微软Outlook邮件安全指南(四)

出处：TechTarget 作者：Brien M. Posey 时间：2007-7-9 0:26:04

在微软Outlook中使用IRM来保护消息

　　消息保护的Outlook接口是非常简单的。默认情况下，你能够保护单独消息，以使得他们不能被转发，复制或者打印。注意，你既可以使用对这三个都进行保护，也可以选择不做保护。这里built-in机制是允许的，也就是说，可以仅仅对是否可打印进行操作。(就像适合他们的文档集中种类，Word, Excel, 以及PowerPoint为文档编辑提供了更细化的权限。)当你打开一个受保护的消息(既可通过构建新的也可以回复或者转发已存在的消息)，你能够使用文件|权限命令或者工具栏图标去应用不可转发限制。当你完成设置时，消息信息栏修改去显示限制已经被设定，如图13-12所示。一旦消息被发送时，接收方将会在Outlook或者OWA中打开消息时将会看到它已被保护，并且收件方使用其他的客户端无法阅读消息内容。另外，他们还会在使用.rpmsg扩展名的消息附件中，看到一个文本条提示他们去使用RMS客户端。

　　图13-12 当你创建消息时，保护它们。

　　图13-13 没有使用Outlook 2003或 Outlook Web Access 2003以及权限管理外部程序的收信人将无法阅读消息。

　　你也可以使用文件|限制权限命令行去修改你需要使用的信任机制。如果你已经同一个RAC关联了通行证账号以及同时需要去使用一个，或者更多的信任机制的话，这是唾手可得的。信任机制同Outlook profile无关，而和用户帐号相关联。

　　为微软Outlook进行自定义信息权限管理

　　为Office系统和Windows RMS服务器联合体所作的最紧急的操作之一是让它能够自定义那一项权限要被指定。这里有一个权限列表应用到Office系统上，包括控制允许有选择的查看，编辑，保存，提取(使用复制和粘贴操作)，导出，打印，运行宏，转发，回复以及察看一个对象的相关权限。这些权限能够结合为很有用的组合。举例来说，微软使用一些内置模块允许消息被分级标记，例如，“微软机密”或者“仅供全职雇员查看”。添加更多的细分权限到RMS服务器上是比较简单的。你必须去创建一个新模板，定义出你希望提供的权限，以及哪些用户可用。这很简单，倘若你依照RMS服务器在线帮助中描述的向导的话，最简单的指定哪些用户可以获取它们是去使用已定义到域中，RMS服务器能够访问的全局安全组。

　　在一台单独的工作站上设置RMS客户端组件是很有趣的，但是并不是什么时候都有用处的。RMS的值真正来到是有关何时你能够通过一个组织配置它。这里有一些包含在实现这个配置的内容，大多数超出本文的范围。

　　1.安装RMS客户端文件。 Office系统支持IRM。但是这里依然是一个单独的客户端被用于每一个相关计算机上。完成安装的最好方法是去将客户端同你的Office设置打包，以使得在所有的计算机上应用它。

　　2.使用Windows RMS管理WEB页面创建权限策略模板。这些页面允许你为很多用户创建自定义权限设置，然后让这些模板能够使用。

　　3.客户端能够使用权限策略模板。通过使用Office11.adm组策略模板，你能够指定中央服务器的名称，这是来自于策略能被复制，以及在所有Office系统应用中可用(而不仅仅是Outlook).

　　4.为用户设置如何使用RMS客户端。 Office策略模板包括一个名为管理限制权限的部分，通过tweak这里的策略设置，你能够完全的不使用RMS用户接口(如果你只是测试RMS但不希望用户去开始毫无计划的创建受保护文档，你需要这样做)，不能使用通行证证书，可以或不能使用IE浏览器去打开受保护内容，以及控制用户是否必须在每一次试图打开受保护文档时都去确认证书。

　　当然了，最大的问题是用户的教育培训。如果你配置了RMS是受到质疑的，你指导你的用户去判断那些能够，那些不能被保护。你应该强调RMS主要是一种加强策略的技术手段，可能你的公司已经有了，这并不是说你的公司中的所有工作成果从此不会受到窃取的威胁。

