TurboEx郵件系統安全特性介紹系列（六）：一體化郵件網關

企業郵箱作為企事業單位必不可少的對外和內部主要信息傳輸工具，承載著大量重要信息，電子郵件內容的泄露或篡改會給單位和個人帶來無法估量的損失，同時電子郵件也是企業寶貴的數字資產，在當前國際關系復雜多變、互聯網攻擊概率日益加大的形勢下，對郵件服務器系統的安全控制能力和開發商的研發技術實力要求更加突顯。

拓波軟件作為中國電子郵件行業領域的領先者，向企事業單位提供全面有效的安全防護方案，從系統層到用戶層的每一個環節都提供了業內全面的安全控制與威脅防護功能，主要分為以下九方面：

數據加密	防攻擊	防盜用
反垃圾病毒郵件網關	多維安全訪問控制	多種數據審核機制
用戶安全操作管理	報警機制	安全功能快速二開

客戶可以根據需求定制郵件系統安全管理策略與方案，本篇介紹TurboEx安全特性功能（六）：一體化郵件網關。

TurboEx無縫集成拓波軟件自主研發的TurboGate安全郵件網關，提供安全訪問全面防護、高度安全防范機制。

TurboGate反垃圾郵件網關海量數據庫從用戶處大量接收每天約5000萬次的垃圾郵件舉報，基于海量垃圾郵件倉庫與拓波大數據分析技術對垃圾郵件特征機型快速的匯集和分析，提煉出實時更新的垃圾郵件特征庫，供TurboGate AntiSpam深度學習與計算。TurboGate AntiSpam是一個非常有彈性的智能垃圾郵件評分引擎，它根據企業用戶的業務特征、垃圾郵件規則庫和得分閥值來為每臺反垃圾網關智能建立垃圾郵件判斷機制，高度匹配每個企業的業務郵件特征。

實現對附件內容做垃圾檢測的郵件網關；
實現對圖片做垃圾檢測的郵件網關；
實現雙向攔截垃圾郵件的郵件網關；
垃圾郵件摘要報告，保證零誤判；

1.九層反垃圾反引擎

TurboEx采用九層反垃圾綜合評分引擎，根據垃圾郵件的各種特征對郵件建立各項可信度分值，根據不同單位郵件內容的特點來靈活調整每個特征的權重，同時結合拓波云反垃圾規則庫，對每封進出郵件進行綜合評分，根據分值判斷是否為垃圾郵件，垃圾郵件的攔截率為99.9%或以上，零誤判。

反垃圾后臺設置示例圖

采用的反垃圾技術：

第一層：網絡控制層

經驗分析，發送垃圾郵件的服務器通常會同時大批量向某些域的多個帳號發送垃圾郵件，對于這種發送垃圾郵件方式，可通過設定一定的網絡訪問頻率控制進行有效的阻隔。TurboEx針對這種攻擊提供兩種設置方式，并自動將發送垃圾郵件的IP歸為垃圾IP（SpamIP）列表。

通過SMTP服務層拒絕明顯的發送垃圾郵件SMTP連接，大大減輕后臺投遞系統和反垃圾引擎的負擔。

通過統計分析，我們發現發送垃圾郵件的SMTP連接具有以下特點。

同一IP同時的smtp連接數非常大。
同一IP一段時間內，smtp的連接頻率非常高。

一般出現這兩種情況，都表示源發件人極有可能在發送垃圾郵件。

SMTP服務配置圖

通過設置以下這兩個參數可控制這類型的smtp連接，從而截斷發送垃圾郵件的源頭：

系統設置－》SMTP服務－》一分鐘內同一IP允許訪問次數。

同時設置：

系統設置－》SMTP服務－》啟用智能反垃圾IP功能參數，把符合以上兩個條件的IP地址自動加入系統的智能反垃圾IP列表中（SmartSpamIP），當以后系統碰到這些IP連接時，直接拒絕。

可通過：

系統監控－》智能反垃圾IP列表查看系統目前智能反垃圾IP 列表。

注：如互聯網是經過反垃圾網關再接入郵件系統，由于郵件系統的所有smtp連接都來自反垃圾網關，所以smtp服務反垃圾技術不再起作用，需要修改配置將以上兩個參數設為-1，否則會有系統smtp服務故障。

第二層：來源分析

根據垃圾郵件發送者IP的地理位置，與 APNIC 的IP信息庫核對結果，確定來源是否真實，如果真實則通過，否則可能為可疑郵件。因為IP 來源無法偽裝，所以這個反垃圾策略比較有效。

第三層：黑名單

通過黑名單, TurboEx系統可設置屏蔽任何一個IP，一個網段；也可屏蔽任何一個發信人，一個域。

實時黑名單(RBL)主要利用互聯網公開的RBL資源判斷是否為垃圾郵件。RBL 一般是通過DNS 查詢的方式提供判斷某個IP或域名是否是垃圾郵件發送源的服務。另外，由于國外大多數RBL都對來自中國的ip 有“歧視”，所以我們并不能完全依靠RBL 來判斷一封郵件是否是垃圾郵件，只能根據RBL查詢結果判斷該郵件是否垃圾郵件的可能性。可設置以下參數定制RBL:

