上网行为管理策略配置实战系列—外发邮件审计

之前配置指导（4）中提到非法网站过滤的实现，通过对非法网站访问的控制，可以有效保障运营商办公网的网络安全，避免不必要的网络风险。在现在的办公网中除了外在的网络风险外，更多的是从办公网外发的内容给运营商带来的其他风险。其中邮件作为办公网中最常见的沟通方式，成为外发信息风险的"重灾区"。网康科技NS-ICG不但可以审计通过任意端口的POP3和SMTP协议收发邮件内容，同时还可以审计通过WEB-MAIL发送邮件的内容，实现对用户邮件收发内容的全面审计。

技术原理：

电子邮件普遍遵循POP3和SMTP标准协议，通过对协议报文的正确解析，结合用户信息，就可以对应获得邮件的发送信息、内容、时间等相关信息。匹配收发邮件的标题及内容关键字等特征进行邮件报警，从根本上杜绝包含敏感信息邮件的外发行为，保证运营商信息安全。

配置实战：

前提条件是NS-ICG通过透明桥接模式部署在运营商办公网络中。

根据电子邮件的应用协议特点，主要包括两方面的业务流量审计：webmail、smtp协议（外发邮件）。

***步：实现webmail邮件审计

通过点击【策略管理】→【审计策略设置】-【HTTP应用审计策略】-【webmail审计策略】进入如下图所示页面：

通过设定用户、时间、发件人、收件人以及主题或者正文中的关键字来设定具体的策略。从上面的配置界面可以看到，除了正文内容外，还包括附件（名称和附件大小）。

在策略动作方面，可设置允许/阻塞操作。在"按指定方式报警"中，勾选"设置记录方式"后，此项即被激活，勾选此项，在右侧"策略内容"框中点击"指定报警对象"即可选择报警方式。

第二步：设置SMTP外发邮件审计策略

通过【策略管理】→【审计策略设置】进入主页面，点击"SMTP审计策略"按钮，进入如下图所示页面：

同webmail审计策略类似，通过设定用户、时间、发件人、收件人以及主题或者正文中的关键字来设定具体的策略。从上面的配置界面可以看到，除了正文内容外，还包括附件（名称和附件大小）。

在策略动作方面，可设置允许/阻塞操作。在"按指定方式报警"中，勾选"设置记录方式"后，此项即被激活，勾选此项，在右侧"策略内容"框中点击"指定报警对象"即可选择报警方式。

通过上述配置步骤后，即可实现对外发邮件的全面审计功能。