Zimbra ja serveri koormuse kaitse

E-posti on kujunenud tugevalt äritegevuse suhtluse standardiks. Tänu e-kirjade kõrgele majanduslikule efektiivsusele ning tekstide tsiteerimise ja manuste lisamise võimele sobivad need ideaalselt dokumentide vahetamiseks ja viisakaks äritegevuseks. Just need omadused on muutnud e-posti spämmijate lemmikuks. Seetõttu esindab tänapäeva e-post tohutut tormilist spämmi ookeani, kus äriteateid kohtab harva. Seepärast on iga postiserveri administraatori üheks peamiseks ülesandeks kaitsta end spämmi saatmisest. Vaadakem lähemalt, mida saab Zimbra Collaboration Suite Open-Source Editioniga selle probleemiga ette võtta.

Kuigi Zimbra OSE on tasuta lahendus, suudab see pakkuda süsteemiadministraatorile mitmeid äärmiselt tõhusaid tööriistu soovimatute kirjade probleemide lahendamiseks. Oleme juba kirjutanud sellistest utiliitidest nagu Amavis, SpamAssassin, ClamAV ja cbpolicyd, mis võimaldavad usaldusväärselt filtreerida sissetulevat postkasti, kõrvale suunates rämpspostitusi, samuti nakatunud ja petturlikke kirju. Siiski on nende peamine puudus see, et kõik need töötavad juba saadud postisõnumitega ja raiskavad filtreerimiseks süsteemiressursse, mille jaoks on alati võimalik leida palju paremat kasutust. Aga mis siis, kui teie ettevõte satub suure robotite võrgustiku sihikule, mis pidevalt saadab teie postiserverisse nii suuri koguseid rämpsposti, et ainult nende filtreerimiseks kulub suur osa MTA serveri ressurssidest?

Teoreetiliselt on võimalik end kaitsta, kui ühendada pilveteenuse, mis filtreerib sissetulevat postkasti, kuid praktikas ei sobi see kaitsemeetod kaugel kõigi ettevõtete vajadustele, kuna see tähendaks usaldada kolmandatele isikutele mitte ainult rämpsposti, vaid ka äri suhtlemise töötlemist, mis ei ole alati ohutu ning tihti on see ettevõtte turvapoliitikaga otseses vastuolus. Lisaks tekivad riskid, mis on seotud pilvepõhise rämpsposti filtri töökindlusega. Lahenduseks sellele olukorrale võib olla serveri kaitse korraldamine omatehtud lahenduste abil. Just selleks on Zimbra-sse integreeritud Postscreen utiliit, mille eesmärk on kaitsta postiserverit botnetide poolt saadetud kirjade eest, koormamata seejuures postiserverit.

Postscreeni töö eesmärk on selles, et see utiliit vaatab üle kõik ühenduste nõudmised postiserverisse. serverile ja ei luba ühendust luua serveriga klientidele, keda ta kahtlasena peab. Kuna statistika kohaselt saadetakse maailmas umbes 90% rämpspostist just botivõrkude kaudu, kasutatakse Postscreen'i sageli esmase kaitsemeetmena postiserveri jaoks, et vältida soovimatute meilide saatmist. Selle tõttu suudab postiserver stabiilselt töötada ilma ülekoormuseta isegi suurte rämpsposti rünnakute korral.

Postscreen'i tööpõhimõte on üsna lihtne: utiliit suudab enne, kui see edastab meiliserverile või teistele teenustele, mis viivad läbi süvitsi minevamad kontrollid, teha rea lihtsamaid kontrollimisi saabuvate kirjade osas. Iga kontroll võib vastavalt läbida või mitte läbida. Iga kontrolli tulemuste põhjal võib Postscreen rakendada ühte kolmest administraatori Zimbra valitud tegevusest: Langetamine, Ignoreerimine või Sanktsioneerimine. Tegevus Langetamine sunnib ühendust katki, kui kontrollitakse ja see ei ole läbitud, tegevus Ignoreerimine lubab ignoreerida kontrollimise tulemusi lõpliku otsuse tegemisel, kuid samal ajal koguda teavet ja statistikat kontrolle teostamise kohta, ning tegevus Sanktsioneerimine lubab arvestada teostatud kontrollimise tulemusi lõpliku otsuse tegemisel, kuid jätkata kõigi testide läbiviimist, mis on süsteemi administraatori poolt planeeritud.

Lihtne tööpõhimõte ei tähenda sugugi lihtsust kasutamisel ja seadistamisel. Asi on selles, et valesti seadistatud Postscreen võib olla põhjus, miks mitmed ettevõttele olulised kirjad ei jõua adressaadini. Just seetõttu tuleb sellise võimsa tööriista nagu Postscreen seadistamisega läheneda äärmise ettevaatlikkusega ja pidevalt testida selle käitumist erinevates olukordades.

