Zimbra ja serveri kaitse ülekormusest

E-post on kindlalt kinnistunud äri kommunikatsiooni standardina. Tänu e-kirjade kõrgele majanduslikule tõhususele ning tekstide tsiteerimise ja manuste lisamisega seotud omadustele sobib e-post rohkem kui hästi dokumentide vahetamise ja viisakate äri suhtlemise universaalse vahendina. Need omadused on aga ka põhjus, miks e-post on spämmi koostajate seas nii populaarne. Seetõttu on tänapäeval e-post suur tormine spämmi ookean, kus äri kirjad on vaid haruldased. Seetõttu on iga e-posti serveri administraatori üks peamisi ülesandeid kaitsta spämmi saatmise vastu. Vaatame, mida saab selle nimel Zimbra Collaboration Suite Open-Source Editionis ette võtta.

Hoolimata lahenduse tasuta olemisest suudab Zimbra OSE pakkuda süsteemiadministraatorile hulga äärmiselt tõhusaid tööriistu soovimatute kirjade probleemide lahendamiseks. Oleme juba kirjutanud sellistest tööriistadest nagu Amavis, SpamAssassin, ClamAV ja cbpolicyd, mis võimaldavad usaldusväärselt filtreerida sissetulevat posti, eraldades spämmi, samuti nakatunud ja fishingu kirjad. Siiski on nende peamine puudus see, et kõik nad töötavad juba vastuvõetud postisõnumitega ja kulutavad filtreerimisele süsteemiressursse, mida on alati võimalik paremini rakendada. Kuid mis siis, kui teie ettevõte on sattunud suurte botnetide sihikule, mis pidevalt toob teie e-posti serverisse nii suuri koguseid rämpspostit, et nende filtreerimiseks kulub suurem osa MTA serveri võimetest?

Teoreetiliselt saab end sellest kaitsta, ühendades pilveteenuse sissetuleva posti filtreerimiseks, kuid praktikas ei sobi see kaitsemeetod kaugeltki iga ettevõtte jaoks, sest sellisel juhul tuleb usaldada kolmandatele osapooltele mitte ainult rämpsposti, vaid ka ärikirjade töötlemist, mis ei pruugi alati olla ohutu ja sageli on see vastuolus ettevõtte turvapoliitikaga. Lisaks tekivad riskid, mis on seotud pilvepõhise rämpsposti filtri töö usaldusväärsusega. Lahenduseks sellele olukorrale võib olla serveri kaitse korraldamine enda jõududega. Nende eesmärkide jaoks on Zimbra sisse ehitanud Postscreeni utiliidi, mis on loodud kaitsma meiliserverit botnetide saadetud kirjade eest, koormamata samas meiliserverit.

Postscreeni tööpõhimõte seisneb selles, et see utiliit kontrollib kõiki ühenduse päringuid meiliserverisse serveri ja ei luba ühendust luua serveriga klientidel, kes on talle kahtlased. Kuna statistika kohaselt saadetakse maailmas umbes 90% rämpspostist just botnetide kaudu, kasutatakse Postscreeni sageli kui esimest kaitseastet meiliserveri kaitsmiseks soovimatute meilisadete eest. Tänu sellele võib meiliserver stabiilselt toimida ilma ülekoormuseta isegi suurte botnetide intensiivsete rämpsposti rünnakute tingimustes.

Postscreeni tööpõhimõte on üsna lihtne, utiliit suudab läbi viia ridade kontrollimist sissetulevate kirjade eel, enne kui edastada need meiliserverile või teistele teenustele, mis viivad läbi süvitsi minevama ja üksikasjalikuma kontrolli sissetulevate kirjade üle. Iga kontroll võib vastavalt olla läbitud või mitte läbitud. Iga kontrolli tulemuste põhjal saab Postscreen rakendada ühte kolmest Zimbra administraatori valitud tegevusest: Drop, Ignore või Enforce. Tegevus Drop katkestab ühenduse kliendiga, kui kontroll ei ole läbitud, tegevus Ignore lubab ignoreerida kontrolli tulemusi lõpptulemuse tegemisel, kuid samas koguda teavet ja statistikat läbiviidud kontrollide kohta, ning tegevus Enforce võtab arvesse läbiviidud kontrollide tulemusi lõpptulemuse tegemisel, kuid samas jätkab kõigi süsteemiadministraatori plaanitud testide läbiviimist.

Lihtne tööpõhimõte ei tähenda sugugi, et kasutamine ja seadistamine oleks lihtne. Asi on selles, et vale konfiguratsioon Postscreenis võib põhjustada, et mitmed ettevõtte jaoks tähtsad kirjad ei jõua saajani. Seetõttu tuleb sellise võimsa tööriista nagu Postscreen seadistamisele läheneda suure ettevaatlikkusega ja pidevalt seda erinevates olukordades testida.

