Exchange邮件系统的安全性研究

　　摘要：随着电子邮件系统在企业中的广泛应用，企业的电子邮件系统所面临的安全问题也越来越棘手。针对这一问题研究了Microsoft Exchange Server的安全性，分别从Exchange的环境安全和通信安全两方面入手，结合Exchange邮件系统本身提供的安全功能，制定了一套可行的安全方案。
　　关键词： 邮件系统；Exchange；安全
　　中图分类号：TP393文献标识码：A文章编号：1009-3044(2011)12-2820-02
　　1 Exchange邮件系统
　　Exchange Server 是微软研发的消息与协作系统， 常被用来构架应用于企业、学校的邮件系统。 Exchange server还是一个协作平台，可以在此基础上开发工作流、知识管理系统、Web系统或者是其他消息系统。在Microsoft Exchange Server的几个主要版本中目前比较常用的是Microsoft Exchange Server 2003。
　　2 Exchange邮件系统面临的安全问题
　　跟所有邮件系统一样，Exchange邮件系统面临的安全问题在与日剧增，病毒、蠕虫、垃圾邮件、网页仿冒欺诈、间谍软件和一系列更新、更复杂的攻击方法，使得电子邮件通信和电子邮件基础结构的管理成为了一种更加具备风险的行为。Exchange邮件系统所面临的主要安全问题有以下几种：
　　2.1 病毒和蠕虫
　　第一个主要的电子邮件蠕虫是1999年3月出现的Melissa；而在2000年5月，ILOVEYOU电子邮件邮件病毒对Internet造成了严重的破坏。这些危害到今天已经越来越严重。
　　2.2 垃圾邮件和网页仿冒欺诈
　　在2000年初，垃圾邮件就已成为了一个主要的问题，它对电子邮件的效用造成了严重影响。2002年，美国联邦交易委员会开始对欺骗性的垃圾邮件进行整治，但是由于各国家之间的法律存在巨大差异，使得法律措施很难在类似 Internet 的全球系统中执行。垃圾邮件还通常用于网页仿冒欺诈垃圾邮件中，以窃取信息和金钱。
　　2.3 攻击和新的挑战
　　在电脑通过网络进行连接变得越来越平常的同时，一些漏洞也变得更加容易被利用。攻击变得更加复杂，很多是利用内存管理错误（包括利用整数溢出）的方法、跨站点脚本 (CSS) 和其他脚本置入技术用于攻击 Web 应用程序。恶意用户通常使用工具自动地查找和利用漏洞。
　　3 构建一个安全的Exchange邮件系统
　　3.1 强化Exchange邮件系统的环境安全
　　3.1.1 加固Windows域环境
　　因为Exchange邮件系统搭建在Windows域环境中，所以首先要对Windows域环境实施强化配置，使之根基安全。如将跟Exchange有关的盘NTFS格式化；禁止所有不必要的服务；禁止访问Windows域的guests组；设置相应的权限并启用组策略等。
　　3.1.2 对Exchange Server的强化配置
　　不要在 Exchange 服务器上运行电子邮件客户端。如果在运行 Exchange 的计算机上运行电子邮件客户端，并且该客户端被感染，则受感染的客户端将成为受感染的邮件服务器。同样，不要通过 Exchange 计算机浏览 Internet。通常，减少攻击渠道的最佳办法是尽量减少在 Exchange 服务器上运行应用程序。 在 Exchange 服务器上随时补充 Microsoft 推出的最新安全更新。
　　对SMTP虚拟服务器上邮件限制进行配置，指定每个邮箱的最大收件人数、邮件大小以及每个连接的最大邮件人数，这样可以防御拒绝服务攻击。禁止匿名SMTP访问，相应地配置所有的 SMTP 虚拟服务器，以便只允许明确的用户、计算机或 IP 地址中继到其他组织。在所有内部 Exchange 服务器上禁用匿名SMTP访问，对所有已通过身份验证的计算机禁用中继功能。
　　启用筛选功能，通过创建发件人、收件人和连接筛选列表来阻止垃圾邮件。禁用默认开启但不必要的服务，具体所要禁用的选项根据企业的Exchange邮件系统布局来设置。
　　3.1.3 对客户端的强化配置
　　启用Outlook中的附件阻止功能，此功能可以阻止各种文件类型的附件，如.exe、.bat和.vbs文件。安装微软Outlook安全包，及时下载最新的安全包。启用微软Outlook Junk邮件过滤规则，当有邮件发来的时候，它会被过滤，如果判断是高风险级的话，会被放入Junk邮件文件夹。管理员能够随时查看这个文件夹的内容，删除消息或者对你判断没有问题的会作出标记。这样能很有效的防止垃圾邮件。配置Internet Explorer 安全区域，由于 Outlook Web Access 是在 Internet Explorer 中运行的应用程序，因此，考虑 Internet Explorer 在抵御病毒的环境中的配置很重要。
