Mail-Bombing gehört zu den ältesten Formen von Cyberangriffen. Im Kern ähnelt es einem herkömmlichen DoS-Angriff, allerdings wird anstelle einer Flut von Anfragen von verschiedenen IP-Adressen ein riesiger Berg von E-Mails an einen einzigen E-Mail-Postfach gesendet, wodurch die Last auf diesem erheblich ansteigt. Ein solcher Angriff kann dazu führen, dass der Zugriff auf das E-Mail-Konto unmöglich wird und in manchen Fällen sogar den gesamten Server zum Absturz bringen kann. Die jahrelange Geschichte dieser Art von Cyberangriffen hat sowohl positive als auch negative Folgen für Systemadministratoren mit sich gebracht. Zu den positiven Aspekten gehören das umfassende Verständnis von Mail-Bombing und die Existenz einfacher Methoden, um sich vor einem solchen Angriff zu schützen. Unter den negativen Aspekten ist die große Anzahl public zugänglicher Softwarelösungen für derartige Angriffe und die Möglichkeit für Angreifer, sich effektiv vor Entdeckung zu schützen, zu nennen.
Eine wesentliche Eigenschaft dieses Cyberangriffs ist, dass es nahezu unmöglich ist, daraus Profit zu schlagen. Ein Angreifer hat beispielsweise einen der E-Mail-Postfächer mit einer Flut von E-Mails überlastet, was einer Person das ordnungsgemäße Nutzen ihrer E-Mail-Adresse unmöglich machte. Oder der Angreifer hat ein Unternehmens-E-Mail-Konto gehackt und damit massenhaft E-Mails an das gesamte GAL versendet. In der Folge ist der Server entweder abgestürzt oder so stark verlangsamt, dass er unbenutzbar wurde. Was passiert dann? Es ist nahezu unmöglich, ein solches Cyberverbrechen in echtes Geld umzuwandeln. Daher ist reines Mail-Bombing gegenwärtig eine ziemlich seltene Erscheinung, und Systemadministratoren könnten bei der Planung ihrer Infrastruktur einfach vergessen, dass sie sich gegen solche Cyberangriffe absichern sollten.
Dennoch, obwohl Mail-Bombing an sich aus kommerzieller Sicht eine eher sinnlose Tätigkeit darstellt, ist es häufig Teil von anderen, komplexeren und mehrstufigen Cyberangriffen. So verwenden Angreifer beim Hacken von E-Mail-Konten diese oft, um Konten bei öffentlichen Diensten zu übernehmen. Sie "bomben" das E-Mail-Postfach des Opfers mit bedeutungslosen Nachrichten, sodass wichtige Bestätigungs-E-Mails im Nachrichtenfluss untergehen und übersehen werden. Mail-Bombing kann auch als Mittel wirtschaftlichen Drucks auf ein Unternehmen eingesetzt werden. Eine intensive Bombardierung des öffentlichen E-Mail-Postfachs eines Unternehmens, das Anfragen von Kunden erhält, kann die Bearbeitung erheblich erschweren und somit zu Maschinenausfällen, unerfüllten Aufträgen sowie einem Verlust an Reputation und entgangenen Einnahmen führen.
Deshalb sollte ein Systemadministrator die Möglichkeit von Mailbombing nicht aus den Augen verlieren und stets die nötigen Maßnahmen zum Schutz vor dieser Bedrohung ergreifen. Angesichts der Tatsache, dass dies bereits in der Planungsphase der E-Mail-Infrastruktur erfolgen kann und zudem nur wenig Zeit und Aufwand erfordert, gibt es objektiv keine Gründe, seine Infrastruktur nicht gegen Mailbombing zu schützen. Schauen wir uns an, wie der Schutz vor dieser Cyberattacke in der Zimbra Collaboration Suite Open-Source Edition umgesetzt ist.
Zimbra basiert auf Postfix, einem der zuverlässigsten und funktionsreichsten Open-Source-Mail-Transfer-Agenten. Eines der größten Vorteile seiner Offenheit ist die Unterstützung einer Vielzahl von Drittanwendungen zur Erweiterung der Funktionen. Insbesondere unterstützt Postfix vollständig cbpolicyd, ein fortschrittliches Tool zur Gewährleistung der Cybersicherheit des Mailservers. Neben dem Schutz vor Spam und der Erstellung von Weiß-, Schwarz- und Grauen Listen ermöglicht cbpolicyd dem Zimbra-Administrator, die Überprüfung der SPF-Signatur einzurichten und Einschränkungen für den Empfang und Versand von E-Mails oder Daten festzulegen. Damit kann nicht nur ein zuverlässiger Schutz vor Spam und Phishing-E-Mails gewährleistet werden, sondern auch der Server vor Mail-Bombing-Angriffen geschützt werden.
