Coremail 反垃圾反钓鱼 BEC诈骗检测详解

为什么反垃圾是邮件安全的重中之重

一个普通企业邮箱用户，日均可能收到 50-100 封邮件，其中真正的正常邮件可能只有 10-20 封。剩下的 80% 可能是：

• 垃圾广告（淘宝推广、发票代理、贷款中介）
• 钓鱼诈骗（仿造银行、电商、公司内部的恶意邮件）
• BEC 诈骗（冒充老板让财务转钱）
• 病毒附件（勒索病毒、宏病毒）
• 订阅邮件（自己订阅的忘记了但不想看）

垃圾邮件的问题不仅是烦人——钓鱼和 BEC 诈骗已经成为企业最大的安全威胁之一，每年造成直接经济损失数十亿元。

Coremail 的反垃圾体系

Coremail 从网关层到系统层到终端层，建立了完整的反垃圾体系：

网关层：CACTER NERVE2.0

邮件进入企业网络前，先经过 CACTER 安全网关的 NERVE2.0 深度学习引擎：

• 垃圾邮件直接拦截（准确率 99.8%）
• 钓鱼邮件 AI 语义分析后拦截
• BEC 诈骗邮件行为模式分析后拦截
• 可疑邮件放入隔离区（详见下）

系统层：隔离区机制

XT6 和企业邮箱 SaaS 内置隔离区反垃圾机制：

• 每封邮件根据内容、发件人、链接等特征打一个可疑分值
• 低于低阈值 → 直接进入收件箱
• 高于高阈值 → 直接拦截
• 介于两者之间 → 进入隔离区（等待用户/管理员处理）

隔离区的核心价值是避免错判——第一次给你发邮件的客户、某些正常的营销邮件可能会被误判，隔离区让这些邮件有机会被找回。

隔离区邮件的处理方式

用户侧：

• 用户可以在 Webmail 里查看隔离区邮件列表
• 选中后可以选择"找回"（回到收件箱）或"确认是垃圾"（以后类似邮件直接拦截）
• 系统定时发送隔离邮件摘要到用户邮箱，提醒处理

管理员侧：

• 管理员可以配置隔离区阈值
• 管理员可以全局批量处理隔离邮件
• 管理员可以查看隔离区统计报表

终端层：安全提示

即使漏过了前面几层，Coremail XT6 在终端侧还会提供安全提示：

BEC 诈骗的特殊防御

BEC（Business Email Compromise，商务邮件诈骗）是近年增长最快、危害最大的邮件安全威胁：

典型 BEC 场景：骗子注册一个和你们公司 CEO 邮箱非常相似的域名（比如 CEO 邮箱是 zhangwei@company.com，骗子注册 zhangwei@compamny.com——把 "company" 中的 "e" 换成了 "a"），然后给财务发邮件："我现在在外面开会，有笔紧急的工程款需要马上付，发票号是 XXX，金额是 XXX，请你现在安排转账。"

CACTER 和 Coremail AI 针对 BEC 有专门的防御机制：

• 域名伪造检测：识别域名中的字符变体（o→0，l→1，e→a 等）
• 发件行为分析：分析发件人历史行为模式，突然出现的异常行为（比如 CEO 突然要求转账）会触发警报
• 内容语义分析：分析邮件内容是否符合 BEC 常见模板
• 多因素交叉验证：结合发件时间、IP 地址、历史通信关系等多维度判断

管理员可配置的策略

Coremail 给管理员提供丰富的反垃圾策略配置能力：

• 按组织、部门、用户级别配置不同严格度
• 自定义敏感词库
• 配置白名单（永远放行的域名/邮箱）
• 配置黑名单（永远拦截的域名/邮箱）
• 配置隔离区保留时间（3天/7天/14天/30天）
• 配置通知频率（每天/每周/关闭）

效果量化

根据 Coremail 生产环境数据：