腾讯企业邮箱安全技术.doc

腾讯企业邮箱安全技术1 概述互联网时代，网络为企业带来各种便利的同时，也带来了各种信息安全问题。 钓鱼软件、盗号木马、欺诈邮件等恶意病毒给企业带来了巨大的信息安全风险，“泄密门”、“棱镜门”等各种信息安全问题层出不穷，稍有不慎就可能给企业带来经济损失。作为中国拥有最多也最为广泛网民的腾讯公司，自成立的10余年间，一直致力于与侵害用户信息安全的行为作斗争，积累了业内最为丰富的经验。腾讯公司自主研发的腾讯电脑管家，也已成为中国最为领先的互联网安全产品、安全服务提供者。腾讯企业邮箱作为腾讯公司的一款核心企业级产品，拥有腾讯公司领先的信息安全技术，我们的产品从硬件设备、系统架构、功能设计都充分考虑到企业级的高安全需求。另外，我们也一直把用户的数据安全，当作我们产品的首要目标，任何涉及用户隐私的信息，我们都会非常谨慎地对待。针对企业的安全需求，我们有着如下的重重保障：2硬件设备保障腾讯公司与国际顶尖的硬件设备厂商如IBM、HP、CISCO、DELL、华为等建立了长期的战略合作关系，我们所有硬件设备都是采购自这些国际顶级厂家的高性能硬件产品。 除了采购最顶级的硬件设备，腾讯公司还通过与硬件厂商的联合研究，不断提高腾讯服务器的硬件技术和性能。从08年开始，腾讯公司先后与Intel 、AMD、Dell、华为等硬件设备公司成立了联合实验室，不断研发出最新的硬件技术和高性能产品并应用到腾讯硬件设备。 例如在腾讯大规模应用SSD之前，国内所有行业的企业级应用只有少量的SLC SSD，SLC性能优越但价格昂贵。腾讯公司与厂家一起，依托联合实验室，完善了MLC介质的读写寿命监测和告警功能，并且根据实验室的数据与业务一起调整应用，最终实现了廉价的MLC SSD的大批量企业级应用，实现了SSD、10G网卡在腾讯服务器中的大规范应用。 图1：腾讯公司SSD的应用2.1 庞大服务器集群和独立机房在硬件设备方面，无论是服务器数量、服务器的性能还是硬件机房环境，腾讯在国内互联网行业处于绝对领先地位。腾讯的服务器总数已经超过了几十万，腾讯企业邮的服务器超过几千台，分布在华南、华北、香港、美国及东南亚等多个国家和地区。我们采购和定制了来自国际顶级厂商如IBM、HP、CISCO、DELL、HUAWEI的最高性能的硬件产品，我们定制的多款服务器，在腾讯大量应用后被国内互联网同行借鉴引入，由定制产品逐渐变成互联网通用产品。在硬件机房方面，腾讯企业邮在国内外均有独立的高性能IDC机房。在国外，具有分布在香港、美国、加拿大、东南亚及亚马逊云的多个国外IDC。在国内，在深圳、上海、西安、天津等全国十几个大中城市都部署了独立IDC机房。腾讯企业邮在天津还拥有亚洲最大自建IDC机房，是亚洲最大数据储备处理中心。腾讯企业邮箱IDC机房的电力、温度、抗震等安全指标, 都是按照亿级邮件提供商的标准建设。IDC机房环境，达到 电子信息系统机房设计规范GB 501742008 B级或TIA942 T3级以上标准，整个IDC基础环境支持至少10年的服务年限。腾讯企业邮的IDC机房有专业的安全中心人员24小时值班，为了规范机房管理，加强机房的安全性，还制定腾讯IDC机房管理办法等管理规范和细则，对机房现场管理、机房人员出入管理、机房设备出入管理、机房运维操作管理、相关处罚等方面作出详细的规定，以确保机房设备的万无一失。另外，腾讯服务器采用国内首创的具有13项专利的Rack Server等自主研发平台，具有以下先进技术：（1） 智能的数据中心资源管理，实现对设备的自动管理。 