Il mail bombing è una delle forme più antiche di attacco informatico. Fondamentalmente, è simile a un attacco DoS tradizionale, ma invece di una raffica di richieste da diversi indirizzi IP, un server riceve una valanga di email, che aumenta notevolmente il carico su uno specifico indirizzo di posta elettronica. Questo tipo di attacco può rendere impossibile l'uso della casella di posta e, in alcuni casi, può persino causare il fallimento dell'intero server. La lunga storia di questo tipo di attacchi informatici ha portato a varie conseguenze sia positive che negative per gli amministratori di sistema. Tra i fattori positivi si può citare la buona comprensione del mail bombing e l'esistenza di metodi semplici per proteggersi da questo tipo di attacco. D'altra parte, i fattori negativi includono la grande quantità di soluzioni software disponibili pubblicamente per eseguire questo tipo di attacchi e la possibilità per un malintenzionato di proteggersi adeguatamente da rilevamenti.
Una caratteristica significativa di questo attacco informatico è che è praticamente impossibile utilizzarlo per realizzare un profitto. Un hacker potrebbe averci provato a inviare una valanga di e-mail a un certo indirizzo, ma non ha permesso all'utente di utilizzare la propria e-mail in modo normale. Oppure, potrebbe aver compromesso un'email aziendale e ha iniziato a inviare migliaia di messaggi a tutti, causando il crash del server o rallentamenti tali da renderlo inutilizzabile. E poi? Trasformare questo tipo di crimine informatico in denaro reale è quasi impossibile, quindi il mail bombing è attualmente un fenomeno piuttosto raro e gli amministratori di sistema, quando progettano l'infrastruttura, potrebbero semplicemente dimenticare di implementare una protezione contro questo tipo di attacco informatico.
Tuttavia, sebbene il mail bombing sia sostanzialmente un'attività piuttosto priva di senso dal punto di vista commerciale, è spesso parte di attacchi informatici più complessi e sfumati. Ad esempio, durante l'hacking della posta e il suo utilizzo per il dirottamento di un account su qualche servizio pubblico, gli aggressori inviano frequentemente al casella di posta della vittima un gran numero di email prive di significato, in modo che l'email di conferma venga sepolta nel loro flusso e rimanga inosservata. Inoltre, il mail bombing può essere utilizzato come strumento di pressione economica su un'impresa. Un bombardamento attivo della casella di posta pubblica dell'azienda, che riceve richieste dai clienti, può seriamente ostacolare il lavoro e, di conseguenza, portare a fermi operativi, ordini non evasi, così come alla perdita di reputazione e opportunità di guadagno.
Per questo motivo, l'amministratore di sistema non dovrebbe dimenticare la possibilità di un attacco di mail bombing e dovrebbe sempre adottare le misure necessarie per proteggersi da questa minaccia. Considerando che può essere fatto già nella fase di costruzione dell'infrastruttura di posta elettronica e che richiede poco tempo e sforzo da parte dell'amministratore di sistema, non ci sono ragioni obiettive per non garantire alla propria infrastruttura una protezione contro il mail bombing. Esaminiamo dunque come è implementata la protezione contro questo tipo di attacco informatico in Zimbra Collaboration Suite Open-Source Edition.
Alla base di Zimbra c'è Postfix, uno dei più affidabili e funzionali Mail Transfer Agent open source attualmente disponibili. Uno dei principali vantaggi della sua apertura è il supporto per una vasta gamma di soluzioni di terze parti per ampliarne le funzionalità. In particolare, Postfix supporta pienamente cbpolicyd, un'utilità avanzata per garantire la sicurezza informatica del server di posta. Oltre alla protezione dallo spam e alla creazione di liste bianche, nere e grigie, cbpolicyd consente all'amministratore di Zimbra di configurare il controllo della firma SPF e di impostare limitazioni sulla ricezione e l'invio di email o dati. Questi strumenti possono fornire una protezione affidabile contro lo spam e le email di phishing, oltre a proteggere il server da attacchi di mail-bombing.
La prima cosa richiesta all'amministratore di sistema è l'attivazione del modulo cbpolicyd, già preinstallato in Zimbra Collaboration Suite OSE sul server MTA dell'infrastruttura. Questo può essere fatto utilizzando il comando zmprov ms `zmhostname` +zimbraServiceEnabled cbpolicyd. Successivamente sarà necessario attivare l'interfaccia web per poter gestire cbpolicyd in modo comodo. Per fare ciò, devi consentire le connessioni sulla porta web numero 7780, creando un collegamento simbolico con il comando ln -s /opt/zimbra/common/share/webui /opt/zimbra/data/httpd/htdocs/webui, e poi modificare il file di configurazione utilizzando il comando nano /opt/zimbra/data/httpd/htdocs/webui/includes/config.php, dove è necessario specificare le seguenti righe:
$DB_DSN='sqlite:/opt/zimbra/data/cbpolicyd/db/cbpolicyd.sqlitedb';
$DB_USER='root';
$DB_TABLE_PREFIX='';
Dopo di ciò, rimarrà solo da riavviare i servizi Zimbra e Zimbra Apache utilizzando i comandi zmcontrol restart e zmapachectl restart. Dopo di che, potrai accedere all'interfaccia web all'indirizzo :7780/webui/index.php. Un aspetto importante è che l'accesso a questa interfaccia web non è attualmente protetto, quindi per escludere l'accesso a persone non autorizzate, puoi semplicemente chiudere le connessioni sulla porta 7780 dopo ogni accesso all'interfaccia web.
