企业邮件安全

   将邮件系统引入企业网络，需要在防火墙上为邮件打开一条通道，这意味着邮件可以绕过防火墙的检测，借助于邮件服务器进入到网络内部。因此一些专业人士把邮件系统形象地比喻成防火墙下面涌动的一条河流，垃圾邮件、邮件病毒、恶意代码等总是试图利用这条穿越防火墙的河流，合法攻击企业网络。
    以企业域名作为后缀的电子邮箱，既能体现企业形象，又能方便网管员统一管理，给企业带来了诸多好处。邮件系统作为企业网络的核心应用之一，正在与企业业务紧紧结合在一起。然而担负着信息交流重任的邮件系统不仅饱尝垃圾邮件、病毒邮件骚扰之苦，而且还面临敏感信息被截获、篡改的风险。 
    引发邮件安全危机的根源在于现有邮件服务体系中存在着各种安全隐患。首先是邮件服务所使用的协议存在安全漏洞。以简单邮件传输协议(SMTP，Simple Mail Transport Protocol)为例，SMTP允许人们转发邮件，但在转发时却不进行身份验证，这就使得恶意攻击者冒充他人地址发送邮件、攻击邮件服务器或者发送邮件炸弹。目前流行的企业邮件系统在开发之时也没有充分考虑安全问题，也导致邮件系统缺少得力的安全机制，加上大多数用户也没有针对邮件系统采取相应的安全措施。可以说，先天不足加上后天补救不利是导致当前邮件系统缺乏抗风险能力的重要原因。 

 邮件系统的安全分析 

    目前的企业邮件系统可以分为商业群件、基于开放源代码的邮件系统、专业邮件系统以及免费邮件系统四大类。这些系统在为不同规模的企业提供邮件服务的同时，也存在这样那样的安全问题。下面我们就对以上企业邮件系统进行安全性分析。 

商业群件

    　　Microsoft Exchange2000、IBM Lotus Domino/Notes和Novell Groupwise等邮件系统，除了提供收发电子邮件的基本功能之外，还表现出较强的协同工作能力，同时也具有良好的安全性能。这类系统支持协同工作和二次开发，留有开发接口，这在一定程度上降低了邮件系统的安全性能。开发接口的开放性虽然方便用户开发相关应用，但是也为恶意攻击者攻击系统提供了后门。由于这类具有协同工作能力的邮件系统能够支持多种非邮件功能，这也会或多或少地降低了邮件系统的安全功能。用户在使用这类产品时，需要在安全性能与协同功能之间作出平衡。 

基于开放源代码的系统

    　　Sendmail、qmail和Postfix等电子邮件系统是基于Unix/Linux开放源代码操作系统，支持海量用户收发邮件。开放源代码的非商业化特性决定了这类邮件系统的安全性和稳定性不能得到充分保障。  

    原代码的开放性使得这类邮件系统的组织结构、逻辑关系以及系统漏洞后门不难被黑客所“识别”。这类邮件系统性能简单，主程序不大，这些因素也决定了其自身安全机制的局限性。由于操作系统的复杂性和专业性，这类邮件系统的构建和维护操作都比较复杂，对管理人员要求也比较高，出安全漏洞也就在所难免，因此邮件病毒、垃圾邮件、邮件黑客常常会攻击这些海量邮件系统。 

 专业邮件系统

    　　Formail、TurboLinux Powermail和@Message等专业企业邮件系统产品具有较强的管理能力和易用性优点，对于技术能力相对薄弱的中小企业来说具有吸引力。应该说，这类专业邮件系统的安全机制相对完善。但是专业邮件的细分特点是一把双刃剑，它既满足专业用户的具体需求，却也影响了它采用成熟的安全策略。原因在于，它所采用的模块化结构无法将现代所有反病毒、反攻击、反垃圾邮件以及邮件加密技术完全集成在同一模块结构中，通常用户只能选择部分安全模块。即用户的邮件系统在安全性能方面若注重于反病毒，就可以选择反病毒安全模块。若要全面考虑安全性，用户必须选择支持所有安全模块的系统，这样的系统不仅数量少、价格昂贵，而且对主机性能要求会很高。 

