Az elektronikus levelezés alapvetően megalapozta a hivatalos kommunikáció standardját. Az elektronikus levelek magas gazdasági hatékonysága és a szöveg idézésével, valamint a mellékletek csatolásával kapcsolatos sajátosságok miatt a levelek tökéletesen alkalmasak az iratok cseréjére és a udvarias üzleti kommunikációra. Ezek a sajátosságok az okai annak is, hogy a spammerek miért szerették meg az elektronikus levelezést. Ennek következtében napjainkban az elektronikus levelezés hatalmas, zűrzavaros spam-óceánná vált, ahol csak ritkán találkozhatunk üzleti levelekkel. Éppen ezért bármely levelezőszerver adminisztrátorának egyik elsődleges feladata a spam-küldések elleni védelem. Nézzük meg, mit tehetünk ezzel a Zimbra Collaboration Suite Open-Source Editionben.
A Zimbra OSE ingyenessége ellenére rendkívül hatékony eszközöket kínál a rendszergazdák számára a nem kívánt levelek problémájának megoldására. Már írtunk olyan programokról, mint az Amavis, SpamAssassin, ClamAV és a cbpolicyd, amelyek megbízhatóan kiszűrik a bejövő leveleket, eltávolítva a spam-küldeményeket, valamint a fertőzött és adathalász leveleket. Azonban kulcsszempontjuk a hátrányuk, hogy mindannyian a már megkapott levelekkel dolgoznak, és a felesleges üzenetek kiszűrésére rendszererőforrásokat használnak, amelyeket mindig sokkal jobban lehetne alkalmazni. De mi van, ha a vállalata a figyelmébe került egy nagy botnetnek, amely folyamatosan akkora mennyiségű kéretlen levelet küld az Ön levelezőszerverére, hogy ezek kiszűrésére az MTA teljesítményének jelentős része elmegy?
Elméletileg meg lehet védeni magunkat ettől egy felhőszolgáltatás igénybevételével, amely a bejövő levelek szűrésére szolgál, de a gyakorlatban ez a védelmi módszer messze nem minden vállalkozás számára alkalmas. Hiszen ebben az esetben harmadik felekre kell bízni nemcsak a spam, hanem az üzleti levelezés feldolgozását is, ami nem mindig biztonságos, sőt gyakran közvetlenül ellentmond a vállalat biztonsági politikájának. Ezen kívül kockázatok is felmerülnek a felhőszolgáltatás megbízhatóságával kapcsolatban. A helyzet megoldása lehet a szerver védelmének megszervezése saját erőből. E célok érdekében a Zimbra-ba integrálták a Postscreen segédprogramot, amely a levelező szerver védelmét szolgálja a botnetek által küldött levelektől, anélkül hogy megterhelné a levelező szervert.
A Postscreen működésének lényege, hogy ez a segédprogram átvizsgálja az összes csatlakozási kérést a levelezőhöz, szerverhez és nem engedi csatlakozni hozzá a gyanúsnak tűnő ügyfeleket. Mivel a statisztikák szerint a világon a spam körülbelül 90%-át botnetek küldik, a Postscreen-t gyakran használják a levelező szerver védelmének első fokozataként a nem kívánt levélszűrések ellen. Ennek köszönhetően a levelező szerver stabilan működhet túlterhelés nélkül, még a nagyobb botnetek által indított erős spam támadások alatt is.
A Postscreen működési elve meglehetősen egyszerű, a segédprogram képes a bejövő levelek egyszerűbb ellenőrzéseinek elvégzésére, mielőtt azokat átadná a levelező szervernek vagy más szolgáltatásoknak, amelyek mélyebb és részletesebb ellenőrzést végeznek a bejövő leveleken. Minden egyes ellenőrzést ennek megfelelően el lehet végezni, vagy el lehet mulasztani. Az egyes ellenőrzések eredményei alapján a Postscreen végezhet az Zimbra adminisztrátorának választása szerint három lehetséges művelet közül, Eldobás, Figyelmen kívül hagyás vagy Kényszerítés. A művelet Eldobás kényszeríti a csatlakozást megszakítására az ügyféllel, ha az ellenőrzés nem teljesült, a művelet Figyelmen kívül hagyás lehetővé teszi az ellenőrzési eredmények figyelmen kívül hagyását a végső döntés meghozatala során, de közben információt és statisztikát gyűjt a végzett ellenőrzésekről. A művelet Kényszerítés lehetővé teszi az elvégzett ellenőrzések eredményeinek figyelembevételét a végső döntés meghozatalakor, ugyanakkor folytatja az összes teszt végrehajtását, amelyet a rendszeradminisztrátor tervezett.
Az egyszerű működési elv nem jelenti azt, hogy használata és beállítása is egyszerű. Az a helyzet, hogy a nem megfelelően konfigurált Postscreen az oka lehet annak, hogy számos, az üzlet számára fontos levél nem jut el a címzetthez. Ezért a Postscreen nevű erőteljes eszköz beállítását nagy körültekintéssel kell végezni, és folyamatosan tesztelni kell annak viselkedését különböző helyzetekben.
