E-mail har solidt etableret sig som standard for professionel kommunikation. Takket være den høje økonomiske effektivitet af e-mails samt en række funktioner relateret til citat af tekst og vedhæftning af filer, er e-mails fremragende til at fungere som en universel metode til udveksling af dokumenter og høflig forretningskommunikation. Disse samme funktioner har også gjort, at e-mail er blevet så populær blandt spammerne. Resultatet er, at e-mail i dag fremstår som et stort, buldrende ocean af spam, hvor forretningsmails kun sjældent ses. Derfor er en af de vigtigste opgaver for enhver mailserveradministrator at beskytte mod spam-udsendelser. Lad os se, hvad der kan gøres med dette i Zimbra Collaboration Suite Open-Source Edition.
På trods af at løsningen er gratis, kan Zimbra OSE levere systemadministratorer en række ekstremt effektive værktøjer til at håndtere problemet med uønskede e-mails. Vi har tidligere skrevet om værktøjer som Amavis, SpamAssassin, ClamAV og cbpolicyd, som effektivt kan filtrere indkommende post og sortere spam-udsendelser samt inficerede og phishing-e-mails. Ikke desto mindre er en af deres vigtigste ulemper, at de alle arbejder med allerede modtagne mails og bruger systemressourcer på at filtrere unødvendige beskeder, ressourcer som altid kan anvendes bedre. Men hvad nu hvis din virksomhed bliver mål for et stort botnet, der konstant bombarderer din mailserver med så mange spam-e-mails, at filtreringen af dem optager en stor del af MTA-serverens kapacitet?
Teoretisk set kan man beskytte sig mod dette ved at tilslutte en cloud-tjeneste til filtrering af indgående e-mails, men i praksis vil denne beskyttelsesmetode ikke være egnet for hver virksomhed, da man i så fald skal betro tredjeparter behandlingen af ikke bare spam, men også forretningskorrespondance, hvilket ikke altid er sikkert og ofte direkte strider mod virksomhedens sikkerhedspolitik. Desuden opstår der risici forbundet med pålideligheden af cloud-spamfiltrets arbejde. En løsning på denne situation kan være at organisere serverbeskyttelse med egne ressourcer. Til dette formål er der i Zimbra indbygget en værktøj kaldet Postscreen, som har til formål at beskytte mailserveren mod e-mails sendt af botnets, uden at belaste mailserveren.
Postscreen arbejder på den måde, at dette værktøj gennemgår alle anmodninger om forbindelser til mailserveren server og forhindrer forbindelser fra de klienter, der virker mistænkelige for den. Ifølge statistikker udsendes cirka 90% af spam i verden netop af botnets, så Postscreen bruges ofte som det første beskyttelsesniveau for mailserveren mod uønskede e-mail-nyhedsbreve. Takket være dette kan mailserveren fungere stabilt uden overbelastninger, selv under kraftige spamangreb fra store botnets.
Postscreens arbejdsprincip er ganske enkelt; værktøjet kan udføre en række grundlæggende tjek af indgående e-mails, før de sendes til mailserveren eller andre tjenester, som foretager dybere og mere detaljerede tjek af indgående e-mails. Hver kontrol kan derfor enten bestå eller ikke bestå. Baseret på resultaterne af hver kontrol kan Postscreen udføre en af tre handlinger efter administratorens valg i Zimbra: Drop, Ignore eller Enforce. Handlingen Drop tvinger forbindelsen til kunden til at blive brudt, hvis kontrollen ikke er bestået, handlingen Ignore muliggør at ignorere kontrolresultaterne ved beslutningen, men indsamler information og statistik om gennemførte kontroller, mens handlingen Enforce tager højde for resultaterne af de gennemførte kontroller ved at træffe den endelige beslutning, men fortsætter med at udføre alle test, som systemadministratoren har planlagt.
Det enkle arbejdsprincip betyder ikke en simpel brug og opsætning. Problemet er, at en forkert konfigureret Postscreen kan være årsagen til, at vigtige e-mails til virksomheden ikke når frem til modtageren. Derfor er det nødvendigt at tilgå opsætningen af et så kraftfuldt værktøj som Postscreen med stor forsigtighed og konstant teste det i forskellige situationer.
Postscreen er som standard aktiveret i Zimbra, men mange kan være utilfredse med den oprindelige konfiguration. Nu vil vi se på den sikreste og mest risikofrie opsætningsmulighed for Postscreen. Essensen er, at efter en fejlslagning i nogen af kontrollerne, vil Postscreen ikke bare bryde forbindelsen med klienten, men vil gennemføre alle kontroller til ende. I det tilfælde, at disse kontroller fejler, vil der blive givet en fejlmeddelelse. Dette gør det muligt at informere en levende afsender om, at e-mailen ikke blev leveret, hvis Postscreen opfatter den som spam. Dette opnås ved at indstille værdien 'enforce' i kontrollens parametre. Det er netop denne værdi, der tillader at fuldføre igangværende kontroller til slutningen uden at bryde forbindelsen med klienten ved første fejlslagning, men alligevel blokere e-mailen, der er spam, uden at levere den til serveren.
