病毒爆发过滤器功能使用三种方法保护您的用户免受爆发：

• 延迟。病毒爆发过滤器隔离可能属于病毒爆发或非病毒攻击的邮件。隔离后，邮件网关将会收到更新的爆发信息并重新扫描邮件以确认它是否属于攻击。

  Note	如果爆发过滤器将具有垃圾邮件特征的邮件识别为具有爆发特征，则该邮件不会被发送到病毒爆发隔离区。

• 重定向。病毒爆发过滤器重写非病毒攻击邮件中的 URL，以便在收件人尝试访问任何链接的网站时，通过思科网络安全代理重定向他们。如果网站仍在运行，代理将显示启动画面，警告用户该网站可能包含恶意软件；如果网站已经下线，将显示错误消息。有关重定向 URL 的详细信息，请参阅重定向 URL。
• 修改。除了重写非病毒威胁邮件中的 URL 之外，病毒爆发过滤器还可以修改邮件主题和在邮件正文上方添加免责声明，以警告用户注意邮件内容。有关详细信息，请参阅修改邮件。

爆发过滤器功能可防御两类基于邮件的爆发：病毒爆发，即邮件附件中包含前所未见的病毒；以及非病毒威胁，其中包括网络钓鱼尝试、诈骗和恶意软件传播，通过链接传播到外部网站。

默认情况下，病毒爆发过滤器在爆发期间会扫描传入和外发邮件中的潜在病毒。如果在邮件网关上已启用反垃圾邮件扫描，则除了病毒爆发之外，还可对非病毒威胁启用扫描。

Note	要让病毒爆发过滤器扫描非病毒威胁，邮件网关需要一个功能密钥以用于反垃圾邮件或智能多次扫描。

思科安全智能运营中心 (SIO) 是一种安全生态系统，它将全球威胁信息、基于信誉的服务和复杂分析连接到邮件网关，从而提供更强大的保护，并缩短响应时间。

SIO 由三个组件组成：

• SenderBase、世界上最大的威胁监控网络和漏洞数据库。
• 威胁操作中心 (TOC)。一支安全分析师和自动化系统全球团队，提取由 SenderBase 收集的切实可行的情报。
• 动态更新。发生爆发时，自动将实时更新传送到邮件网关。

SIO 会比较全球 SenderBase 网络提供的实时数据与常规流量模式，以识别被证实为爆发征兆的异常。TOC 将审查数据并发布潜在爆发的威胁级别可能的爆发。邮件网关下载更新的威胁级别和爆发规则，并使用它们来扫描传入和外发邮件，以及爆发隔离区中已有的邮件。

有关当前病毒爆发的信息，请参阅以下 SenderBase 网站：

http://www.senderbase.org/

SIO 网站提供当前的非病毒威胁列表，包括垃圾邮件、网络钓鱼和恶意软件传播尝试：

http://tools.cisco.com/security/center/home.x

病毒爆发过滤器由思科独特的情景自适应扫描引擎 (CASE) 提供支持。CASE 根据对邮件威胁的实时分析，定期利用自动调整的 100,000 多个自适应邮件属性。

对于病毒爆发，CASE 可分析邮件内容、上下文和结构，以便准确确定可能的自适应规则触发器。CASE 可以结合自适应规则与 SIO 发布的实时爆发规则，共同评估每封邮件并分配唯一的威胁级别。

要检测非病毒威胁，CASE 可扫描邮件中的 URL，如果发现一个或多个 URL，可使用 SIO 的爆发规则评估邮件的威胁级别。

根据邮件的威胁级别，CASE 将给出隔离邮件的时间建议，以防爆发。此外，CASE 还可决定重新扫描间隔，这样即可根据来自 SIO 的更新爆发规则重新评估邮件。威胁级别越高，越经常重新扫描隔离的邮件。

从隔离区放行邮件后，CASE 也会对它们重新扫描。如果 CASE 在重新扫描后确定某封邮件是垃圾邮件或包含病毒，可以重新将其隔离。

有关 CASE 的详细信息，请参阅 思科反垃圾邮件：概述。

从发生爆发或邮件攻击到软件供应商发布更新的规则，这段期间是您的网络和用户最容易受到攻击的时段。在此段时间内，现代病毒可以全局传播，恶意网站可以传送恶意软件或收集用户的敏感信息。病毒爆发过滤器通过在限定时段内隔离可疑邮件，可保护您的用户和网络，并为思科和其他供应商提供时间调查新的爆发。

发生病毒爆发时，带附件的可疑邮件将被隔离，直到更新的爆发规则和新的防病毒签名证明邮件附件正常或属于病毒。

小规模、非病毒威胁包含的指向恶意网站的 URL 可能是短期上线，以便规避网络安全服务检测；或者通过 URL 缩短服务在中间放置可靠的网站，由此规避网络安全。通过隔离包含符合威胁级别阈值的 URL 的邮件，CASE 不仅有机会基于来自 SIO 的更新爆发规则重新评估邮件内容，而且这些邮件可以在隔离区保留足够长的时间，直到链接的网站下线或被网络安全解决方案阻止。