A Postscreen a Zimbra rendszerében alapértelmezetten engedélyezve van, de sokak számára az alapértelmezett konfiguráció nem megfelelő. Most a legbiztonságosabb és a kockázatok nélküli beállítási lehetőséget fogjuk megvizsgálni. Ennek lényege, hogy ha bármelyik ellenőrzés megbukik, a Postscreen nem szakítja meg azonnal a kapcsolatot az ügyféllel, hanem végigvezeti az összes ellenőrzést, és abban az esetben, ha ezek az ellenőrzések megbuknak, hibaüzenetet ad. Ez lehetővé teszi, hogy egy élő feladót értesítsen a levél kézbesítésének hiányáról, ha a Postscreen spamként azonosítja azt. Ezt az ellenőrzések paramétereiben az enforce érték beállításával érjük el. Ez az érték lehetővé teszi, hogy az elindított ellenőrzéseket végigcsináljuk, anélkül hogy azonnal megszakítanánk a kapcsolatot az ügyféllel az első hiba alapján, de annak befejezését követően mégis blokkolja a spam levelet, nem engedve azt a szerverre.
A szükséges ellenőrzések engedélyezéséhez a következő parancsokat kell beírni:
zmprov mcf zimbraMtaPostscreenDnsblSites 'b.barracudacentral.org=127.0.0.2*7' zimbraMtaPostscreenDnsblSites 'zen.spamhaus.org=127.0.0.[10;11]*8' zimbraMtaPostscreenDnsblSites 'zen.spamhaus.org=127.0.0.[4..7]*6' zimbraMtaPostscreenDnsblSites 'zen.spamhaus.org=127.0.0.3*4' zimbraMtaPostscreenDnsblSites 'zen.spamhaus.org=127.0.0.2*3'
Ez a parancs lehetővé teszi a bejövő kapcsolatok DNS-ellenőrzésének hozzáadását a legnépszerűbb nyilvános spam adatbázisok szerint, és az e-mailek rangsorolását attól függően, hogy a feladó címe melyik adatbázisban található. Minél több büntető 'csillagot' kap az ügyfél, annál valószínűbb, hogy spammer.
zmprov mcf zimbraMtaPostscreenDnsblAction enforce
Ez a parancs határozza meg azt a műveletet, amelyet a DNS-ellenőrzés eredménye alapján hajtanak végre. Ebben az esetben az ellenőrzés eredménye rögzítésre kerül, míg a levél folytatja a további teszteket.
zmprov mcf zimbraMtaPostscreenGreetAction enforce
Mivel az SMTP protokollban a szerver kezdi a kommunikációt az ügyféllel a közvetlen kapcsolat után, ezért a Postscreen üdvözlést küldhet az ügyfélnek. Sok spamkliens, a köszöntés befejezése előtt parancsokat küld, így könnyen azonosíthatók. Ez a parancs lehetővé teszi a vizsgálat eredményeinek figyelembevételét, ugyanakkor további tesztek elvégzését is biztosít.
zmprov mcf zimbraMtaPostscreenNonSmtpCommandAction drop
Ezek keretein belül a Postscreen lehetővé teszi azoknak a kapcsolatoknak a kiszűrését, amelyek nem levelezőkliensből származnak. Mivel nem küldenek leveleket, magabiztosan leválaszthatók a szerverről.
zmprov mcf zimbraMtaPostscreenPipeliningAction enforce
Ez a vizsgálat a SMTP protokoll alapértelmezett működésén alapul, amely szerint az ügyfél csak egy parancsot küldhet egyszerre, majd várni kell a szerver válaszára. Sok spam-bot azonban másképp működik, számos parancsot küld, anélkül, hogy várna a válaszra. Ez lehetővé teszi, hogy szinte hibátlanul azonosítsuk a spam-botokat.
Elméletileg ezek a vizsgálatok a Postscreen számára elegendőek ahhoz, hogy kiszűrjék a legtöbb spam-botot a szerverről, és jelentős terheléscsökkentést érjenek el a levelezőszerveren. Ezenkívül az élő felhasználók értesítést kapnak arról, hogy leveleik nem kerültek kézbesítésre, ami jelentősen csökkenti a fontos üzenetek elvesztésének kockázatát a Postscreen beállításai miatt. Amennyiben ez megtörténik, megbízható feladót adhat a Postscreen fehérlistájához. A Postscreen fehér- és feketelista létrehozásához először létre kell hozni egy fájlt /opt/zimbra/conf/postfix/postscreen_wblist.
Ide fogjuk hozzáadni a megengedett és tiltott IP-címek és alhálózatok listáját CIDR táblázat formátumban. Például blokkoljuk a 121.144.169.* alhálózatot, de engedélyezzük a IP-cím mostani alhálózaton belül:
# Rules are evaluated in the order as specified.
# Blacklist 121.144.169.* except 121.144.169.196.
121.144.169.196/32 permit
121.144.169.0/24 reject
Hívjuk fel figyelmét a bejegyzések sorrendjének fontosságára. A Postscreen a fehér- és feketelista fájlt az első egyezésig fogja átnézni, és ha a blokkolt alhálózat megelőzi a megengedett IP-címet, akkor a vizsgálat nem jut el a fehérlistás bejegyzéshez, ami megakadályozza a kapcsolódást a szerverhez.
Miután a fájl a fehér és fekete listákkal szerkesztve és elmentve, aktiválható a megfelelő ellenőrzés a következő parancsok segítségével:
zmprov mcf zimbraMtaPostscreenAccessList «permit_mynetworks, cidr:/opt/zimbra/conf/postfix/postscreen_wblist»
zmprov mcf zimbraMtaPostscreenBlacklistAction enforce
Mostantól a Postscreen, a már megadott ellenőrzések mellett, a fehér és fekete listákat tartalmazó fájlhoz is folyamodik, ami lehetővé teszi az adminisztrátor számára, hogy viszonylag könnyen megoldja a megbízható küldőkhez való csatlakozási problémákat.
Forrás: habr.com
