邮件安全网关产品白皮书
中企动力科技集团股份有限公司协同通讯事业部
2013年4月
目录
1.概述 (3)
2.产品特点 (3)
2.1.部署灵活 (3)
2.1.1.转发部署 (4)
2.1.2.透明部署 (4)
2.1.3.邮件服务器前端 (5)
2.1.4.网络出口部署 (5)
2.2.分布式结构，性能卓越 (6)
3.流处理技术 (7)
4.独特的存储技术 (7)
5.功能介绍 (8)
5.1.反垃圾引擎 (8)
5.2.反病毒引擎 (10)
5.3.防攻击 (11)
5.4.支持子策略的多级过滤 (12)
5.5.投递控制 (13)
5.6.黑名单和白名单 (14)
5.7.垃圾邮件摘要 (14)
5.8.高效的邮件备份审计功能 (15)
5.9.完备的报表统计功能 (16)
5.10.TOP排名统计 (16)
6.产品报价 (17)
1.概述
邮件安全网关产品是一款集成了反垃圾邮件、反病毒邮件、智能灵活的邮件过滤、高效的邮件备份等功能与一体的安全网关产品，为用户供强大的邮件安全保护和过滤功能。
部署邮件安全网关有以下重要意义：
?杜绝邮件服务器的非自身原因宕机，保证邮件服务的连续性
?可以基本斩断病毒的邮件入侵渠道，保证内网安全
?可以最大限度的减少垃圾邮件的干扰，提高邮件服务满意率
?可以避免重要信息通过邮件违规外泄，避免潜在法律风险
?可以提高邮件应用效率，提高邮件传递速度
?部署在网络出口，可以过滤进出网络所有的SMTP/POP3邮件
2.产品特点
?采用优化的LINUX平台,性能优异，稳定安全
?灵活的部署，支持转发和透明模式，可部署在不同的网络位置
?采用流处理技术，确保没有邮件队列积压，收发没有延迟
?高达99%的垃圾抓获率，低于0.001%的误判率，特有的反钓鱼数据库
?集群统一管理和输出的统计分析功能
?管理员权限的多级控制
?可集成的网页过滤功能,体现完整的内容安全管理方案
2.1.部署灵活
邮件安全网关支持通常的转发方式部署以及透明方式部署，可以根据客户的实际情况进行不同的部署。
2.1.1.转发部署
转发模式下通常放在和邮件服务器同一网段的DMZ区，通过修改DNS MX记录的方式或者通过防火墙端口转发功能实现邮件的过滤，如下图所示：
2.1.2.透明部署
透明方式部署完全没有适应性问题，当前企业客户采用的邮件系统版本很多，特别是中国市场，据统计中国的中小企业使用的邮件系统版本超过200个，不同的邮件系统有不同的要求，透明模式不改变用户邮件通讯会话过程，因此没有适应性问题。采用透明模式的好处是不更改用户网络设置和邮件系统的设置。
透明模式部署方式非常灵活，可以放在用户的网络出口处，也可以放在邮件服务器的出口。
2.1.
3.邮件服务器前端
放在邮件服务器的前端，能够有效的过滤经过邮件服务器的邮件，遏制垃圾邮件、病毒邮件绕过网关直接发送到用户邮件服务器。参见下图：
2.1.4.网络出口部署
部署在网络出口，不仅可以过滤到用户邮件服务器的邮件，还可以过滤所有进出网络的邮件，比如对用户通过SMTP发送或者POP3接收互联网上的yahoo, hotmail等免费邮件，进行杀毒，反垃圾，敏感信息过滤，备份审计等安全防护。如下图所示：
2.2.分布式结构，性能卓越
邮件安全网关产品采用分布式的体系结构，模块化的设计，使得系统易于扩展，支持大规模的集群部署。底层采用优化后的Linux平台，充分考虑邮件高峰极限时刻的网关稳定处理，不仅对反垃圾引擎进行充分的优化，同时内置反流行病毒策略，能够检测流行病毒，该策略的检测速度是传统反病毒引擎的100倍以上，在流行病毒爆发的高峰时刻能对病毒引擎起到很好的防护作用。
3.流处理技术
传统的反垃圾引擎都有一个普遍的毛病就是性能低下，容易队列堆积，造成用户不能收发邮件延时，严重时会导致邮件丢失。
邮件安全网关采用的优化后的流扫描技术突破了这一瓶颈，使得性能得到10倍以上的提高，在普通的PC性能相当的服务器上每秒钟也可以处理100封以上，它在用户传输邮件的同时已经开始扫描邮件，用户传输结束，网关扫描也就完成了。这种处理方式真正的实现无队列、无延时处理，用户在任何时候都不用担心邮件被积压在网关上。
4.独特的存储技术
邮件安全网关底层采用独有存储专利技术用于网关的邮件备份与审计系统，该技术有效的解决了传统Unix文件存储的弊端：创建Inode慢，性能低下，常时间运行，造成大量磁盘碎片。
该存储技术有以下特点：
◆流量处理能力强，没有磁盘碎片，在普通PC每秒处理1000邮件以上
◆能够创建邮件索引，方便快速查找
◆支持每天增量保存
◆支持压缩，可以省70%左右的硬盘空间
◆系统崩溃时，可以快速恢复
◆用户丢失邮件时，可以方便重新取回邮件
5.功能介绍
5.1.反垃圾引擎
邮件安全网关的反垃圾邮件引擎专门针对中国市场集成了发件人策略框架、实时跟踪系统、行为识别、指纹识别、语义分析、词典扫描、启发式自学习等多项独创技术。
发件人策略框架（SPF：Sender Policy Framework）：用来对付伪造的发件人邮件地址。SPF根据发送者地址执行一个DNS查询，以确定发送者服务器是否允许这个地址发送邮件。
◆拒绝来自没有SPF 记录的发件人的邮件
◆拒绝来自有SPF 软故障的发件人的邮件
◆拒绝来自SPF 出错的发件人的邮件
实时跟踪系统：实时跟踪系统实时跟踪邮件包含的路径，并挖掘其路径是否指向垃圾、间谍、钓鱼站点。由于几乎所有的钓鱼攻击目前都是通过垃圾邮件进行的，因此，控制垃圾邮件可以大大降低遭受钓鱼攻击的危险。
◆实时垃圾邮件跟踪
◆实时间谍邮件跟踪
◆实时钓鱼邮件跟踪
行为识别：通过实时观察发送垃圾邮件的行为，可以智能在线识别以下几种针对电子邮件系统的各种非正常发送邮件的行为：
◆邮件滥发行为
◆邮件非法行为
◆邮件匿名行为
◆邮件伪造行为
指纹识别：垃圾邮件发送者一般是大规模的发出同样的邮件，通常是在几天或一周之内发出数百万甚至数千万封邮件。指纹分析的方法和当前反病毒体系中病毒特征码的原理基本是一样的，从这些邮件中提取共同特有的特征，将这些特征收集整理成一个规模化的垃圾邮件特征库。指纹特征可以由邮件的以下几种部分提取：
◆文本指纹
◆图像指纹
◆音频指纹
◆视频指纹
◆可执行指纹
◆压缩指纹
启发式扫描：电子邮件通常具有几个重要特征，标准电子邮件地址(包括收发件人邮箱名、收发人邮箱服务器IP地址或域名)、主题、信件内容(包括正文、关键字、附件)等相关字段，启发式扫描根据这些特征分别赋予匹配规则的权值。并将结果综合和一个阈值比较，超过这个阈值就判断为垃圾邮件。
语义识别：系统预定义不同分类的词库，语义识别将扫描邮件是否包含不同分类词库定义的词，累加权值，超过一定阀值就判断为垃圾邮件。