　　进入微软Outlook邮件安全工具箱

　　一定要和之前讨论的工具有一个区分，Outlook也有一些附加的安全性能：依赖于你如何使用Outlook进行工作，这对你是否有用我不清楚。

　　配置微软Outlook Junk邮件过滤

　　Outlook的Junk邮件过滤器，由微软开发的基于最初工作完成的，是一种很简单的技术手段。在Outlook早期版本中，微软装载了一些Junk邮件过滤器，在那个时期用来设定可接受的邮件和垃圾邮件容量是普遍的。我们现在面对的垃圾邮件的困扰然而是更难解决的。Outlook过滤器被设计为提供自动地，客户端过滤，并且同Exchange信息存储关联运行(就像在第八章中描述的“SMTP中继和垃圾邮件控制”那样)。然而，Outlook过滤器给出了好的结果，尽管不用IMAP或者POP账号。

　　注意：Outlook Junk邮件过滤用于IMAP，POP,Hotmail,HTTP以及Exchange账号。然而Exchange过滤仅能用于你使用缓存Exchange模式或者传递到一个私有文件夹存储(PST)的时候。并且他们也不能同像那些来自于Bynari或者Oracle公司的第三方MAPI连接器协同工作。这是个有意思的问题，我将要进一步的说明一下。

　　添加到built-in Junk过滤规则，你将不能查看或者修改。Outlook给你另一个机制去控制邮件如何被处理。这里有为每一个邮件箱存储的三个列表，既在本地PST文件，也在Exchange邮件箱中。当列表被存储在Exchange邮件箱中时，它们能够被用户不论何时他或她登入Outlook或者OWA来使用。列表听起来极其熟悉：

　　安全发送列表包括了用户明确信任的邮件地址和域。来自于这些受信地址中的邮件永远都不会作为junk。举例来说，我的安全发送列表中包含了microsoft.com，这样来自于微软地址的所有邮件都不会被当作junk。

　　安全接收列表包含了用户希望去收到的那些邮件地址和域。在一个单独的profile中，用户具有多个邮件服务，将Exchange邮件箱的地址添加到安全接收列表防止任何这些地址中的邮件被当作junk。

　　被阻止的发送列表是你不希望从那里收到邮件的用户和组织。作为安全接收列表，你可以添加个别的域或者地址到这个列表。来自于这个列表中的地址或者域的消息被作为junk。

　　如果你将同样的发送者或者域同时添加到安全发送和被阻止列表的话，这时Outlook就会把这个消息作为安全消息看待。

　　使用Junk邮件过滤

　　使用Junk邮件过滤是非常简单的，当有邮件发来的时候，它是被过滤的，如果判断是高风险级的话，会被放入Junk邮件文件夹。你能够随时查看这个文件夹的内容，删除消息或者对你判断没有问题的会作出标记。

　　通过点击通用标签上的Junk邮件按钮，你可以看到Junk邮件选项对话框(如图13-14所示)。你主要是使用这个对话框去控制Junk邮件过滤器的敏感级别。一共有四个级别：

　　图 13-14 Junk邮件选项对话框。

　　当你选择不去自动过滤扫描选项时，受到阻止的发送邮件依然会被移动到Junk文件夹。但是Junk邮件过滤器本身是没有启动的，这样Junk消息依然在你的收件箱中出现。因为这个级别根本不能阻止垃圾邮件，所以对于大多数的环境并不选择使用这个级别。

　　Low选项是默认设置。当Junk邮件过滤器被设置为这个级别，“很显而易见的”Junk邮件会被过滤掉。我并不能准确地给出在这个上下文中，“obvious”准确的定义，但是这个设置对于处理大多数的垃圾邮件是很有用的，并且它具有非常低的false-positive速率。

　　High选项让Junk邮件过滤器更起作用。在这个模式中，Outlook更积极的去判断邮件类型。就像对话框注意事项中选项描述讲的那样，尽管这个模式也会限制一些合法消息。这样就需要你经常去检查Junk邮件文件夹。

　　仅使用安全列表选项是过去对待垃圾邮件最严格的：任何没有包含在你的安全发送者或者安全接收者列表的地址或者用户发送过来的邮件将会被直接放入Junk邮件文件夹。这是限制大量邮件的最好办法，但是它也带来一些麻烦，因为你需要保证你的安全列表是正确的。

