ForeFront讓郵箱服務(wù)器遠(yuǎn)離侵襲三建議
在ForeFront產(chǎn)品系列中，筆者最推薦的是FSOCS。這是一種基于服務(wù)器的防病毒產(chǎn)品。與Exchange2007服務(wù)器結(jié)合，能夠有效保護(hù)即時消息和郵件的安全，讓其遠(yuǎn)離病毒的侵襲。眾所周知，病毒與垃圾郵件是郵箱系統(tǒng)部署過程中最讓管理員頭疼的問題。筆者在這方面稍有一點心得，拿出來跟大家分享。
心得一：利用“文件篩選器”來帶病毒的附件遠(yuǎn)離服務(wù)器
眾所周知郵件的附件一直是病毒傳播很高的載體。在郵件附件中，如果是圖片或者txt文檔，里面都可能帶有病毒。為了減少病毒對企業(yè)的影響，有些企業(yè)甚至采取了比較極端的措施。如限制在郵件中攜帶附件等等。大家在投遞簡歷的時候，或許都有這方面的經(jīng)歷。在投遞之前，對方會在網(wǎng)上或者其他途徑告之，簡歷不要以附件的形式發(fā)送。這主要的原因就是他們擔(dān)心會攜帶病毒。
其實在FSOCS文件篩選器的幫助下，可以有效的防止郵件附件攜帶病毒。一個比較簡單的做法就是設(shè)置一個規(guī)則，讓內(nèi)部用戶之間可以在郵件中攜帶附件;而來自外部用戶的郵件或者內(nèi)部用戶跨網(wǎng)絡(luò)外圍向內(nèi)部發(fā)送的郵件，都不允許攜帶圖片、txt文件、可執(zhí)行文件等附件。簡單的說，就是可以設(shè)置允許內(nèi)部用戶之間傳輸文件而阻止內(nèi)部擁護(hù)來自外部用戶的所有可執(zhí)行文件的所有文件類型。具體配置過程如下：
***步：建立文件篩選器的名字。
用戶在建立篩選器時可以根據(jù)向?qū)韯?chuàng)建。首先要做的是給篩選器取一個名字。這個步驟比較簡單。筆者之所以在這里單獨拿出來，是想給讀者提一個醒。如果建立的篩選器比較多，為了后續(xù)維護(hù)的簡便，***能夠事先定義一個命名規(guī)則。至少讓人一看到名字，而不用看其內(nèi)部的配置，就能夠了解篩選器的用途。特別是不能夠使用毫無意義的流水編號。
第二步：選擇需要篩選器適用的領(lǐng)域。
在配置篩選器時，可能需要給不同的用戶群配置不同的文件傳輸規(guī)則。如對于設(shè)計部門來說，允許其接收來自外部用戶的圖片附件。而其他用戶如果要傳輸圖片的話，必須通過其他形式來傳送，如FTP或者即時通信工具等等。故在實際配置的時候，可能需要設(shè)置多個文件篩選器，然后將其應(yīng)用與不同組的用戶。
第三步：指定允許或者禁止的附件格式。
如果不顧三七二十一，一律拒絕附件，顯然做的有點絕，有時候會影響用戶的正常工作。筆者認(rèn)為比較好的做法是，有限度的限制。這里的限制包括兩個方面的內(nèi)容。一是用戶群之間的限制。如對于企業(yè)內(nèi)部的郵件用戶來說，沒有限制;而對于企業(yè)內(nèi)部用戶接收外部用戶的郵件來說，就有附件方面的限制。二是附件格式的限制，如對于那些可執(zhí)行文件，其風(fēng)險比較大，就一律拒絕等等。這兩個方面結(jié)合使用，可以在保障企業(yè)郵件安全的同時，盡量減少對員工工作的負(fù)面影響。
心得二：善用通知功能，讓用戶和管理員心中有數(shù)
為了盡量減少郵件和附件的誤過濾操作，在FSOCS中還可以設(shè)置通知功能。即當(dāng)接收的郵件如果觸犯了某個即定義的約束條件，那么可以讓ForeFront發(fā)送郵件給用戶或者管理員，告訴他們現(xiàn)在有封郵件或者附件懷疑有病毒，已經(jīng)被其攔截。用戶可以先判斷一下發(fā)件人的地址是否是自己所熟悉的;系統(tǒng)管理員也可以先對可疑的附件進(jìn)行檢查。如果一切沒問題的話，可以由管理員手工再次轉(zhuǎn)發(fā)這封郵件。加一個手工的判斷步驟，可以***限度的消除ForeFront服務(wù)的錯誤過濾。要實現(xiàn)這個通知的功能，只需要一個配置即可。
系統(tǒng)管理員可以打開“通知”對話框。在這個對話框中可以選擇郵件的接收者。如可以只選擇一個指定的郵箱地址(如系統(tǒng)管理員的郵箱地址)，也可以指定根據(jù)“收件人地址”發(fā)送。筆者的建議是兩個都要選擇。畢竟***的恢復(fù)操作是由系統(tǒng)管理員來完成的。而選擇“收件人”地址的話，可以省去系統(tǒng)管理員一個個向用戶確認(rèn)的過程。因為在給收件人的通知消息中，有發(fā)件人的地址以及被過濾的相關(guān)信息。用戶憑借這些信息已經(jīng)可以大致判斷郵件是否是垃圾郵件。如此的話，就可以明顯降低系統(tǒng)管理員的后續(xù)維護(hù)工作。
心得三：在邊緣服務(wù)器上配置與部署FSOCS
對于集團(tuán)公司或者有多個辦公樓的大型企業(yè)來說，為了提高郵件的傳輸效率，往往會在一些比較關(guān)鍵的位置部署邊緣服務(wù)器。此時如果部署FSOCS的時候，就需要特別注意。在默認(rèn)情況下，F(xiàn)SOCS只針對一個特定的區(qū)域有效。簡單的是或，就是不能夠跨越多個邊緣服務(wù)器。筆者在剛開始接觸這個FSOCS的時候，就犯過類似的錯誤。如只在Exchange服務(wù)器上設(shè)置了FSOCS，在邊緣服務(wù)器上沒有設(shè)置。結(jié)果發(fā)現(xiàn)，所定義的規(guī)則在很多用戶那邊沒有生效。后來經(jīng)過分析、測試，發(fā)現(xiàn)是這個邊緣服務(wù)器在作怪。
這里需要注意，通常情況下邊緣服務(wù)器角色的每一個實例都需要培植部署FSOCS。注意是每一個實例。如果有一個邊緣服務(wù)器沒有配置，那么這臺服務(wù)器所連接的用戶和運行的服務(wù)，將不能夠享受到由其帶來的好處。另外，如果在邊緣服務(wù)器的一側(cè)部署有防火墻的話(通常為了服務(wù)器的安全都會這么做)，還需要在防火墻上進(jìn)行配置，允許其運行ForeFront應(yīng)用程序。其核心的工作，就是開啟相關(guān)的端口。
從以上分析中可以看出，F(xiàn)oreFront的作用更像是一個防火墻。確實如此。不過這里需要說明的是，由于ForeFrontCommunicationsServer是為Exchange量身定做的。所以在過濾的效率與效果上，都會比第三方的防火墻好的多。筆者在以前的工作中有切身的感受。雖然說多了一層過濾規(guī)則，肯定會對郵件的處理效率帶來負(fù)面的影響。但是采用ForeFront的話，基本感覺不到由此帶來的負(fù)面影響。
【編輯推薦】
