评估传入和传出邮件中的 URL（包括附件）。评估 URL 的任何有效字符串，包括含以下内容的字符串：

• http、https 或 www
• 域或 IP 地址
• 前缀冒号 (:) 的端口号
• 大写或小写字母

在评估 URL 以确定邮件是否为垃圾邮件时，如果需要进行负载管理，系统会优先检查传入邮件，然后是外发邮件。

除了启用 URL 过滤之外，还必须根据所需功能启用其他特性。

要增强防御垃圾邮件，请执行以下操作：

• 必须对每个适用的邮件策略，全局启用反垃圾邮件扫描。可以启用 IronPort 反垃圾邮件，也可以启用智能多扫描功能。请参阅反垃圾邮件章节。

  要增强防御恶意软件，请执行以下操作：

• 必须对每个适用的邮件策略，全局启用爆发过滤器功能。请参阅“爆发过滤器”一章。

  要根据 URL 信誉采取操作，或要使用邮件过滤器和内容过滤器执行可接受的使用策略：

• 必须全局启用爆发过滤器功能。请参阅“爆发过滤器”一章。

URL 信誉和类别由基于云的Talos 情报服务提供。

邮件网关使用防火墙信息中指定用于 URL 过滤服务的端口，直接或通过 Web 代理连接到Talos 情报服务。使用双方证书身份验证，通过 HTTPS 进行通信。证书将自动更新（请参阅服务更新。）有关所需证书的其他信息，请参阅版本说明（可从适用于 URL 过滤功能的证书指定的位置获取）。

如果已在安全服务 (Security Services) > > 服务更新 (Service Updates)页面配置 HTTP 或 HTTPS 代理，邮件网关将使用它与Talos 情报服务通信。有关使用代理服务器的详细信息，请参阅配置服务器设置以下载升级和更新。

Note	不随同配置文件保存证书。

网络交互跟踪功能提供有关点击重写的 URL 的最终用户的信息，以及每位用户点击的相关操作（允许、组织或未知）。启用此功能后，您可以使用 Web 互动跟踪报告查看很多信息，例如点击数最高的恶意 URL，点击恶意 URL 次数最多的用户，等等。有关网络交互跟踪报告的详细信息，请参阅“网络交互跟踪”(Web Interaction Tracking) 页面。

网络交互跟踪数据由基于云的思科聚合服务器 (Cisco Aggregator Server) 提供。

• 您可以在计算机、组或集群级别启用 URL 过滤。
• 如果在计算机级别启用 URL 过滤，则可以在计算机、组或集群级别配置 URL 允许列表和 Web 交换跟踪。
• 如果在组级别启用 URL 过滤，则必须在组或集群级别配置 URL 允许列表和 Web 交换跟踪。
• 如果在集群级别启用 URL 过滤，则必须在集群级别配置 URL 允许列表和 Web 交换跟踪。
• 适用用于邮件过滤器和内容过滤器的集群的标准规则。

一如既往，必须在邮件策略中指定内容过滤器，才能使用它。

您可以根据邮件正文和邮件附件中 URL 的信誉或类别对邮件进行操作。如果您要执行修改 URL 或其行为以外的任何操作，请添加 URL 信誉 (URL Reputation) 或 URL 类别 (URL Category) 条件，然后选择要对其应用操作的信誉分数或 URL 类别。

例如，如果要对包含“成人”(Adult) 类别 URL 的所有邮件应用丢弃（最终操作）操作，请添加一个 URL 类别 (URL Category) 的条件，并选择成人 (Adult) 类别。

如果未指定类别，将对所有邮件应用您所选的操作。

信任、中性和不信任 URL 的 URL 信誉得分范围是预定义的，不可编辑。但是，您可以改为指定自定义范围。指定的终端包含在所指定的范围内。例如，如果创建了一个从 -8 到 -10 的自定义范围，则 -8 和 -10 包含在该范围内。对于信誉得分无法确定的 URL，请使用 “未知”(Unknown)。

