邮件系统安全防护要求

　　《邮件系统安全防护要求》规定了邮件系统不同安全保护等级的安全防护要求，涉及业务及应用安全、网络安全、设备及软件系统安全、物理环境安全和管理安全。适用于公众电信网和互联网中的邮件系统。
　　邮件系统安全防护概述
　　邮件系统安全防护范围：包含注册登录模块（为用户提供注册和登录服务）、业务处理模块（提供邮件接收与发送服务）、数据存储模块（存储邮件数据）、业务安全管理模块（恶意代码监控和过滤）、系统安全管理模块（设备配置管理和运行状态监控）。
　　邮件系统安全防护内容：涵盖业务及应用安全（身份鉴别、访问控制、安全审计等）、网络安全（网络结构安全、入侵防范等）、设备及软件系统安全（网络及安全设备、操作系统等）、物理环境安全（机房位置、访问控制等）、管理安全（安全管理制度、机构等），并需根据《电信网和互联网网络安全防护定级备案实施指南》确定安全等级，第四级和第五级系统参照第三级要求防护。
　　第1级要求
　　业务及应用安全：身份鉴别需提供专用登录控制模块对业务使用用户进行身份标识和鉴别；访问控制应提供服务使用用户与后台管理用户的访问控制功能；对外接口需具备数据有效性检验功能，确保输入数据格式或长度符合系统设定。
　　网络安全：网络结构应绘制与当前运行情况相符的系统拓扑结构图（反映互联网接口、内部网络划分等）并整理资产表；网络监测需在系统边界部署访问安全监测设备并启用有效策略。
　　设备及软件系统安全：网络及安全设备应满足相关通信行业标准及《电信网和互联网安全防护基线配置要求及检测要求 网络设备》、《电信网和互联网安全防护基线配置要求及检测要求 安全设备》要求；通用主机操作系统需符合《电信网和互联网安全防护基线配置要求及检测要求 操作系统》要求，审计范围覆盖每个操作系统用户；数据库及中间件软件应满足《电信网和互联网安全防护基线配置要求及检测要求 中间件》、《电信网和互联网安全防护基线配置要求及检测要求 数据库》要求，审计范围覆盖每个数据库及中间件软件用户。
　　第2级要求
　　业务及应用安全：身份鉴别在第1级基础上，需启用业务使用用户身份标识唯一性检查功能；访问控制应控制到单个用户，启用登录认证策略（如防范暴力破解），第三方客户端访问需使用专用登录口令并采取TLCP等传输加密措施；安全审计需覆盖所有用户，记录登录时间、IP地址等内容并留存至少6个月，且审计记录不可删除、修改或覆盖；邮件内容安全性要求登录认证数据加密传输、邮件内容非明文存储、过滤垃圾邮件及检测恶意链接与代码；资源控制需实现超时自动登出和限制单个用户多重并发会话；Web安全需对输入验证、访问控制、会话管理等多方面进行防护；客户端安全要求输入验证、身份认证模块防绕过、完整性校验等；对外接口需设置前置服务器、加密传输敏感信息、校验数据完整性并密文存储认证信息。
　　网络安全：网络结构在第1级基础上，需合理设计带宽以满足高峰期流量需求；网络监测应在边界以旁路接入方式部署安全监测设备，具备恶意代码监测功能，实时备份监测日志并支持防恶意代码软件统一管理；安全审计需记录重要设备运行状况等日志并保留至少6个月，记录内容包括日期、时间、用户等信息。
　　设备及软件系统安全：网络及安全设备应对登录用户进行有效身份鉴别且管理用户标识唯一；通用主机操作系统需进行安全检测并定期加固漏洞，远程管理时防止鉴别信息窃听，启用访问控制功能并删除多余账户，实现权限分离，限制默认账户权限并关闭不必要端口，审计重要安全事件，限制管理终端登录条件及操作超时断开，关键设备采用冗余备份；数据库及中间件软件需进行安全检测并定期加固漏洞，配置最小权限并使用角色管理权限，启用访问控制功能并实现权限分离，审计重要安全事件，限制管理终端登录条件及操作超时锁定，关键设备采用冗余备份。
　　物理环境安全要求：应满足《电信网和互联网物理环境安全等级保护要求》中的第2级要求。