　　3.1.4 安装防病毒软件
　　在 SMTP 网关运行防病毒邮件软件，在 Exchange 服务器上运行防病毒文件级别的扫描，而在邮件客户端上运行防病毒客户端软件。这样可以在网关提供特定于邮件系统的保护，在邮件服务器上提供常规的文件级保护，并在客户端上提供保护。
　　3.1.5 与ISA服务器并肩作战
　　使用应用层防火墙ISA，将 SMTP 服务器和 OWA 前端服务器都放在防火墙之后。这样可以使内部端口打开数量降到最低，从而有效阻止网络黑客的攻击。当邮件通过前端 OWA 服务器时，前端 OWA 服务器的外部 DNS 条目引用ISA 服务器上发布的 IP 地址，而不是该 OWA 前端服务器的地址。当 Internet 上的 Web 浏览器客户端使用 HTTP 通过 OWA 访问 Exchange 时， 从该 Web 浏览器向该 ISA 服务器发送一个 HTTP 请求。如果这些请求符合 ISA 发布规则，则会被传递到 OWA 前端服务器。 ISA 服务器建立一个到该前端服务器的新的 HTTP 连接，并使用它自己的 IP 地址作为源 IP 地址。使内部的服务器免受攻击，起到很好的保护作用。
　　3.2 强化Exchange邮件系统的通信安全
　　3.2.1 使用IPSec 策略锁定 TCP 端口 25
　　SMTP的端口通常是TCP 25，所有的SMTP信息都要经由该端口，而病毒和其他的攻击也会借助于此途径，这将严重影响到Exchange邮件系统的通信安全。IPSec 是 Windows Server 操作系统中包含的一组技术，它使管理员可以基于筛选器执行特定的操作，如身份验证、阻止通信，以及加密通信。我们可以通过创建和应用SMTP和IPSec策略来阻止电子邮件病毒和其他的攻击，确保Exchange邮件系统的通信安全。
　　3.2.2 禁止不安全的Outlook版本访问Exchange
　　锁定不支持附件阻止和对象模型保护功能的早期 Outlook 版本有助于为 MAPI 客户端连接提供已知的一层客户端安全保护。禁用 Outlook 98（未安装安全更新）和更早版本的访问权限。为了阻止所有已过时的 Outlook 版本（未安装安全更新的 Outlook 98 和更早版本）访问 Exchange，应禁止内部版本号等于或小于 5.5.2178.0 的所有 Outlook 版本连接到 Exchange。
　　3.2.3 邮件签名和加密同时协作
　　在客户端上安装了证书之后，使用S/MIME同时对电子邮件的内容进行加密和对邮件发件人的身份进行数字签名，邮件加密解决了保密性问题，数字签名解决了身份验证和认可问题。数字签名与加密相互补不仅可以防止邮件内容泄密，还防止了假冒身份和篡改数据，很好的解决了基于SMTP的Internet电子邮件的通信安全问题。
　　3.2.4 使用 ISA 服务器确保 OWA 的通信安全
　　许多垃圾邮件和病毒依赖所攻击的服务器的局限性或内在弱点。可以配置 Microsoft Internet Security and Acceleration (ISA) Server 2006 运行抗击垃圾邮件、病毒和缓冲区溢出的 SMTP 筛选器，抵御垃圾邮件有助于减少病毒传播的渠道。SMTP 筛选器是运行在公司防火墙的应用层筛选器。使用 SMTP 筛选器可以指定关键字，如果在邮件中找到该关键字，将触发某个操作。同时，ISA Server 还通过检查通信的应用层头信息和数据部分来检查 SMTP 通信是否异常。应用层筛选防火墙构建在传统的状态监控筛选防火墙的功能之上，并强制实现有效的连接状态和有效的应用层通信。攻击者使用各种应用层特有的方法来利用服务器服务固有的已知和未知弱点，从而禁用服务器或对其加以控制。应用层筛选防火墙可以检查应用层命令和数据。然后，防火墙可以确定发送到公司网络中的服务器的内容或命令是否是有效的连接尝试。
　　总之，针对一系列的Exchange邮件系统安全问题，只要采取积极的防御措施，做好充足的准备，Exchange邮件系统面临的安全风险就会大大减少，让企业和用户的损失降到最低。
　　参考文献：
　　[1] 徐祗祥.组建与维护企业邮件系统[M].科学技术文献