TrendMicro IMSS 7.0 测试报告

IMSS 7.0 Beta 測試報告(二)POLICY篇

撇 開系統環境設定，IMSS 7.0的功能主要圍繞在Policy 與 IP Filtering兩項設定。在實際的使用上只有一個感覺，那就是太不易上手了。我想趨勢花了很大的精神在進行產品視覺統一的設計，只是這個設定部份還是 太繞手，我想設定完畢之後應該不會有人想再去碰吧。我們這個部份先就Policy來討論，打開Policy List之後你可以看到的畫面如下圖。

Policy 分成三個功能區來定義信件中的四項特徵處理

Policy List內有兩項主要設定，Global antivirus rule用來處理信件中的病毒與惡意程式處理。點選進去後可以看到下圖的設定畫面。

新版的IMSS在病毒與垃圾郵件內部設定，皆採用此一 “定義收送者”、”用什麼方式檢查”、”採用什麼處理方式” 的設計架構。

收件與寄件者設定實在沒什麼好看的，進入後可以設定例外清單。不過，會有特定不要掃描是否有病毒的信件嗎? 應該沒有吧！

Scanning Conditions用來定義要掃瞄哪些內容 ，基本上把該勾的都打勾就對了。Send the IntelliTrap samples to TrendLab 可以把掃描到的疑似惡意程式，或是某些被 “加殼了” 的程式，回傳到趨勢的病毒分析中心進行樣本分析，這樣可以增加病毒特徵的辨識度。可視狀況決定是否勾選這個功能。

接下來是病毒郵件處理方式，預設的方式是不攔阻郵件，但將郵件中的附件依趨勢一般病毒處理方式(ActiveAction)處理。不過，什麼預設的處理方式我並不知道。個人建議是這樣的，直接殺掉病毒信件即可。

另外還有一個 Special Virus項目，這是為了特別的惡意程式項目定義不同的處理方式，建議可以全部不勾選，都照一般項目即可。當然也可以展開來看看啦，其實設定是一模一樣的，只是若此處有設定便以此項目設定為準。若要設定建議也是直接砍掉就對了。

Policy List中有關垃圾郵件的部份，因為實在是很複雜，牽扯到郵件策略定義的問題，我們要另章講。

Scanning Exceptions用來定義郵件內容特性的處理方式，Security Settings Violations 是在定義如果郵件超過某個條件(例如大小、收件者、壓縮層數、解壓縮後大小以及附件檔案數量)等，這個可視情形調整條件與處理方式。加密與密碼保護的郵 件，之前是都建議直接不處理(Do not intercept messages) ，不過現在還多了一個可以轉寄的設定(BCC)，只要設定要付件給誰就可以了，這個對於某些重視文件安全的公司是相當有用的。

Internal Addresses就更簡單了，用來定義 “願意” 處理的郵件網域，白話的說就是哪些信是公司要收進來的，還有寄出去的信是用哪個網域寄出去的。這個功能就不需要額外贅述了。

下個部分再來談有關Policy List裡面的垃圾郵件處理。不過先提一下，IMSS 7.0的垃圾郵件處理功能，有相當的進步，但是還是有一個我們一直很希望有的功能仍然沒有放進來。

IMSS 7.0 Beta 測試報告(三)垃圾郵件篇

IMSS 7.0在垃圾郵件的處理上，較5.X版要來的明確簡單。有關這個部份的設定，可以分成簡易版與進階版。

簡易版的垃圾郵件設定，可以直接透過啟用預設的垃圾郵件策略 (Default spam rule) 來處理即可。

其定義是這樣的：任何(everyone)寄進來的信件(*@*)，皆檢查該信件是否為垃圾郵件；若為垃圾郵件者，一律隔離。

當然，除了垃圾郵件之外，也可以針對郵件附件內容、關鍵字、格式、檔案大小等條件加以定義。

而 對於被定義為垃圾郵件的信件，除了隔離，也可以採取不同的策略。例如將郵件改寄給特定人(Change recipient to)、殺掉整封郵件(應該不會有人這樣玩)、或是將信件轉至另一台郵件主機(Handoff)。若你決定讓垃圾郵件寄送給收件者(Do not intercept messages)，則可以設定是否在垃圾郵件的內容加上註記(Insert stamp in body)，或是在標題上加註(Tag subject)。