Note	不确定的 URL 信誉表示这些 URL 目前是安全的，但将来可能会变为恶意的，因为它们容易受到攻击。对于此类 URL，管理员可创建非阻止策略，例如将它们重定向到思科 Web 安全代理以进行点击时评估。

不评估特定 URL 允许列表或全局 URL 允许列表中包含的 URL。

如果邮件中的任何 URL 与在条件中指定的信誉分数或任何类别匹配，则采取与此条件配对的操作。

如果您要修改邮件中的 URL，或修改其行为，则仅配置 URL 信誉或 URL 类别操作即可。对此，您不需要单独的 URL 信誉或 URL 类别条件或规则。

Note	请勿将 URL 信誉条件与退回操作配对。

Tip	要检查特定 URL 的类别，请访问报告未分类和误分类的 URL中的链接。

根据 URL 的信誉或类别，使用 URL 信誉或 URL 类别操作修改邮件中的 URL 或其行为。

URL 信誉和 URL 类别操作不需要单独的条件。相反，系统会根据您在 URL 信誉或 URL 类别操作中选择的信誉或类别应用所选的操作。

仅对符合操作中指定条件的 URL 应用该操作。不会修改邮件中的其他 URL。

如果未指定类别，将对所有邮件应用您所选的操作。

信任、中性和不信任 URL 的 URL 信誉得分范围是预定义的，不可编辑。但是，您可以改为指定自定义范围。指定的终端包含在所指定的范围内。例如，如果创建了一个从 -8 到 -10 的自定义范围，则 -8 和 -10 包含在该范围内。对于信誉得分无法确定的 URL，请使用 “未知”(Unknown)。

Note	不确定的 URL 信誉表示这些 URL 目前是安全的，但将来可能会变为恶意的，因为它们容易受到攻击。对于此类 URL，管理员可创建非阻止策略，例如将它们重定向到思科 Web 安全代理以进行点击时评估。

以下与 URL 相关的操作仅适用于邮件正文中的 URL：

• 去除 URL，使其不可点击。邮件收件人仍然可以查看和复制 URL。

• 重定向 URL，这样当邮件收件人点击链接，事务将路由到云中的思科网络安全代理；如果站点是恶意的，则阻止访问。

  示例：您可能希望将未分类类别中的所有 URL 都定向到思科云网络安全代理服务，因为网络钓鱼攻击中所用的恶意站点存在的时间通常不足以进行分类。

  另请参阅重定向 URL：最终用户会有哪些体验？。

  要将 URL 重新定向到不同的代理，请参阅以下项目中的示例。

  Note	在此版本中，思科云网络安全代理服务没有可配置的选项。例如，没有威胁分数阈值供调整或基于威胁分数指定操作。

• 使用任何文本替换 URL。

  要在邮件显示的文本中包括原始 URL，请使用 $URL 变量。

  示例：

  • 使用以下注释替换非法下载 (Illegal Downloads) 类别的所有 URL：

    Message from your system administrator: A link to an illegal downloads web site has been removed from this message.

