本修订版规范与上一版本规范相比主要变化如下：
——修改了垃圾邮件的定义，该定义援引自《中国互联网协会反垃圾邮件规范》(2.1)；
——修改了虚假路由的定义(2.3)；
——修改了匿名转发的定义(2.4)；
——邮件发送频率限制的内涵增加了对同一实际收件人总数量的限制(3.1.4 b)；
——修改了对邮件转发限制的解释(3.1.6)；
——修改了对内容过滤条件的解释（3.1.7.1）；
——修改了对邮件解码的解释(3.1.7.2)；
——增加了对过滤动作的要求(3.1.8)；
——增加了对垃圾邮件判别能力的要求(3.1.9)；
——增加了对自身安全功能的要求(3.2)；
——修改了对日志功能的要求(3.3)；
——增加了对安全功能的最低基本要求(4)；
本规范由中华人民共和国公安部公共信息网络安全监察局提出。
本规范起草单位：公安部计算机信息系统安全产品质量监督检验中心。
公安部计算机信息系统安全产品质量监督检验中心负责对本规范的解释、提升和更改。
信息技术反垃圾邮件产品安全检验规范
1.范围
本规范规定了信息技术-反垃圾邮件产品的安全功能要求和保证要求。
本规范适用于信息技术-反垃圾邮件产品的生产及检测。
2.术语和定义
2.1 垃圾电子邮件 Spam
本规范所称垃圾电子邮件是指包括下述属性的电子邮件:
1.收件人事先没有提出要求或者同意接收的广告、电子刊物、各种形式的宣传品等宣传性的电子邮件；
2.收件人无法拒收的电子邮件；
3.隐藏发件人身份、地址、标题等信息的电子邮件；
4.含有虚假的信息源、发件人、路由等信息的电子邮件。
2.2 实时黑名单 RBL
Realtime Blackhole List：由权威机构和组织收集和维护的经常发送垃圾电子邮件的服务器地址列表。
2.3 虚假路由
邮件中声明的域名所对应的网络地址与该邮件实际来源网络地址不符。
2.4 匿名转发 Open Relay
指邮件服务器不理会邮件发送者或邮件接受者是否被系统所认可，对所有入站的需转发邮件一律进行转发。
2.5 杀除率 PSK
Percentage of Spam Mail Killed：垃圾邮件的杀除比率。也称为“垃圾邮件识别率”。
2.6 误杀率 PIK
Percentage of Innocent Mail Killed：正常邮件的误杀比率。
3.信息技术-反垃圾邮件产品的安全功能
3.1 反垃圾邮件功能
3.1.1 网络地址阻断
a)应能对发送电子邮件的特定网络地址进行阻断。
b)应能利用实时黑名单对公网中常见的垃圾邮件服务器网络地址进行阻断。
3.1.2 最大同时连接数量限制
应能限制来自相同客户端网络地址对邮件服务端口的最大同时TCP连接数量。
3.1.3 最大连接频率限制
应能限制来自相同客户端网络地址对邮件服务端口的最大TCP连接频率。
3.1.4 邮件发送频率限制
a)应能限制来自相同网络地址单位时间内发送邮件的数量。
b)应能限制同一邮件中实际收件人(包括收件人、转发人及暗送人)总数量。
3.1.5 虚假路由邮件限制
应能判别电子邮件虚假路由，对伪造虚假路由的电子邮件限制接收。
3.1.6 邮件转发限制
应能通过采取一定手段（如用户身份认证、转发授权等）限制电子邮件服务器匿名转发功能。
3.1.7 基于邮件内容的过滤功能
3.1.7.1过滤条件
过滤规则的条件应包括以下项目：
1)邮件主题包含设定关键字。
2)发件人字段包含设定关键字。
3)收件人字段包含设定关键字。
4)抄送人字段包含设定关键字。
5)暗送人字段包含设定关键字
6)信体包含设定关键字。
7)附件的文件名包含设定关键字。
8)未加密和未压缩的字符型文件附件的内容包含设定关键字。
9)邮件或附件的尺寸限制。
10）未加密的特殊格式文件附件内容包含设定关键字，如doc、xls、wps等类型文件。
11）未加密的压缩文件附件内容包含设定关键字，如rar、zip等类型文件。
3.1.7.2 邮件解码
对信件的内容进行扫描之前，先对信件内容进行适当的解码；至少支持对中文和英文邮件的内容扫描。
3.1.8 过滤动作
对邮件的过滤动作应包括：
1）投递。正常进行投递处理。
2）阻断。拒绝或丢弃该邮件。
3）弹回。（通常在应答结束后)信件不作投递，用出错信息回复发件人。