Das erste, was vom Systemadministrator erforderlich ist, ist die Aktivierung des Moduls cbpolicyd, das in Zimbra Collaboration Suite OSE auf dem MTA-Server der Infrastruktur vorinstalliert ist. Dies geschieht mit dem Befehl zmprov ms `zmhostname` +zimbraServiceEnabled cbpolicyd. Anschließend muss das Webinterface aktiviert werden, um cbpolicyd bequem verwalten zu können. Hierzu müssen Verbindungen am Webport Nummer 7780 erlaubt werden, indem ein symbolischer Link mit dem Befehl ln -s /opt/zimbra/common/share/webui /opt/zimbra/data/httpd/htdocs/webui, und dann die Konfigurationsdatei mit dem Befehl nano /opt/zimbra/data/httpd/htdocs/webui/includes/config.php:
$DB_DSN='sqlite:/opt/zimbra/data/cbpolicyd/db/cbpolicyd.sqlitedb';
$DB_USER='root';
$DB_TABLE_PREFIX='';
Nach dieser Konfiguration bleibt es nur noch, die Dienste Zimbra und Zimbra Apache mit den Befehlen zmcontrol restart und zmapachectl restart neu zu starten. Danach haben Sie Zugriff auf das Webinterface unter der Adresse :7780/webui/index.php. Ein wichtiger Hinweis ist, dass der Zugriff auf dieses Webinterface derzeit nicht geschützt ist. Um zu verhindern, dass unbefugte Personen darauf zugreifen, sollten Sie nach jedem Login einfach die Verbindungen am Port 7780 schließen.
Mit E-Mail-Versandquoten, die durch cbpolicyd eingerichtet werden können, lässt sich der aus dem internen Netzwerk kommende Zustrom von E-Mails effektiv kontrollieren. Diese Quoten ermöglichen es, eine Obergrenze für die maximale Anzahl an E-Mails festzulegen, die von einem Postfach innerhalb eines bestimmten Zeitraums versendet werden dürfen. Wenn beispielsweise die Manager Ihres Unternehmens durchschnittlich 60-80 E-Mails pro Stunde senden, könnte man ihnen, mit etwas Sicherheitsspielraum, eine Quote von 100 E-Mails pro Stunde zuweisen. Um eine solche Quote vollständig auszuschöpfen, müssten die Manager im Durchschnitt alle 36 Sekunden eine E-Mail versenden. Dies reicht einerseits aus, um effektiv zu arbeiten, und verhindert andererseits, dass Angreifer, die Zugriff auf das E-Mail-Konto eines Ihrer Manager erhalten haben, eine Mail-Bombardierung oder eine massive Spam-Attacke auf das Unternehmen starten.
Um eine solche Quota festzulegen, müssen Sie im Web-Interface eine neue Richtlinie zur Einschränkung des E-Mail-Versands erstellen und angeben, dass sie sowohl für E-Mails gilt, die innerhalb der Domain gesendet werden, als auch für E-Mails, die an externe Adressen gesendet werden. Dies geschieht wie folgt:
Anschließend können Sie die Einschränkungen im Zusammenhang mit dem E-Mail-Versand detaillierter festlegen, insbesondere den Zeitrahmen angeben, nach dem die Einschränkungen aktualisiert werden, sowie die Nachricht, die ein Benutzer erhält, der sein Limit überschreitet. Danach können Sie auch die Einschränkung für den E-Mail-Versand festlegen. Diese kann sowohl als Anzahl der ausgehenden E-Mails als auch als Datenmenge angegeben werden, die übertragen werden darf. In Bezug auf die E-Mails, die über das festgelegte Limit hinaus gesendet werden, gibt es verschiedene Optionen. Beispielsweise können sie sofort gelöscht oder aufbewahrt werden, sodass sie unmittelbar nach der Aktualisierung des Limits für den E-Mail-Versand gesendet werden. Die zweite Option kann während der Ermittlung des optimalen Wertes für das E-Mail-Versandlimit durch die Mitarbeiter genutzt werden.