词典扫描：类似语义识别，但管理员可以自定义词库，并设置词的权值。
自学习：使用Bayesian自动学习机制，会依据最新的大量邮件样本分析所得的结果, 调整垃圾邮件侦测策略，以防制新出现的垃圾邮件渗透方式。
5.2.反病毒引擎
支持多个第三方专业的反病毒引擎，能实时有效的防御病毒邮件的入侵。针对流行病毒和爆发性病毒提供解决方案，在病毒邮件爆发的第一时间直接过滤。
5.3.防攻击
对邮件服务器的攻击是最基础的邮件安全威胁。攻击会造成邮件服务器的瘫痪、效率下降，甚至被盗取各种数据。
常见的邮件服务器攻击虽然多样，但都可以被一些参数所归类设置。在邮件安全网关里，通过各种参数的组合，能够分别从网络层、应用层，防范对邮件服务器的以下几种攻击种类：
◆字典算法攻击
◆目录树攻击
◆多线程攻击
◆DHA（Directory Harvest Attack）攻击
◆空文件攻击
◆多重病毒感染攻击
◆多重压缩攻击
能够判断以下几种不符合RFC规范或非法邮件格式：
◆拒绝非标准的单行邮件
◆拒绝空发件人地址
◆拒绝域不存在的发件人地址
◆拒绝与登陆名不匹配的发件人地址
5.4.支持子策略的多级过滤
支持子策略的多级过滤能很好的对公司不同的部门或者不同的域名进行不同过滤策略的设定。
策略过滤器功能，能对邮件的任意的信头和信体内容进行过滤，并支持对过滤条件的任意排列和组合。
5.5.投递控制
邮件路由策略能使您轻松实现根据邮件发件人，收件人，邮件内容的邮件投送到指定的邮件服务器。
5.6.黑名单和白名单
黑名单支持主机黑名单、发件人黑名单和RBL 黑名单。
白名单支持主机白名单、发件人白名单和收件人白名单，白名单定义更加丰富，与用户主体业务的结合更加紧密。在白名单功能中，用户可以对白名单分别定制系统级的四项主要功能是否取消：防攻击控制、病毒邮件检查、垃圾邮件检查、内容过滤检查。
5.7.垃圾邮件摘要
邮件安全网关将定期给收件人发送“每日垃圾邮件摘要报告”，收件人收到垃圾邮件摘要报告后可以自主选择对隔离在邮件存储队列的邮件进行查看、放行以及删除等操作。为了方便用户查阅个人邮件信息，并发挥邮件安全网关的个性化功能，用户还可以使用个人邮箱账号或从邮件摘要登录邮件安全网关，看到且只能看到其个人的邮件处理信息，并可根据个人情况设置个人的黑名单和白名单，以最大限度的降低对特别邮件的误判比率。
5.8.高效的邮件备份审计功能
可以分用户选择性的备份邮件，启用功能能使邮件管理员在任何时候都不必为邮件丢失而苦恼，能让管理员下载和重新投递备份的邮件。
5.9.完备的报表统计功能
详细的记录每一封邮件的进出，实时图形化的报表让您对系统过滤的效果一目了然。支持饼图，柱状图，数字报表等多种表现方式。
5.10.TOP 排名统计
可以根据发件人接收人的IP、邮件地址、拦截的病毒、触发的策略进行排名统计。
6.产品报价
●版权声明 Copyright ? 2006-2011 网御神州科技（北京）有限公司（“网御神州”）版权所有，侵权必究。 未经网御神州书面同意，任何人、任何组织不得以任何方式擅自拷贝、发行、传播或引用本文档的任何内容。 ●文档信息 ●版本变更记录
目录 1产品概述 (5) 2产品功能说明 (7) 2.1SSL 应用发布 (7) 2.1.1B/S软件的应用 (7) 2.1.2企业站点的应用 (7) 2.1.3单点登录功能（SSO） (8) 2.1.4C/S应用发布 (8) 2.1.5TCP端口应用 (10) 2.1.6SSL 隧道模式 (10) 2.2LAN TO LAN 的解决方案 (11) 2.3远程用户安全性检查 (11) 2.4远程用户访问认证 (12) 2.5用户访问策略 (12) 2.6日志审计功能 (12) 2.7防火墙功能 (13) 2.8支持动态IP接入 (13) 2.9完美的个性化定制 (14) 3产品技术优势 (14) 3.1将C/S应用转成B/S访问 (14)
3.2Web应用功能 (15) 3.3访问的安全性 (15) 3.4稳定性及高可用性 (17) 3.5低带宽运行特性 (17) 3.6部署灵活，维护简单 (18) 4典型应用 (18)
1产品概述 网御神州作为国家密码管理局批准的商用密码产品生产定点单位和销售许可单位，推出了自主研发的网神SecSSL 3600 安全接入网关（简称：“网神SSL VPN”）产品。该系列VPN安全网关采用国家密码管理局指定的加密算法，，基于成熟可靠的专用硬件平台，在保证数据通信安全的同时提供了高性能的访问控制能力，可以有效实现数据传输的安全、用户接入的安全和对内网资源的访问安全。该级别VPN产品已广泛应用于各类小型企业、大型企业/单位分支机构。 网神SSL VPN产品是以国际标准SSL协议为基础的、自主研发的、专为企业定制的、基于应用层设计的远程接入产品，网神SSL VPN为企业远程接入提供了最好的解决方案，它使传统的VPN 解决方案得到了升华，能让用户无论在世界的任何地方，只要使用浏览器就能够访问到公司总部的资源，如WINDOWS、LIUIX、UNIX等系统的商业文件和应用程序，而不需要安装任何客户端软件，网神SSL VPN可以集中管理企业内部的应用布置，配置细粒度的访问策略，可以更安全地实现权限控制，可以让不同级别的用户使用不同的应用。 网神SSL VPN 的C/S转B/S功能，让用户能够远程安全使用企业的ERP系统，而无需安全客户端软件，Web代理技术可以让用户访问企业内部的OA，网站或邮件系统，SSO 功能让用户能够安全而方便地使用企业内部资源，从而实现了统一应用，统一管理，网御神州加密的SSL协议可以保护通过因特网的信息、交易、和电子商务的安全，SSL 防止直接的网络连接，与IPSec VPN不同，