　　不变的删除可疑Junk邮件检查框是危险的，但是很有用。当你勾选它的时候，Outlook将会删除保存在Junk邮件文件夹中的所有邮件。这是最省时的去清空Junk文件夹的方法。但是它也为那些你需要去保存的邮件带来了被删除的风险。大多数情况下，它是没有被勾选的，但是如果你受到了大量的垃圾邮件产生了通信阻断，并且你将Junk邮件过滤器设置为Low模式的话，你需要去开启这项功能。

　　Tweak安全和受阻列表

　　如何调整过滤列表?为安全发送者，安全接收者，或者受阻发送者列表中添加一个消息发送者或者接收者。你有两个选择：你可以使用Junk邮件选项对话框中的标签去管理列表，或者也可以右键点击单独的消息和在快捷菜单上的使用Junk邮件命令去添加发送者、接收者或者域到需要改变的列表上。标签给了你一个更大的功能，因为他们也包括了为导入/导出各自的列表到磁盘文件上的按钮。操作很简单，因为它在一个小范围内提供了一个迅速地克隆一个邮件箱的设置到另一个邮件箱上。

　　为微软Outlook创建标准过滤列表

　　你能够很轻松地创建一套安全发送者，安全接收者，以及受阻发送者的标准化列表，并将它们作为你最初Outlook 2003设置的一部分进行设置。你需要在一台测试计算机上创建列表，然后使用在每一个列表标签中的导出到文件按钮去保存文件，且文件名唯一。一旦创建完成，你能够使用Office自定义安装向导去为列表设置打包进行。就像在Office资源工具包有关配置Outlook2003中描述的那样，自定义安装向导允许你去为这些列表单独的指定文件，并且不管你需要Outlook的安装路径是否重写了已有列表，或者不管用户是否已经定义，而附加新的列表。

　　在微软Outlook中控制自动映像下载

　　垃圾邮件制造者最喜欢使用的是beacon或者Web漏洞----在HTML邮件中的内嵌的1*1规格的小图片。当邮件被打开时，大多数HTML-aware邮件客户端试图从一台服务器上获取这些内嵌图片，一个机灵的垃圾邮件制造者就能使用Web服务器上的日志去搜集打开了这封邮件的用户信息。邮件中合法的图片嵌入同那些beacon之间是很难区分的，这样一来，Outlook 2003默认不去链接HTML邮件中任何一张图片的远程存储的服务器。图13-15显示了如何让HTML消息关闭这些图片。用户可以通过在图片上点击邮件，并选择下载图片命令来查看图片。

　　图13-15 Outlook 2003默认不显示在线图片

　　这项操作可以通过修改自动下载设置按钮进行控制，目光敏锐的读者已经注意到在前面的图13-8中显示的安全标签。当你点击这个按钮时，你将会看到图13-16种的自动图片下载设置对话框。你也可以通过定位到图片上，右键点击，并选择修改自动下载设置命令。这个对话框中的设置是一目了然的。

　默认情况下，在HTML邮件检查框中的自动地不去下载图片或者其他内容是被勾选的。当它被选择后，如果图片是在远程计算机上的话，Outlook不会用IMG SRC标签去装载图片。然而，这项操作通过下面的两个检查框被修改。

　　在邮件消息检查框中允许下载，这个选项允许你指定你信任的嵌入到邮件中的希望被看到的图片。这是个很便利的方法去通过Outlook阻止的默认图片为你的mom，spouse，邮件列表，新闻组，或者其他来源，那些你确信不会利用WEB漏洞发送垃圾邮件的部分。这个选项被默认设置为使用。

　　允许从Web站点下载检查框控制的是Outlook下载的图片是否在被标记为受信IE安全区域中的站点上。使用这个选项允许Outlook去自动地下载图片，仅当IMG标签指向的站点位于受信安全区域。因为你应该已经小心检查了哪些站点能够被放入这个区域。这个选项被默认设置为使用。

　　不管你做的是哪一种设置，当你转发或者回复一个包含以上内容的HTML消息时，Outlook都将会去下载内嵌图片。这一项将有力地否定了你在之前作出的保护，尽管你可能永远都不想对垃圾邮件制造者的消极作出回应。当编辑、转发、或者回复邮件时下载内容之前提示我检查框让你在进行操作之前要求Outlook给你一个提醒。这个选项默认设置为关闭。

