一、项目背景及目标

1.项目背景

本行原先使用的是传统邮件网关，针对垃圾邮件、病毒邮件进行过滤防护。由于传统邮件网关本身存在较大技术短板，并且为了积极响应国产化的背景，本行需要引入一套智能安全邮件防护系统，对行内内部邮件进行有效防护，阻挡互联网对内部邮件系统的攻击，过滤垃圾邮件和病毒邮件，应对高级病毒，社交钓鱼、后门、勒索软件，定向攻击，目前国家和组织背景的APT攻击及重要护网日益增多，在安全形势不断恶化的今天，行内网络信息安全极有可能会面临来自各类高级的威胁，虽然本行已经在边界防护中部署了如防火墙、入侵防御系统等网络安全防护设备，但仍然会有部分威胁通过邮件发送到本行内部员工邮箱中，潜在较大的安全隐患：比如行内的重要数据被窃取、损坏或篡改等。

2.需求分析

为响应国产化政策及网络安全合规要求，本行需构建基于信创架构的智能安全邮件防护系统，集成AI技术（如机器学习检测引擎、二维码识别模型、行为检测模型）强化反垃圾、反钓鱼、防病毒邮件检测能力，应对BEC等高级威胁。系统需采用软硬件一体机设计，具备高可靠、可扩展等特性，支持灵活扩容与全生命周期管理。结合银行业监管要求、同业实践及本行IT规划，在降本增效基础上，打造符合《网络安全法》、适配信创体系且可深度防护的智能安全邮件防护系统，保障行内邮件系统安全运营。

3.建设目标

①建设符合《网络安全法》、满足国家信创要求且可深度防护的智能安全邮件防护系统，提升行内邮件系统安全防护能力。

②基于目前邮件的安全防护能力的升级，补充现有安全防护体系短板，将智能安全邮件防护系统与行内态势感知平台进行对接，确保告警信息能够实时监测、精准捕获，并快速上报至监管部门，从而构建协同联动的整体联防机制，全面提升邮件系统的安全防护水平。

③部署智能安全邮件防护系统，构建高可靠、可扩展的智能安全邮件防护系统，强化邮件威胁检测与防护能力，有效应对新型邮件攻击，降低网络钓鱼及敏感信息泄露风险。系统将全面落实《网络安全法》要求，响应监管部门指导意见，提升邮件系统的安全性与合规性，助力我行在信息化建设与网络安全领域实现更高水平发展。

二、创新点

1.先进性

本次智能安全邮件防护系统采用市场领先的AI技术来提升针对恶意邮件、可疑附件等高级威胁入侵手段的检测能力。

①采用AI技术来提升对恶意邮件的检测能力，包括基于机器学习的检测引擎以及基于AI的图片识别模型，可对国内目前常见的恶意附件与二维码图片钓鱼等邮件行为保持极高的检测率。

②基于机器学习引擎，智能安全邮件防护系统可对检测到的可疑邮件样本特征进行快速分类与相似规则匹配，从而实现以高效自动化的方式补充有效检测规则到产品自带的规则库中，结合产品已有的病毒库与异常行为规则库，有效覆盖最新的钓鱼邮件攻击行为。

③智能安全邮件防护系统通过将垃圾邮件检测引擎和AI行为检测模型进行融合，对本行内部的全体员工的邮件收发行为进行安全检测与记录；可针对多种主流的异常邮件入侵场景提供有效防护，如伪造可疑域名发送欺诈邮件，仿冒收件人进行行内邮件的窃取等风险场景。

2.合规性

基于信创系统，依托海光自主研发的CPU和x86架构高性能通用处理器，以及稳定可靠的麒麟操作系统，构建智能安全邮件防护系统，全面满足自主可控要求。

3.扩展性

系统具有很好的可靠性、可扩展性和适应性，可以根据不同的配置方案，支持较大规模的用户数。系统体系结构设计在满足现有业务需求基础上，考虑到系统应当有充分的可扩展性，以满足未来的业务发展。

