一、SecurityGateway 邮件安全网关的产品定位
SecurityGateway 是一款邮件安全网关，部署在邮件流转路径上，对入站和出站邮件执行检查与策略控制。它不替代企业现有的邮箱平台，而是为 Microsoft 365、Exchange 及其他 SMTP 邮件服务器增加一层独立的安全管理。
它可以承担垃圾邮件与病毒邮件过滤、反欺骗与邮件身份认证、外发邮件内容管控（DLP）、AI 邮件内容分类、隔离与放行处理、逐封邮件日志与综合报告，以及域与用户的自动化管理。部署形态支持本地、虚拟机和托管云。
登录后进入管理控制台，首页仪表盘汇总邮件流量、垃圾邮件拦截、病毒扫描与 AI 分类等实时统计，管理员可以一眼掌握当前整体安全态势。
图-邮箱安全网关管理控制台仪表盘
网关在邮件流转路径中的位置如下图：外部邮件先经过网关检查，再投递到企业邮箱平台；出站邮件同样先经网关过滤后发出，原有邮箱平台不被替换。
图-邮件安全网关拓扑
二、为什么邮箱平台之外仍需独立的邮件安全网关
Microsoft 365、Exchange 等邮件平台本身都带有垃圾邮件和病毒过滤。企业再单独部署一台网关，通常不是因为平台完全不管，而是因为出现了一些在平台内不太好处理的要求：过滤策略要能自定义并调整优先级、被拦的邮件要能按规则追溯、外发内容需要按业务规则管控、账号对外发信异常时要能快速处置。下表列出项目里最常遇到的几类问题。
典型问题 | 具体表现 |
垃圾邮件与病毒邮件持续进入 | 邮箱平台提供邮件服务，但企业仍需在邮件入口制定独立过滤策略，并能追踪被隔离或拒绝的邮件。 |
外发邮件需要内容管控 | 邮件安全不仅涉及外部邮件进入，还包括敏感内容通过邮件外发时的规则控制。 |
管理员需要解释邮件为何未送达 | 业务人员遇到邮件丢失或延迟时，运维团队需要按单封邮件定位处理状态、隔离记录和规则命中原因。 |
账号被盗用后对外发信 | 账号口令泄露后，邮件系统可能被用于对外发送欺诈邮件，需要异常行为检测与处置手段。 |
AI 生成的钓鱼邮件更隐蔽 | 大量钓鱼邮件已使用 AI 自动生成内容，伪装更逼真，传统关键词与签名匹配类规则越来越难拦截。 |
邮箱平台自带的过滤与独立网关的差别，主要在三点：
• 策略可控性：平台自带的过滤通常只提供有限的调整项；网关可以调整各防御层的执行顺序、评分权重与处置动作，把"哪些邮件隔离、哪些直接拒绝"按企业自己的判断来定。
• 可追溯性：邮件为什么没有送达、被哪条规则拦下、是隔离还是拒收，需要能按单封邮件查清。网关提供逐封日志、隔离区与报告，业务人员也可以自助查看被隔离的邮件并决定放行。
• 出站管控：入站过滤保护的是收件人，出站规则管控的是"我们的邮件发出去会不会泄密或违规"。这部分在邮件平台侧往往不是重点，需要用 DLP 与自定义规则单独配置。
需要提前说明的是，增加网关并不等于"平台过滤可以关掉"。两层过滤各有分工，通常的做法是让网关承担入口处的过滤与管控，邮件平台侧保留基础过滤，形成两道关卡。上线顺序上，建议先把网关以旁路方式接入观察一段时间，确认误判率可接受之后，再正式串接到邮件路径上。
当某个账号出现异常发信行为（短时间内大量外发、发信量突增等），账号盗用检测会触发告警，并可按策略自动封锁该账号的对外发信。
三、如何按防护方向制定高效的邮件安全策略
网关的功能项看起来很多，但按"防护方向"归类其实只有五件事：让进来的邮件干净、让出去的邮件合规、保护账号不被盗用、事后能查清发生了什么、日常能管得住。下表把功能项按方向归好类，并标注每一项在实施阶段真正需要确认的东西。
防护方向 | 对应能力 | 实施关注点 |
入站防护 | 反垃圾邮件、病毒与恶意软件扫描、反欺骗、邮件认证、黑名单与白名单 | 误判复核流程、阈值调整 |
出站管控 | 数据防泄漏（DLP）规则、自定义内容过滤规则、策略动作 | 部门与收件对象范围、敏感信息类型、处置动作 |
账号保护 | 账号盗用检测与告警 | 异常登录与发信行为的处置策略 |
可追踪性 | 逐封邮件日志、隔离区、综合报告与实时图表 | 日志留存周期、报告推送对象 |
运维管理 | 防御顺序自定义、带宽限制、域与用户自动添加、域管理员委派 | 邮件平台目录、域名范围、授权边界 |