安全电子邮件系统的设计与实现 摘要随着电子邮件越来越广泛的应用，电子邮件的安全性问题也越显突出，文章提出了一种提供数据加密和数字签名的安全电子邮件系统，并详细讨论了其设计与实现技术。 关键词电子邮件，MOSS，数字签名，数据加密 1 前言 近年来，伴随Internet的迅猛发展，电子邮件以其使用方便、快捷等特点已经成为Internet上最普及的应用。但是，由于电子邮件在Internet上未加任何保密措施的情况下，均以不加密的可读文件被传输，这样就存在邮件被人偷窥、篡改、截获、以及身份被人伪造等若干不安全因素，由此限制了电子邮件在重要信息传递与交换领域的应用。 目前国外已经出现了很多安全电子邮件软件，但是，由于他们对安全产品出口的限制以及国外软件可能存在“安全后门”，研制和开发具有自主知识产权的安全电子邮件软件，具有重大的政治意义和经济价值。 本文介绍的基于Windows平台上用Visual c++6.0开发的安全电子邮件系统，提供了电子邮件的保密性、完整性、不可否认性及身份认证。 2 设计与实现 本文实现的功能：收发邮件、转发邮件、答复邮件等标准邮件客户端功能；为防止邮件被窃听，自动加密邮件；防止邮件被篡改及伪冒、发送方抵赖，自动执行数字签名；为保证私钥高度安全，支持本地产生RSA密钥；地址簿除方便易用，还具有许多特殊的如公钥环管理等功能；支持从文件中导入及自动从邮件中获取公钥或数字证书；支持BIG5与GB2312的内码转换以及UUEncode编码方式；支持多帐户以及口令保护；支持拨号上网以及打印功能。 2.1 总体设计 系统有多个功能模块构成，总体结构如图1所示。 （1）个人密钥管理 个人密钥管理模块完成产生RSA密钥对、安全 地保存私钥、发布公钥、作废公钥的功能。 根据用户提供的信息（密钥长度、随机数种子、保护口令以及含用户名的基本信息），采用RSA算法生成模块产生公钥、私钥对。 图1 安全电子邮件系统结构图 采用MD5和IDEA加密算法对RSA私钥、用户口令以及随机数种子进行加密，实现安全保存。 本系统提供两种方式实现公钥的发布。一是基于信任模式下的方式：将公钥发送到文件或者通过E-mail发送；另一种是基于层次结构证书认证机构的认证方式：申请数字证书。 作废密钥也提供两种方式：本地删除和申请作废证书。后一种适用于公钥发布选择第二种方式的用户。 （2）发送邮件 发送邮件模块完成撰写邮件、格式化邮件、SMTP协议的实现功能。 撰写邮件由邮件编辑器完成。 格式化邮件严格按MIME协议来进行，对普通邮件直接发送，而对安全邮件按照MOSS协议对邮
Lotus Domino邮件系统邮件网关搭建说明 Lotus Domino系统作为统一协作平台，承载众多应用功能，邮件系统仅为其中一个应用，反垃圾、反病毒效果一般，如果系统老化，各种弊端会阻碍系统的正常运行，而搭建邮件网关是企业不更换邮件系统的前提下最经济适用的解决方案，下面详细说明一下： 本套部署的结构外部采用TurboGate作为邮件网关，内部采用Lotus Domino 作为内网邮件系统，此部署方法使得内网Lotus Domino邮件服务器不直接暴露在互联网，而是通过SMTP协议经过TurboGate邮件网关再接入互联网，从而保证了内网Lotus Domino邮件服务器的安全性。 一．拓扑结构图 二．部署方法 假设： ◆ TurboGate邮件网关IP地址：ip地址一：192.168.1.10 ，ip地址二：192.168.0.20
◆内网Exchange邮件服务器IP地址：192.168.0.10 1、TurboGate邮件网关部署 1.1 设置网关运行模式，网关默认域为内部Lotus Domino邮件服务器的主域名 1.2 配置内网Exchange邮件服务器允许通过TurboGate邮件网关外发邮件。 设定许可中转IP列表 进入TurboMaiL管理员-》系统设置-》SMTP服务-》允许中继地址列表，增加内网服务器IP 1.3 设定外网进入内网中转规则 进入TurboMail管理员-》系统设置-》SMTP服务-》中继网关列表 增加外网到内网规则
2、内网Lotus Domino邮件服务器的部署 设置Lotus Domino邮件服务器通过TurboGate邮件网关出去如下截图所示： 三．工作流程 1、内网Lotus Domino帐号发送邮件到公网
电子邮件安全（一） 【教学目的要求】熟悉各名词、术语的含义，掌握基本概念，特别是PGP、PGP 操作描述。掌握网络安全体系结构、安全攻击方法等基本概念。 【重点】PGP、PGP操作描述 【难点】PGP、PGP操作描述 【教学方法】多媒体教学和传统教学相结合。 【课时安排】2课时 【教学过程】 【导入】E-mail 是Internet上最大的应用之一，安全电子邮件主要解决身份认证和保密性相关的安全问题。 【讲解】 安全电子邮件 涉及到的问题： 安全算法的选择 系统邮件的信息格式 如何实现认证和信任管理 邮件服务器的可靠性 应用实际例子：PGP、S/MIME等 邮件信息格式 早期只支持ASCII文本格式 随着Email的发展需要发送各种类型数据，形成了MIME (Multipurpose Internet Mail Extensions，多用途网际邮件扩展) 5.1 PGP（Pretty Good Privacy） 1.提供了一种机密性和数字签名的安全服务，广泛用于电子邮件和文件存储的安全应 用 2.选择各种经过实际验证的安全算法作为基础构件 3.将这些算法有机整合起来，形成一个通用的独立于操作系统和硬件平台的应用程序 4.是一个自由软件包（https://www.doczj.com/doc/4e15285794.html,） PGP的优势 1.免费得到, 支持多种平台（DOS/Windows、Unix、Macintosh等） 2.建立在一些经过实际验证的算法基础上（RSA、DSS、Diffie-Hellman、IDEA、3DES、 SHA-1、MD5），选用算法的生命力和安全性得到公众认可 3.应用范围极其广泛 4.不从属于任何政府机构和标准化组织 5.已经成为互联网标准文档（RFC3156） 6.免费得到, 支持多种平台（DOS/Windows、Unix、Macintosh等） 7.建立在一些经过实际验证的算法基础上（RSA、DSS、Diffie-Hellman、IDEA、3DES、
创造网络通讯新时代 使用说明eYou邮件网关系统 邮件网关用户 使用说明手册 2004.08.31 0
目录 I 用户模块概述 (1) I.1 我的队列 (1) I.2 我的日志 (3) I.2.1 综合年报表 (3) I.2.2 综合月报表 (6) I.3 帐户白名单 (6) I.4 帐户黑名单 (7) II 退出 (8) 亿中邮信息技术有限公司E000-T302-040831 1
文档约定 本文档中的特定信息通过特定格式表现，约定如下： 以下划线加粗表示浏览器页面中出现的超级链接。如：文件夹。 以【】封装列表框、单选按钮、输入框和按钮的提示信息。如：【立即发送】。 以“”封装的表示操作过程中出现在页面或终端屏幕上的提示信息，如：“邮件数目统计”。 ?北京亿中邮信息技术有限公司 北京市东城区东长安街1号 ? 东方广场东方经贸城W2办公楼510-512室 邮政编码：100738 电话 86-10-85183666 ? 传真 86-10-85182696 亿中邮信息技术有限公司E000-T302-040831 2
