《打造安全的郵件環境》桓基科技郵件安全解決方案

桓基針對電周公司的郵件防護與稽核需求，將SpamSherlock和MailSherlock兩個方案架構在qmail之前，肩負阻擋垃圾郵件、防毒與郵件稽核等任務。SpamSherlock為匣道型硬體式系統，Mailsherlock則為軟體，桓基所提供的解決方案總價78萬2200元，為本次電周公司中價格最低方案。

串接兩道防線防護郵件主機
桓基規劃SpamSherlock和MailSherlock安置在qmail前方，無論是收發信件，均會先通過SpamSherlock和MailSherlock，備份留存之後，才會發送到qmail上，使用者所接收的信件，都已經是經過兩道手續過濾，安全性大為增加。信件如果要外寄，也是經過同樣的架構寄出，桓基建議如果不想兩臺都走，至少要經過MailSherlock，才能做到郵件備份與稽核的功能。

依照電周目前的架構，如果想預防內部使用者因中毒而大量發送病毒信，必須將Smart host指向MailSherlock，才能成功攔阻病毒信。但更好的作法是將SMTP指向兩臺主機中的其中一臺，在控管上更為理想。如果上述的情形發生，系統會通知管理者，從記錄中查詢病毒信的來源，進一步加以處置，如此設定更具安全性。

電周需求有列以Exchange作為qmail的備援主機，桓基不建議如此規劃。Exchange主機一般都是企業內部較為機密的文件，將Exchange作為備援主機，當qmail失守時，Exchange形同直接對外，風險太高，因此Exchange還是專職作為內部郵件主機即可。在收信流程中，會經過兩臺主機的檢測，無論是圾垃信或病毒信都會予以剔除，通過這兩關的信件已經是正常的信件，所以無須使用Exchange作為備援。SpamSherlock和MailSherlock在架構上能相互支援，因此在安全性上如有二道防護。

兩次掃毒，因應備援而設計
檢視SpamSherlock與MailSherlock的設計，二者均整合Sophos作為掃毒系統，也許有人會問，同樣的防毒軟體掃二次有沒有意義？關掉其中一臺的掃毒功能是不是能讓整體效能提升？桓基認為從效能的角度得到的結果或許是如此，在功能上的確也可以這樣設定，但從安全性的角度來看，得到的結論將會不同。上述看似重複的動作，必須從備援的角度來理解。

送信的流程先由SpamSherlock過濾垃圾郵件，這時會偵測一次病毒，接著送往MailSherlock處理郵件的過濾和備份，備份之前一樣會先掃毒，之後再將安全信件送往郵件伺服器。如果其中一臺因為效能考量而關閉防毒功能，例如關閉掉第二臺MailSherlock的掃毒機制，如果有天前方的機器發生狀況，病毒信件將長驅直入，並且在MailSherlock上還會進行備份。儘管架構中伺服器與個人端仍有Officescan做為病毒的最後防線，但一來增加系統負擔，風險也會提高，更失去防護郵件伺服器的意義。因此桓基建議從安全性備援的角度來看，保留兩臺主機的防毒功能，仍有其必要。但兩臺主機同樣使用Sophos，授權費用就須計算兩次，在成本上是否合宜？桓基表示如果從成本負擔考量，還有議價空間。

高可用性的設計，在電周公司架構是用DNS MX Record來做，一旦其中一臺主機故障，另一臺則會接手。

qmail退出火線，POP3弱點仍需補強
桓基規劃的架構能讓qmail免於直接對外，所有的信件流通在流入qmail之前，都已經先行檢查、過濾和備份，確保信件是乾淨無虞地透過qmail傳送或接受。Spamsherlock的防護機制利用系統黑、白名單設定或參照RBL檢查、DNS反查、檢查信件網路位址與實際來源位址是否相符等方式確保信件的安全性，另外SpamSherlock也可以阻絕字典帳號攻集（Directory Harvest Attacks，DHA）及阻斷服務攻擊（DoS），因此qmail遭受攻擊的機率大為降低。

不過，qmail必須防備來自POP3的攻擊。SpamSherlock與MailSherlock的防守範圍都是在SMTP，如果攻擊從POP3入手，那麼qmail的風險大為增加。為了系統安全起見，POP3應該對密碼錯誤次數加以限制，一般而言限制錯誤次數在3到5次，並且限制拒絕連線時間，例如半小時，以防有心者利用這個弱點入侵。

防護與稽核主機多處功能重複，效能有所折損
從郵件內送流程圖檢視，用作防護的SpamSherlock和MailSherlock在功能上有多處重複之處。流程開始，SpamShrlock從系統白名單檢查起，經歷黑名單、個人白名單、病毒檢測以及郵件過濾之後，最後進行垃扱郵件檢查。而這段流程，到了MailSherlock的機制中又重新來過一次，甚至連垃圾郵件查核都有，最後才經過備份程序，進入到qmail中。

理論上通過SpamSherlock檢查程序，已經比對過RBL資料庫名單及系統和個人的黑、白名單，應該都是正常的信件，因此進入MailSherlock的檢查動作就顯得疊床架屋。如果說在架構上使用不同廠商的檢查機制，因為方法不同、檢查程序不同，雙重檢查的安全意義比較能被突顯，但電周公司採取的不是這樣的思維。這種架構的設計，我們可以從防毒軟體重複使用的觀點加以延伸，當作是備援需求下而不得不然的作法，因此如果為了效能而將重複的功能關閉，例如信件送至MailSherlock直接到備份程序，一旦SpamSherlock主機有什麼狀況，防護系統便瞬間瓦解。因此本電周公司在效能與安全的考量上陷入兩難。

SpamSherlock與MailSherlock比較，前者在垃圾郵件防護上有較多的設定及功能選項，例如SpamSherlock多了個人化的設定。

MailSherlock的備份功能則是前者所無，除此之外兩者功能可說大同小異，如果日後能開發出整合性更佳的產品，利用同一機型使用兩臺作高可用性及負載平衡，或許是擺脫效能與安全之間難以抉擇的困境。當然，如果不侷限自家品牌，搭配其他的解決方案或許也是種選擇。

郵件備份完整方案未見於規劃
MailSherlock能記錄任何進出的信件，供日後查詢，在記錄模式上可選擇記錄所有進出郵件、部份郵件或指定員工名單郵件。郵件記錄的機制能讓系統對記錄下來的郵件作進一步的追蹤和分析，如信件資料查詢、轉作系統報表、排行榜管理等。而這些功能，有賴於資料庫的協助。資料庫讀寫頻繁，通常需要較大的系統資源，為了效能考量，MailSherlock通常會與一臺獨立的Database Server搭配，專門負責MailSherlock的郵件記錄，讓Mailsherlock能夠將效能集中在郵件處理上。但在電周公司的規劃上，只列入兩臺郵件防護主機，資料庫主機並未詳列在其中，對於額外投入的成本需要多少，在評估時較無依據。

在服務支援上較有彈性
SpamSherlock是在MailSherlock累積的經驗中開發出的產品，加強了垃圾郵件的防護，許多功能都能在與企業互動中作調整，例如SpamSherlock雖然有學習式的貝氏演算法，但根據實際的經驗，企業往往希望解決方案能立竿見影，演算法的學習時程會讓企業質疑有段時間攔截不到，降低使用信心。因此貝氏演算法在垃圾郵件防護上，就不會是桓基提供給企業的優先選擇。另外如中文的管理使用介面與說明，完整詳盡的中文安裝、使用手冊等，都是本土開發商的優勢，產品整合度如能提升，對企業而言將更具吸引力。文⊙黃天賜