　　图13-16修改图片下载设置

　　转换收到HTML邮件为plaintext格式在微软Outlook中

　　HTML邮件的存在对于大多数邮件用户来说都是很头疼的事情，尤其是那些具有UNIX背景的。一方面，HTML邮件能够包含漂亮的颜色，字体，图片等等内容。另一方面，它需要更多的空间进行存储，传输，以及嵌入到HTML邮件中的脚本会做出令人烦心甚至是破坏性的事情。用户的抱怨充斥着Outlook产品开发组的耳朵，这样一来Outlook 2002 SP1以及其后的版本中添加了一个特性，能够让你将所有HTML邮件强制转化为plaintext格式。当然，这个转化并不是针对所有有用的格式，但是它对消息中的脚本文件的处理，避免你受到来自于利用IE漏洞的潜在攻击却无能为力。如果你添加一个新的名为ReadAsPlain的DWORD值到HKEY_CURRENT_USER\Software\Microsoft\Office\10.0\Outlook\Options\Mail key上，然后将值设为1，Outlook将HTML格式邮件转化为plaintext格式邮件。将嵌入其中的图片以附件形式进行保存。这不会影响标记或者加密邮件，但是所有其他消息在他们被读取的时候被更新了。你能够使用在系统策略或者GPO中的这个注册键值，微软知识库文章307594中有详细说明。

　　在微软Outlook中加密RPC通信

　　在Outlook和Exchange服务器之间的RPC通信是被压缩过的，并且它很难去让人理解。然而，为了增强安全(尤其是对那些使用物理不安全链接的用户)，在它们从你的计算机发出之前，你能够强制Outlook去加密RPC包。加密并不能像Windows VPN软件那样强大，但是你可以在你的LAN或者同微软ISA的MAPI RPC发布特性关联使用RPC加密。

　　不幸的是，尽管他支持Outlook2000和其上的版本，但是这项修改需要在每一台单独的客户端上运行。强制服务器上的Outlook去加密RPC，步骤如下：

　　1.启动Outlook。

　　2.选择工具|邮件账户命令。核对查看或者改变已有的邮件帐户被选择，然后点击下一步。

　　3.选择你的Exchange邮件账户，然后点击修改。

　　4.当Exchange服务器设置对话框打开时，点击更多设置。

　　5.在微软Exchange服务器对话框中，点击高级标签。

　　6.确认何时使用网络(When Using The Network)检查框被设置，然后点击确定返回到邮件账户向导。

　　7.点击下一步，然后点击完成。

　　控制微软Outlook文件夹主页面

　　Outlook 2003延续了Outlook的有用规定，除了第一次出现在Outlook2000中的让人不知所措的特性：能够使用文件夹主页面，自动加载与文件夹有关的Web页面访问文件夹。当使用公用文件夹时这是一项很有用的功能，因为它允许你去关联在Intranet上的文件夹的内容。然而，嵌入到页面中的任何一个脚本都能够调用Outlook对象模式，这样的话它们就能很轻易的窃取用户的邮件，发送邮件，或者进行各种各样其他的不受欢迎的举动。在一般情况下，这并不是太大的危险。然而，因为任何一个用户就都可以能非法的创建一个公用文件夹并绑定一个主页面了。

　　Outlook 2003策略模块包括了一个名为不能使用文件夹主页面的策略(在微软Office Outlook 2003\Miscellaneous\Folder home pages下)。当你启用这个策略是，他就会自动的为应用了策略的所有用户去进行阻止访问文件夹主页面。

　　有关微软Outlook邮件安全的相关资料

　　概要

　　Outlook在安全问题方面备受诟病。公平的来讲，当最初的Outlook安全特性发布的时候，有一些不能提供一个合适的防护，以及其他的一些来自于执行错误的结果在服务版本和hotfixe中已被修复。微软通过添加了更多的附件设置，彻底支持S/MIME，以及其他的一些安全特性来提高和巩固Outlook安全。

　　Additional reading附加资料

　　Outlook专家Sue Mosher认为了解Outlook知识的最好的站点是slipstick.com。如果你希望去了解，其中由她写的有关Outlook邮件安全更新的管理选项是最好的了解产品的文章。

　　微软Office Resource Kit站点上有关于Outlook安全包的最全面的资料。包括设置RPC over HTTP ，使用IRM ，以及其他的Outlook安全主题。

　　从微软的站点上查看有关Windows RMS 包的更多信息。

　　要想了解更多的有关S/MIME运算法则，协议以及执行中需要考虑的事项文章，请访问

　　S/MIME Working Group of the Internet Engineering Task Force (IETF)。