I用户模块概述 为了减轻管理员的负担和工作压力，eYou邮件网关中还提供了用户操作功能，实现了用户与管理员的互动。使用户能够实时查看自己处于等待队列中的信件，并参与信件的处理过程，并且可以对这些信件进行处理。如图I-1所示页面为邮件网关的用户界面。 登录方法：http://地址/ 用户名：用户的邮箱地址 密码：用户邮箱的密码 图I-1 I.1 我的队列 用户通过“我的队列”可以查看到处于网关拦截队列中的信件的基本信息，包括：发信时间、匹配规则、收件人地址、发件人地址、信件大小和信件主题等。凡是处于队列中的信件大部分都是符合管理员设置的过滤规则，并且过滤动作为等待的信件或者是通过邮件网关内置的智能反垃圾邮件引擎过滤的信件，还有一些是被系统拒绝的IP地址发来的信件。 在如图I-2所示页面中，用户可以通过点击【查看】对应的图标查看信件的内容；通过点击动作下面对应的【删除】图标可以将此封信件删除；点击【投递】对应的图标，此封信件会被正常投递，并且被投递的信件会记录到投递成功的队列里面。 亿中邮信息技术有限公司E000-T302-040831 1
MailGateway邮件安全网关产品解决方案随着计算机技术的普遍使用，对外发送电子文档已经成为我们日常工作和生活必不可少的方式，而邮件则成为企业日常办公必需的工具，怎样有效控制邮件外发文件，防止机密数据和敏感信息二次扩散，是当今企业所面临的重大安全问题之一。 I.需求分析 1.企业应用需求 1)邮件外发附件支持自动加解密。 2)与可信任客户合作厂商邮件交流，无需审批外发附件自动解密。 3)可根据需求灵活设置外发邮件附件自动解密名单。 4)可追溯邮件外发附件自动解密记录，方便审计。 5)应用系统必须可靠易操作。 2.预期目标 对于企事业单位用户使用邮件加解密网关后，用户与可信任客户合作厂商邮件交流无需走繁琐的审批流程，提高工作效率。邮件外发自动解密名单可根据需要灵活设置，权限设置和附件外发解密记录可追溯，用户工作习惯不改变。II.解决方案 1.方案概述 针对该类需求，MailGateway邮件安全网关能够全面解决该类信息资产安全问题。 适用于任何基于TCP/IP协议的网络体系（局域网或广域网），部署方便不改变原有网络结构。以下是方案部署拓扑图：
企业内部网络企业数据中心机房 2.方案效果 运行效果如下： 1)用户在邮件外发时先经过内部邮件服务器，然后转发到MailGateway，再转发到外部邮件服务器分发最终用户；邮件接收时直接经外部邮件服务转发到企业内部邮件服务器分到接收用户无需再经过MailGateway。 2) 邮件经过MailGateway时，根据设置策略匹配决定附件是否解密。 3) 邮件白名单设置后发到该用户的所有邮件自动解密附件。 4) 邮件白名单设置由管理员设定。 以下是方案效果示意图
DN-B12系列V5.0.a 上网行为管理和审计产品技术白皮书 上海深腾信息技术有限公司 2009年2月
版权说明 上海深腾信息技术有限公司? 2008版权所有，保留一切权力。 本文件中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属深腾信息技术有限公司(以下简称深腾)所有，受到有关产权及版权法保护。任何个人、机构未经深腾信息的书面授权许可，不得以任何方式擅自拷贝、传播、复制、泄露或复写本文档的全部或部分内容。 信息更新 本文档仅用于为最终用户提供信息，并且随时可由深腾信息更改或撤回。 免责条款 根据适用法律的许可范围，深腾信息按“原样”提供本文档而不承担任何形式的担保，包括（但不限于）任何隐含的适销性、特殊目的适用性或无侵害性。在任何情况下，深腾信息都不会对最终用户或任何第三方因使用本文档造成的任何直接或间接损失或损坏负责，即使深腾信息明确得知这些损失或损坏，这些损坏包括（但不限于）利润损失、业务中断、信誉或数据丢失。 商标信息
目录 1. 互联网概述 (4) 1.1 互联网访问带来的威胁 (4) 1.2．上网行为管理的必然性 (5) 1.3．深网DEEPNET帮助用户解决互联网访问带来的威胁 (5) 2. 产品优势特性 (6) 2.1 嵌入式的操作系统 (6) 2.2 网络数据处理芯片 (7) 2.3 硬件设计 (7) 2.4 分体式管理 (7) 2.5 继承式策略管理 (8) 2.6 版本智能管理 (8) 2.7 双线接入 (8) 2.8 内容墙技术 (9) 2.9 流控门技术 (9) 2.10 行为聚类技术 (9) 2.11 BY-PASS (10) 2.12 LCD液晶信息面板 (10) 3. 功能介绍 (10) 3.1 上网行为管理功能(DeepNet Manager System) (10) 3.2 上网行为审计功能(DeepNet Comptroller System) (15) 3.3 路由功能 (19) 3.4 防火墙功能 (20) 3.5 整体方案导入/导出 (20) 4. 产品规格 (20) 5. 部署方式 (21) 6. 关于深腾信息 (24)
电子邮件安全 电子邮件通常称为E-mail，是计算机网络上最早也是最重要的应用之一，世界各地的人们通过电子邮件互相传递信息，进行网上交流。电子邮件已经成为现在人们互相往来的一种常用方式。电子邮件是一种将电话通信的快速与邮政通信的直观易懂想结合的通信手段，与电话通信以及邮政通信相比，电子邮件有它得天独厚的优点。但是，在电子邮件飞速发展的同时，电子邮件的安全问题也随之浮出水面。 一．电子邮件的安全隐患 针对电子邮件的攻击分为两种，一种世界对电子邮件的攻击，如窃取电子邮件密码，截获发送邮件内容，发送邮件炸弹；另一种是间接对电子邮件的攻击，如通过邮件传输病毒木马。产生电子邮件安全隐患主要有3个方面： （1）电子邮件传送协议自身的先天安全隐患。众所周知，电子邮件传输采用的是SMTP 协议，即简单邮件传输协议，它传输的数据没有经过任何加密，只要攻击者在其传输途中把它截获即可知道内容。 （2）由邮件接收端软件的设计缺陷导致的安全隐患。如微软的OutLook曾存在的安全隐患可以是攻击者编制一定代码让木马或者病毒自动运行。 （3）用户个人的原因到时的安全隐患。 二．电子邮件的安全技术 1．端到端的安全电子邮件技术 端到端的安全电子邮件技术保证邮件从发出到被接收的整个过程中，内容无法被修改，并且不可否认。PGP和S/MIME是目前两种成熟的端到端安全电子邮件标准。 PGP（Pretty Good Privacy）被广泛采用，通过单向散列算法对邮件内容进行签名，以保证信件内容无法被修改，使用公钥和私钥技术保证邮件内容保密且不可否认。发信人与收信人的公钥都保存在公开的地方，公钥的权威性则可由第三方进行签名认证。