Share via


Exchange 搭配 RMS 企業郵件防護實力大躍進

編者:Cho-Han Wu


 

圖一、 Exchange 2013 (來源)

前言:
無論任何系統,一旦儲存使用者的文件或資訊,皆可能面臨個資洩漏問題,雲端系統也不例外;因此企業如何打造安全無虞的文件管控系統、電子郵件防護平台,藉以強化個資保全,無疑當務之急。

 


面對個資法,經營 B2C 業務的企業如臨大敵,但某些從事 B2B 業務的公司,則相對無感;然台灣微軟技術經理常志誠認為,就個資法衍生的郵件或資訊安全議題,實與企業文件控管、智財權保護息息相關,因此不管業務型態是 B2C 或 B2B,可以肯定,都須善盡郵件風險管理。

「因應個資法的第一步,即是做好11項安全維護措施,」常志誠說,這些措施,包括「配置管理之人員及相當資源」、「界定個人資料之範圍」、「個人資料之風險評估及管理機制」、「事故之預防、通報及應變機制」、「個人資料蒐集、處理及利用之內部管理程序」、「資料安全管理及人員管理」、「認知宣傳及教育訓練」、「設備安全管理」、「資料安全稽核機制」、「使用紀錄、軌跡資料及證據保存」,以及「個人資料安全維護之整體持續改善」。

上述措施,從第四項的「事故之預防、通報及應變機制」開始算起直到最後,皆與IT部門密切相關,但僅是IT一己任務?其實不是,企業不但需要「全民皆兵」,且必須持貫徹始終,最起碼要做到,絕不會連累老闆因個資法訴訟而上法院。

 

遵循個資法,優先做好郵件風險管理

如何保護個資?常志誠表示,首要之務即是進行個資盤點,下一步即需面對結構化資料庫、非結構化機敏檔案的安控議題;尤其非結構化機敏檔案安控,可謂個資保護的關鍵所在,執行難度甚高。

環顧非結構化機敏檔案,哪些可能肇因於內部洩漏,因而產生重大風險?根據 Forrester 統計,名列第一與第二者,分別為 PC/可攜式設備所傳送 Email、Web-based Email;由此可見,企業郵件安全管理的好與壞,關乎個資保全成效之高低,萬萬不可馬虎。

從 2006 年起,微軟即針對安全展開強化措施,改寫所有產品 Source Code,並強調通信保護、法規遵循、簡化管理等三大原則,因此從 Exchange 2003 邁向下一版本 2007,正好跨越不同的安全與保護世代。

常志誠指出,綜觀電子郵件市場現況,存在一些令人憂心的現象,包含大部份客戶仍使用 POP3 方式收信、系統儲存設備昂貴、系統資料備援解決方案不易建置,及使用者信箱大小受限。尤以 POP3 收信模式潛藏重大危機,只因現今駭客僅需利用 WiFi Sniffer,即可輕易竊據帳號及密碼。

綜上所述,現行電子郵件系統急待解決的問題,無疑就是系統安全性、使用者信箱大小的限制、行動裝置的支援、郵件系統高可用性及異地備援,及個資法資料防護與保存的因應作為。

微軟 Exchange 從 2003、2007 一路推進到如今 2013,不僅針對前述問題,展現愈趨強大的解決能力,更難能可貴的,部署彈性與簡易度卻反向提高。以新的模組部署模式而論,除允許彈性的網路與伺服器架構,建置用戶端存取伺服器 (CAS)、信箱伺服器 (MBX) 角色外,尚可降低成本、提高靈活與可擴展性與簡化負載平衡,減少Namespace與複雜性,兼能提供從小型及企業自建的規模、到託管的 Office 365。

 

