日前,Coremail论客与360企业安全联合发布的《2016中国企业邮箱安全性研究报告》披露,在企业用户日常工作中扮演重要角色的邮箱系统,正面临着弱密码、OA钓鱼、垃圾邮件和病毒邮件等四大安全挑战。
报告显示,对企业用户来说,冒充系统管理员发送邮件,骗取企业员工信息的OA钓鱼邮件最具危险性。在危害更强的高级持续攻击中,79.2%始于钓鱼邮件。此外,企业邮箱账号使用弱密码的比例高达16.0%。使用弱密码仍是邮箱被盗号的首要原因。可以说,邮件已经成为安全威胁的载体和黑客发起渗透攻击的跳板,成为企业安全链上的最弱一环。
近日,广东省某证券公司的邮件系统因其采用的struts2架构未及时升级,造成高风险命令执行漏洞。该漏洞一旦被利用攻击,将造成邮件系统内的信件信息泄露,带来严重后果。
为此,广东省公安厅组织中国最大的邮件系统提供商Coremail论客进行专门研究,针对电子邮件系统信息安全及运维安全提供以下建议:
一、数据安全
1、对邮件数据的存储进行加密,防止数据被拷贝后被查看;
2、备份重要数据,包括用户数据及日志,有条件的情况下增加异地备份,并定期检查备份数据可用性;
二、传输安全
开启SSL传输加密,保障信息数据传输安全性;
三、邮件安全
使用专业可靠的反垃圾引擎/反病毒引擎,减少垃圾/病毒邮件;
四、网络安全
1、关闭不必要的端口,设定严格的防火墙策略;
2、监控网络流量变化;
五、系统安全
1、及时更新漏洞补丁;
2、关闭 SSH ROOT & 密码认证(*nix 系统);
3、监控系统帐户变化,及时发现异常;
4、上线入侵检查系统,包括硬件,网络及操作系统;
5、定期检查磁盘读写状态、磁盘空间、数据库状态、邮件发送情况、系统入侵检测等信息;
六、帐户安全
1、使用高强度的口令并定期修改,防止密码被盗;
2、在系统支持的情况下打开二次验证功能;
3、妥善保管口令,勿明文保存及共享;
4、限制管理员登录IP。
Coremail邮件系统是Coremail论客旗下的邮件系统,是国内唯一一家通过中国人民银行的应用安全扫描和源代码漏洞扫描的邮件系统。2011年~至今, Coremail邮件系统每年通过由银监会组织的外网重大系统安全测评与漏洞扫描。
Coremail邮件系统符合等级保护四级、分级保护二级要求,获得了由国家保密局颁发的《涉密信息系统产品检测证书》和中国信息安全测评中心授予的《信息技术产品安全测评证书(EAL3级)》,成为首个拥有国家权威安全双认证的邮件系统品牌。
(新闻稿 2016-12-15)