在PGP系统中，信任是双方的直接关系。 S/MIME（Secure/Multipurpose Internet Mail Extensions）与PGP一样，利用单向散列算法、公钥与私钥的加密体系。但是，S/MIME也有两方面与PGP不同：议事S/MIME的认证机制依赖于层次结构的证书认证机构，所有下一级的组织和个人的证书由上一级的组织负责认证，而嘴上一级的组织（根证书）之间相互认证；二是S/MIME将信件内容加密签名后作为特殊的附件传送。 2．传输层的安全电子邮件技术 电子邮件包括信头和信体。端到端安全电子邮件技术一般只对信体进行加密和签名，信头则由于邮件传输中寻址和路由的需要，必须保证不变。目前，主要有两种方式能够实现电子邮件在传输中的安全：一种是利用SSL SMTP和SSL POP，另一种是利用VPN或者其他IP通道技术。 3．电子邮件加密 加密时一种限制对网络上传输数据的访问权的技术，加密的基本功能包括： （1）防止不速之客查看机密的数据文件。 （2）防止机密数据被泄露或篡改。 （3）防止特权用户（如系统管理员）查看私人数据文件。 （4）使入侵者不能轻易地查找一个数据文件
蓝盾信息攻防实验室 技术白皮书 蓝盾信息安全技术股份有限公司
目录 一．背景 (3) 1.1背景 (3) 1.2目的 (3) 二.信息安全攻防实验室概述 (4) 2.1概述 (4) 2.2系统组成 (4) 2.2.1系统软硬件 (4) 2.2.2系统模块构成 (5) 2.3课程设计 (5) 三.教学实验室管理平台系统功能 (7) 3.1用户管理 (7) 3.2设备管理 (8) 3.3系统管理 (8) 3.4课件管理 (9) 3.5考试管理 (9) 3.6控制台 (9) 3.7平台拓扑 (10) 3.8架构图和部署方式 (11) 四．攻防实验室平台特点 (12) 五．性能指标（默认装配设备） (13) 附录：基础课程安排 (14) 1.法律法规基础教育： (14) 2.网络攻击教学和实验： (14) 3.安全防御教学和实验： (14) 4.配套安全硬件： (15)
一．背景 1.1背景 随着信息技术不断发展，各行业用户对信息系统的依赖程度也越来越高，建立持续、稳定、安全的网络是保障用户业务发展的前提。近年来，用户都已经认识到了安全的重要性。纷纷采用防火墙、加密、身份认证、访问控制，备份等保护手段来保护信息系统的安全。 然而，种种安全措施并不能阻止来自各方各面的安全威胁，病毒、木马、黑客攻击、网络钓鱼、DDOS等妨害网络安全的行为手段层出不穷，而且技术越来越复杂，病毒、木马及黑客技术等融合造成了网络安全的巨大危机。 也正因如此，国内市场对于网络安全人才的需求日趋迫切，网络安全行业的就业需求将以年均14%的速度递增，网络安全人才的薪资水平普遍较高，走俏职场成为必然。 于是，我们开始关注对于网络安全人才的教育培训。但目前对于大部分高校来说，安全教育培训仍是薄弱环节： 1.虽设有信息安全专业，但没有建设完整的有特色的安全实验室； 2.实验设备简陋、单一，大部分实验仍然依托虚拟机来进行，实验效果大打折扣； 3.教师信息安全教学经验不足，无法切合学生实际情况进行针对性的教学； 4.实验室千篇一律，配套多媒体教案不足，可开展的实验内容过于陈旧。 在这种背景之下，在高校内建设信息攻防实验室就成为势在必行。 1.2目的 1）提高学生理论水平 2）锻炼学生实际动手能力
电子邮件系统安全解决方案 针对目前电子邮件系统存在的许多安全隐患，方标讯业提供一套领先的电子邮件安全解决方案。该方案包括了电子邮件反病毒，反垃圾，邮件加密传输，数字签名管理，负载均衡抗攻击，邮件中继网关等多种手段和措施，以满足用户对电子邮件安全的苛刻要求。 面向用户 电信级大规模电子邮局运营系统 电信级企业邮局托管运营系统 大中型企业的电子邮件系统 系统结构 下图是方标讯业电子邮件安全解决方案的系统工作原理图。主要工作区域在用户网络的边界防火墙和邮件系统之间，通过Foundir Email Security Suite 建立五层防护体系，防范来自外界的拒绝服务攻击。服务器上选装的Certificate Management，可以实现数字签名和内容加密管理，为用户提供个性化的电子邮件安全服务。通过邮件中继服务器Mail Relay的隔离和过滤处理，擦除邮件中继轨迹，避免内部网络结构外泄所引发的安全隐患。 功能特点 安全的电子邮件传输服务 方案中部署的Foundir SSL Gateway 是一个邮件通信信道加密网关，实现了用户端到服务器端甚至服务器端到服务器端的通信信道POP3、SMTP、Webmail、IMAP4会话过程的高强度加密防护，解决了邮件客户端以近乎明文方式登录系统带来的口令字泄密隐患。 稳定高效的电子邮件反防毒 在网关服务器上部署的Foundir VirusWall 是一套基于边界防病毒模式的电子邮件反防毒产品，内部采用了TCP代理、快速编解码以及多进程、多线程技术，减少了系统资源调度时间，提高了整体性能和效率，尤其在电信级的大用户量的电子邮件系统中, 性能表现优异。 强大的反垃圾邮件功能 在网关服务器与邮件服务器之间部署Foundir Spam Gateway，对邮件来源的发信人地址、姓名、邮件收信人、关键字进行多种条件组合的匹配过滤，智能识别潜在的垃圾邮件，并按照用户的需要给予适当的处理，尤其与硬件结合的功能对电信级的用户系统的性能有可靠的保障。 支持用户定制的邮件内容过滤 通过部署Foundir ContentFilter Gateway，可以实现电子邮件内容过滤，防止敏感内容和不安全的信息、文档、资料等透过电子邮件不恰当地传播。 简便易用的数字证书管理 在邮件服务器上部署的Cetitficate Management System提供电子邮件数字证书管理，支持所有主流的安全认证系统，例如VeriSign，InfoSec等。建立邮件内容加密、防窃听、反抵赖机制，是电子邮件应用于电子商务、电子政务的有力安全保证。 优秀的抗攻击性能 Foundir LoadBalance 邮件负载均衡网关，全面提高邮件系统的抗拒绝攻击能力，能够有效的抵制外来网络层攻击。通过审定超过TCP连接阀值，分别限制的POP3、POPs、SMTP、SMTPs、HTTP、HTTPs、IMAP4、IMAPs等访问，防止半连接方式的拒绝服务攻击。 方案特点
