递，点击也会被阻止。
越来越多的恶意邮件不包含任何附件，而是指向存放在知名文件共享服务上的文档。这时链接的域名信誉极佳，因为它属于一项大型服务。分析必须针对其他方面：发件人是否常见？邮件是否像一次群发攻击？打开的页面是否要求输入密码？正是在这种情况下，点击时验证和异常行为检测比危险域名列表更重要。
Cybermalveillance.gouv.fr 将勒索软件描述为一种封锁系统访问或加密数据的攻击，有时还威胁公开数据，以此索取赎金。该机构指出，入侵通常是通过漏洞或安全性不足的远程访问，或通过网络钓鱼或恶意程序入侵账户或设备。
电子邮件并非唯一的入口，但 ANSSI 将其称为“工作站感染的主要途径”（译文）。该机构还提到“发送恶意附件，利用工作站漏洞进行勒索或窃密”。这也是一个可以在到达邮箱之前进行过滤的入口。通过电子邮件的典型过程：
举例说明。一名员工收到一份 Word 格式的“未付发票”。文档显示一个模糊的横幅，要求启用内容才能阅读。如果他照做，宏就会下载一个程序，从而获得该工作站的访问权限。服务器上的文件要到之后才会被加密。如果附件在到达时就被移除，这一链条就不会开始；如果附件通过了，一切就取决于不启用宏的警觉，然后是备份。
网关作用于第一步。它看不到通过远程访问的入侵，也看不到已经被在别处盗取的密码打开的账户。它也不恢复任何数据。
Cybermalveillance.gouv.fr 建议定期备份、保留离线副本、验证恢复，并及时安装更新。该机构还建议不要支付赎金。关于您的文件，请参阅勒索软件：保护和恢复电子文档管理（GED）系统。
隔离区正是为可疑情况而设：邮件既不投递，也不丢失。参见隔离区、误报与举报。
邮件到达时会附有说明移除原因的提示。如果附件是合法的，管理员或收件人可通过隔离区处理：参见隔离区、误报与举报。
会：它可能包含脚本，或指向虚假登录页面。因此它与 Office 文档一样接受检查。
自投递以来页面发生了变化。点击时防护在您打开页面的那一刻对其进行判定。
不能。它减少了通过电子邮件的入侵。其余的靠更新、远程访问管控和备份。参见勒索软件：保护和恢复电子文档管理（GED）系统。
Klytic MTA 两个版本的功能划分（以公开信息为准）：
| 分析 | 基础版 | 高级版 |
|---|---|---|
| 防病毒与加密隔离区 | 是 | 是 |
| 恶意 Office 宏与 PDF | 是 | 是 |
| 反网络钓鱼、品牌冒用、二维码 | 是 | 是 |
| 移除危险附件并附说明信息 | 是 | 是 |
| 隔离区安全释放与通知 | 是 | 是 |
| 恶意 HTML 文件与图片中的隐藏文字 | 否 | 是 |
| 点击时重新分析链接 | 否 | 是 |
Klytic MTA 可部署在任何邮件系统前端，无需 Klytic Mail。它不能替代您的文件和邮箱备份：在 Klytic，备份由各服务自身提供，详见安全与备份页面。
查阅于 2026 年 10 月。