　　管理安全要求：安全管理要求除满足《电信网和互联网管理安全等级保护要求》中的第2级要求外，还需覆盖管理制度等多方面且采取从严原则；人员和技术支持能力应有安全管理人员和技术人员，并定期进行灾难备份及恢复技能培训；运行维护管理能力需有介质存取等管理制度，定期验证备份数据有效性及服务器设备灾难备份制度；风险评估要求至少每两年进行一次，覆盖技术和管理风险；灾难恢复预案应按《电信网和互联网灾难备份及恢复实施要求》制定，每半年进行教育和培训，每年演练并修正预案。
　　第3级要求
　　业务及应用安全：身份鉴别在第2级基础上，需启用用户登录认证口令复杂度强度功能，保证口令长度不小于8位且包含大小写字母、数字、标点及特殊字符组合，提示用户定期更换；访问控制除第2级要求外，需设置用户解锁策略，对异地登录行为设置双因子认证，高风险操作时进行二次鉴权；安全审计需提供审计记录数据统计、查询、分析及生成报表功能；邮件内容安全性应采用强壮加密算法，提供数据有效性检验功能，邮件内容非明文存储且加密符合国家商用密码管理办法；Web安全需在程序上线前或升级后进行代码审计；客户端安全应避免使用含有已公开中危及以上漏洞的开源第三方应用组件及代码（参考CVE、CNVD、CNNVD、NVDB等漏洞库）；对外接口安全同第2级要求。
　　网络安全：网络结构安全应划分子网或网段，设备分区部署，可靠性达到99.99%以上且具备流量负荷分担设计；网络监测除第2级要求外，应监测并禁止不必要内嵌网络服务及用户端自动安装恶意软件，在边界处有效监测网络入侵行为并采取断开连接、报警及记录攻击信息等措施；安全审计需提供审计记录数据统计、查询、分析及生成报表功能。
　　设备及软件操作系统安全：网络及安全设备应启用登录失败处理功能，限制管理终端登录条件，远程管理时防止鉴别信息窃听；通用主机操作系统安全检测同第2级要求，身份鉴别需启用登录失败处理功能且远程管理时防止鉴别信息窃听，安全审计需保留审计记录至少6个月，资源控制应监控服务器性能和服务水平并设定阈值报警，冗余备份应对关键数据进行异址备份并建立恢复机制；数据库及中间件软件安全检测同第2级要求，身份鉴别需启用登录失败处理功能且远程管理时防止鉴别信息窃听，安全审计需保留审计记录至少6个月，资源控制应监控性能和服务水平并设定阈值报警，冗余备份应对关键数据进行异址备份并建立恢复机制。
　　物理环境安全要求：应满足第2级要求和《电信网和互联网物理环境安全等级保护要求》中第3级的相关要求。
　　管理安全要求：应满足第2级要求和《电信网和互联网管理安全等级保护要求》中第3级的相关要求，设有专职操作、维护技术人员和安全管理人员并定期培训考核，灾难恢复预案按制度修订要求管理。
　　第4级要求
　　暂不规定：本级别邮件系统安全防护要求暂未制定相关内容。
　　第5级要求
　　暂不规定：本级别邮件系统安全防护要求暂未制定相关内容。
　　邮件系统风险分析
　　资产分析：资产类别包括设备及链路（操作维护终端、服务器、网络设备等）、软件（数据库软件、中间件等）、数据和信息（用户注册信息、邮件内容等）、文档和资料（设计文档、管理规定等）、人员（管理、维护人员等）、环境和设施（机房、电力设施等）。
　　脆弱性分析：技术脆弱性涉及业务及应用（服务器备份不合理、代码漏洞等）、设备（硬件隐患、口令设置问题等）、物理环境（机房场地选择不当等）；管理脆弱性包括安全管理机构（岗位设置不合理等）、安全管理制度（不完善等）、人员安全管理（录用程序不规范等）、建设管理（安全方案不完善等）、运维管理（物理环境管理简单等）。
　　威胁分析：环境威胁包括物理环境（断电、温湿度异常等）和自然灾害（洪灾、地震等）；技术威胁包括设备失效、软件故障等；人为威胁中恶意人员存在内部人员破坏、外部攻击等行为，非恶意人员存在操作失误、技能不足等问题。