反垃圾邮件网关的技术规范 一、邮件网关要求 1、基本要求 （1）采用专用的硬件平台,自身安全性高、稳定性好。保证邮件网关系统的稳定性和性能，确保邮件网关设备不会成为网络系统的性能瓶颈。 （2）优越的系统性能。每小时处理的邮件流量和对收发邮件的处理内容扫描速度在同类产品中领先，支持标准SMTP和POP3协议，适用于任何支持上述邮件协议的邮件系统。 （3）要求通过公安部防病毒网关产品认证和防垃圾邮件认证，且同时拥有这两类安全产品的认证证书，最好能有河南省公安厅在本地的经营推荐证明。 （4）可以有效地实现电子邮件病毒过滤、内容过滤、垃圾邮件过滤,蠕虫过滤，阻断后门程序、DoS/DDoS等动态攻击行为。 （5）针对通过SMTP、POP3、HTTP、FTP等协议传输的内容进行过滤处理。 2、功能要求 （1）具备强大的反病毒功能 对所有进出站的邮件进行病毒扫描，应能够有效过滤普通病毒、邮件病毒、蠕虫病毒、木马活动，可以进行病毒邮件的隔离、删除、以及清除病毒的操作，支持病毒扫描引擎和病毒代码库的实时在线更新，及时遏制最新病毒的发作。为了保证系统的最佳性能，缓存扫描结果。 采用自主知识产权的成熟的防病毒引擎。 （2）能抵御对邮件服务器的各种攻击 全面防范针对传输层25端口攻击，防止邮件地址泄露，保障后端邮件系统的安全。提供最完善的防攻击体系，有效地防范针对邮件系统的各类攻击，包括邮件服务应用层的字典算法攻击、目录树攻击、多线程攻击、DHA攻击、DoS攻击等；邮件网关层的空文件攻击、多重病毒感染攻击、多重压缩攻击等。 （3）具有多层反垃圾邮件的防御结构 提供有力的、灵活的反垃圾邮件措施来保护邮件系统免受垃圾邮件的攻击，全面地防御垃圾邮件对邮件系统进行攻击。 所有的邮件都必须通过验证，才可以被发送至邮件系统；拒绝非法用户邮件的投递。 支持速率限制、并发连接、连接频率限制，防止拒绝服务攻击、保护网络带宽。防止邮件系统负担过重，造成正常邮件信息发送失败，
SecureMail 安全保密邮件系统产品概述 SecureMail安全保密邮件系统是集邮件安全传输、邮件/用户密级设置、密级流向控制、邮件跟踪等功能于一身，为用户提供全面的邮件加密安全收发功能的产品，并可通过附加组件实现对邮件及附件的细粒度权限控制。 SecureMail 安全保密邮件系统产品功能 ?认证功能：系统支持USB智能卡登录和用户名/口令的两种登录认证方式，并提供一次性口令认证功能， 管理员可以为用户设置临时认证口令，用户可凭此一次性口令登录使用系统，管理员可设置一次性口令的有效次数或有效时间，一旦超过有效次数或有效时间，一次性口令即失效。 ?密级控制功能：系统密级设置，系统针对需处理涉密信息的单位用户，提供了密级设置功能，并可对邮件和用户分别设置各自密级属性。用户标密：管理员可对用户设置密级属性，用户的密级可分为普通、秘密和机密三个等级。 ?邮件标密：邮件的密级可分为普通、秘密和机密三个等级，用户发送邮件时必须首先选择邮件的密级，系统会根据指定的密级控制策略匹配用户和邮件两者的密级，禁止低密级用户接触高密级邮件。 ?密级流向控制：密级流向控制的目的是保证用户、邮件、附件三者的密级匹配，确保高密级的邮件不会向低密级用户发送，低密级用户也不能发送高密级邮件。密级流向控制首先对密级邮件在选择发送人员时，会筛选密级相对应的接收人员。若发生不符合密级的邮件传输，系统会自动阻断。通 ?讯录密级控制：系统具有通讯录功能，通讯录以组织机构树的形式展示用户信息，方便在发送邮件时快速选择一个或多个用户作为收件人。通讯录在选择收件人时，将根据邮件密级确定收件人的显示范围，当邮件为普通密级时，收件人将显示全部用户信息；当邮件为秘密级时，收件人只显示密级为秘密级的用户信息；当邮件为机密级时，收件人只显示密级为机密级的用户信息。系统设定不允许用户手工输入邮件地址，只能选择通讯录中的用户信息来添加收件人，可有效防止高密级邮件被发送到低密级用户。
Copyright 2000-2015 Coremail SystemCoremail 5.0功能介 绍 CM5.0功能介绍 Coremail电子邮件系统基础功能 功能的同时，也在以下多个方面展现出了其细致、出众的品质： 网页风格 Coremail V 5.0 极简风格是Coremail电子邮件系统的新一代界面，经过专业研发团队精雕细琢、潜心打造而成，操作流畅快速，界面简约清新，以用户的最佳体验作为交互设计的核心宗旨，带来更好的视觉交互体验。 登录页行业模板 Coremail V5.0为不同行业的客户提供了不同的登录页模板参考，客户还可以根据企业形象与企业文化进行自定义登录页。
?全新交互体验 基于Coremail近15年的研发经验，吸收归纳众多企业的实际使用场景和交互需求，同时采用现在国际上流行的交互设计理念，并借鉴iOS产品设计与交互设计理念的精髓，V 5.0在页面规范、操作规范、信息规范等方面提供更好的用户体验。 ?性能全面提升 V 5.0极简风格在性能优化过程中，引入了下一代HTML5和CSS3标准，兼容各种浏览器。同时，新界面进一步优化WebModule界面框架与智能动态组件系统，让页面加载刷新速度更快、更高效，页面显示也更快捷。 另外，通过对存储机制与动态数据管理中心的进一步优化，用户访问数据库、提取数据 的速度将更快；在同等的网络环境下，V 5.0极简风格表现得更快、更稳定！
智能终端模版 随着移动电子设备的不断普及，通过iPad平板电脑、iPhone/Android智能手机等方式进行移动办公，已成为一种办公新趋向。为了让您拥有更佳的移动办公体验，进一步提高工作效率，Coremail团队率先在国内邮件系统市场上推出了基于企业邮箱应用的专属移动端邮箱模板。 ?全新交互设计，操作体验更舒适。 模板界面设计清新、简洁、大方，采用邮件分栏式结构，阅读操作体验与iPad/iPhone/Andriod的特性相符，且与网页的操作逻辑保持一致。 ?使用HTML5等技术优化，享受极速应用。 模板设计中引入了HTML5标准与CSS3技术，这样不仅在速度上有了大幅提升，而且使用过程中也更安全。经测试，在同等的网络环境下，您收发邮件的速度将提升50%。 ?智能化管理，移动办公效率更高。 模板支持批量邮件操作和搜索操作，以及更快速地查找与处理邮件。同时，写信联系人自动匹配设计也颇为人性化；您只要输入一个字母，便能让您快捷地找到相应联系人。 ?附件上传、在线预览，轻松替代电脑办公 模板支持写信直接上传手机上的图片、音频、视频等文件，满足移动互联时代多媒体写信的需求。同时您还可在手机端在线浏览附件，无需安装任何程序，可以直接通过邮箱在线查看office文档、pdf文档、图片、压缩包等格式的附件中的内容。由于有效减少对手机缓存的占用，预览速度也比国外同类产品快，也更加便捷。 读写退信 ?联系人名片。读信时，可移动鼠标到收信人email地址，即浮现联系人名片。名 片包括个人头像、所在部门、办公电话等信息，还提供快捷操作查看邮件往来、 拒收、加入白名单等。 ?发信统计。您可以在已发送邮件中，看到邮件发送状态统计，包括一共发送给多 少人，多少封发送成功，多少封已阅读，多少封投递失败，多少封邮件被设置了
