深信服AF和深信服AC(单网桥)可以实现对邮件附件比如exe格式进行监控检测吗

RT

深信服AF和深信服AC(单网桥)可以实现对邮件附件比如exe格式进行监控检测吗？

深信服AF（下一代防火墙）与AC（上网行为管理-单网桥模式）对邮件附件的监控能力分析1. 深信服AF（下一代防火墙）

[size=16.002px]是否支持监控邮件附件（如.exe）？

[size=16.002px]✅ 支持，但需结合具体功能模块和策略配置：

[size=16.002px]

• 邮件协议深度检测：
  AF支持对SMTP、POP3、IMAP等邮件协议进行深度解析（DPI），可识别并拦截附件中的可执行文件（如.exe、.bat等）。
• 文件过滤功能：

  
  

  
  
  在策略→安全防护→文件过滤中，可设置规则：
  
  
  
  阻断或记录特定类型附件（如.exe、.msi）。
  支持基于文件扩展名、真实文件类型（通过文件头校验）双重检测。
  高级威胁检测：
• 
  

  
  
  集成沙箱（如深信服Sandbox）可对附件进行动态行为分析（如检测伪装为.doc的恶意.exe）。
  
  
  局限性：加密邮件（如SSL/TLS加密的SMTP）需解密才能检测（需配置SSL解密证书）。非标准端口或私有邮件协议可能需自定义规则。
  2. 深信服AC（上网行为管理-单网桥模式）

[size=16.002px]是否支持监控邮件附件（如.exe）？
⚠️ 部分支持，依赖部署方式和功能模块：

• HTTP/HTTPS邮件监控：

  
  
  
  
  • 对Webmail（如QQ邮箱、163邮箱）的附件下载行为可监控，可通过策略→应用控制→文件类型过滤拦截.exe。
  • 需启用HTTPS解密（需导入CA证书到终端）才能检测加密流量中的附件。

    
    
    
    
• 传统邮件协议（SMTP/POP3/IMAP）：

  
  

  
  
  
  单网桥模式下，AC对非HTTP协议的邮件附件检测能力较弱，通常依赖AF或专用邮件安全网关配合。
• 日志记录：

  
  

  
  
  
  可记录用户邮件收发行为（含文件名），但实时拦截需依赖AF或邮件服务器自身策略。
  
  

---

3. 典型部署方案建议场景1：全面检测邮件附件（含.exe）

• 推荐架构：
• 
• 分工：
• AF：负责SMTP/POP3/IMAP协议解析、附件过滤、沙箱检测。
• AC：记录Webmail附件下载行为，补充HTTP层控制。
  
  

场景2：仅监控Webmail附件

• 简化配置：

  
  
  
  
  • 在AC中启用HTTPS解密 + 文件类型过滤，直接阻断.exe下载（无需AF介入）。

    
    
    
    

---

4. 配置步骤示例（以AF为例）

• 启用邮件协议控制：

  
  
  
  
  • 导航至策略→安全策略→新建策略，选择服务类型为SMTP/POP3/IMAP。

    
    
    
    
• 设置文件过滤规则：

  
  

  
  
  
  在策略中勾选文件过滤，添加规则：
  
  
  
  文件类型：可执行文件（.exe/.bat/.ps1等）
  动作：阻断或记录+告警
  
  

高级选项（可选）：

启用病毒检测或沙箱分析，增强对恶意附件的识别。

---

5. 注意事项

• 加密流量处理：

  
  
  
  
  • 必须部署SSL解密（AF/AC均支持），否则无法检测HTTPS或SMTPS中的附件。

    
    
    
    
• 性能影响：

  
  

  
  
  
  深度检测（如沙箱）会增加延迟，建议对关键邮件服务器优先启用。
• 合规性：

  
  

  
  
  
  监控员工邮件需符合当地法律法规（如中国《个人信息保护法》）。
  
  

---

总结

• AF是更全面的解决方案，适合深度检测传统邮件协议附件。
• AC（单网桥）更侧重Webmail的HTTP/HTTPS附件监控，需配合其他设备实现完整防护。
• 最佳实践：AF+AC联动，同时部署邮件服务器端安全策略（如Exchange的传输规则）。

  
  
  
  

AF支持对SMTP、POP3、IMAP等邮件协议进行深度解析（DPI），可识别并拦截附件中的可执行文件（如.exe、.bat等）。

AF防火墙支持针对外到内方向指定文件格式的拦截，包括对特定文件类型的过滤。您可以通过WEB防护配置文件上传过滤，来过滤特定的文件类型，例如exe格式的文件，AC网桥模式可以实现客户端邮件及附件的审计功能，方便客户对邮箱内容和附件进行记录及查询。

AF支持对SMTP、POP3、IMAP等邮件协议进行深度解析（DPI），可识别并拦截附件中的可执行文件（如.exe、.bat等）。