图2：Rack Server数据中心智能管理实现（2） 绿色节能节能的直流集中供电和集中散热技术 图3：Rack服务器直流集中供电和集中风冷散热设计（3） 先进的电力系统，确保硬件设备的稳定运行电是硬件设备的根本，不仅支撑着服务器和网络设备的运行，还支撑着制冷、消防、监控等方方面面。没电没一切。正因为电如此重要，因此我们设计了三道防线，来保障它的持续供给：第一道防线：双路市电供电（我们要求每个数据中心都有来自2路独立的、来自不同电站的电力专线）第二道防线：UPS/高压直流的电池（电池可提供半小时内的电力供给，可应对市电短暂中断，也是柴发启动的缓冲）第三道防线：柴发备电系统（长时间的电网电力中断就靠它来扛）（4） 采用冗余备份等先进技术，服务质量有保障腾讯企业邮箱采用冗余分布式系统设计，一台主机出现故障不会影响其他的主机，备份主机将接管故障主机的业务，保证用户还能够正常使用，能够做到整个城市IDC群总体可用性不小于99.99%，每月重大故障数目不多于1次；支持同城网络、机房的冗余备份。 2.2内外网隔离的安全网络架构为了保护用户数据的绝对安全，腾讯企业邮箱服务器实现内外网物理隔离。腾讯企业邮的数据存储模块是和外网物理隔离的， 用户信息和邮件数据均在内网服务器进行存储和传输， 因此互联网上的非法用户是没有任何办法查看或修改用户数据和邮件数据的。另外，只有必要的接入模块才会部署在带有外网 IP 的主机上，外网主机与与内网主机之间部署了国际领先的软硬件防火墙，能杜绝恶意入侵。外网服务器也无法直接查看或修改内网服务器的数据，只有通过多层严格授权与认证后，才能够访问内网有限的接口服务。同时，腾讯企业邮箱具有GSLB智能定位、TGW三网合一等业界最先进的网络技术，服务器遍布电信、网通、教育网、移动等不同网络，直接连在运营商的全国骨干网络或经过1跳的城域网与全国骨干网相连；带宽支持自动扩容，带宽可以以10Gbps的单位灵活扩容，单个物理IDC出口可以灵活扩充到100Gbps，整个城市IDC群网络出口资源可以灵活扩展到Tbps级别。 图4：服务器内外网隔离2.3 自主研发的国际领先的数据存储系统腾讯企业邮箱具有自研三机热备份、自研网络容灾优化、自研统一存储等一系列的业界最强最牛技术。邮箱重要数据都是三机热备，且单独存储的，同一份数据会在不同地区的机房同步存储，在某一机房出现故障时无延时自动切换，确保用户数据的万无一失。同时，在关键模块上均采用实时备份策略。在软件层面实现Raid 1，所有数据双份存储。3系统安全架构3.1系统架构腾讯企业邮箱总体架构简图如下： 图5：腾讯企业邮箱整体架构图腾讯企业邮箱继承和发展了QQ邮箱优秀的系统架构，通过不断的系统重构与优化，成功打造了一个能稳定支撑超过10亿用户的系统架构。系统采用冗余分布式系统设计，一台主机出现故障不会影响其他的主机，保证用户正常使用，同时服务器部署严格区分内外网，保证客户数据安全。3.2系统部署腾讯企业邮箱服务器使用Linux 操作系统，关闭所有与邮件无关的模块及服务。各台主机上都部署有独立的监控模块，监测系统端口及连接情况，一旦发现异常，立即报警。腾讯企业邮箱拥有超过10年邮箱运营经验和亿级海量数据运营经验的7*24小时安全运维团队，具备了秒级的服务监控机制，实现了分钟级的故障处理响应，以敏捷的故障响应处理保证服务可用率高达99.99%。4邮件传输安全技术4.1防病毒 腾讯企业邮箱使用腾讯电脑管家和小红伞杀毒引擎，每5分钟更新一次病毒库，病毒拦截率超过99.8%，能为用户提供全面的反病毒防护。腾讯企业邮箱使用腾讯电脑管家的反病毒引擎与杀毒技术, 腾讯电脑管家建立了中国最为丰富的URL数据库，是中国识别钓鱼欺诈网页权威数据库，其不仅服务于腾讯的用户，还为百度、搜狗、QQ等诸多网站提供免费的数据库共享服务，是业内公认的中国反欺诈、反木马、反钓鱼最具实力的主力军。