本次智能安全邮件防护系统采用双机冗余的高可用架构，并且支持横向扩展架构设计。

①确保智能安全邮件防护系统无单点故障。

②打造邮件路由的双向或多向链路。

③实现对邮件数据流的负载分担。

④实现配置同步，集中管理，统一查询、统一释放隔离邮件等。

4.业务连续性

系统设计时考虑不改变现有业务架构以及网络架构为基础，保持系统的业务的连续性。

本次项目智能安全邮件防护系统基于原有业务架构以及网络架构进行平滑替换，邮件收发策略和安全防护策略保持一致，最大程度降低替换过程对业务系统的影响。

①保持现有架构，减少中断风险

现有架构兼容性：通过基于原有业务架构和网络架构进行平滑替换，避免了因架构调整引发的兼容性问题，确保现有业务运行的稳定性。

无缝迁移：智能安全邮件防护系统采用平滑替换策略，减少系统切换期间的停机时间。

邮件收发策略一致性：智能安全邮件防护系统在邮件收发流程中保持协议与功能一致性，确保日常业务办公不受影响。

安全防护策略一致性：沿用现有的防护策略，同时引入更高效的检测能力，提升对新型的钓鱼邮件和病毒邮件的防护能力。

②业务连续性技术手段

冗余与高可用设计：采用双机热备的部署架构，确保智能安全邮件防护系统在单点故障时能够快速切换，避免邮件服务中断。

实时监控与故障快速恢复：引入实时监控和日志分析功能，快速发现潜在问题并恢复，进一步提升系统稳定性。

性能优化：通过引入机器学习检测引擎和智能规则库更新机制，提升邮件处理效率，减少延迟，保障高效运行。

5.安全性

在系统本身层面，采用自主可控的国产软硬件架构，结合AI技术进行实时威胁检测与防护，确保系统高可靠性和自主可控性；在应用层，通过严格的邮件过滤规则、行为分析模型和高级威胁检测引擎，有效识别并阻断垃圾邮件、钓鱼邮件及恶意附件；在网络层，实施流量加密、IP访问控制与防火墙策略，防止网络入侵和数据截获；在传输层，支持TLS加密SMTP协议，结合SPF/DKIM/DMARC技术防止邮件伪造，同时实现客户端到服务器全程加密（如HTTPS），确保数据传输的完整性与保密性。此外，邮件数据库采用加密存储，访问时需动态解密并进行权限验证，所有邮件操作均记录日志，以支持溯源分析与合规审计。通过多层次的安全设计，构建了一个稳定、安全、合规的邮件安全体系，有效保障系统的运行安全和数据隐私。

6.易用性

系统设计充分考虑了可管理性、可维护性和可配置性，集成至统一的管理平台，并覆盖从安装、配置到日常维护的全生命周期管理需求。智能安全邮件防护系统提供了直观且友好的图形化用户界面（GUI），使管理员能够轻松完成系统部署、参数调整以及后续维护工作，从而显著简化操作流程并提高管理效率。

三、项目技术方案

邮件系统是本行开展业务的核心通讯工具。为提升邮件安全性，引入了智能安全邮件防护系统，并采用双机热备的部署架构，有效过滤垃圾邮件、病毒邮件及新型邮件攻击威胁。该系统实现了公网与邮件服务器之间的邮件安全防护，同时也为内部用户之间的邮件通讯提供了全面的安全保障 ，为全行员工构建安全稳定的通邮环境。

1.智能安全邮件防护系统架构分析

上图为部署现行邮件系统架构图

两台智能安全邮件防护系统通过内部防火墙NAT映射提供服务，这当中智能安全邮件防护系统通过公网DNS MX记录轮询实现邮件负载均衡。

2.进站邮件流

①进站邮件查询公网DNS MX记录。

②进站邮件根据公网MX记录发送到行内防火墙公网IP。

③由防火墙通过NAT地址转换将流量转发到内网智能安全邮件防护系统当中。

④由智能安全邮件防护系统检测过滤后发送给邮箱服务器。

⑤内网终端用户通过内部网络获取进站邮件。

3.系统部署架构

本次的智能安全邮件防护系统采用双机热备的高可用架构方案。

本次的高可用方案的技术优势如下：

①确保智能安全邮件防护系统无单点故障

②打造邮件路由的双向或多向链路

③实现对邮件数据流的负载分担

④实现配置同步，集中管理，统一查询、统一释放隔离邮件等。

高可用部署通常有以下具体实现方式：

⑤利用DNS轮询实现负载均衡

利用DNS轮询实现负载均衡：建立两条优先级相同的MX记录，分别对应两条A记录。两条A记录解析对应两个公网IP地址。需要做的解析示例如下：

MX解析

A地址解析

在防火墙上做端口映射，将两个公网IP（IP1、IP2）的25端口分别映射给两台网关的内网IP的25端口。对应关系如下：

配置完成后两台智能安全邮件防护系统可以同时处理邮件数据，过滤垃圾邮件后将正常邮件投递给邮件服务器。由于MX记录优先级相同，外部发件人发来的邮件按照DNS轮询的查询结果分配进入到两台智能安全邮件防护系统，达到负载均衡的效果。