大容量信箱,低成本建置

綜觀近 10 年來 Exchange 版本演進,最讓人驚艷者,無非就是儲存設備的變革!在硬體部分,自 2003 年以來,磁碟容量顯著增長,透過資料順序處理方式增加在單位密度線性基礎 (2010 SATA=~250 MB/sec),且隨機 I/O 效能預期不會有大幅改善 (15k RPM的上限);至於 Exchange 工作負載,首先即是信箱大小迅速增加,其次是完全滿足知識工作者的在線與即時搜尋需求,再者則是平均郵件大小的增加。

「適用於較大、速度較慢的磁碟,對 Exchange 可說意義重大,」常志誠表示,意謂企業僅需憑藉最小化 I/O,即能以較低成本支持更大的信箱。若比較 Exchange 2003、Exchange 2013,後者 DB IOPS僅是前者 3% 不到,顯見 Exchange 歷經十年演進,前後效能大幅翻倍;IOPS的減少,代表 I/O 運作效能更順暢,也更能防範可能災害。

值得一提,Exchage 2010 開始增加支援 SATA、JBOD 儲存裝置,意即企業可選擇各式儲存架構,而不會犧牲系統高可用度及穩定性,使「大容量信箱、低成本建置」願景得以實現,連帶衍生諸多優點,包括從所有的客戶端讀取所有的郵件(使用者體驗大幅優化)、花費更少時間管理郵箱配額、避免 PST 檔遺失或損壞狀況,及簡化電子郵件搜尋與保留管理。其結論就是,欲建立 Exchage 高可用性架構,再也不需動用可觀成本!

 

挾著功能強化,克服郵件安全挑戰

而論及電子郵件安全挑戰,無非就是快速發展的外部威脅、敏感性資料遺失的潛在風險,及維護電子郵件安全、同時避免影響使用者;對此,現今 Exchage 已提供十足保護功能,如「阻擋病毒及惡意軟體」,可藉由 Exchage Online Protection 在垃圾郵件及病毒進入網路前及早攔阻,或利用 Exchage Server 內建基本防惡意軟體機制;如「保護敏感性資料」,則包括掃瞄Exchage傳輸敏感性內容郵件及資料遺失防禦機制功能(含雲端及企業內部),及使用 RMS 對電子郵件進行嚴密控制。此外,透過「連線篩選」(含靜態 IP 允許/阻止清單、選擇加入微軟的信譽發件人列表)、「垃圾郵件分類」、「內容篩選運作」(含刪除、隔離、增加X-Header、修改主旨、重新指向),則可發揮反垃圾郵件成效。

當然,上述安全功能的實現,僅需借助阻擋附件、輔以「健全、可客製化的通知」來簡易設置,使用戶可在合理控制權基礎上,對敏感郵件資訊做最大限度地控制,減少不必要的應用中斷。至於可供善用的手段,則包括傳輸規則的設定,借助 Exchange IRM 執行原則設定(如針對外寄信件加密、限制受信方不得轉寄或列印),或透過 Exchange DLP 機制施行深入的內容分析,以辨識、監控並保護敏感重要資料。

綜觀 Exchange 2013 DLP 功能,主要特色在於具備 Outlook 2013 使用者經驗、可用於 Exchage Server 與 Office 365、內建 DLP 原則範本、預先定義敏感性資料內容類型、支援第三方定義的 DLP 原則範本,及豐富的報表資料。常志誠強調,有了 DLP 原則範本,意謂企業可針對敏感性資料類型預設規則,從而增強內容偵測,再搭配傳輸規則設定,有效落實法規遵循探索、採取行動執行政策之目的。

 

有效防堵垃圾郵件,遠離社交工程危害

透過電子郵件進行攻擊之常見手法,不外是假冒寄件者、使用與業務相關或令人感興趣的郵件內容、含有惡意程式的附件或連結,及利用應用程式之弱點(含零時差攻擊);要想防禦這些攻擊,其實單憑 Outlook 即可發揮相當功效。

 Outlook Express 是屬於 Windows XP 所附贈的軟體,功能簡單且安全性低,然 Office Outlook 屬於 Office 內建的軟體版本,可透過完整郵件規則發揮強大安全功能,顯然更適合辦公室的人採用。至於使用者端連線方式,微軟 Outlook MAPI 用戶端訴諸嚴謹加密,安全係數最高,企業宜予以採用,取代相對不安全的 POP3、IMAP 或 WEB Mail。