  • 包含原始 URL 及警告：

    WARNING! The following URL may contain malware: $URL

    这样将变成：WARNING: The following URL may contain malware: http://example.com。

  • 重定向到自定义代理或网络安全服务：

    http://custom_proxy/$URL

    这样将变成：http://custom_proxy/http://example.com

不评估包含在所选 URL 允许列表或全局 URL 允许列表中的 URL 的信誉和类别。

如果要去除或替换 URL，可以选择忽略已签名邮件中的 URL。

不建议将 URL 信誉或 URL 类别操作与 URL 信誉或 URL 类别条件（或规则）配对。如果配对的条件（规则）和操作包括其他类别，则不会产生匹配。

Tip	要检查特定 URL 的类别，请访问报告未分类和误分类的 URL中的链接。

根据思科云网络安全代理服务的评估：

• 如果站点是良性的，用户将定向到目标网站，并且不知道链接已被重定向。

• 如果站点是恶意的，用户将看到通知，表示该站点是恶意的，对该站点的访问已被阻止。

  您可以自定义最终用户通知页面的外观，并显示您所在组织的品牌，例如公司徽标、联系信息等。请参阅自定义最终用户访问恶意站点时看到的通知。

• 如果与思科云网络安全代理服务的通信超时，系统将允许用户访问目标网站。
• 如果出现任何其他错误，用户将看到通知。

下表包含 URL 引擎生成的系统警报的列表，包括对警报和警报严重性的说明。

URL 过滤信息将发布到以下日志：

• 邮件日志 (mail_logs)。有关 URL 扫描结果（根据 URL 对邮件采取的操作）的信息将发布到此日志。

• URL 过滤日志 (web_client)。尝试查找 URL 时，有关错误、超时、网络问题等的信息将发布到此日志。

• 补救日志。与基于 URL 追溯服务的邮箱补救相关的信息将发布到此日志。

• 邮件云扫描程序日志。与从追溯性云扫描程序接收的 URL 追溯性判定相关的信息。

大多数信息处于信息或调试级别。有关登录的详情，请参阅 日志记录。

日志中不包括有关用户点击邮件中重定向的链接时所发生状况的信息。

日志中的“SDS”是指 URL 信誉服务。“Breaker 连接器”是指 Talos 引擎。

问题

关于获取注册客户端证书时出现的错误，您将会收到参考级别的风险通告。

解决方案

要连接到以下基于云的服务，需要使用此证书：Talos 情报服务（获取 URL 信誉和类别）和思科聚合服务器（获取 Web 交换跟踪数据）。请尝试以下操作：

1. 检查网络连接问题，例如代理设置不正确或防火墙问题。
2. 确认您的 URL 过滤功能密钥是否有效且处于活动状态。
3. 如果问题仍然存在，请联系 Cisco TAC。

问题

您将收到有关无效 Beaker 连接器证书的严重警报。

解决方案

要连接到云中的Talos 情报服务以获取 URL 信誉和类别，需要使用此证书。

要获取和手动安装证书，请参阅手动配置与Talos 情报服务通信的证书。

问题

安全服务 (Security Services) > URL 过滤 (URL Filtering) 页面将持续指示连接到Talos 情报服务的问题。

解决方案

• 如果已启用 URL 过滤，但尚未确认更改，请确认更改。
• 检查最近有关连接Talos 情报服务的警报。请参阅查看最近的警报。如果适用，请参阅警报：Beaker 连接器：获取注册证书时出错和警报：Beaker 连接器：证书无效。
• 如果要通过安全服务 (Security Services) > 服务更新 (Service Updates)指定的代理连接，请确认已配置代理并且代理工作正常。
• 检查可能会阻止连接的其他网络问题。
• 如果在 URL 过滤日志中看到有关请求连接 Talos 客户端超时的错误，请在命令行界面使用 websecurityadvancedconfig 命令和 websecurityadvancedconfig 命令调查并进行更改：
  • 如果诊断表示：响应时间大于或等于所配置的 URL 查找超时，请相应地增加 URL 查找超时值。
• 检查 URL 过滤日志中与 URL 扫描仪、思科网络安全服务或 Talos 客户端 通信时的非超时错误。日志中的“Talos 客户端”表示Talos 情报服务。如果看到这种日志消息，请联系 TAC。

问题

您将会收到以下警告风险通告：无法连接到思科聚合服务器。

解决方案

执行以下操作：

1. 通过从邮件网关 ping 服务器的主机名，检查邮件网关和思科聚合服务器之间的连接。在 CLI 中使用 aggregatorconfig 命令，查看思科聚合服务器的主机名。
2. 如果要通过“安全服务”(Security Services) >“服务更新”(Service Updates) 指定的代理连接，请确认已配置代理并且代理工作正常。
3. 检查可能会阻止连接的其他网络问题。
4. 检查 DNS 服务是否正在运行。
5. 如果问题仍然存在，请联系 Cisco TAC。