四、项目过程管理

为确保智能安全邮件防护系统项目顺利开展，基于本行现状制定以下实施计划表：

五、运营情况

1.设备使用情况

智能安全邮件防护系统上线后（2025年1月-2025年3月，运行3个月），智能安全邮件防护系统运行状态良好，硬件设备均处于正常工作状态，系统整体运行平稳，邮件处理情况稳定。

2.运行数据

智能安全邮件防护系统上线后共接收分析邮件13万+封，安全邮件10万+封，垃圾邮件/灰色邮件21600封，钓鱼邮件109封，二维码钓鱼邮件237封， 内容违例13334封。有效防御了攻击者通过邮件进行攻击通道，提升邮件威胁检测及防护能力，持续维护我行安全稳定的邮件通讯环境

3.推广应用

引进智能安全邮件防护系统，以双机（集群式）部署架构，对垃圾邮件、病毒邮件、高级病毒、社交钓鱼、后门、勒索软件和定向攻击进行过滤，实现公网与邮件服务器之间邮件的安全防护，防护全行终端用户邮件安全，避免数据资产泄漏、损坏或篡改等严重损失风险。

六、项目成效

1.基于降本增效的基础之上，构建具备高可靠、易管理、可扩展特点的智能安全邮件防护系统

①降低因邮件攻击导致的业务中断和数据泄露成本。

②减少人工干预和维护成本。

③提升资源利用率，优化系统运行成本。

2.智能安全邮件防护系统建设完成，与行内信创邮件系统统一联动，确保邮件数据全链路信创化。

3.安全性提升

①有效拦截钓鱼邮件、垃圾邮件和病毒邮件，降低邮件攻击风险。

②提升对零日威胁和高级持续性攻击（APT）的检测能力。

③防止敏感信息泄露，保护企业数据安全。

4.系统业务连续性

①保持原有业务架构和网络架构不变，实现平滑过渡。

②确保邮件收发功能稳定，不影响正常业务办公。

③提供高可用性设计，支持业务连续运行。

5.智能化与效率提升

①引入AI技术（如机器学习引擎、行为检测模型），实现自动化规则更新。

②提升邮件处理效率，减少人工干预。

③支持实时监控和快速响应，降低处理时间。

6.合规性与信创改造

①符合《网络安全法》及相关监管要求，降低法律风险。

②支持信创改造需求，推动国产化技术应用。

③提供全面的日志审计功能，满足监管部门的合规要求。

7.易运维

①提供更清晰的邮件分类和威胁警告，提升用户操作效率。

②减少误报率，提高用户对系统的信任度。

8.增强确立邮件系统管理角色和制定运维管理及邮件病毒处理流程，确保邮件防护工作标准化、常态化、制度化。

七、经验总结

1.威胁检测与主动防御。部署基于AI驱动的邮件内容分析引擎，包括基于机器学习的检测引擎以及基于AI的图片识别模型，识别钓鱼链接、仿冒域名和恶意附件，构建一个具备先进性、高可靠、易管理、可扩展特点的智能安全邮件防护系统，提升邮件威胁检测及防护能力，有效应对新型邮件攻击的威胁，持续维护我行安全稳定的邮件通讯环境，降低我行网络钓鱼、敏感信息泄露等安全风险。

2.通过双机热备的统一管控，将邮件数据和安全事件进行统一汇聚到一套管理端平台，保障公网与邮件服务器之间的邮件安全防护，同时也为行内员工之间的邮件通讯提供了全面的安全保障，同时也实现邮件安全事件的可视化。

3. 智能安全邮件防护系统采用灰度上线和分批切换方式，确保旧邮件网关系统与新系统策略一致性，同时保障邮件业务稳定过渡。

4. 从运营和成效分析，本次智能安全邮件防护系统满足行内对邮件防护要求，有效抵御新型邮件攻击威胁，将智能安全邮件防护系统与行内态势感知平台无缝对接，确保告警信息能够实时监测、精准捕获，并快速上报至监管部门，从而构建协同联动的整体联防机制，全面提升邮件系统的安全防护水平，保障本行业务稳定运行，同时提升日常运营效率。