有关病毒爆发过滤器如何隔离可疑邮件的详细信息，请参阅动态隔离。

当 CASE 在病毒爆发过滤器阶段扫描邮件时，除了其他可疑内容以外，它还会搜索邮件正文中的 URL。CASE 使用发布的爆发规则来评估邮件是否属于威胁，然后为该邮件评定适当的威胁级别。根据威胁级别，病毒爆发过滤器将通过以下方式来保护收件人：重写所有 URL（指向绕行域的 URL 除外），将收件人重定向到思科网络安全代理，并延迟邮件传送，以便 TOC 详细了解出现在更大爆发中的网站。有关绕行受信任的域的 URL 的详细信息，请参阅 URL 重写和绕行域。

在邮件网关放行并传送邮件后，系统将通过思科网络安全代理重定向收件人访问网站的任何尝试。这是由思科托管的外部代理，如果网站仍在运行，它将显示启动画面，警告用户该网站可能具有危险。如果该网站已下线，启动画面将显示错误消息。

如果收件人决定单击邮件的 URL，思科网络安全代理将在用户的 Web 浏览器中显示启动画面，警告该用户注意邮件的内容。下图显示启动画面警告的示例。收件人可以单击忽略此警告 (Ignore this warning) 继续访问网站，也可以单击退出 (Exit) 离开并安全关闭浏览器窗口。

要访问思科网络安全代理，只能通过重写邮件中 URL。通过在 Web 浏览器中键入 URL，无法访问该代理。

Note	您可以自定义此启动画面的外观，并显示您所在组织的品牌，例如公司徽标、联系信息等。请参阅自定义最终用户访问恶意站点时看到的通知。

Tip	要将可疑垃圾邮件中的所有 URL 重定向到思科网络安全代理服务，请参阅使用自定义信头将疑似垃圾邮件中的 URL 重定向到思科网络安全代理：配置示例。

病毒爆发过滤器功能可以修改非病毒威胁邮件的邮件正文，不仅是重写 URL，还可提示用户该邮件是可疑威胁。病毒爆发过滤器功能可以修改主题信头，也可以在邮件正文上方添加关于邮件内容的免责声明。有关详细信息，请参阅邮件修改。

通过“邮件策略”(Mail Policies) >“文本资源”(Text Resources) 页面的免责声明模板，可创建威胁免责声明。有关详细信息，请参阅文本资源管理概述。

病毒爆发过滤器使用两类规则来检测潜在爆发：自适应和爆发。病毒爆发过滤器功能使用这两个规则集提供效果最高、标准最集中的威胁检测，以确保过滤器可聚焦于特定爆发。病毒爆发过滤器规则和操作对于管理员可见，而不是隐藏在幕后，由此可即时访问隔离的邮件及其被隔离的原因。

基本上，病毒爆发过滤器规则就是威胁级别（例如威胁级别 4），与一组邮件和附件的特征相关联，例如文件大小、文件类型、文件名、邮件内容等。例如，假设思科 SIO 发现携带 .exe 附件的可疑邮件数量越来越多，附件大小为 143 KB，且文件名中包括特定关键字（例如“hello”）。于是，系统发布了爆发规则，提高与此条件匹配的邮件的威胁级别。默认情况下，您的邮件网关每隔 5 分钟就检查一次新发布的爆发和自适应规则，并进行下载（请参阅更新爆发过滤器规则）。自适应规则更新的频率比爆发规则小。在邮件网关上，设置隔离可疑邮件的阈值。如果某封邮件的威胁级别等于或超过隔离阈值，则将该邮件发送到爆发隔离区。此外，还可以设置修改非病毒威胁邮件的阈值，重写可疑邮件中发现的任何 URL 或在邮件正文顶部添加通知。

下表 为其中每个级别提供一系列基本指导原则或定义。

有关威胁级别和爆发规则的详细信息，请参阅病毒爆发过滤器规则。

如果新的病毒攻击或非病毒威胁放行而肆虐，任何防病毒或反垃圾邮件软件都还无法识别该威胁，这正是病毒爆发过滤器功能发挥重大价值的所在。CASE 将使用发布的爆发和自适应规则扫描传入邮件，并对其评分（请参阅规则的类型：自适应和病毒爆发）。邮件得分与其威胁级别相对应。CASE 根据邮件匹配的规则（如有）分配相应的威胁级别。如果没有关联的威胁级别（邮件与任何规则都不匹配），则为邮件分配威胁级别 0。