DIY邮件系统

    　　MDaemon、IMail和ArGoSoft Mail Server是Internet上公开的电子邮件应用程序，其优点是价格便宜，有的甚至可以免费获得，大多是基于Microsoft平台，具有很强的DIY性。这类系统的DIY特点决定了它无法将反病毒、反黑客、反垃圾邮件和邮件加密技术融于容量小于10MB的程序之中，安全性能缺乏保障。 
   对于邮件系统自身存在的安全缺陷，邮件系统提供商正努力采取措施进行改善。如今年6月，微软与NAI合作，利用NAI的技术为微软Exchange Server 2003提供病毒扫描和反垃圾邮件支持。用于Exchange的McAfee GroupShield和用于Exchange Server 2003企业版的McAfee SpamKiller计划将于今年第三季度推出测试版。这里需要提醒用户的是，用户还需要密切关切所采用的邮件系统厂商发布的补丁程序，及时升级更新自己的邮件系统，不要给黑客和病毒留下可乘之机。 
    电子邮件安全具有多方面含义，邮件内容不能暴露给第三方，确保电子邮件完整可靠地到达接收方，而且发送方能够知道接收方何时收取了邮件，并且具有完整、详细、可靠的收发证明。显然，实现以上安全目标，仅仅依靠邮件系统自身带有的安全机制是不能实现的，这就需要从邮件加密与签名、反病毒和邮件过滤等方面入手。 

数据加密和数字签名

    当电子邮件从一个网络传到另一个网络中时，其内容都是可读写的明文，邮件内容很容易被窃取和篡改。 

    多数用户的邮件在Internet上传输时不采取任何安全措施。没有安全措施的邮件很容易被别有用心者盗用，从事非法活动。如果用户将电子邮件错发给陌生人，收信人也有可能利用错发的明文邮件做文章。采用数据加密和数字签名可以保护电子邮件的内容安全。  
    数据加密是通过变换信息的形式来伪装需要保密的敏感数据与重要信息，其基本要素是密码算法和密钥。目前国际上有两大类流行的邮件安全系统加密标准：端到端的安全邮件标准PGP（Pretty Good Privacy）和传输层安全邮件标准S/MIME（Secure/Multipurpose Internet Mail Extensions）。PGP通过单向散列算法对邮件内容进行签名，可以保证信件内容不被修改，并且信任是双方的直接关系。S/MIME是一种利用单向散列算法和公钥与私钥的加密体系，但它有两点与PGP不同：一是S/MIME的认证机制依赖于层次结构的证书认证机构，所有下一级组织和个人证书由上一级组织负责认证，最上一级组织（根证书）之间则可相互认证；二是 S/MIME将信件内容加密签名后作为特殊的附件传送。
    PGP和S/MIME都采用了混合算法，即被发送邮件的内容采用对称加密算法进行加密，加密邮件内容的密钥则采用公共加密算法加密后进行传递。需要指出的是，使用公钥和私钥技术保证邮件内容保密而且不可否认，因为发信人与收信人的公钥都是公开的，公钥的权威性则可以由第三方进行签名认证。在现有的加密密钥体制中，比较突出的问题是公开密钥的安全获取问题。而解决这个问题的手段，就是采用PKI(Public Key Infrastructure)技术。
    PKI技术就是由发布机构发布数据证书给PKI用户，该证书中含有用户公共密钥和个人密钥的信息，由证书、证书授权机构CA和实体三部分组成。PKI用户可以利用个人密钥签发信息或解密收到的信息，而其他用户则使用对应公共密钥收发信息。基于PKI的设计，采用统一的证书分配、管理策略以及共同的可靠性验证机制，一方面可以保证电子邮件的安全性，另一方面还可以解决现有不同系统无法进行通信的缺陷。因此，优秀的电子邮件系统通常都是基于PKI进行设计的。 
    数据加密只能保证邮件的机密性，却不能完全保证邮件的完整性和不可抵赖性，即不能保证邮件在传输过程中不被他人篡改和不被人冒名顶替发送。数字签名可以有效解决上述问题，在发送电子邮件的同时，加上一个Hash冗余信息，作为发送者的签名。发送者使用Hash函数创建信息的摘要，作为信息数字指纹，然后用个人密钥加密信息摘要，加密后的信息摘要就是数字指纹，用于身份识别。 

邮件反病毒

    目前80%以上的计算机病毒是借助电子邮件进行传播的，这一比例还呈现出继续上升的趋势。尽管邮件病毒把电子邮件作为传播途径，但攻击目标仍然是用户主机，不过也有病毒直接将攻击目标指向了邮件服务器。利用邮件传播的病毒具有伪装性，很难加以防范。 