AI 内容分类 | 接入大模型对邮件内容做语义级分类（合法/钓鱼/商业/含 PII 等），并按分类结果触发规则动作 | AI 提供方选择、提示词设计、API key 与成本、数据合规 |
策略不建议一次全部启用。比较稳妥的做法是按下面的顺序分阶段上线，每个阶段观察一段时间再进入下一阶段：
1. 先只做入站过滤，并以隔离为主。阈值设得保守一些，让被拦的邮件先进隔离区而不是直接拒收——上线初期最重要的不是"拦得狠"，而是不漏掉正常业务邮件。
2. 开启用户隔离报告。让收件人自行处理被隔离的邮件，同时收集误判反馈，用来调整阈值与黑名单、白名单。
3. 再补出站管控。DLP 规则涉及业务部门配合，需要先确认敏感信息的类型与处置动作，建议先在少量部门试运行。
4. 最后评估 AI 内容分类。它属于叠加层，需要先确定模型来源（云端还是本地部署）、提示词与成本，适合在传统规则调优稳定之后再引入。
每个阶段都建议保留回退方式：策略出问题时，能把网关快速切回观察模式，或让邮件绕过网关直达，避免因为过滤规则导致业务邮件整体中断。
四、核心防护能力与日常配置方式
1. 多层过滤与防御顺序
产品通过多种分析工具识别垃圾邮件、钓鱼邮件、病毒与恶意软件，官方公布的拦截效果为 99% 垃圾邮件拦截率（该数据为厂商官方数据，实际效果受策略配置与邮件特征影响）。管理员可通过防御层自定义调整安全规则的执行顺序，避免把"启用所有规则"简单等同于最佳策略。
过滤规则需要结合误判处理流程持续维护：哪些规则命中后隔离、哪些直接拒绝、业务方如何申诉放行，都应在上线前定义清楚。
反垃圾邮件设置页面集中管理过滤阈值、评分权重与黑白名单等基础策略。
图-多重反垃圾邮件与过滤设置
管理员可以按实际需要调整各防御层的执行顺序——把确定性强的规则放在前面，把容易误判的规则放在后面。
图-防御顺序自定义
病毒扫描基于内置引擎对进出邮件及其附件做实时检测，命中后按策略隔离或直接拒收。
图-病毒与恶意软件扫描
2. 外发邮件管控与自定义内容规则
外发邮件检查可依据组织的数据分类制度配置 DLP 与自定义规则。官方提供 70 余条 DLP 规则，覆盖常见的敏感信息类型，管理员也可以基于内容过滤条件和 Sieve 脚本扩展自己的规则。
规则设计需要考虑部门、收件对象、敏感信息类型和处置动作（放行、隔离、拒收、改写、通知等）。需要说明的是，启用 DLP 规则不等于自动满足某项法律法规要求，制度、范围与处置流程仍需业务方确认。
DLP 规则列表列出全部已启用规则，管理员可查看规则名称、适用范围与当前状态。
图-DLP 规则列表
进入单条规则编辑页面，可以配置触发条件（如身份证号、银行卡号、关键词等）与命中后的动作（放行、隔离、拒收、改写、通知）。
图-DLP 规则编辑（条件与动作）
对官方规则覆盖不到的场景，可以结合内容过滤条件与 Sieve 脚本自行扩展规则逻辑。
图-自定义内容过滤规则与 Sieve 脚本
3. 隔离报告与邮件追踪
邮件被发送、隔离或拒绝后，管理员可通过详细日志和综合报告了解处理状态及原因，日志按单封邮件显示状态（已发送 / 已隔离 / 已拒绝）并说明原因。隔离区分为用户隔离与管理员隔离，用户隔离报告让业务人员自行查看被隔离的邮件并决定是否放行，降低全部由管理员逐封排查的管理负担。
管理员隔离区集中展示被拦截的邮件，可按发件人、收件人、时间等条件筛选，逐封查看后决定放行或删除。
图-管理员隔离区
用户隔离报告定期发送到收件人邮箱，业务人员可自助查看被隔离的邮件，并决定放行、标记为垃圾或加入黑白名单。
邮件日志按单封邮件记录处理状态与命中的规则原因，用于排查邮件为何没有送达。
图-邮件日志信息
4. 域与用户管理
产品支持多域处理、按域配置 IP 地址、自动化添加域和用户、域管理员与全局管理员的权限委派、私有账号选项，以及在邮件页眉页脚添加免责声明。实际启用时应核对邮件平台目录、域名范围与授权边界，避免将"自动发现"理解为无需配置。
域管理页面统一维护网关处理的域名，可为不同域配置独立的 IP 地址与策略。
图-域管理
用户列表支持从 AD / LDAP / Microsoft 365 等目录来源自动同步，新增用户无需逐一手工维护。
图-通过用户验证源同步用户
5. AI 邮件内容分类（AI Classification）
