論大型企業電子郵件系統的安全建設

賈君君 楊揚

[摘 要] 電子郵件系統是現代企業必備的信息系統，依據信息安全等級保護相關制度，大型企業電子郵件系統建議定級為3級，如何在新形勢下對電子郵件升級成為各企業面臨的主要問題，本文通過對該系統的介紹，明確系統建設內容，達到國家相關規定。

[關鍵詞] 信息安全等級保護；大型企業；電子郵件系統

doi ： 10 . 3969 / j . issn . 1673 - 0194 . 2014 . 18. 038

[中圖分類號] F272.7 [文獻標識碼] A [文章編號] 1673 - 0194（2014）18- 0061- 03

1 電子郵件系統概述

電子郵件系統始建于1971年，1980年得以興起，20世紀90年代中期，全球網民人數激增，電子郵件被廣為應用。現已成為企業日常辦公的必備軟件系統。電子郵件系統由用戶代理MUA（Mail User Agent）以及郵件傳輸代理MTA（Mail Transfer Agent）、MDA（Mail Delivery Agent）郵件投遞代理組成，MUA指用于收發Mail的程序，MTA指將來自MUA的信件轉發給指定用戶的程序，MDA就是將MTA接收的信件依照信件的流向（送到哪里）將該信件放置到本機賬戶下的郵件文件中（收件箱），當用戶從 MUA 中發送一份郵件時，該郵件會被發送到MTA，而后在一系列MTA中轉發，直到它到達最終發送目標為止。

2 大型企業電子郵件系統現狀

電子郵件系統是中國石油天然氣集團公司信息化基礎設施類項目中一個重要的組成部分，始建于2002年，使用微軟公司的Windows Server 2000和Exchange 2000；2006年郵件系統進行了升級改造，將集團郵件系統納入統一的管理和運維，使用微軟公司的Windows Server 2003和Exchange 2003為郵件系統平臺，形成了1個中心8個分站點的適度分布式部署結構，采用以@cnpc.com.cn和@petrochina.com.cn為電子郵件地址的兩套電子郵件系統，分別代表集團公司與股份兩大類別。主要特點包括：①活動目錄為單林單域多OU結構（股份和集團各一套活動目錄結構，相互獨立，互相信任）。②各區域中心沒有Internet出口，在中心站點有統一的Internet出口。③所有入站郵件統一接收。④每個區域中心和其周邊單位形成一個管理組。⑤整個系統在中心站點統一設置單一的路由組。⑥每個區域和其周邊單位組成一個活動目錄物理站點。⑦每個管理組采用前/后端模式。⑧前端采用多個服務器組成的網絡負載均衡群集。⑨后端采用服務器群集技術（nA+mP）。

截至2013年6月，電子郵件系統注冊賬號數量達到93萬，年收發郵件數量6 000萬封，年郵件收發數據總量38.6TB，郵箱存儲總量120TB。

3 大型企業電子郵件系統的安全建設

依據《信息安全技術信息系統安全等級保護基本要求》中相關規定，大型企業電子郵件系統建議的安全等級為3級。根據等級保護要求，應從管理和技術兩方面著手進行安全設計。技術方面涉及物理安全、網絡安全、主機安全、應用安全、數據及備份恢復等內容，管理方面涉及安全管理制度、安全管理機構、人員安全管理、系統建設管理、系統運維管理等內容。具體來說，需要注意以下幾點：①郵件傳輸及存儲加密。建議在郵件傳輸過程中使用加密的通道進行傳輸，支持的協議有HPTTS、POP3S、IMAPS等。同時可以采用證書、數字簽名等方式對郵件內容進行加密。郵件存儲時應使用加密的方式存儲。②防垃圾和防病毒。使用專業的防垃圾和防病毒網關進行防護。③用戶身份認證。使用雙因素（建議使用證書加密碼）的方式對用戶進行認證。④審計歸檔。將電子郵件進行歸檔，便于事后進行審計。郵箱審計可以搜索郵箱中的電子郵件、附件、日歷項、任務和聯系人。已獲授權的人事部、法律部和合規性用戶無需依賴IT 人員即可進行審計。在法律法現方面，通過搜索找到的郵件可以根據管理員的定義復制并轉移到指定的郵箱或外部存儲，以便進行進一步調查。⑤數據的安全與備份恢復。異地實時備份可有效地防治災難發生時可能造成的系統危害。

中國石油天然氣集團公司結合信息安全等級保護相關約定，對現在系統進行升級改造工作，使其達到信息安全等級保護三級要求，整個系統采用基于國產商業電子郵件產品的電子郵件系統，實現電子郵件系統的集中部署，滿足同城容災、高可用性等需求，支持向云計算環境過渡；合并現petrochina和cnpc兩個郵件系統，每用戶只能擁用一個郵箱，增加郵件歸檔模塊，達到企業合規性相關規定。具體功能架構如圖1～2所示。

備份功能。用戶數據庫、索引數據庫等關鍵數據應采用在線備份的方式進行數據備份，用戶郵件屬于非結構化的小文件，采用基于存儲的復制技術實現數據備份。容災依據兩地三中心的模式建立同城災備和異地災備數據中心。通過專業設備完成垃圾及病毒郵件的過濾，可以有效防止來至互聯網的DOS、DDOS攻擊，針對網絡層、IP層進行行為過濾，從而實現對來自互聯網的郵件進行過濾。系統架構設計為與互聯網交互通過DMZ區，根據數據流不同分別通過使用負載均衡反向代理地址轉換進行安全過濾。同時DMZ區與郵件服務區設立了防火墻，可防止來至內網的攻擊。傳輸過程采用HTTPS、POP3s、SMTPS、IMAPS、SSL等加密協議進行傳輸，在用戶的整個郵件系統訪問過程中，所有用戶的訪問數據均被高強度加密。無法通過竊聽的方式獲得用戶密碼和敏感郵件數據內容，郵件保存在到服務器上使用私有加密算法對郵件原文進行加密存儲，采用非對稱的加密方式保護郵件加密的密鑰，保證文件系統上存儲的郵件數據安全可靠。用戶登陸將采用統一身份認證平臺的USB KEY硬件認證，所有郵件內容、傳輸及存儲全過程均使用加密算法。安全管理接口與中國信息安全評測中心進行集成，完成源代碼測試系統滲透等其他安全問題保障工作。

主要參考文獻

[1]陽波，馮梅，高毅夫.論大型企業電子郵件系統建設 [J]. 信息系統工程，2013（11）.

[2]馮梅，高毅夫，周月蘭.電子郵件系統安全淺談 [J]. 信息系統工程，2012（11）.

[3]賈君君，王文庭，楊揚.信息安全管理體系與等級保護管理要求 [J].信息技術，2013（5）.