Exchang服务器部署邮件网关 这是一种常见的部署方案，用internet邮件网关，它减轻了主Exchange服务器的垃圾邮件过滤负担，是所有出入电子邮件的第一站。拥有一个独立的网关让我可以把Exchange服务器放在防火墙后面，DMZ之外。如果我需要重新启动或者维护我的Exchange服务器的时候，网关服务器仍然可以接收来自互联网的电子邮件。还可在网关这里部署反病毒，反垃圾邮件系统。好处太多了，大家尝试下慢慢体会。 下面先来看看我们是如何做的。 环境如下： 一台外网的exchange邮件服务器(contoso.msft) 一台DNS服务器， 一台网关服务器， 一台内网的exchange服务器(nwtrader.msft)， 两台客户端（可有可没） 实现目的：internet邮件网关，内网通过网关服务器收发邮件。 拓扑图： 先把环境部署好， 先建立外网DNS服务器，手工建立两个区域，目的为了能让他们相互解释。 安装我就不多说，在控制面版－添加删除程序－安装windows组件。 区域解释的指向我们要注意： contoso.msft就是直接指向他所在的IP：1.1.1.2 MX：1.1.1.2
nwtrader.msft是内网的exchange服务器，现在让网关来替它收发邮件，所以外网解释的时候是解释到网关的IP：1.1.1.1 MX：1.1.1.1
在网关和外网邮件服务器设置好，能相互解释，我们看看结果。我在外网contoso.msft设置了转发器来解释。
在internet网关服务器上设置DNS指向1.1.1.254。
接下来我们就是在设置一台独立的网关服务器，我用windows自带的SMTP来搭建。 先安装：windows安装程序下IIS里面的SMTP。 接下来，我们配置SMTP属性，在运行里面输入inetmgr，右键打开SMTP虚拟服务器属性，打开在“常规”中，为该服务器配置一个IP地址。然后点击“访问”。在这里可以配置认证和连接参数。如果希望在网关和主服务器之间建立安全连接，可以在这里进行设置。在这里我们关心的是转发。为了不让网关成为一
安全网关产品介绍 一、产品定义 简单的说：是为互联网接入用户解决边界安全问题的安全服务产品。 详细的说：“安全网关”是集防火墙、防病毒、防垃圾邮件、IPS 入侵防御系统/IDS入侵检测系统、内容过滤、VPN、DoS/DdoS攻击检测、P2P应用软件控制、IM应用软件控制等九大功能和安全报表统计分析服务为一体的网络信息安全产品。 二、产品特点 1）采用远程管理方式，利用统一的后台管理平台对放在客户网络边界的网关设备进行远程维护和管理。 2）使用范围广，所有运营商的互联网专线用户均可使用。 3）解决对信息安全防护需求迫切、资金投入有限、专业人员缺乏的客户群体，以租用方式为用户提供安全增值服务，实现以较低成本获得全面防御。 4）功能模块化、部署简便、配置灵活。 四、（UTM）功能模块 1）防火墙功能及特点：针对IP地址、服务、端口等参数，实现网络层、传输层及应用层的数据过滤。 2）防病毒功能及特点：能够有效检测、消除现有网络的病毒和蠕虫。实时扫描输入和输出邮件及其附件。
3）VPN功能及特点：可以保护VPN网关免受Ddos（distributed Deny of Service）攻击和入侵威胁，并且提供更好的处理性能，简化网络管理的任务，能够快速适应动态、变化的网络环境。 4）IPS（Intrusion Prevention System , 入侵防御系统）功能及特点：发现攻击和恶意流量立即进行阻断；实时的网络入侵检测和阻断。随时更新攻击特征库，保障防御最新的安全事件攻击。 5）Wed内容过滤功能及特点：处理浏览的网页内容，阻挡不适当的的内容和恶意脚本。 6）垃圾邮件过滤功能及特点：采用内容过滤、邮件地址/MIME头过滤、反向DNS解析以及黑名单匹配等多种垃圾邮件过滤手段。 7）DoS/DDoS（distributed Deny of Service）攻击检测功能：“安全网关”能够有效检测至少以下典型的DoS/DDoS攻击，并可以根据设定的Tcp_syn_flood、udp_flood等阀值阻断部分攻击。 8）P2P应用软件控制功能：可以实现对BitTorrent、eDonkey、Gnutella、KaZaa、Skype、WinNY，Xunlei等P2P软件的通过、阻断及限速。 9）IM应用软件控制功能：“安全网关”提供对IM应用软件的控制功能，可以实现对AIM、ICQ、MSN、Yahoo!、SIMPLE、QQ等IM软件的控制，包括：阻断登录、阻断文件传输等控制。 10）安全报表服务：“安全网关”提供用户报表定制功能，能够根据用户的要求对报表格式、发送方式及发送频率进行定制。其中内容包括：A、安全服务套餐报表；B、安全策略设置一览表；C、网络带宽占用及流量分析报告或报表；D、攻击事件分析报告或报表；E、按名称的病毒排名：本客户的病毒爆发次数排名；F、按IP的病毒排名：本客户所有计算机的病毒爆发多少排名；G、垃圾邮件排名：统计垃
神州数码 DC-FW v3.1高性能防火墙 技术白皮书 北京神州数码有限公司 2007年8月
目录 一、序言 (2) 二、神码安全DC-FW v3.1高性能防火墙概述 (3) 三、神码安全DC-FW v3.1高性能防火墙技术特色 (3) 3.1 专用安全操作系统 (3) 3.2 纯硬件架构 (3) 3.3 状态检测技术、核检测技术以及入侵模式匹配监测 (3) 3.4 深度的内容检测、强大的P2P拦截功能 (3) 3.5 严格的访问控制策略 (4) 3.6 危险网站阻隔 (4) 3.7 敏感数据拦截 (5) 3.8 强大的QOS、丰富的日志报表功能 (5) 3.9 访问跟踪、审计 (5) 3.10 防止DOS攻击 (5) 3.11 强大的VPN功能 (6) 3.12 支持VOIP (6) 3.13 桥式防火墙 (7) 3.14 强大的审计功能 (7) 四、DC-FW v3.1 技术参数指标 (7)
