Elektronická pošta se pevně etablovala jako standard obchodní komunikace. Díky vysoké ekonomické efektivitě e-mailů, stejně jako řadě vlastností spojených s citací textu a připojením příloh, jsou e-maily jako stvořené pro roli univerzálního způsobu výměny dokumentů a zdvořilé obchodní komunikace. Tyto vlastnosti také vedly k tomu, že elektronickou poštu si oblíbili spammeři. V důsledku toho se dnes elektronická pošta stala obrovským bouřlivým oceánem spamu, ve kterém se jen zřídka objevují obchodní zprávy. Právě proto je jedním z prioritních úkolů administrátora jakéhokoli poštovního serveru ochrana před spamovými kampaněmi. Podívejme se tedy, co lze v Zimbra Collaboration Suite Open-Source Edition s tím udělat.
I přes bezplatnost řešení je Zimbra OSE schopna poskytnout systémovému administrátorovi řadu velmi účinných nástrojů pro řešení problému příjmu nežádoucích zpráv. Již jsme psali o takových utilitách, jako jsou Amavis, SpamAssassin, ClamAV a cbpolicyd, které umožňují spolehlivě filtrovat příchozí poštu a oddělovat spamové zprávy, stejně jako infikované a phishingové e-maily. Nicméně, jejich klíčovým nedostatkem je to, že všechny fungují s již přijatými e-maily a spotřebovávají systémové zdroje na filtraci zbytečných zpráv, kterým je vždy možné nalézt mnohem lepší využití. Ale co když se vaše podnikání ocitlo v hledáčku velkého botnetu, který neustále zasílá vašemu poštovnímu serveru tak velké množství spamových zpráv, že na jejich filtrování by byla spotřebována většina serverových kapacit MTA?
V teorii se lze chránit před tímto problémem pomocí připojení cloudové služby pro filtraci příchozí pošty, avšak v praxi tento způsob ochrany není vhodný pro každé podnikání, neboť v takovém případě je třeba svěřit třetím stranám zpracování nejenom spamu, ale i obchodní korespondence, což není vždy bezpečné a často to přímo odporuje bezpečnostní politice společnosti. Navíc se objevují rizika spojená s důvěryhodností fungování cloudového spam filtru. Vyřešení této situace může spočívat v zajištění ochrany serveru vlastními silami. Especialně pro tyto účely byla do Zimbry integrována utilita Postscreen, která má za úkol chránit poštovní server před zprávami posílanými botnety, aniž by zatěžovala poštovní server.
Podstata činnosti Postscreen spočívá v tom, že tato utilita kontroluje veškeré žádosti o připojení k poštovnímu serveru a neumožňuje připojení k serveru těm klientům, kteří se jí zdají podezřelí. Podle statistik se přibližně 90 % spamu na světě rozesílá právě botnety, Postscreen se často používá jako první úroveň ochrany poštovního serveru před nežádoucími zprávami. Díky tomu může poštovní server stabilně pracovat bez přetížení, i když čelí silným spamovým útokům ze strany velkých botnetů.
Princip činnosti Postscreen je docela jednoduchý, utilita je schopna provádět řadu základních kontrol příchozí pošty, než je předá poštovnímu serveru nebo jiným službám, které provádějí hlubší a podrobnější kontrolu příchozí pošty. Každá z kontrol může být buď úspěšná, nebo neúspěšná. Na základě výsledků každé z kontrol může Postscreen uplatnit jednu ze tří akcí podle výběru administrátora Zimbry: Drop, Ignore nebo Enforce. Akce Drop nuceně přeruší spojení s klientem, pokud kontrola neprošla, akce Ignore umožňuje ignorovat výsledky kontroly při rozhodování, ale zároveň shromažďovat informace a statistiky o provedených kontrolách, a akce Enforce umožňuje zohlednit výsledky provedených kontrol při konečném rozhodování, ale zároveň pokračovat v provádění všech testů, které naplánoval systémový administrátor.
Jednoduchý princip fungování neznamená jednoduchost při používání a nastavení. Skutečností je, že špatně nakonfigurovaný Postscreen může být důvodem, proč řada důležitých podnikových e-mailů nedosáhne adresáta. Proto je nutné k nastavení tak mocného nástroje, jako je Postscreen, přistupovat s velkou opatrností a neustále ho testovat na chování v různých situacích.
Postscreen je v Zimbře zapnutý od začátku, ale mnohé může odradit výchozí konfigurace. Nyní se podíváme na nejlepší konfiguraci z hlediska bezpečnosti a absence rizik. Podstata spočívá v tom, že po neúspěchu jakékoli kontroly Postscreen bez diskuze nepřeruší spojení s klientem, ale provede všechny kontroly až do konce, a pokud tyto kontroly selžou, vydá chybové hlášení. To umožní informovat živého odesílatele o nedoručení e-mailu, pokud ho Postscreen považuje za spam. Toho se dosahuje nastavením hodnoty enforce v parametrech provádění kontrol. Právě tato hodnota umožňuje dokončit rozpracované kontroly do konce, aniž by došlo k přerušení spojení s klientem při prvním neúspěchu, avšak po jejich dokončení e-mail se spamem se stále zablokuje a nedodá na server.
