Zimbra и защита от мейл-бомбинга

Мейл-бомбинга е един от най-старите видове кибератаки. По същество, той наподобява обикновена DoS атака, но вместо вълна от заявки от различни IP адреси, на сървъра се изпраща поток от електронни писма, които в огромни количества постъпват на един от пощенските адреси, поради което натоварването значително нараства. Тази атака може да доведе до невъзможност за използване на пощенската кутия, а понякога дори може да доведе до отказ на целия сървър. Многогодишната история на този вид кибератаки доведе до редица положителни и отрицателни последици за системните администратори. Към положителните фактори можем да отнесем доброто изучаване на мейл-бомбинга и наличието на прости начини за защита от такава атака. За отрицателните фактори можем да посочим голямото количество общодостъпни софтуерни решения за извършване на такива атаки и възможността за злоумышленика надеждно да се защити от откритие.

Не по-малко важна особеност на тази кибератака е, че е практически невъзможно да се използва за извличане на печалба. Ако злоумышленикът е изпратил на един от пощенските кутии поток от електронни писма, не е позволил на човека да използва коректно електронната поща, или е взломил нечия корпоративна поща и е започнал масово разпространение на хиляди писма в GAL, което доведе до срив на сървъра или до забавяне, което направи ползването му невъзможно, какво следва? Конвертирането на подобно киберпрестъпление в реални пари е почти невъзможно, поради което мейл-бомбинга в момента е доста рядко явление и системните администратори при проектирането на инфраструктурата могат просто да не забележат необходимостта от защита от подобна кибератака.

Въпреки че самият мейл-боминг е доста безсмислен от търговска гледна точка, той често е част от други, по-сложни и многостепенни кибератаки. Например, при хакване на имейл и използването му за открадване на акаунт в някаква публична услуга, извършителите често "бомбят" пощенската кутия на жертвата с безсмислени писма, за да накарат писмото за потвърждение да се загуби в техния поток и да остане незабелязано. Освен това мейл-бомингът може да се използва като средство за икономическо натискане на предприятието. Така активната бомбардировка на публичната пощенска кутия на предприятието, в която постъпват заявки от клиенти, може да затрудни сериозно работата с тях и, в крайна сметка, може да доведе до спиране на оборудването, неизпълнени поръчки, както и загуба на репутация и пропуснати ползи.

Точно затова системният администратор не трябва да забравя възможността за провеждане на мейл-боминг и винаги да предприема необходимите мерки за защита от тази заплаха. Като се има предвид, че това може да се направи още на етапа на изграждане на пощенската инфраструктура, а също така, че това отнема на системния администратор съвсем малко време и усилия, обективни причини да не осигури своята инфраструктура с защита от мейл-боминг просто не остават. Нека да видим как е реализирана защитата от тази кибератака в Zimbra Collaboration Suite Open-Source Edition.

В основата на Zimbra лежи Postfix — един от най-надеждните и функционални Mail Transfer Agent с отворен код в момента. И едно от основните предимства на неговата отвореност е, че той поддържа най-разнообразни външни решения за разширяване на функционалността. В частност, Postfix напълно поддържа cbpolicyd — напреднала утилита за осигуряване на киберсигурност на пощенския сървър. Освен защитата от спам и съставянето на бели, черни и сиви списъци, cbpolicyd позволява на администратора на Zimbra да настрои проверка на SPF-подписа, а също така да определи ограничения за приемане и изпращане на имейли или данни. Те могат да осигурят надеждна защита както от спам, така и от фишинг имейли, а също така да защитят сървъра от мейл-боминг.

Първото, което е необходимо от системния администратор, е активирането на модула cbpolicyd, който е предварително инсталиран в Zimbra Collaboration Suite OSE на MTA-сервера на инфраструктурата. Това става с командата zmprov ms `zmhostname` +zimbraServiceEnabled cbpolicyd. След това е необходимо да се активира уеб-интерфейса, за да имате възможност удобно да управлявате cbpolicyd. За целта е необходимо да разрешите връзките на уеб порта номер 7780 и да създадете символна връзка с помощта на командата ln -s /opt/zimbra/common/share/webui /opt/zimbra/data/httpd/htdocs/webui, след което да редактирате файла с настройките с командата nano /opt/zimbra/data/httpd/htdocs/webui/includes/config.php, където е необходимо да напишете следните редове:

$DB_DSN="sqlite:/opt/zimbra/data/cbpolicyd/db/cbpolicyd.sqlitedb";
$DB_USER="root";
$DB_TABLE_PREFIX="";

След това остава само да рестартирате услугите Zimbra и Zimbra Apache с командите zmcontrol restart и zmapachectl restart. След това ще получите достъп до уеб-интерфейса на адрес example.com:7780/webui/index.php. Основният нюанс е, че входът в този уеб-интерфейс в момента не е защитен и за да изключите достъпа на трети лица, можете след всеки вход в уеб-интерфейса просто да затворите връзките на порта 7780.