通过多年努力，腾讯电脑管家研发反病毒引擎，并整合世界最先进的反病毒厂商资源，为中国网民提供最为可靠的反病毒服务，并在VB100、AV-TEST等国际国内最权威的反病毒测试中，连连过关，成为中国综合能力最强、最稳定的反病毒软件。小红伞杀毒引擎，是由国际领先的杀毒软件厂商德国小红伞AVIRA公司研发。AVIRA公司从事安全软件的开发至今已有20余年的经验，是一家具有领导性的全球专业与私人领域的IT安全解决方案供应商。4.2反垃圾腾讯企业邮箱拥有全球最大的垃圾样本收集平台：QQ邮箱举报体系，拦截量约1亿/天，垃圾邮件有效拦截率超过98。 腾讯企业邮具有以下反垃圾体系和服务：（1） 历经10年建立及不断完善的用户和域的信用体系。（2） 海外合作及自运营结合，覆盖全球的IP RBL的服务；（3） 拥有十数件国家专利的文本内容相似算法；（4） 强大的运算集群，支撑图片、文本、行为、垃圾指纹的分析打击。采用的反垃圾技术（策略）包括：l 全局域黑白名单；l 实时rbl黑名单；l 发信方认证；l 发送者信誉系统；l 指纹技术；l bayes评估；l 发送行为特征评估；l 图像识别；l 外发邮件控制；l 恶意网址识别。 腾讯企业邮箱反垃圾专利截图如下：4.3访问加密Webmail登陆默认使用通过SSL加密的https协议，有效保障用户登陆信息不被恶意监听窃取。4.4收发加密webmail/pop/esmtp/imap 都支持 SSL 接入，有效保证邮件传输过程中，包括用户的用户名、密码、信件内容等信息的安全性。5邮箱安全加密技术5.1用户安全登录腾讯企业邮除了支持webmail/pop/esmtp/imap的全程SSL加密通信来保障用户信息的安全，还独家支持微信动态密码的安全登陆功能，启用了微信动态密码后，其他人即使获取了你的密码信息，但是如果没有你的微信动态验证码，仍然无法登陆你的邮箱，可最大程度地保护用户的账号安全。另外，腾讯企业邮箱还具有防暴力密码破解、多重登录异常检测、IP登录限制等全方位的防护技术，可以保证客户登陆信息的万无一失。5.2密码安全保护腾讯企业邮箱密码使用了MD5和个人秘钥等多层机密技术，能有效防止恶意用户的恶意攻击和破解。为了最大程度保护客户信息安全，腾讯企业邮箱对用户密码的复杂度做了强制要求，不允许设置简单密码，加强客户密码的安全性。腾讯企业邮箱还提供了“定期修改密码”功能，管理员可以通过该功能，强制要求企业成员定期修改个人邮箱密码，进一步加强企业信息安全管理。同时，如果用户启用了微信动态密码，那么每次用户密码的修改，系统还将通过微信消息提醒用户注意是否是用户自己的操作，进一步加强用户自身信息安全的防护。5.3 Webmail安全访问腾讯企业邮箱通过cookie验证、session超时、用户动态SID验证等技术手段，能保证即使有恶意用户获取了客户访问的url，也无法查看用户信息和邮件信息。5.4账号安全腾讯企业邮提供了超级管理员与分级管理员等不同权限，管理员可以根据自身权限，对成员账号进行新增、删除、编辑、启用、禁用等操作，并且每次操作都会在后台记录详细操作日志。另外，即使管理员误删除了某个成员账号，系统也提供了7天内自助恢复账号的功能，可以保证管理员操作无后顾之忧。5.5邮件安全腾讯企业邮箱提供“邮件加密”功能，用户在发送邮件时，可以输入自定义密码，这样对方收到邮件后，只有输入密码才能访问，提供了用户级别的安全加密手段。另外，对6天内误删除的邮件，腾讯企业邮箱支持用户自助恢复，让客户不会因为误删除邮件而损失。6 专业安全团队腾讯企业邮箱是由腾