一旦完成该计算，邮件网关将检查该邮件的威胁级别是否符合或超过隔离或邮件修改阈值，并隔离邮件或重写其 URL。如果威胁级别低于阈值，将继续传送该邮件以便在管道中进一步进行处理。

此外，CASE 会对照最新规则重新评估当前隔离的邮件，以确定邮件的最新威胁级别。这样可确保，只在隔离区内保留威胁级别与爆发邮件一致的邮件，而不再构成威胁的邮件经过自动重新评估后将离开隔离区。

如果一封爆发邮件有多个得分 - 一个得分来自自适应规则（或为多个自适应规则适用时的最高得分），另一个得分来自爆发规则（或为多个爆发规则适用时的最高得分），则使用智能算法来确定最终威胁级别。

可以使用病毒爆发过滤器功能，而不在邮件网关上启用防病毒扫描。两种安全服务的宗旨是相辅相成，但也可以独立工作。也就是说，如果没有在邮件网关上启用防病毒扫描，您则需要监控防病毒供应商的更新，并手动放行或重新评估爆发隔离区的部分邮件。使用病毒爆发过滤器而未启用防病毒扫描时，请牢记以下事项：

• 应该禁用自适应规则
• 将根据爆发规则来隔离邮件
• 如果威胁级别降低或时间过期，邮件将被放行

下游防病毒供应商（桌面/组件）可能会捕获放行的邮件。

Note	要通过病毒爆发过滤器功能扫描非病毒威胁，需要在邮件网关上全局启用反垃圾邮件扫描。

病毒爆发过滤器功能的爆发隔离区是用来临时存储邮件的区域，直到邮件被确认为威胁或可安全传送给用户为止。（有关详细信息，请参阅病毒爆发生命周期和规则发布。）可通过多种方式放行爆发隔离区中隔离的邮件。下载新规则后，系统将根据 CASE 计算的推荐重新扫描间隔，重新扫描爆发隔离区中的邮件。如果某封邮件修订的威胁级低于隔离区保留阈值，则会自动放行该邮件（不考虑爆发隔离区的设置），由此尽可能地减少其在隔离区中耗费的时间。如果在重新评估邮件时有新规则发布，则会重新启动重新扫描。

请注意，当新的防病毒签名可用时，不会从病毒爆发隔离区自动放行作为病毒攻击隔离的邮件。新规则可能会引用新的防病毒签名，也可能不会引用；但邮件不会由于防病毒引擎更新而被放行，除非爆发规则将该邮件的威胁级别改为低于威胁级别阈值的得分。

此外，在 CASE 建议的保留期限过后，也会从爆发隔离区放行邮件。CASE 根据邮件的威胁级别计算保留期限。您可以为病毒爆发和非病毒威胁定义独立的最长保留时间。如果 CASE 建议的保留时间超过该威胁类型的最长保留时间，邮件网关将在最长保留时间过后放行邮件。病毒邮件的默认最长隔离期限为 1 天。非病毒威胁的默认隔离期限为 4 小时。您可以手动从隔离区放行邮件。

另外，如果隔离区已满且有更多邮件插入（这种情况称为“溢出”），邮件网关也会放行邮件。只有爆发隔离区的容量达到 100%，并有新邮件添加到隔离区时，才会发生溢出。此时，将按以下优先顺序放行邮件：

• 自适应规则隔离的邮件（计划尽快放行的邮件优先）
• 爆发规则隔离的邮件（计划尽快放行的邮件优先）

一旦爆发隔离区的容量低于 100%，则停止溢出放行。有关如何处理隔离区溢出的详细信息，请参阅邮件在隔离区中的保留时间和自动处理的隔离邮件的默认操作。

如果为邮件策略启用了防病毒和反垃圾邮件引擎，则这些引擎将对从爆发隔离区放行的邮件重新扫描。如果邮件现在被标记为已知病毒或垃圾邮件，则会按照邮件策略设置进行处理（包括可能再次被病毒隔离区或垃圾邮件隔离区隔离）。有关详细信息，请参阅病毒爆发过滤器功能和病毒爆发隔离区。

因此，需要注意的是，在邮件的生命期限内，它实际上可能被隔离两次 - 一次是由于病毒爆发过滤器功能，一次是从爆发隔离区释放时。如果两次扫描（在病毒爆发过滤器之前和从爆发隔离区放行时）的判定相符，则不会再次隔离邮件。另请注意，病毒爆发过滤器功能不会对邮件采取任何最终操作。病毒爆发过滤器功能将隔离邮件（以便进一步处理），或将邮件移至管道中的下一个步骤。

