T/NJCESS 001-2025 内生安全电子邮件系统技术规范

以下是《内生安全电子邮件系统技术规范》（T/NJCESS 001-2025）的详细内容总结：

​​一、范围​​

• 规定了内生安全电子邮件系统的架构、功能、性能及安全要求。
• 适用于系统的研制、生产、认证及实际部署。

​​二、核心术语与定义​​

1. ​​内生安全电子邮件系统​​
   • 基于拟态防御架构，将用户请求分发至多个异构执行体处理，通过裁决反馈结果并动态清洗异常执行体。
2. ​​异构电子邮件执行体​​
   • 功能等价但采用不同硬件/软件实现的邮件服务单元（如异构CPU、OS、中间件等）。
3. ​​拟态分发裁决器​​
   • 负责请求分发、响应裁决、结果归一化及异常上报。
4. ​​输出裁决器​​
   • 对执行体输出的邮件指令进行安全裁决，过滤非法指令。

​​三、系统架构（图1）​​

1. ​​核心组件​​
   • ​​拟态分发裁决器​​：动态分发请求，裁决响应结果。
   • ​​异构执行体池​​：由≥3个异构执行体组成，独立处理请求。
   • ​​负反馈控制器​​：处理异常信息，调度执行体清洗/恢复。
   • ​​输出裁决器​​：裁决邮件指令，过滤非法请求。
2. ​​数据流​​
   • ​​业务数据流​​：用户请求→执行体→响应结果→用户。
   • ​​拟态数据流​​：裁决异常信息→负反馈控制器→调度指令。

​​四、功能要求​​

​​6.1 请求分发要求​​

• 支持HTTP/IMAP/POP3/SMTP协议代理分发，加密传输数据。
• 异构执行体间需严格隔离（网络、存储、权限层面）。
• 支持自定义分发策略（动态资源负载均衡、静态资源就近分发、随机/顺序分发）。
• 系统对外统一呈现，内部端口不暴露。

​​6.2 拟态裁决要求​​

• 支持主流邮件协议的裁决能力。
• 裁决策略灵活：大数裁决、一致性裁决、权重裁决等。
• 自动封装异常信息（含类型、时间、上下文）反馈至负反馈控制器。
• 裁决过程不影响在线业务（数据传输、表项生成等）。

​​6.3 执行体要求​​

• 执行体以非协同模式独立处理请求并反馈结果。
• 至少3个异构执行体，且在≥3个层面实现异构（CPU/OS/中间件/存储等）。
• 支持单执行体独立配置、重启、初始化恢复。
• 清洗时需清除所有运行信息（系统日志、进程监控等）。

​​6.4 执行体调度要求​​

• 支持跨平台（X86/Arm）消息传递。
• 支持手动调度、清洗、回滚操作。
• 支持周期性调度及异常驱动调度。
• 调度切换不影响业务连续性。

​​6.5 输出裁决要求​​

• 对邮件指令进行标签化特征构建。
• 基于指令指纹库比对过滤非法指令。

​​6.6 日志接口要求​​

• 输出异常告警信息（时间、级别、IP地址、执行体标识等）。
• 支持数据库/系统日志/远程调用等方式输出至本地或远端服务器。

​​五、性能要求​​

1. ​​执行体清洗还原时间（Tₑ）​​
   • 公式：T_{e}=T_{e}^{/prime/prime}-T_{e}^{/prime}（从收到清洗命令到恢复的时间）
   • ​​阈值​​：≤1分钟。
2. ​​调度周期（Tₛ）​​
   • 周期清洗所有在线执行体的时间间隔。
   • ​​阈值​​：建议≤6Tₑ（即≤6分钟），实际设置需高于参考值。
3. ​​系统恢复时间（Tᵣ）​​
   • 从异常恢复到正常状态的时间。
   • ​​最优情况​​（单执行体异常）：≤Tₑ（≤1分钟）。
   • ​​最差情况​​（全部执行体异常）：≤9Tₑ（≤9分钟）。
4. ​​服务响应时延（Td）​​
   • 公式：T_{d}=T_{d}^{/prime}-T_{d}^{/prime/prime}（内生系统与非内生系统响应时间差）
   • ​​阈值​​：≤秒级。

​​六、安全要求​​

​​8.1 通用安全要求​​

• 符合GB/T 37002-2018《信息安全技术 电子邮件系统安全技术要求》。

​​8.2 拟态安全要求​​

1. ​​总体要求​​
   • 在≥3个层面（硬件/OS/中间件/数据库等）提供防护，抵御差模/N-1模/N模攻击。
2. ​​差模注入（单执行体被攻击）​​
   • 逃逸次数必须为0（完全防御）。
3. ​​N-1模注入（多执行体被攻击）​​
   • 系统可退化为差模状态，逃逸次数≤1次。
4. ​​N模注入（全部执行体被攻击）​​
   • 系统可退化为N-1模/差模状态。
   • 持续逃逸时间不超过调度周期Tₛ（≤6分钟）。

​​七、附录与起草信息​​

• ​​引用标准​​：GB/T 37002-2018、YD/T 4223-2023、YD/T 6018-2024。
• ​​起草单位​​：紫金山实验室、战略支援部队信息工程大学等。
• ​​主要起草人​​：汤成、程国振等12人。

​​总结​​：该规范定义了基于拟态防御的内生安全邮件系统架构，通过异构冗余、动态裁决和负反馈控制实现高安全性。核心要求包括：

• ​​功能​​：异构执行体池、多策略裁决、跨平台调度。
• ​​性能​​：严格的时间阈值（清洗≤1分钟，响应≤秒级）。
• ​​安全​​：分层防护，量化攻击逃逸次数（差模逃逸0次，N-1模≤1次）。