4）转发。将信件转发一份给其它收件人。
5）隔离。邮件放入专门隔离区中，暂不投递给收件人。
6）标记。在邮件中加入特殊标记后投递给收件人。
3.1.9 有害垃圾电子邮件判别能力
3.1.9.1 判别规则库初始化
产品应提供初始有害垃圾电子邮件判别规则库。
3.1.9.2判别规则库升级
产品应能在线自动更新或手工更新垃圾邮件的判别规则库，以确保产品有最新的反垃圾邮件能力。
3.1.9.3 学习功能
产品应能采用基于邮件内容学习的统计算法，提高垃圾邮件识别率。
3.1.9.4 杀除率
产品的技术文档应标明该产品的杀除率，并指明相应的测试方法、测试工具、测试环境和测试步骤。
3.1.9.5 误杀率
产品的技术文档应标明该产品的误杀率，并指明相应的测试方法、测试工具、测试环境和测试步骤。
3.2 自身安全功能
3.2.1 远程管理对话加密
如果支持远程管理，应能够通过加密来保护远程管理对话。
3.2.2 管理员身份鉴别
应保证只有授权管理员才有权使用产品的管理功能，对授权管理员应进行身份鉴别。
3.2.3 管理员权限：
a)管理员属性修改（更改密码等）。
b)制定和修改安全策略。
3.2.4 管理权限划分
产品安全功能应划分不同的安全管理角色，对产品进行合理的权限分配。
3.3 日志功能
3.3.1 日志数据生成
a)对有害垃圾电子邮件过滤和阻断行为应能进行记录。
对已接收完全的邮件的记录的基本内容至少包括发件人网络地址和邮件地址、收件人地址、邮件主题、发信时间、阻断原因等信息。
对未接受完全的邮件的记录的基本内容至少包括发件人网络地址、发信时间、阻断原因等在拒绝该邮件前可以得到的信息。
b)对有害垃圾电子邮件过滤和阻断行为应能进行统计分析。
3.3.2 日志管理
应提供下列日志管理功能：
a)只允许授权管理员访问日志记录。
b)提供对日志记录的查询功能。
4.反垃圾邮件产品安全功能的最低基本要求
依据反垃圾邮件产品的开发、生产现状及实际应用情况，该类产品安全功能的最低基本要求见表1
表1 安全功能最低基本要求表
5.反垃圾邮件产品的保证要求
5.1 交付和运行
5.1.1交付过程
5.1.1.1 开发者行为元素：
a)开发者应将把反垃圾邮件产品及其部分交付给用户的程序文档化；
b)开发者应使用交付程序。
5.1.1.2 证据元素的内容和表示
交付文档应描述，在给用户方分配反垃圾邮件产品的版本时，用以维护安全所必需的所有程序。
5.1.2 安装、生成和启动程序
5.1.2.1 开发者行为元素
开发者应将反垃圾邮件产品安全地安装、生成和启动所必需的程序文档化。
5.1.2.2 证据元素的内容和表示
文档应描述反垃圾邮件产品安全地安装、生成和启动所必要的步骤。
5.2 指导性文档
5.2.1 管理员指南
5.2.1.1 开发者行为元素
开发者应当提供针对系统管理员的管理员指南。
5.2.1.2 证据的内容和形式元素：
a)管理员指南应当描述反垃圾邮件产品管理员可使用的管理功能和接口；
b)管理员指南应当描述如何以安全的方式管理反垃圾邮件产品；
c)管理员指南应当包含在安全处理环境中必须进行控制的功能和权限的警告；
d)管理员指南应当描述所有与反垃圾邮件产品的安全运行有关的用户行为的假设；
e)管理员指南应当描述所有受管理员控制的安全参数，合适时，应指明安全值；
f)管理员指南应当描述每一种与需要执行的管理功能有关的安全相关事件，包括改变TSF所控制的实体的安全特性；
g)管理员指南应当与为评估而提供的其他所有文档保持一致；
h)管理员指南应当描述与管理员有关的IT环境的所有安全要求。
5.2.2 用户指南
5.2.2.1 开发者行为元素
开发者应当提供用户指南。
5.2.2.2 证据的内容和形式元素：
a)用户指南应该描述反垃圾邮件产品的非管理用户可用的功能和接口；
b)用户指南应该描述反垃圾邮件产品提供的用户可访问的安全功能的用法；
c)用户指南应该包含受安全处理环境中所控制的用户可访问的功能和权限的警告；
d)用户指南应该清晰地阐述反垃圾邮件产品安全运行中用户所必须负的职责，包括有关在反垃圾邮件产品安全环境阐述中找得到的用户行为的假设；
e)用户指南应该与为评估而提供的其它所有文档保持一致；
f)用户指南应该描述与用户有关的IT环境的所有安全要求。