    对于单节点用户而言，安装并及时更新防病毒软件，及时给操作系统打补丁就可以防范绝大多数病毒。这些对单节点用户奏效的防范措施放在企业网络中却不能取得让人满意的效果。原因是：首先，企业网络通常包括成百上千台主机，很难保证所有节点（包括移动节点）的系统都处在最佳状态，包括是否安装有防毒软件、防毒系统是否生效、是否更新了病毒特征码、是否给操作系统打好了最新的安全补丁等等；其次，网络病毒的传播和防毒系统的特征码更新都是利用网络，由于病毒的出现肯定要先于病毒特征码的出现，这使得拥有大量终端节点的企业防病毒体系处于被动防毒境地。 
    显然对邮件系统采取防范措施，控制管理病毒传染源和传播途径，能够使人们在与病毒对抗中获得主动。一种作法是在邮件服务器上安装防病毒软件，查杀进出该邮件服务器的邮件病毒。基于电子邮件服务器的防病毒软件被装到电子邮件服务器上后，可以实时搜索输入和输出的电子邮件中的病毒信息。这类产品通常具有向发送者或接收者发送定制病毒通知的能力，并且按照主题、文件附件或邮件正文进行内容过滤。 
    目前大多数防病毒厂商都提供运行在Lotus Notes、Microsoft Exchange和Novell GroupWise等群件产品的防病毒系统。 
    防病毒系统直接安装在邮件服务器上，对于工作负荷不是很大的系统来说是可行的。对于高负荷运行的邮件系统来说，查杀病毒任务的引入，会加重邮件服务器的负荷，使之分出宝贵的系统资源用来支持查病毒引擎的工作，难免造成相当程度的延时和错误。另外，当前的邮件系统也有很多种，如Notes、Exchange、Sendmail、Qmail、Postfix，不同类型的邮件服务器需要不同的防毒软件，如果用户升级了邮件系统的版本或改用了另外一种邮件系统，通常需要重新升级或购买相应的防毒软件。同时，邮件系统是企业网络的核心服务器，在核心服务器上安装和卸载软件都是有相当风险的。 
    部署在邮件服务器之前的防病毒网关，能够将带毒邮件拦截在网关之外，有力保护邮件系统。防病毒网关的共同特征是在数据通过HTTP、FTP和SMTP协议传输时能够对数据进行扫描。在邮件病毒大规模爆发时，防病毒网关能够大大减轻邮件系统的压力，使邮件系统免于崩溃。为了强化防病毒网关的性能，趋势科技和NAI将各自的防病毒软件集成到专用的硬件平台上，分别推出了趋势科技防毒墙和NAI　e500和e1000，这些产品可以称得上是保护邮件系统免受病毒攻击的佼佼者。 

邮件过滤技术

    　　Gartner统计指出，垃圾邮件每年导致1300万美元以上的经济损失，而且情况每况愈下。据不完全统计，每年有超过 50 万起信用卡盗用案件是由垃圾邮件引起的。当某些垃圾邮件恰巧命中了某目标用户，并且该用户被垃圾邮件内容所吸引时，信件内文中的链接就会将用户链接到某一网站，当人们输入信用卡号时，就会收到一些代人垫付的账单。对付垃圾邮件最有效的办法就是采取邮件过滤技术。 
    邮件过滤技术分为启发式和合作式两种。由于电子邮件一般都有几个重要特征，如标准电子邮件地址（包括收发件人邮箱名、收发人邮箱服务器IP地址或域名）、主题、信件内容（包括正文、关键字、附件）等相关字段，这些特征是邮件过滤技术判断、分析、统计和提取的重要依据。邮件过滤技术也有弊端，存在一定的局限性和随机性，有可能将正常邮件过滤掉，这就促使人们在过滤技术中增加更多的智能分析功能。 
    启发式过滤技术可以根据其来源特征进行过滤，可以在邮件完全提交之前就进行阻断，能够有效保护网络资源。合作式过滤技术主要通过对邮件进行签名来防止垃圾邮件，通过分布在各地的防垃圾邮件代理对垃圾邮件进行实时的判断和签名，利用各个防垃圾邮件网关的协同工作减少垃圾邮件。 
    启发式和合作式技术都能够对邮件来源和内容进行过滤。一方面针对邮件的头部进行检查，将主题、发送域和发送者等不符合要求的邮件予以删除；另一方面采用关键字匹配方法，可以将内容不符合要求的邮件予以删除。 

其他 

    除了病毒和垃圾邮件之外，邮件系统还面临网络入侵和服务破坏两种攻击。对于网络入侵的防范，主要依赖于邮件系统开发商在软件编程时的严谨程度。对于防范服务破坏，用户可以从防止外部攻击、防止内部攻击以及防止中继攻击三方面考虑。采用基于VPN和IP通道技术，封装所有的TCP/IP服务，也是实现安全电子邮件传输的一种方法，这种模式往往是企业整体网络安全机制的一部分。防止来自外部网络的攻击，包括拒绝来自指定地址和域名的邮件服务连接请求，拒绝收信人数量大于预定上限的邮件，限制单个IP地址的连接数量，可疑的信件等。防止来自内部网络的攻击包括拒绝来自指定用户、IP地址和域名的邮件服务请求，强制实施SMTP认证，实现SSL POP和SSL SMTP以确认用户身份等。防止中继攻击，包括完全关闭中继功能，按照发信和收信的IP地址和域名灵活地限制中继，按照收信人数限制中继等。 
    大部分用户没有意识到电子邮件系统的风险，用户不良的使用习惯也在无形中加重了邮件系统的风险。建议用户定期更改邮件密码，并考虑采用认证机制；综合应用桌面防病毒、内容过滤和垃圾邮件过滤程序；利用VPN或SSL连接加密邮件连接，不要向Internet开放邮件系统；使用监控邮件系统；及时打好操作系统和邮件系统的安全补丁；对重要邮件进行加密处理。  