爆发规则由思科安全情报运营中心发布，邮件网关每隔 5 分钟将检查一次新爆发规则，并进行下载。此更新间隔可以更改。有关详情，请参见配置服务器设置以下载升级和更新。

病毒爆发过滤器功能包含可根据邮件策略进行的设置。在邮件网关上，可针对每个邮件策略启用或禁用病毒爆发过滤器功能。根据邮件策略，可对特定文件扩展名和域免于执行病毒爆发过滤器功能处理。此功能还可以通过 policyconfig CLI 命令来获取（请参阅《适用于思科安全邮件网关的 AsyncOS 的 CLI 参考指南》）。

Note	要通过病毒爆发过滤器功能扫描非病毒威胁，需要在邮件网关上全局启用反垃圾邮件或智能多次扫描。

要修改特定邮件策略的病毒爆发过滤器功能设置，请单击要更改策略“病毒爆发过滤器”(Outbreak Filters) 列中的链接。

要启用和自定义特定邮件策略的病毒爆发过滤器功能，请选择启用病毒爆发过滤器（自定义设置）(Enable Outbreak Filtering (Customize Settings))。

可以为邮件策略配置以下病毒爆发过滤器设置：

• 隔离区威胁级别
• 隔离区最长保留时间
• 立即传送非病毒威胁邮件，而不将其添加到隔离区
• 绕行的文件扩展名类型
• 邮件修改阈值
• 使用自定义文本和爆发过滤器变量修改主题信头，例如 $threat_verdict、$threat_category、$threat_type、$threat_description 和 $threat_level。
• 包括以下邮件信头：
  • X-IronPort-Outbreak-Status
  • X-IronPort-Outbreak-Description
• 将邮件发送到备用目标，例如邮件网关或交换服务器。
• URL 重写
• 威胁免责声明

选择启用爆发过滤（继承默认邮件策略设置）(Enable Outbreak Filtering [Inherit Default mail policy settings]),可使用为默认邮件策略定义的病毒爆发过滤器设置。如果默认邮件策略已启用病毒爆发过滤器功能，则所有其他邮件策略将使用相同的病毒爆发过滤器设置，除非已进行自定义。

进行更改后，请确认您的更改。

病毒爆发过滤器功能隔离的邮件将发送到爆发隔离区。此隔离区的功能与任何其他隔离区类似（有关使用隔离区的详细信息，请参阅策略、病毒和病毒爆发隔离区），但此隔离区具有“摘要”(summary) 视图，该视图对于根据在隔离区中放置邮件所用的规则，从隔离区删除或放行所有邮件非常有用（对于爆发规则，显示爆发 ID；对于自适应规则，显示通用术语）。有关摘要视图的详细信息，请参阅病毒爆发隔离区和“按规则摘要管理”视图。

通过病毒爆发过滤器报告，可查看邮件网关中病毒爆发过滤器的当前状态和配置，以及有关最近爆发和由于病毒爆发过滤器而被隔离的邮件的信息。在“监控”(Monitor) >“病毒爆发过滤器”(Outbreak Filters) 页面上可查看此信息。有关详细信息，请参阅“邮件安全监控”一章。

概述和规则列表提供有关病毒爆发过滤器功能当前状态的有用信息。通过“安全服务”(Security Services) >“病毒爆发过滤器”(Outbreak Filters) 页面可查看此信息。

使用爆发隔离区可监控被病毒爆发过滤器威胁级别阈值标记的邮件数量。另外，还可查看按规则隔离的邮件列表。有关信息，请参阅病毒爆发隔离区和“按规则摘要管理”视图和 策略、病毒和病毒爆发隔离区

病毒爆发过滤器功能支持两种不同类型的通知：普通 AsyncOS 警报和 SNMP 陷阱。

当规则更新失败时，将生成 SNMP 陷阱。有关 AsyncOS 中 SNMP 陷阱的详细信息，请参阅“通过 CLI 管理和监控”一章。

AsyncOS 有两种类型的病毒爆发过滤器功能警报：大小和规则

每当爆发隔离区的大小超过最大大小的 5%、50%、75% 和 95% 时，将生成 AsyncOS 警报。针对 95% 阈值生成的警报的严重性为“严重”(CRITICAL)，而其余警报阈值的严重性为“警告”(WARNING)。随着隔离区范围加大而超过阈值时，将生成警报。随着隔离区范围减小而越过阈值时，不会生成警报。有关警报的详细信息，请参阅警报。

当发布规则、更改阈值时，或更新规则或 CASE 引擎出现问题时，AsyncOS 也会生成警报。

使用爆发隔离区“管理隔离区”(Manage Quarantine) 页面上的复选框，通知思科分类错误。

只有邮件的唯一附件是绕过的文件类型时，才会排除绕过的文件类型；如果有多个附件，只有其他附件当前没有设定规则时，才会排除绕过的文件类型。否则，将对邮件进行扫描。

首先对邮件应用邮件和内容过滤器，然后才执行病毒爆发过滤器扫描。这些过滤器可能导致邮件跳过或绕过病毒爆发过滤器扫描。