要求您的客户将邮件附件的扩展名从 .zip 更改为 .txt

Question

我们正在合作的一家公司有一些荒谬的安全措施。其中之一是这样的：

• 您不能通过电子邮件向我们发送 .zip 文件。如果要传输 .zip 文件，请将其重命名为 .txt。

恕我直言，这没有充分的理由。我只能看到两个原因：

• 他们的员工都是白痴，会点击每个 zip 文件，以及 zip 文件中的每个 .exe/.vbs/britney.jpg.com 文件。通过只告诉聪明人使用 rename-to-.txt 文件技巧，愚蠢的人不会构成威胁。其实我喜欢这个解释。
• 电子邮件软件中存在一个已知错误，它会自动打开 .zip 文件并被感染。重命名可防止软件执行此操作。

除此之外，当 .txt 到达时，他们的用户仍然必须将其重命名为 .zip，然后我们又回到了第 1 点：我们有一个潜在的不安全的 zip 文件。

我错过了什么吗？有什么理由可以推荐这种做法吗？

Answer 1

恕我直言，不，至少我想不出任何好的理由。事实上，它并没有增加安全性，反而降低了安全性。他们应该在邮件网关（和客户端工作站）上实施良好的病毒扫描程序，这样可以基本上消除 zip 威胁。之后，如果他们设法教育用户不要打开他们不期望的文件，并且在有疑问时要求发件人确认，那么他们可以做的就是删除网关上的所有 zip 附件。

Answer 2

听起来像是我曾经工作过的公司。:(

这是我们在被迫陷入同样的​​疯狂时发现的事情。检查传入邮件的六个防病毒扫描程序中的每一个都检测到它们是 zip 文件，无论我们将它们命名为什么。那里没有真正的惊喜。由于他们已将这些扫描仪配置为阻止 zip 文件，因此我们按照公司 IT 负责人的建议重新命名它们并不重要。当然，我们很快发现将它们重新打包为 RAR（或任何其他归档程序），这些相同的文件就可以顺利通过。

这些对安全有帮助吗？决不！它所做的只是给用户带来一些不便，并使高级管理人员无法发送或接收 zip 文件，因为他们不知道如何 RAR 文件（而且我们也没有自愿教他们）。这当然最终导致政策被推翻。

我会实施这样的政策吗？不会。我更喜欢教育我的用户，并且用户数量足够少，因此成功率非常高。