For at aktivere de nødvendige kontroller skal følgende kommandoer indtastes:
zmprov mcf zimbraMtaPostscreenDnsblSites ‘b.barracudacentral.org=127.0.0.2*7’ zimbraMtaPostscreenDnsblSites ‘zen.spamhaus.org=127.0.0.[10;11]*8’ zimbraMtaPostscreenDnsblSites ‘zen.spamhaus.org=127.0.0.[4..7]*6’ zimbraMtaPostscreenDnsblSites ‘zen.spamhaus.org=127.0.0.3*4’ zimbraMtaPostscreenDnsblSites ‘zen.spamhaus.org=127.0.0.2*3’
Denne kommando tilføjer en DNS-kontrol for indkommende forbindelser til to af de mest populære offentlige spam-databaser og vurderer e-mails alt efter hvilken database afsenderens adresse findes i. Jo flere straffestjerner klienten får, jo mere sandsynligt er det, at han er en spammer.
zmprov mcf zimbraMtaPostscreenDnsblAction enforce
Denne kommando bestemmer den handling, der udføres baseret på resultatet af DNS-kontrollen. I dette tilfælde gemmes kontrolresultatet, mens selve e-mailen fortsætter med at gennemgå flere tests.
zmprov mcf zimbraMtaPostscreenGreetAction enforce
Da SMTP-protokollet efter etablering af forbindelse er serveren den første, der indleder kommunikationen med klienten, og derfor kan Postscreen sende en velkomstbesked til klienten. Da mange spam-klienter begynder at sende kommandoer uden at vente på, at velkomstbeskeden er afsluttet, kan de nemt identificeres. Denne kommando tillader at tage højde for resultaterne af denne kontrol, men samtidig fortsætte med at udføre yderligere tests.
zmprov mcf zimbraMtaPostscreenNonSmtpCommandAction drop
I forbindelse med denne kontrol tillader Postscreen at filtrere de forbindelser, der ikke stammer fra mailklienter. Da de ikke sender mails, kan de uden betænkeligheder afbrydes fra serveren.
zmprov mcf zimbraMtaPostscreenPipeliningAction enforce
Denne kontrol er baseret på, at en klient som standard i SMTP-protokollen kun kan sende én kommando ad gangen og derefter vente på serverens svar. Men mange spam-bots opfører sig anderledes og sender flere kommandoer uden at vente på serverens svar. Dette gør det næsten muligt at identificere spam-bots uden fejl.
Grundlæggende set er disse kontroller for Postscreen mere end tilstrækkelige til at filtrere den overvejende del af spam-bots fra serveren og opnå en betydelig reduktion i belastningen på din mailserver. Samtidig vil rigtige personer modtage besked om, at deres mail ikke blev leveret, hvilket betydeligt mindsker risikoen for at miste vigtige mails på grund af Postscreen-indstillingerne. Skulle dette ske, kan du tilføje en pålidelig afsender til Postscreen's whitelist. For at oprette whitelist og blacklist for Postscreen skal en fil først oprettes. /opt/zimbra/conf/postfix/postscreen_wblist.
I denne fil tilføjer vi en liste over tilladte og blokkerede IP-adresser og subnet i CIDR-format. Som eksempel vil vi blokere subnettet 121.144.169.*, men tillade forbindelsen til den eneste IP-adresse fra dette subnet:
# Rules are evaluated in the order as specified.
# Blacklist 121.144.169.* except 121.144.169.196.
121.144.169.196/32 permit
121.144.169.0/24 reject
Vi henleder opmærksomheden på vigtigheden af rækkefølgen af posterne. Postscreen scanner nemlig filen med whitelist og blacklist indtil det første match, og hvis den blokerede subnet står før den tilladte IP-adresse, vil kontrollen simpelthen ikke nå frem til posten om, at denne IP-adresse er tilføjet til whitelist, og forbindelsen til serveren vil ikke finde sted.
Når filen med de hvide og sorte lister er redigeret og gemt, kan den relevante kontrol aktiveres ved hjælp af følgende kommandoer:
zmprov mcf zimbraMtaPostscreenAccessList «permit_mynetworks, cidr:/opt/zimbra/conf/postfix/postscreen_wblist»
zmprov mcf zimbraMtaPostscreenBlacklistAction enforce
Nu vil Postscreen, ud over de kontroller vi allerede har angivet, også konsultere filen med de hvide og sorte lister, hvilket vil gøre det nemmere for administratoren at løse problemer med pålidelige afsendere, der ikke kan oprette forbindelse til serveren.
Kilde: habr.com