Proteggersi da un afflusso di email provenienti dalla rete interna è possibile grazie alle quote sullo invio delle email, che possono essere impostate tramite cbpolicyd. Queste quote consentono di limitare il numero massimo di email che possono essere inviate da un singolo account di posta in un determinato periodo di tempo. Ad esempio, se i manager della vostra azienda inviano in media tra 60 e 80 email all'ora, si può stabilire, tenendo conto di un piccolo margine, una quota di 100 email all'ora. Per esaurire una tale quota, i manager dovrebbero inviare un'email ogni 36 secondi. Da un lato, questo è sufficiente per lavorare in modo efficiente, dall'altro, con questa quota, gli aggressori che avessero accesso all'email di uno dei vostri manager non potrebbero effettuare un mail bombing o un attacco spam di massa all'azienda.
Per impostare un simile limite, è necessario creare una nuova politica di restrizione all'invio di email nell'interfaccia web e specificare che essa si applichi sia alle email inviate all'interno del dominio che a quelle destinate a indirizzi esterni. Questo può essere fatto nel seguente modo:
Dopo questo, sarà possibile specificare più in dettaglio i limiti relativi all'invio delle email, in particolare impostare un intervallo di tempo al termine del quale i limiti verranno aggiornati, nonché il messaggio che riceverà l'utente che ha superato il proprio limite. Successivamente, si potrà anche impostare il limite stesso per l'invio delle email. Questo può essere definito sia in termini di quantità di email inviate che in termini di quantità di dati trasferiti. Per quanto riguarda le email che vengono inviate oltre il limite stabilito, ci sono diverse opzioni. Ad esempio, si possono eliminare immediatamente, oppure conservare affinché vengano inviate subito dopo l'aggiornamento del limite per l'invio di messaggi. La seconda opzione può essere utile durante la determinazione del valore ottimale del limite per l'invio delle email da parte dei dipendenti.
Oltre ai limiti sull'invio delle email, cbpolicyd permette di impostare un limite sulla ricezione delle email. Tale limitazione può sembrare una buona soluzione per difendersi dal mail bombing, tuttavia, impostare un simile limite, anche se elevato, comporta il rischio che importanti messaggi possano non raggiungerti in determinate circostanze. Per questo motivo, è fortemente sconsigliato introdurre restrizioni sulla posta in arrivo. Tuttavia, se decidi comunque di correre il rischio, è fondamentale prestare particolare attenzione nella configurazione del limite dei messaggi in arrivo. Ad esempio, puoi limitare il numero di email in arrivo dai collaboratori fidati, in modo che, nel caso in cui il loro server di posta sia stato compromesso, non venga avviato un attacco spam sulla tua azienda.
Per proteggersi da un'ondata di messaggi in entrata durante un attacco di mail bombing, l'amministratore di sistema dovrebbe adottare una soluzione più astuta rispetto a un semplice limite della posta in arrivo. Una possibile soluzione è l'uso delle liste grigie. Il loro funzionamento si basa sul principio che, alla prima tentativo di consegna di un messaggio da un mittente non affidabile, la connessione con il server viene interrotta bruscamente, portando a un fallimento della consegna. Tuttavia, se entro un determinato periodo il server non affidabile tenta di inviare nuovamente la stessa email, il server non interrompe la connessione e la consegna avviene con successo.
Il senso di tutte queste azioni è che i programmi per l'invio automatico di massa di email di solito non verificano il successo della consegna del messaggio inviato e non tentano di rimandarlo, mentre una persona sicuramente si assicurerà che la sua email sia stata inviata all'indirizzo corretto o meno.
È possibile abilitare le liste grigie anche nell'interfaccia web di cbpolicyd. Per far funzionare tutto, è necessario creare una politica che includa tutte le e-mail in arrivo indirizzate agli utenti sul nostro server e poi, sulla base di questa politica, creare una regola di Greylisting, in cui è possibile impostare l'intervallo di tempo durante il quale cbpolicyd attenderà una risposta ripetuta da un mittente sconosciuto. Di solito, questo intervallo è di 4-5 minuti. Inoltre, le liste grigie possono essere configurate in modo tale che tutti i tentativi di consegna delle e-mail, sia riusciti che non, da diversi mittenti vengano presi in considerazione e che le decisioni sull'aggiunta automatica del mittente a liste bianche o nere siano basate sul loro numero.
Si prega di notare che l'utilizzo delle liste grigie deve essere affrontato con la massima responsabilità. È consigliabile che l'uso di questa tecnologia vada di pari passo con la gestione continua delle liste bianche e nere, per escludere la possibilità di perdere e-mail davvero importanti per l'azienda.
Inoltre, l'aggiunta di controlli SPF, DMARC e DKIM può aiutare a proteggersi dal mail bombing. Spesso, le email che arrivano durante il mail bombing non superano questi controlli. Di come fare, si raccontava .
Così, proteggersi da una minaccia come il mail bombing è piuttosto semplice e può essere fatto già nella fase di costruzione dell'infrastruttura Zimbra per la vostra azienda. Tuttavia, è importante monitorare continuamente affinché i rischi derivanti dall'uso di tale protezione non superino mai i benefici che si ottengono.
Fonte: habr.com