一、序言 随着网络的发展和Internet的广泛应用，当今的网络安全威胁已经由原来的针对TCP/IP 协议本身弱点的攻击转向针对特定系统和应用漏洞的攻击和入侵。回顾2004年，以冲击波、震荡波、安哥Bot、MyDoom等蠕虫与木马病毒为主的网络化病毒，加上利用网络协议及应用漏洞进行攻击与入侵行为，给全球企业造成了巨大的损失。据统计，仅2004年，病毒等恶意程序就给全球造成了1690亿美元的经济损失。 此时，传统的防火墙已经显得无能为力。例如针对Windows系统和Oracle/SQL Server 等数据库的攻击，这些攻击和入侵手段封装在TCP/IP协议的有效载荷部分。传统的防火墙由于只查TCP/IP协议包头部分而不检查数据包的内容，所以无法检测出此类攻击。基于网络传播的病毒及间谍软件给互联网用户造成了巨大的损失，层出不穷的即时消息和P2P应用（例如MSN、QQ、BT等）给企业带来许多安全威胁并降低员工的工作效率。传统的防火墙设备在面对这些复合型的安全威胁时，已经不能满足客户的安全需求。 防火墙设备包括防火墙，VPN，IPS等多种功能。已经成为网络安全产品的一个发展方向。 面对着这些日益严重的复合型安全威胁时，企业往往为了完整的保护内部IT资源，需要投资购买大量的设备，包括VPN，防火墙，IDS，网络监控设备等多种设备。神码安全高性能防火墙集所有这些安全功能于一身，一台设备就能提供完整的安全解决方案，省去了购买众多冗余设备的成本与维护成本。 神码安全高性能防火墙内置神码安全的领先VPN技术，拥有神码安全高性能防火墙VPN的所有强大功能。除此之外，神码安全高性能防火墙防火墙拥有高效的IPS(入侵防御系统)功能，能有效识别和抵御多种攻击，更大范围的保护了企业连接到Internet的安全。 为保证企业合理使用Internet资源，防止企业信息资产泄漏，神码安全高性能防火墙提供了完善的访问控制功能。通过合理设置访问权限，杜绝了对不良网站和危险资源的访问，防止了P2P软件对企业网络带来的安全风险。通过带宽管理和访问跟踪技术，能有效防止对Internet资源的滥用。神码安全高性能防火墙安全审计功能更为防止保密信息泄漏提供了最有效的保证。
收稿日期:2002-03-05(修改稿) 作者简介:高继文(1967-),男,硕士研究生,主要研究方向:信息安全、电子商务; 何涛(1976-),男,硕士研究生,主要研究方向:信息安全、网络应用; 杨寿保(1947-),男,教授,博士生导师,主要研究方向:计算机网络及应用、信息安全与密码学. 文章编号:1001-9081(2002)06-0082-02 一个安全电子邮件系统的设计与实现 高继文,何 涛,杨寿保 (中国科学技术大学计算机科学技术系,安徽合肥230026) 摘 要:分析了安全电子邮件需要解决的问题,介绍了安全电子邮件的解决方案,并以一个企业的工资发放邮件系统为例给出了企业级安全解决的实例。 关键词:电子邮件;加密;数字签名;数字信封中图分类号:TP393.098 文献标识码:A 1 需要解决的问题 电子邮件存在的不安全因素包括:容易被别人偷窥,容易 被篡改,以任何人的名义冒发电子邮件等。尽管存在很多的不安全因素,但电子邮件还是在Internet 上被广泛应用,这是因为一般的电子邮件通信仅仅传输的是一些不敏感或不重要的普通信息,但是一旦考虑传输一些重要信息,那么安全性问题就是首要问题。 安全电子邮件的具体要求包括如下几点: 邮件内容的保密性。在邮件的收发过程中,除了邮件收发双方外任何人无法获取邮件真实内容。 信息来源证明———发信方对所发邮件的内容不可否认。当收信人接收到邮件时,有足够的证据证实这封邮件确实是发信方所发的,而且没有被篡改。 安全收条———收信方对所收到的邮件的内容不可否认。当收信人接收到邮件时,发信方有可靠的证据证实这封邮件被接收方收到了。 2 采用的安全措施 安全电子邮件所采用的安全措施,几乎全部以数据加密 技术为基础。安全电子邮件把对称密钥体制和公开密钥体制完美的结合了起来,充分利用了DES 效率高速度快、RS A 安全性高、密钥管理简便的优点。下面以数据加密技术为基础,讨论安全电子邮件所采用的安全措施。 (1)数字签名 数字签名采用RS A 算法,数据发送方采用自己的私钥加密数据,接受方用发送方的公钥解密,由于私钥和公钥之间的严格对应性,使用其中一个只能用另一个来解,保证了发送方不能抵赖发送过数据,完全模拟了现在生活中的签名。 (2)数字信封 发送方将消息用DES 、RC2、RC4等算法进行加密,并将对称密钥用接受方的公钥加密,称为消息的“数字信封”,将数字信封与加密后的消息一起发给接受方。接受者收到消息后,先用其密钥打开数字信封,得到发送方的对称密钥,再用此对称密钥去解开数据。只有用接受方的RS A 密钥才能够打开此数字信封,确保了接受者的身份。 (3)协签名 数字签名的一个重要的应用就是协签名。一个文件可以被多个人签名,首先甲方将文件进行数字签名,被签名的文件发给乙方,乙方验证甲方的签名后可以用协签名的方法将自己的数字签名加到文件里,如果还有其他的人还可以用这个文件继续签名,最后发送给邮件的接收者。 3 实现方法 C APIC OM 是微软公司的一个C OM 的客户端组件,支持Automation ,它用于实现加密功能,如数据签名、验证签名、用 数字信封对信息加密、用数字信封对信息解密、数据加密、数据解密、数字证书验证等。可以使用VB 、VC ++对C APIC OM 进行开发。 1)创建数字证书 用户在创建数字签名、解密信息时必须拥有一个带有私钥(Private K ey )的证书(Certificate ),如果一个证书没有私钥,那么数字签名、解密就无法进行。使用C APIC OM 时要确保我们有一个证书,证书可以向专门的C A 认证中心申请,如RS A 、VeriS ign 、中国国际电子商务中心(CIECC )等。另外微软公司(密钥长度512位)和S UN 公司(密钥长度2048位)都提供了创建证书的工具。 可以从微软的站点下载这个工具,下载后先创建一个自签名的证书,方法如下: makecert -r -n "cn =xxx ,ou =yyy ,o =zzz"-ss my 其中XXX 是用户的名字,YYY 是组织名,ZZZ 是公司名。在Windows 操作系统中用控制台将这个证书导出,并放到根证书存储区后使这个证书合法并受信任。根据这个根证书可以创建相应的用户证书,发给单位其他的人使用,如果希望用于安全电子邮件,则需要将电子邮件地址的信息加到证书中。 2)对一个文件进行数字签名 数字签名的标准使用方法是将一个文件进行签名运算并且将签名后的数据保存到另外一个文件里。这个签名后的文件也可以在Internet 上传送。下面的例子简述了用C APIC OM 进行数字签名的过程,例中没有指定签名者,程序将在个人证书存储区自动找出用于签名的证书,如果有多个证书,将弹出 第22卷第6期2002年6月 计算机应用C om puter Applications Vol.22,No.6June ,2002