不過我們有說到IMSS 7.0對於郵件的檢查機制，是採取下列三項條件來定義郵件的處理方式：

先透過寄件者與收件者條件來決定該信件進入哪一筆策略，接著決定該策略要檢查信件內的哪些內容，最後才決定符合條件(垃圾郵件、病毒信件等)的郵件要採取什麼處理方式。

所以我們對於垃圾郵件或是灰色郵件(我們不希望使用者收到的信件)、特定郵件(有特殊關鍵字，或特定格式)、特殊群組的寄件人或是收件人，訂定各種不同的策略。下面是一個簡單而基本的策略架構例子：

根據需求，我們可以透過建立規則 (Add Rule) 的方式，訂定不同的郵件規則。在規則中只要依序針對寄件者、收件者、檢查內容、採取策略等，進行設定。

選擇檢查條件時，建議在 Rule action 選擇 “any condition matched (OR) “，這代表你所設定的條件，只要任一符合皆會採用你所設定的處理方式。

在自訂規則中，處理方式除了可以更換收件者 (change recipient) 外，也可以用附件的方式寄給特定人(BCC)，這個功能在預設規則中是不能使用的。

而在收件者定義中，若公司郵件主機支援LDAP，則可透過LDAP連結，將公司郵件收件者清單一次匯入IMSS中。

如 果沒有LDAP的話，也可以透過 Select address group的 Add 功能，將建立好或是匯出的收件者清單匯入 (Import) ，這樣平常只要管理這個清單就可以了。有關收件者清單的建立，只要將使用者帳號以文字檔的方式，每一行放置一個郵件帳號存放即可。

有 關IMSS 7.0的垃圾郵件處理方式，其精神與處理邏輯，與原先的5.X版並沒有相差太多，只是在介面上將遊戲規則訂定的更加明確了。只是個人覺得，既然都可以將收 件者清單建立起來了，在7.0版為何不設計定時傳送垃圾郵件清單，讓使用者自行確認垃圾郵件，並訂定白名單呢？我相信這個功能對趨勢來說應該不會做不出來 才對，這是個人期待很久但還是沒有出現的功能，這是令人相當失望的。

另外，從IMSS的功能上看來，並沒有智慧化學習郵件主機上有哪些收件者清單。也就是說，IMSS並不會紀錄郵件主機因為無此收件者而退信的收件者清單，或是紀錄所有可以轉寄成功的清單。如果有這個功能，相信我們就不需要特別透過寄收件者的規則方式去避免字典式郵件攻擊。

不 過我想，如果連這個功能都有的話，那IMSS的售價應該可以比照中華數位的spam SQR了。所以我想應該這樣定位產品，如果公司要的，是全使用者自行定義垃圾郵件清單，又有預算的話，那可以採用目前最受歡迎的中華數位 Spam SQR，若公司策略是採集中管理，或是有支援LDAP可以讓User自行連結至IMSS的個人化垃圾郵件管理中心管理，那就建議又便宜又好用的IMSS。

有 關個人式垃圾郵件管理網站 (EUQ Web Console) 的使用，因為我的測試環境沒有Mail Server與LDAP環境，在這邊就不測試了，未來各位可以玩看看，這是一個相當好用的工具，可以做到像 Spam SQR 那樣由使用者自行管理垃圾郵件與寄件者白名單。

後續我們會介紹最後一個有趣的功能，IP Filtering，這個設定中包含了許多網路服務上的偵測與防護，對於降低無效或惡意垃圾郵件的封包有相當大的幫助。