RBL服務器：指定RBL查詢域名后綴。
DNS查詢類型：根據具體的RBL要求指定DNS查詢記錄類型。
匹配表達式：指定RBL查詢結果的匹配模式，表達式格式采用perl正則表達式，如果為空，則表示如果可查到RBL結果，則符合條件。

目前所知比較有效的RBL服務器為：

xbl.spamhaus.org
bl.spamcop.net
cbl.anti-spam.org.cn
cdl.anti-spam.org.cn

第四層：灰名單

灰名單技術源于：http://www.greylisting.org/。

灰名單技術基本假設是：病毒和垃圾郵件，通常都是一次性的，如果遇到錯誤，不會重試。

發垃圾郵件的軟件不會對郵件服務器返回的錯誤做出任何重試，而只是簡單的在日志里記錄發送失敗而已。而病毒引發的郵件風暴則更加不會識別郵件服務器返回的錯誤，因為這些病毒僅僅是簡單的發送郵件，發送時根本不理會服務器的狀態。

Greylist的設計大體上是基于一種重試的原則，即當收到某個IP想給某個收件人發信的會話時，它先簡單的返回一個臨時錯誤（4xx），并拒絕此請求，正常的郵件服務器都會在一段時間內（如半小時）重發一次郵件。如還是相同的ip地址和收件人，則判斷此ip地址為合法服務器，予以放行。如果是非正常的郵件，那么或者將永遠也不再進行重試，或者會瘋狂重試，但由于間隔太近，而遭拒絕。因此，Greylist只要設置一個合適的放行間隔，就可以在很大程度上對這類垃圾郵件有著良好的免疫能力。Greylist的一大特點就是不會丟信，正規的郵件服務器認為4xx錯誤只是臨時性、軟性的錯誤，會隔一段時間重試，因此郵件還是可以投遞成功。但Greylist的主要缺點是即時延遲（delay），延遲從幾分鐘到幾個小時不等。對于一些對郵件及時性要求高的客戶，Greylist可能不是一個很好的選擇。

第五層：趨勢分析

趨勢分析原理為，所有垃圾郵件都有目標指向，比如：賣藥廣告郵件都會在郵件內容里指定賣藥的電話、郵件或網站，如果不指定這些信息，發送垃圾郵件也就沒有意義了。趨勢分析法就是通過分析郵件里的電話、郵件或網站鏈接內容，通過匹配判斷他的指向從而判斷郵件是否是垃圾郵件。

第六層：郵件來源判斷

主要通過分析郵件的來源，如：發件人IP，發件人，發件域等內容，來判斷垃圾郵件的可能性。

第七層：內容過濾

通過郵件內容關鍵字分析，可為符合內容分析結果的郵件打上相應的垃圾郵件評分。這類規則的判斷條件類似系統的過濾規則。可參考過濾規則設定來設定過濾評分內容，同時拓波云反垃圾規則庫會通過收集客戶報告的垃圾郵件的特點不斷更新規則庫，定期推送到客戶郵件服務器更新。

第八層：主題分析引擎

主題分析原理是基于：同一類垃圾郵件的內容大多都相似，通過相似度進行分析，以確定是否為垃圾郵件。比如代開發票的垃圾郵件，內容都有“代開”，“發票”，“稅”這類詞，通過對同一類型垃圾郵件的統計分析，可以歸納這類垃圾郵件的主要關鍵字，通過關鍵字匹配度，確認是否是垃圾郵件。

第九層：TMSpamCheck引擎

TMSpamCheck技術是基于云計算的反垃圾技術，拓波通過收集終端用戶反饋的垃圾郵件，統一分析，實時歸納為中心垃圾規則庫。同時當客戶郵件服務器初步檢測到郵件可能為垃圾郵件時，即計算郵件的特征摘要，與中心規則庫比較，以確定是否為垃圾郵件。

2.反病毒引擎

TurboEx系統支持多種殺毒引擎，并且內置著名的開源殺毒引擎ClamAV，對郵件類病毒具有99.9%的殺滅能力，同時支持嵌入式殺毒和網關殺毒自動定時更新病毒特征庫。

ClamAV殺毒引擎特點：Clam AntiVirus是一款UNIX下開源的(GPL)反病毒工具包，專為郵件網關上的電子郵件掃描而設計。該工具包提供了包含靈活且可伸縮的監控程序、命令行掃描程序以及用于自動更新數據庫的高級工具在內的大量實用程序。該工具包的核心在于可用于各類場合的反病毒引擎共享庫。

未完待續，下期介紹TurboEx安全特性功能（七）：報警機制，敬請期待。