Chcete-li povolit potřebné kontroly, je nutné zadat následující příkazy:
zmprov mcf zimbraMtaPostscreenDnsblSites ‘b.barracudacentral.org=127.0.0.2*7’ zimbraMtaPostscreenDnsblSites ‘zen.spamhaus.org=127.0.0.[10;11]*8’ zimbraMtaPostscreenDnsblSites ‘zen.spamhaus.org=127.0.0.[4..7]*6’ zimbraMtaPostscreenDnsblSites ‘zen.spamhaus.org=127.0.0.3*4’ zimbraMtaPostscreenDnsblSites ‘zen.spamhaus.org=127.0.0.2*3’
Tento příkaz umožňuje přidat DNS kontrolu příchozích spojení podle dvou nejpopulárnějších veřejných spam databází a řadit e-maily podle toho, ve které databázi bude nalezena adresa odesílatele. Čím více trestných „hvězdiček“ klient získá, tím pravděpodobnější je, že je spammer.
zmprov mcf zimbraMtaPostscreenDnsblAction enforce
Tento příkaz specifikuje akci, která se provede na základě výsledku DNS kontroly. V tomto případě se výsledek kontroly zapamatuje a samotný e-mail pokračuje v dalším testování.
zmprov mcf zimbraMtaPostscreenGreetAction enforce
Proto SMTP po navázání připojení první zahajuje komunikaci se serverem, což umožňuje Postscreenu poslat klientovi pozdrav. Mnoho spamových klientů však začne posílat příkazy, aniž by čekali na ukončení pozdravu, a tudíž je lze snadno rozpoznat. Tento příkaz umožňuje zohlednit výsledky této kontroly, ale současně pokračovat ve vykonávání dalších testů.
zmprov mcf zimbraMtaPostscreenNonSmtpCommandAction drop
V rámci této kontroly umožňuje Postscreen filtraci připojení, která nepocházejí od poštovních klientů. Jelikož neposílají žádné e-maily, lze je bez obav odpojit od serveru.
zmprov mcf zimbraMtaPostscreenPipeliningAction enforce
Tato kontrola je založena na tom, že v protokolu SMTP může klient standardně poslat pouze jeden příkaz najednou a poté čekat na odpověď serveru. Mnoho spamových botů se však chová jinak a posílá více příkazů, aniž by čekalo na odpověď od serveru. To umožňuje prakticky bezchybně identifikovat spamového bota.
Pro Postscreen bude těchto kontrol více než dost, aby odfiltroval většinu spamových botů a dosáhl významného snížení zátěže na vašem poštovním serveru. Lidé pak obdrží zprávu, že jejich e-mail nebyl doručen, což výrazně snižuje riziko ztráty důležitých zpráv kvůli nastavením Postscreen. Pokud k tomu dojde, můžete přidat důvěryhodného odesílatele do bílého seznamu Postscreen. Pro vytvoření bílých a černých seznamů Postscreen je nejprve nutné vytvořit soubor. /opt/zimbra/conf/postfix/postscreen_wblist.
Do něj přidáme seznam povolených a zakázaných IP adres a podadresářů ve formátu CIDR. Například zablokujeme podsíť 121.144.169.*, ale povolíme připojení jedinému IP adrese z této podsítě:
# Rules are evaluated in the order as specified.
# Blacklist 121.144.169.* except 121.144.169.196.
121.144.169.196/32 permit
121.144.169.0/24 reject
Věnujte pozornost důležitosti pořadí záznamů. Protože Postscreen prohledá soubor s bílými a černými seznamy do prvního shodného záznamu, pokud bude zablokovaná podsíť umístěna před povolenou IP adresou, kontrola jednoduše nedojde k záznamu, že tato IP adresa byla přidána do bílého seznamu, a připojení k serveru se neuskuteční.
Jakmile je soubor s bílými a černými seznamy upraven a uložen, lze zapnout odpovídající kontrolu pomocí následujících příkazů:
zmprov mcf zimbraMtaPostscreenAccessList «permit_mynetworks, cidr:⁄opt⁄zimbra⁄conf⁄postfix⁄postscreen_wblist»
zmprov mcf zimbraMtaPostscreenBlacklistAction enforce
Nyní Postscreen, kromě již stanovených kontrol, také přistupuje k souboru s bílými a černými seznamy, což umožní administrátorovi snadno řešit otázky s nemožností připojení k serveru důvěryhodných odesílatelů.
Zdroj: habr.com