问题

您将会收到以下警告风险通告：无法从思科聚合服务器检索网络交互跟踪信息。

解决方案

执行以下操作：

1. 如果要通过安全服务 (Security Services) > 服务更新 (Service Updates)指定的代理连接，请确认已配置代理并且代理工作正常。
2. 检查可能会阻止连接的其他网络问题。
3. 检查 DNS 服务是否正在运行。
4. 如果问题仍然存在，请联系 Cisco TAC。

问题

您将收到有关无效 ECS 连接器证书的严重风险通告。

解决方案

邮件云扫描程序客户端的追溯服务器证书验证失败。需要此证书才能连接到客户端以获取 URL 追溯更新。要修复此错误，请联系思科支持部门。

问题

当您的邮件网关无法访问 URL 追溯云扫描程序服务时，您会收到严重警报。

解决方案

验证防火墙设置。请与您的网络管理员联系以获得帮助。

除本文档明确描述的更改之外，未经 TAC 指导，请勿使用 websecurityadvancedconfig 命令进行任何其他更改。

问题

按某个类别搜索时，未找到包含该特定类别的 URL 的邮件。

解决方案

请参阅搜索结果中缺少预期邮件。

问题

反垃圾邮件或爆发过滤器不会捕获恶意 URL 和包含营销链接的邮件。

解决方案

• 出现这种情况，可能是因为网站信誉和类别仅是反垃圾邮件和病毒爆发过滤器用于确定其判定的众多条件中的两个。您可以通过降低重写 URL、用文本替换 URL、隔离或丢弃邮件等操作所需的阈值，提高这些过滤器的敏感度。有关详细信息，请参阅爆发过滤器功能和邮件策略和定义反垃圾邮件策略。或者，根据 URL 信誉得分创建内容或邮件过滤器。
• 如果邮件网关无法连接到Talos 智能服务，也可能会出现这种情况。请参阅无法连接Talos 情报服务。

问题

未应用内容或邮件过滤器中根据 URL 类别定义的操作。

解决方案

• 使用跟踪功能（“故障排除”一章中介绍）跟进邮件处理路径。
• 如果邮件网关无法连接到Talos 智能服务，则可能会出现这种情况。请参阅无法连接Talos 情报服务。
• 如果没有任何连接问题，URL 仍可能不会分类或分类错误。请参阅报告未分类和误分类的 URL。您可以使用此站点确定 URL 的类别。

问题

恶意 URL 将被重定向到思科 Web 安全代理，但最终用户仍无法访问站点。

解决方案

如果满足以下条件，就可能出现这种情况：

• 该站点未被识别为恶意站点。
• 连接思科网络安全代理超时，这种情况应该很少见。确保网络问题不会妨碍连接。

这些 URL 类别与 AsyncOS for Web Security 设备最新版本中所用的类别相同。

要查找特定 URL 的类别，请访问报告未分类和误分类的 URL中显示的站点。

要报告归类错误的 URL 及未归类而应归类的 URL，请访问：

https://talosintelligence.com/reputation_center/support

要检查已提交的 URL 的状态，请点击此页面上的有关已提交 URL 的状态 (Status on Submitted URLs) 选项卡。

难得，URL 类别集会随着新兴趋势和技术的发展而变化。例如，可能会添加、删除、重命名某个类别，也可能会将其与其他类别合并或拆分为两个类别。这些变化可能会影响现有过滤器的结果，因此如果发生变化，邮件网关将发送警报（“系统”类型，“警告”严重性）。如果您收到此类警报，可以评估和更新处理更新类别的内容和邮件过滤器。现有过滤器不会自动更改。要确保收到这些警报，请参阅添加警报收件人。

以下更改不需要更改类别集，并且不会生成警报：

• 例行归类新分类的站点。
• 将分类错误的站点重新归类。