Postscreen on Zimbra on algselt aktiveeritud, kuid paljusid võib originaalne konfiguratsioon rahuldada. Nüüd vaatame parimat seadistust turvalisuse ja riskide puudumise seisukohalt Postscreenile. Selle idee seisneb selles, et pärast mõne kontrolli ebaõnnestumist ei katkesta Postscreen kohe ühendust kliendiga, vaid viib kõik kontrollid lõpuni ja juhul, kui need on ebaõnnestunud, annab veateate. See võimaldab teavitada reaalset saatjat e-kirja mitte kohalejõudmisest, juhul kui Postscreen peab seda rämpspostiks. Seda saavutatakse kontrollide läbiviimise seadete väärtuse enforce seadistamisega. Just see väärtus võimaldab juba alustatud kontrollid lõpuni viia, katkestamata samas ühendust kliendiga esimese ebaõnnestumise korral, kuid nende lõpetamisel blokeerida ikkagi rämpspost, mitte toimetades seda serverisse.

Nõutud kontrollide aktiveerimiseks tuleb sisestada järgmised käsud:

zmprov mcf zimbraMtaPostscreenDnsblSites ‘b.barracudacentral.org=127.0.0.2*7’ zimbraMtaPostscreenDnsblSites ‘zen.spamhaus.org=127.0.0.[10;11]*8’ zimbraMtaPostscreenDnsblSites ‘zen.spamhaus.org=127.0.0.[4..7]*6’ zimbraMtaPostscreenDnsblSites ‘zen.spamhaus.org=127.0.0.3*4’ zimbraMtaPostscreenDnsblSites ‘zen.spamhaus.org=127.0.0.2*3’

See käsk võimaldab lisada DNS-kontrolli sissetulevatele ühendustele kahe kõige populaarsema avaliku rämpsposti andmebaasi jaoks ja hinnata kirju sõltuvalt sellest, milles andmebaasis saatja aadress leitakse. Mida rohkem karistusmärke kliendile antakse, seda tõenäolisem on, et ta on rämpspostitaja.

zmprov mcf zimbraMtaPostscreenDnsblAction enforce

Selle käsuga määratakse tegevus, mida tehakse pärast DNS-kontrolli läbimist. Antud juhul salvestatakse kontrolli tulemus ja kiri jätkab edasiste testide läbimist.

zmprov mcf zimbraMtaPostscreenGreetAction enforce

SMP-protokollis alustab server pärast otsest ühendust suhtlemist kliendiga ning seetõttu saab Postscreen saata kliendile tervituse. Kui paljud rämpsposti kliendid, ootamata tervituse lõppu, hakkavad käske saatma, on neid lihtne tuvastada. See käsk võimaldab arvesse võtta selle kontrolli tulemusi, jätkates samal ajal edasiste testide tegemist.

zmprov mcf zimbraMtaPostscreenNonSmtpCommandAction drop

Selles kontrollis võimaldab Postscreen filtreerida ühendusi, mis ei pärine e-posti klientidelt. Kuna nad ei saada e-kirju, saab neid serverist julgelt välja lülitada.

zmprov mcf zimbraMtaPostscreenPipeliningAction enforce

See kontroll põhineb eeldusel, et SMTP-protokollis saab klient vaikimisi saata ainult ühe käsu ja seejärel oodata serverilt vastust sellele käsule. Kuid paljud rämpsposti botid käituvad teisiti, saates palju käske, ootamata serverilt vastust. See võimaldab praktiliselt veatult rämpsposti boti tuvastada.

Põhimõtteliselt on nende Postscreen'i kontrollide andmed rohkem kui piisavad, et peaaegu kõik spambotid serverist kõrvaldada ja saavutada märkimisväärne koormuse vähenemine teie postiserveris. Samuti saavad elavad inimesed teate, et nende kiri ei olnud edastatud, mis vähendab oluliselt oluliste kirjade kadumise riski Postscreen'i seadistuste tõttu. Kui see juhtub, saate usaldusväärse saatja lisada Postscreen'i valgesse nimekirja. Postscreen'i valgete ja mustade nimekirjade loomiseks peate esmalt looma faili /opt/zimbra/conf/postfix/postscreen_wblist.

Siia lisame lubatud ja keelatud IP-aadresside ning alamvõrkude loendi CIDR-tabeli formaadis. Näiteks blokeerime alamvõrgu 121.144.169.*, kuid lubame ühenduse ainukesele IP-aadressi selle alamvõrgu aadressile:

# Rules are evaluated in the order as specified.
# Blacklist 121.144.169.* except 121.144.169.196.
121.144.169.196/32 lubatud
121.144.169.0/24 keelatud

Tuletame tähelepanu järjekorra tähtsusele nimekirjades. Postscreen skaneerib valge ja musta nimekirja faili esimese vastavuse leidmiseni. Kui blokeeritud alamsubnet on enne lubatud IP-aadressi, ei jõua kontroll kirje juurde, et näidata, et see IP-aadress on valge nimekirja lisatud, ja seetõttu ei toimu ühendust serveriga.

Kui valge ja musta nimekirja faili on redigeeritud ja salvestatud, saab vastava kontrolli aktiveerida järgmiste käskudega:

zmprov mcf zimbraMtaPostscreenAccessList «permit_mynetworks, cidr:/opt/zimbra/conf/postfix/postscreen_wblist»
zmprov mcf zimbraMtaPostscreenBlacklistAction enforce

Nüüd hakkab Postscreen, lisaks meie määratud kontrollidele, uurima ka valge ja musta nimekirja faili, mis võimaldab administraatoril piisavalt lihtsalt lahendada usaldusväärsete saatjate serverisse ühendamise probleeme.

Allikas: habr.com