SecurityGateway 自 v11.0 起提供 AI Classification 能力，可对接大模型对邮件内容做语义级分类，由管理员按分类结果决定邮件如何处置。AI 分类不是替代传统反垃圾 / 病毒扫描，而是叠加一层"内容理解"，对传统规则难以识别的钓鱼、含 PII / 敏感数据、商业推广等邮件做进一步过滤。
支持四类 AI 模型来源，管理员可按数据合规和成本要求选其一或混用：
模型来源 | 适用场景 | 数据流向与成本 |
OpenAI / ChatGPT | 通用分类任务 | 邮件内容发送至 OpenAI，按 token 计费；GPT-4.1-mini 平衡成本与效果，GPT-4.1 适合复杂分析但更贵 |
Google Gemini | 高速与准确性兼顾 | 邮件内容发送至 Google Cloud，免费额度可用于初期测试 |
本地模型（Local） | 数据不能出网 / 有私有化部署要求 | 在企业自己的基础设施上运行兼容 OpenAI API 格式的模型（如 DeepSeek、GLM、Qwen 等），数据不出企业内网 |
自定义端点（Custom） | 已有内部 AI 网关或第三方模型 | 任何兼容 OpenAI API 标准的端点均可接入 |
配置流程分三步：先在 Models 页面登记 AI 模型（含名称、端点 URL、profile、超时、API key）；再到 Prompts 页面用邮件数据变量构造提示词，引导模型按需要的标签返回（如 LEGITIMATE / PHISHING / COMMERCIAL / SPAM / PII_DETECTED 等）；最后在 Rules 页面写规则，指定哪些邮件走 AI 分析、用哪个提示词、命中后做什么动作（拒收、隔离、加分、主题打标签等）。
规则命中后，AI 返回的分类会写入逐封邮件日志，并在 dashboard 报告中按分类统计，便于审计和调优。
AI 分类在控制台中独立成组，可以集中查看已配置的模型、提示词与规则。
图-邮件网关AI分类功能总览
模型管理页面登记所有可用 AI 模型，每一项可以配置端点 URL、AI profile、超时与 API key。
图-AI模型管理
提示词编辑页面用于构造发送给模型的指令，可以插入邮件头、正文等数据变量，并要求模型按指定标签返回分类结果。
图-AI提示词编辑
AI 规则决定哪些邮件需要分析、使用哪个提示词，以及命中后执行什么动作（拒收、隔离、加分、主题打标签）。选择"主题打标签"动作后，命中 AI 分类的邮件会在主题前加上标记，收件人一眼可辨。
五、能力范围与配置说明
这一节把前面讲到的能力按模块汇总，并标出每一项在使用时需要注意的边界。需要强调的是：网关的多数能力都需要配置才能生效，"支持"不等于"开箱可用"，而且过滤类能力上线之后需要持续维护。
能力模块 | 对应功能 | 使用边界 |
入口防护 | 反垃圾邮件、病毒与恶意软件扫描、反欺骗、邮件认证、黑/白名单 | 按策略配置，需持续维护误判 |
出站管控 | DLP 规则、自定义内容过滤规则、Sieve 脚本 | 规则需业务方确认范围与处置动作 |
账号保护 | 账号盗用检测与告警 | 处置策略需与运维流程联动 |
用户处置 | 用户隔离报告、自助放行与标记 | 权限与通知策略 |
可追踪性 | 逐封邮件日志、综合报告、实时图表 | 发送/隔离/拒绝原因可查 |
AI 内容分类 | 大模型语义级分类（合法/钓鱼/商业/PII 等），按规则触发动作 | 模型选型、提示词设计、API key 与成本、数据合规 |
运维管理 | 防御顺序自定义、带宽限制、域与用户自动添加、域管理员委派 | 依实际环境配置 |
部署形态 | 本地、虚拟机、托管云 | 与邮件平台路由配置相关 |
有三点建议在方案阶段就明确：
第一，路由改造是必选项。 网关要串接到邮件流转路径上，意味着 MX 记录或邮件连接器需要调整。这一步涉及域名解析和邮件平台侧配置，需要提前确定由谁操作、在什么时间窗口执行、出问题如何回退。
第二，策略是有维护成本的。 过滤规则、DLP 规则、黑白名单都需要随业务变化调整。建议在实施阶段就明确谁负责复核被隔离的邮件、多久看一次报告、误判如何申诉放行，而不是等业务部门投诉了才处理。
第三，AI 内容分类的成本与合规要单独评估。 选择云端模型时按 token 计费，费用随邮件量变化；选择本地模型则需要有可用的推理环境。同时要确认邮件内容的流向是否符合企业的数据管理要求。