Защитата от потока имейли, идващи от вътрешната мрежа, се осигурява чрез квоти за изпращане на електронни писма, които могат да бъдат зададени благодарение на cbpolicyd. Тези квоти дават възможност да се установи ограничение на максималния брой писма, които могат да бъдат изпратени от един пощенски кутия за единица време. Например, ако мениджърите на вашето предприятие в средно изпращат по 60-80 електронни писма на час, можете, като вземете предвид малък резерв, да им зададете квота от 100 електронни писма на час. За да изчерпят такава квота, мениджърите трябва да изпращат по едно писмо на всеки 36 секунди. От една страна, това е достатъчно, за да работят нормално, а от друга страна, с такава квота, злоумостта, получили достъп до пощата на един от вашите мениджъри, няма да могат да извършат мейл-бомбин или масова спам-атака срещу предприятието.

За да зададете такава квота, е необходимо в уеб-интерфейса да създадете нова политика за ограничения при изпращането на писма и да уточните, че тя да действа както за писма, изпратени в рамките на домейна, така и за писма, адресирани до външни адреси. Това става по следния начин:

След това ще бъде възможно по-подробно да се зададат ограничения, свързани с изпращането на писма, по-специално да се зададе времеви интервал, след който ограниченията ще бъдат обновявани, както и съобщение, което потребителят ще получава, когато надвиши своя лимит. След това може да се установи и самото ограничение за изпращане на писма. То може да бъде зададено както в количество на изходящите писма, така и в количество байтове предавана информация. В същото време с писмата, които се изпращат над зададения лимит, може да се постъпи по различен начин. Например, те могат да бъдат веднага изтривани или да се запазват, за да бъдат изпратени веднага след обновяване на лимита за изпращане на съобщения. Втората опция може да бъде използвана при определяне на оптималната стойност на лимита за изпращане на електронни писма от служителите.

В допълнение към ограниченията за изпращане на писма, cbpolicyd позволява настройване на лимит за получаване на писма. Такова ограничение, от първоначален поглед, изглежда като отлично решение за защита от мейл-бомбинга, но всъщност задаването на такова ограничение, дори и голямо, крие риск от това в определени случаи да не получите важно писмо. Затова включването на каквито и да е ограничения за входяща поща е крайно нежелателно. Въпреки това, ако все пак решите да рискувате, настройването на лимита за входящи съобщения трябва да бъде направено с особено внимание. Например, може да се ограничи количеството входящи писма от доверени контрагенти, за да не се проведе спам-атака срещу вашето предприятие, ако техният пощенски сървър бъде компрометиран.

За да се защитите от вала на входящи съобщения при мейл-бомбинга, системният администратор трябва да предприеме нещо по-умно, отколкото просто да ограничи входящата поща. Такова решение може да бъде използването на сиви списъци. Принципът на тяхното действие е, че при първия опит за доставяне на съобщение от ненадежден подател, връзката със сървъра рязко се прекъсва, което води до неуспешна доставка на писмото. Въпреки това, ако в определен период ненадеждният сървър отново се опита да изпрати същото писмо, сървърът не прекъсва връзката и доставката протича успешно.

Смисълта на всички тези действия е, че програмите за автоматично масово изпращане на имейли обикновено не проверяват успешността на доставката на изпратеното съобщение и не предприемат опити да го изпратят повторно, докато човек със сигурност ще се увери дали имейлът е изпратен на адреса или не.

Сивите списъци могат да бъдат активирани и в уеб интерфейса на cbpolicyd. За да работи всичко, е необходимо да се създаде политика, която да обхваща всички входящи имейли, адресирани до потребители на нашия сървър, а след това, на базата на тази политика, да се създаде правило за сивите списъци, където може да се настрои интервалът, през който cbpolicyd ще очаква повторен отговор от непознат подател. Обикновено той е 4-5 минути. В същото време, сивите списъци могат да се конфигурират така, че всички успешни и неуспешни опити за доставяне на имейли от различни податели да се вземат предвид и на основата на тяхното количество да се взема решение за автоматично добавяне на подателя в бял или черен списък.

Обърнете внимание, че използването на сиви списъци трябва да бъде с максимална отговорност. Най-добре е, ако използването на тази технология върви ръка за ръка с постоянно поддържане на бели и черни списъци, за да се изключи възможността за загуба на наистина важни за предприятието имейли.

Освен това, добавянето на проверки SPF, DMARC и DKIM може да помогне за защита от имейл бомбане. Често имейлите, които пристигат по време на имейл бомбане, не преминават такива проверки. За това как да се направи, беше разказано в една от нашите предишни статии.

Така, защитата от такава заплаха като имейл бомбане е доста проста и може да се осъществи още на етапа на изграждане на инфраструктурата на Zimbra за вашето предприятие. Важно е обаче постоянно да следите така, че рисковете от използването на такава защита никога да не надвишават получения от вас преимущества.

Източник: habr.com