至於如何防範病毒、垃圾郵件與網路釣魚?一方面可利用 Outlook「檔案」下的「垃圾郵件選項」選擇保護層級,例如將來自封鎖寄件者的郵件移至「垃圾郵件」資料夾,或僅依據安全的寄件者/收件者清單上的人員或網域所寄信件,允許傳送至收信匣;另一方面,透過相同的選項設定機制,亦可勾選「使用網路釣魚郵件中的連結與其它功能」、「當電子郵件地址中包含可疑網域時警告我」。

針對可能暗藏風險的 VBA 巨集,使用者可憑藉 Outlook「檔案」下「信任中心」的巨集設定,選擇停用所有巨集、或僅顯示經數位簽章的巨集等方式趨吉避凶;另關於安全預覽或開啟郵件之道,也可藉由「信任中心」設定規範,允許僅能接收純文字模式、將超連結摒除在外。

如今中小企業亦可訂閱 Exchange Online Protection 服務,變更 MX 記錄後即可快速執行,以排除各式威脅、維護公司 IP 位址的名譽(針對高風險郵件採用獨立的外寄傳遞集區)、享有五種具備費用折讓條款的 SLA,並獲得全年無休且毋需額外付費的IT電話支援,終至降低前期投資、確保電子郵件不漏失或遭退回,是善盡郵件風險管理的最短路徑。

另一方面,台灣微軟技術經理蔡宗佑針對「如何遠離社交工程危害」,為企業用戶提出實用建議。他指出,社交工程攻擊模式,不外是駭客設計攻擊陷阱、將攻擊程式埋入電子郵件、寄發郵件給特定對象、受害者開啟郵件、啟動駭客設計的陷阱並植入後門程式等五大步驟,不少機關都對此展開演練,旨在測試同仁警覺心及對不明來源郵件之開啟與點閱情形。

但現今駭客手法日益純熟,已能偽冒幾可亂真的郵件,令用戶防不勝防;因此蔡宗佑認為,企業機構務求建立良好的電子郵件使用習慣,使用郵件前應確認是否「取消預覽功能」,而收到郵件後,不要任意點閱郵件中超連結或網站、不要任意打開不明郵件的附加檔案,更應避免回覆或轉寄不明郵件。

除此之外,企業欲求保護機敏資訊,必須先建立探索、保護及管控內部機敏資訊的能力,此時便需援引一個全方位的解決方案平台,藉此確保重要資訊無論傳遞至何處皆受持續不斷保護,並有 SDK 進行特定需求客製化開發,並確定唯有被授權的人,才可進行特定存取。

此一平台,未必需要斥資引進 DLP 或 MDM 等外部工具,文件擁有者只需善用 Active Directory 新版 RMS 功能,指向伺服器識別憑證,即可憑藉手動、依據範本勾選、與其他系統整合 (如 SharePoint、Exchange Server 或檔案伺服器)等多種途徑,為文件進行加密,並將預設權限綁定於文件,後續無論藉由何等方式傳輸,收信方只要朝向文件按右鍵 Double Click,便能輕易解密,且按既定權限來使用文件,即使 OWA 環境也適用。

蔡宗佑並強調,新版 RMS 支援範圍已超越微軟Office文件,對任何文件格式均不設限,且使用者借助免費下載的 RMS App,即可支援行動裝置存取;至於企業對企業之間的文件分享,僅需赴微軟 Windows Azure的RMS Online(RMSO) 註冊郵件地址,再配合 AAD 記載相關帳號與權限 (註:AAD 毋需與 AD 同步,絕無外洩資訊之虞),雙方即可安全分享文件,且拜自動執行 SSO 單一簽入所賜,使用者可承襲右鍵Double Click的操作體驗,不需反覆驗證,使用過程可謂親和友善。