最前沿思科ironport邮件网关.doc

最前沿！思科IronPort邮件网关 【IT168专稿】本文的目标是让您能够了解：常见的邮件安全问题、ESA(email security appliance 电子邮件安全设备)的主要功能、ESA的典型应用场景、ESA带给用户的价值、ESA的最佳部署方案。涉及到的主题有：ESA简介、如何防御垃圾邮件、ESA系统架构、典型应用场景、邮件管道、邮件策略管理、数据泄露保护和内容过滤器、邮件加密。ESA邮件安全简介 　　互联网技术的全球化、移动化、协作化发展，给用户带来很大方便，节约大量时间。而发展的同时各种威胁也不断出现，各行业推出了相关法规和安全策略，这些都是安全服务厂商需要面临和解决的问题。 　　思科的安全应用体系如下图。 　　安全应用体系涉及三个方面的内容，包括Cisco SensorBase、Threat Operations Center、Dynamic Updated。 　　Cisco SensorBase是一个全面的发件人信誉度和威胁数据库，其前身为IronPort公司运营管理的SenderBase，最初是针对邮件和Web安全来运营，包含了垃圾邮件发送者的信息和Web安全领域中的钓鱼网站、恶意网站等。现在的Cisco SensorBase已经不再局限于邮件和Web安全，更包括了一些像僵尸网络、肉机等新型的互联网危险。在未来的产品中，Cisco SensorBase数据除了应用于邮件和Web网关，还将应用于防火墙、IPS入侵检测等。 　　Threat Operations Center是由安全专家、分析师和程序员组成的威胁运营团队，每天24小时不间断的对SensorBase进行维护和更新，提供动态的实时的更新策略(Dynamic Updated)。 　　下面将针对Cisco SensorBase在邮件安全方面的应用作详细的介绍。 　　很多企业用户在使用邮件网关之前面临着各种各样的邮件问题如垃圾邮件、病毒邮件。通常的应对方法是使用防病毒邮件设备或单独的防垃圾邮件设备，存在分支机构的企业可能还需要部署邮件路由设备。通常这些设备是独立部署的，这将给用户的管理和效率都带来很大的问题。如下图是部署IronPort邮件安全网关前的网络结构。 　　部署IronPort邮件安全网关后(如下图)，上面说到的问题都能得到解决。IronPort邮件安全网关集合了Anti-Spam(防垃圾邮件)、Anti-Virus(防病毒邮件)及其它的邮件安全特性。 二、IronPort信誉过滤 　　防垃圾邮件 　　IronPort邮件安全网关通过两层来过滤垃圾邮件：SensorBase信誉过滤器(基于TCP连接)、IPAS防垃圾邮件引擎(基于邮件内容)。具体如下图。 　　第一层SensorBase信誉过滤器，针对TCP连接过程，从邮件的源头如发件人的源IP地址、发件人所在地区、发件人的信誉度来对邮件进行拦截过滤，在这一层的过滤当中能做到拦截90%的垃圾邮件。 　　第二层IPAS(IronPort Anti-Spam)防垃圾邮件引擎，针对邮件内容进行深度扫描和过滤，这一层的过滤能够拦截超过98%的垃圾邮件，并且能够将垃圾邮件的误判率控制在低于百万分之一的水平，为业界最高水平。 　　SensorBase是全球最大的信誉数据网络，其数据来源如下图。 　　数据来源主要包括： 　　1 通过和大的邮件运营商合作，共享获得他们的邮件过滤日志，IronPort通过专门的数据引擎对日志信息进行分析和评定。 　　2 Spam Traps探针邮箱，探针邮箱通常是通过合作伙伴、邮件运营商建立的。探针邮箱能捕获那些不请自来的邮件，这些邮件99%以上都可以确定为垃圾邮件。通过这些捕获的垃圾邮件来分析邮件的发送源头。 　　3 根据常见的传统的黑白名单(Blacklists Whitelists)提供的信息数据，并结合其他参数作进一步分析。 　　4 合作伙伴和用户，用户可能会愿意分享他们过滤到的垃圾邮件信息。 　　以上这些都使SensorBase的过滤效果大大提高，全球超过30%的邮件都能在SensorBase信誉网络中侦测到，SensorBase信誉数据网络也是目前最大的信誉数据网络。 　　IronPort开发信誉过滤技术的原因 　　在TCP层对邮件进行过滤可以从邮件的源头进行判定，在源头拦截大部分的垃圾邮件，之后再结合邮件内容的深层过滤，可以提高垃圾邮件的识别率、大大降低邮件的误判率，并且可以节省设备的硬件需求，降低CPU资源的占用。因为在复杂的内容过滤器中采用严格的过滤策略时，会带来邮件误判的风险，并且内容过滤规则会占用较多CPU资源，对硬件配置要求高。 　　SensorBase信誉过滤 　　SensorBase信誉过滤可以确保非常精确的过滤。在对发件人的IP地址评分的时候，