邮件系统综合保护平台 

冠群金辰KShield Gateway

    　冠群金辰软件公司的KShield Gateway是一个针对邮件系统的SMTP协议进行过滤的网关产品。KShield Gateway包括邮件病毒过滤、垃圾邮件过滤、敏感信息过滤等引擎，用户还可以根据需要扩展安全保护功能。KShield Gateway的应用只与是否使用SMTP协议有关，而与具体的邮件系统无关。KShield Gateway使用独立的硬件平台，工作效率要远远高于在邮件服务器上直接安装过滤软件。同时，用户还可以通过均衡和集群的方式线性地扩大KShield Gateway的处理能力。KShield Gateway支持标准的SMTP和SMTP的扩展协议——ESMTP。对于进入的邮件，KShield Gateway主要是利用邮件路由协议的特点进行扫描，邮件总是首先传递给优先级相对较高的邮件服务器。对于发出去的邮件，用户可以在DNS中修改发件服务器的IP指向，或者用户直接修改自己所用的邮件客户端软件的发件服务器以指向KShield Gateway 就可以了。这种方式规避了在邮件服务器上直接安装邮件过滤软件带来的问题，它的接入方式也很简单，通常无须修改邮件服务器的任何配置。KShield Gateway表现出较好的伸缩性和扩展性，当一台KShield Gateway不够用时，用户可以简单地再增加一台设备进行扩充，如果使用集群模块，还可以做成设备集群，实现统一管理。通过采用多种技术，KShield Gateway有效保证了与各种邮件系统平滑地结合以及认证、队列和负载的处理。 

诺基亚信息安全网关 

    诺基亚信息安全网关部署在防火墙和邮件服务器之间，是全面保护企业邮件系统安全的硬件设备。它采用IPSO专用安全操作系统，支持大量SMTP通信流量。与一般代理服务器不同，信息安全网关的MTA设计，使外界无法直接进入企业的电子邮件服务器，而其储存和转发邮件功能，能确保在传送至指定电子邮件服务器之前，所有进入的电子邮件均被全面保护。诺基亚信息安全网关采用双P4 Xeon处理器及1GB RAM内存，每小时能处理超过十二万个邮件信息。即使防护系统受到病毒入侵，仍然能确保企业网络中的电子邮件传送不会受到影响。为了避免电子邮件损失或受破坏，信息安全网关具备RAID-1磁盘镜像功能，所有进入的电子邮件均进行备份，直至指定电子邮件服务器确认接受邮件。 
    尽管采用了趋势科技的互联网络防毒技术，但其功能并不止于防毒。诺基亚复合防护（StatisticalProtection）技术包括多重扫毒技术、宏摘除、层次式过滤，能有效阻截外界入侵、阻截垃圾邮件（SPAM）以及隔离所有可疑内容。值得一提的是，信息安全网关的电子邮件防护技术，现正在申请专利注册，其技术特性包括智能防止外界入侵，避免企业网络受到破坏。信息保护器硬件和后方的更新服务平台均已采用这项过滤技术。 

 趋势科技防毒墙网关 

    从企业角度而言，如果邮件能在邮件服务器或者进入公司内部网关之前即被予以过滤，将是最有效的防病毒和防垃圾邮件的方法。趋势科技防毒墙网关版 eManager通过垃圾邮件过滤器、内容过滤器和电子邮件管理三个组件来实现对电子邮件的安全管理。垃圾邮件过滤器（Spam Filter）能够根据趋势科技提供的垃圾邮件代码以及网管员自定义的垃圾邮件规则，在网关或邮件服务器上过滤特定邮件或邮件类型，并会依据系统设定，自动对问题邮件采取清除或者隔离措施，同时会发送警示信息给邮件的发送人、收件人以及系统管理者。垃圾邮件代码可以通过网络从趋势科技网站自动定时更新。内容过滤器（Content Filter）可以扫描邮件内容，检查其中的关键字和句子是否包含不良或者敏感信息，如企业内部绝密敏感资料等，防止这些资料从网络内部寄出，或进入内部网络。电子邮件管理 (Email Management)可以监控邮件的流量，并进行网络资源分配，系统能够根据邮件的标题、收寄人地址、转发站、大小等来设定延迟和优先级，在不繁忙时段发送大型或特定邮件，避免发生阻塞，同时还可以提供统计报告，帮助管理者了解邮件系统的不良使用情况。