Postscreen Zimbras on algselt sisse lülitatud, kuid paljusid võib algne konfiguratsioon mitte rahuldada. Vaatame nüüd kõige turvalisemat ja riskivaba Postscreeni seadistamisvarianti. Selle olemus seisneb selles, et kui mõni kontrollidest ebaõnnestub, siis Postscreen ei katkesta side kliendiga ilma arutelu, vaid viib kõik kontrollid lõpuni ja juhul, kui need ebaõnnestuvad, annab vea teate. See võimaldab elu saatjale teavitada, et kiri pole kohale jõudnud, juhul kui Postscreen peab seda rämpsuks. Seda saavutatakse kontrollide läbiviimise parameetrites enforce väärtuse seadistamisega. Just see väärtus võimaldab algatatud kontrollid lõpuni viia, katkestamata seost kliendiga esimese ebaõnnestumise korral, kuid siiski blokeerida rämpskirja, mitte lastes seda serverisse.

Nõutud kontrollide aktiveerimiseks tuleb sisestada järgmised käsklused:

zmprov mcf zimbraMtaPostscreenDnsblSites ‘b.barracudacentral.org=127.0.0.2*7’ zimbraMtaPostscreenDnsblSites ‘zen.spamhaus.org=127.0.0.[10;11]*8’ zimbraMtaPostscreenDnsblSites ‘zen.spamhaus.org=127.0.0.[4..7]*6’ zimbraMtaPostscreenDnsblSites ‘zen.spamhaus.org=127.0.0.3*4’ zimbraMtaPostscreenDnsblSites ‘zen.spamhaus.org=127.0.0.2*3’

See käsk võimaldab lisada DNS-kontrolli sissetulevatele ühendustele kahe kõige populaarsema avaliku rämpsposti andmebaasi ja hinnata kirju sõltuvalt sellest, millises andmebaasis saadeti aadress leiti. Mida rohkem karistavaid 'tähti' klient kogub, seda tõenäolisem on, et ta on rämpspostitaja.

zmprov mcf zimbraMtaPostscreenDnsblAction enforce

Selle käsklusega määratakse tegevus, mida tehakse DNS-kontrolli tulemuste põhjal. Antud juhul salvestatakse kontrolli tulemus, samas kui kiri läbib edasisi katseid.

zmprov mcf zimbraMtaPostscreenGreetAction enforce

Kuna SMTP-protokollis alustab server suhtlemist kliendiga esimesena, võib Postscreen klientidele tervituse saata. Paljude spam-klientide puhul, kes ei oota tervituse lõpetamist ja hakkavad kohe käsklusi saatma, on neid lihtne tuvastada. See käsklus võimaldab arvesse võtta selle kontrolli tulemusi, jätkates samas edasiste testide teostamist.

zmprov mcf zimbraMtaPostscreenNonSmtpCommandAction drop

Postscreen võimaldab selle kontrolli käigus välja filtreerida ühendused, mis ei tulene postikliendilt. Kuna nad ei saada mingeid kirju, saab neid serverist julgesti välja lülitada.

zmprov mcf zimbraMtaPostscreenPipeliningAction enforce

See kontroll põhineb põhimõttel, et SMTP-protokollis saab klient vaikimisi saata ainult ühe käsu korraga ja siis oodata serveri vastust selle käsu peale. Küll aga käituvad paljud spam-botid teisiti, saatmata mitmeid käske, ootamata serveri vastust. See võimaldab peaaegu veatult spamboti tuvastada.

Tegelikult piisab Postscreeni jaoks nende kontrollide hulgast, et filtreerida serverist välja enamik spam-bote ja saavutada märkimisväärne koormuse vähenemine oma meiliserverile. Samal ajal saavad elavad inimesed teate, et nende kiri ei ole kohaletoimetatud, mis vähendab oluliselt riskitekki oluliste kirjade kadumise osas Postscreeni seadete tõttu. Kui see juhtub, saate usaldusväärse saatja lisada Postscreeni valgesse nimekirja. Postscreeni valge ja musta nimekirja loomiseks tuleb esmalt luua fail. /opt/zimbra/conf/postfix/postscreen_wblist.

Sellesse lisame lubatud ja keelatud IP-aadresside ning alamvõrkude loetelu CIDR-tabeli formaadis. Näiteks blokeerime alamvõrgu 121.144.169.*, kuid lubame ühenduse ühele. IP-aadressile sellelt alamvõrgult:

# Rules are evaluated in the order as specified.
# Blacklist 121.144.169.* except 121.144.169.196.
121.144.169.196/32 permit
121.144.169.0/24 reject

Tuletame meelde kirje järjekorra tähtsust. Asi on selles, et Postscreen skaneerib valge ja musta nimekirja faili kuni esimese vaste leidmiseni ning kui blokeeritud alamvõrk on enne lubatud IP-aadressi, ei jõua kontroll lihtsalt registrisse, et see IP-aadress on lisatud valgesse nimekirja, ja ühendus serveriga ei toimu.

Pärast seda, kui fail valgete ja mustade nimekirjadega on redigeeritud ja salvestatud, saab vastava kontrolli sisse lülitada järgmiste käskude abil:

zmprov mcf zimbraMtaPostscreenAccessList «permit_mynetworks, cidr: /opt/zimbra/conf/postfix/postscreen_wblist»
zmprov mcf zimbraMtaPostscreenBlacklistAction enforce

Nüüd, lisaks juba määratud kontrollidele, suunab Postscreen ka valgete ja mustade nimekirjade failile, mis võimaldab administraatoril suhteliselt lihtsalt lahendada usaldusväärsete saatjate serveriga ühendumise probleeme.

Allikas: habr.com