Neben den Einschränkungen beim Versand von E-Mails ermöglicht es cbpolicyd, ein Limit für den Empfang von E-Mails festzulegen. Diese Einschränkung mag auf den ersten Blick eine ausgezeichnete Lösung zum Schutz vor Mailbombing sein. In der Praxis kann jedoch selbst eine großzügige Begrenzung dazu führen, dass wichtige Nachrichten unter bestimmten Umständen nicht bei Ihnen ankommen. Aus diesem Grund wird dringend davon abgeraten, Beschränkungen für eingehende E-Mails einzurichten. Sollten Sie jedoch dennoch das Risiko eingehen, ist es wichtig, die Einstellung des Limits für eingehende Nachrichten mit besonderer Sorgfalt vorzunehmen. Beispielsweise könnte man die Anzahl der eingehenden E-Mails von vertrauenswürdigen Partnern begrenzen, um im Falle einer Kompromittierung ihres E-Mail-Servers zu verhindern, dass von dort eine Spam-Attacke auf Ihr Unternehmen erfolgt.
Um sich vor der Flut eingehender Nachrichten durch E-Mail-Bombardierung zu schützen, sollte der Systemadministrator etwas intelligenteres unternehmen als nur eine einfache Begrenzung des eingehenden E-Mail-Verkehrs. Eine geeignete Lösung könnte der Einsatz von Greylisting sein. Das Prinzip funktioniert so, dass bei dem ersten Versuch, eine Nachricht von einem nicht vertrauenswürdigen Absender zuzustellen, die Verbindung zum Server abrupt unterbrochen wird, wodurch die Zustellung der E-Mail fehlschlägt. Sollte der nicht vertrauenswürdige Server jedoch innerhalb eines bestimmten Zeitraums erneut versuchen, die gleiche E-Mail zu senden, wird die Verbindung nicht abgebrochen und ihre Zustellung erfolgt erfolgreich.
Der Sinn all dieser Maßnahmen besteht darin, dass Programme für automatisierte Massene-Mail-Versand in der Regel nicht überprüfen, ob die gesendete Nachricht erfolgreich zugestellt wurde, und keine weiteren Zustellversuche unternehmen. Im Gegensatz dazu wird eine Person mit Sicherheit überprüfen, ob ihre E-Mail zugestellt wurde oder nicht.
Graue Listen können auch über die Weboberfläche von cbpolicyd aktiviert werden. Damit alles funktioniert, muss eine Richtlinie erstellt werden, die alle eingehenden E-Mails erfasst, die an Nutzer auf unserem Server adressiert sind. Auf Grundlage dieser Richtlinie sollte eine Greylisting-Regel erstellt werden, in der der Zeitraum festgelegt wird, währenddessen cbpolicyd auf eine erneute Antwort von unbekannten Absendern wartet. Dieser Zeitraum beträgt normalerweise 4-5 Minuten. Dabei können die grauen Listen so konfiguriert werden, dass sowohl erfolgreiche als auch erfolglose Zustellversuche von verschiedenen Absendern berücksichtigt werden, und basierend auf deren Anzahl entschieden wird, ob der Absender automatisch in die weiße oder schwarze Liste aufgenommen wird.
Wir möchten darauf hinweisen, dass der Einsatz von grauen Listen mit größter Verantwortung angegangen werden sollte. Am sinnvollsten ist es, wenn diese Technik Hand in Hand mit der kontinuierlichen Pflege von weißen und schwarzen Listen genutzt wird, um die Möglichkeit des Verlusts tatsächlich wichtiger E-Mails für das Unternehmen auszuschließen.
Zusätzlich kann der Schutz vor Mail-Bombing durch das Hinzufügen von SPF, DMARC und DKIM Überprüfungen gestärkt werden. Oft bestehen die Mails, die im Rahmen von Mail-Bombing eintreffen, diese Prüfungen nicht. Wie dies zu realisieren ist, wurde .
Somit ist es recht einfach, sich vor einer Bedrohung wie Mail-Bombing zu schützen, und dies kann bereits in der Phase des Aufbaus der Zimbra-Infrastruktur für Ihr Unternehmen erfolgen. Es ist jedoch wichtig, stets darauf zu achten, dass die Risiken durch die Nutzung eines solchen Schutzes niemals die Vorteile, die Sie erhalten, übersteigen.
Quelle: habr.com