六、SecurityGateway 的职责范围与选型关注点
前面讲的是网关能做什么，这一节把边界划清楚——它只负责邮件流转过程中的检查与管控，不承担邮箱服务，也不承担邮件数据的长期保存。项目中的其他环节需要有对应安排，否则会出现"功能都买了，但需求没人接"的情况。
项目 | 主要职责或特征 | 选型注意事项 |
原有邮箱平台 | 负责邮箱、账号与日常收发 | 不被网关替代 |
邮件安全网关 | 负责流量检查、过滤、隔离与外发管控 | 串接在邮件流转路径上，路由需重新规划 |
部署形态 | 本地、虚拟机或托管云部署 | 数据存放位置与运维能力需一并考虑 |
策略治理 | 需要误判复核、日志追踪和例外管理 | 不是一次部署后无需维护 |
边界之外的部分，需要在项目整体规划里单独安排：
• 邮箱与账号服务：邮件收发、邮箱空间、账号与权限仍由原有邮件平台承担，网关不介入这部分。
• 历史邮件的长期留存与检索：网关处理的是流经它的邮件，不负责归档与长期保存，留存年限与检索要求需要另行规划。
• 终端与账号安全：网关可以检测账号异常对外发信，但终端防护、口令策略、身份认证仍属于企业整体安全体系的一部分。
• 服务器与网络基础设施：部署所需的主机或云资源、带宽与网络连通性、域名与 DNS 管理，需要企业侧或由服务商一并提供。
七、部署、实施与验收关注点
环境盘点：确认邮件平台类型与版本、域名与 MX 现状、用户规模、日均邮件量、外部访问方式与账号体系。
配置与联调：规划邮件路由（网关与邮箱平台的对接方式），按目标版本配置过滤、DLP 与报告策略；如涉及托管云部署，需确认数据存放位置与服务边界。
测试与验证：以真实业务账号验证收发链路、隔离与放行、日志可追溯性、误判处理流程，以及必要的回退方案（邮件可绕过网关直达）。
运维交接：明确管理员职责、策略调整流程、日志留存、更新维护与供应商支持范围。
验收与交付：验收不只是"垃圾邮件被拦住了"。建议把验收项写成清单，至少覆盖：正常业务邮件（含带附件、含外部链接的场景）能否全部正常投递、典型垃圾与钓鱼样本是否被正确拦截或隔离、隔离邮件的放行流程能否走通、逐封日志能否查到指定邮件的处理原因、用户隔离报告是否正常送达、以及回退方案是否实际演练过一次。上线初期建议保留一周的观察期，误判反馈集中处理。
从环境盘点、配置联调，到测试验证与运维交接，项目按以下流程推进。
图-项目交付流程
八、常见问题 FAQ
Q：SecurityGateway 会替代 Exchange 或 Microsoft 365 吗？
不会。它是邮件安全网关，与原有邮件平台配合工作，负责流量检查、过滤、隔离与外发管控，邮箱账号和日常收发仍由原平台承担。
Q：是否只能检查收件？
不是。官方资料同时包含入站防护和外发邮件内容管理能力，出站方向支持 DLP 规则与自定义内容过滤。
Q：隔离邮件如何处理？
可通过隔离区、邮件日志及相关报告查看处理情况，并由具备权限的用户或管理员放行、拒收或标记。用户隔离报告可让业务人员自助处理。
Q：会不会误判正常邮件？
任何过滤引擎都存在误判可能。上线时应配置隔离而非直接拒收，并保留误判复核与放行流程，规则阈值需要结合实际情况持续调整。
Q：部署后邮件路由要改吗？
需要。网关要串接在邮件流转路径上，具体方式（MX 指向、连接器或中继）取决于邮件平台类型，应在实施前确定并保留回退方案。
Q：网关负责长期邮件留存吗？
不负责。网关的职责是邮件流量的检查、过滤、隔离与外发管控；历史邮件的长期保存、检索与恢复需要在项目设计阶段另行规划。
Q：AI 邮件分类需要把邮件发到第三方吗？
不一定。SecurityGateway 支持四种模型来源，其中"本地模型（Local）"和"自定义端点（Custom）"都可以让邮件内容不出企业内网，由企业自有或私有化部署的大模型完成分类；只有选择 OpenAI / Gemini 等云端模型时，邮件内容才会发送至第三方并按 token 计费，API key 与费用由管理员负责。
九、评估您的企业邮件系统安全现状
您目前的邮件系统是否经常收到漏网的钓鱼邮件或垃圾信息？是否存在潜在的数据外发盲区？
欢迎联系云璨技术团队，为您的企业邮件系统申请一次定制化的 SecurityGateway 旁路测试与安全风险评估。我们将由专业技术人员协助您排查隐患，体验多层防御与 AI 拦截带来的实际效果。
