Il mail bombing è una delle forme più antiche di attacco informatico. In sostanza, ricorda un attacco DoS ordinario, solo che invece di un'ondata di richieste provenienti da diversi indirizzi IP, viene inviato al server un grande volume di email, che arrivano in enormi quantità a uno degli indirizzi email, provocando un notevole aumento del carico su di esso. Questo attacco può portare all'impossibilità di utilizzare la casella di posta, e talvolta può persino causare il guasto dell'intero server. La lunga storia di questo tipo di attacco informatico ha portato a una serie di conseguenze sia positive che negative per gli amministratori di sistema. Tra i fattori positivi si possono citare la buona conoscenza del mail bombing e l'esistenza di semplici metodi per proteggersi da questo tipo di attacco. Tra i fattori negativi, invece, si possono contare il gran numero di soluzioni software disponibili pubblicamente per condurre tali attacchi e la possibilità per il malintenzionato di proteggersi efficacemente dalla rilevazione.
Un'altra caratteristica importante di questo tipo di attacco informatico è che è praticamente impossibile utilizzarlo per trarne profitto. Bene, il malintenzionato ha inviato a una delle caselle di posta un gran numero di email, bene, non ha permesso a una persona di utilizzare correttamente la posta elettronica, bene, il malintenzionato ha violato la posta aziendale di qualcuno e ha iniziato a inviare massivamente migliaia di email a tutto il GAL, causando il crash del server o il suo rallentamento tale da renderne impossibile l'uso, e poi? Convertire un simile crimine informatico in denaro reale è quasi impossibile, perciò il mail bombing è attualmente un fenomeno piuttosto raro e gli amministratori di sistema, durante la progettazione dell'infrastruttura, possono semplicemente non pensare alla necessità di proteggersi da questo tipo di attacco informatico.
Tuttavia, nonostante il fatto che il mail bombing sia di per sé un'attività piuttosto priva di senso dal punto di vista commerciale, spesso fa parte di attacchi informatici più complessi e stratificati. Ad esempio, durante l'hacking delle email e l'utilizzo di esse per dirottare un account su un servizio pubblico, i malintenzionati spesso "bombardano" la casella di posta della vittima con email senza senso, in modo che l'email di conferma venga sommersa dal loro flusso e rimanga inosservata. Inoltre, il mail bombing può essere utilizzato come mezzo di pressione economica su un'azienda. Un bombardamento attivo della casella di posta pubblica di un'azienda, che riceve richieste dai clienti, può seriamente ostacolare il lavoro con loro e, di conseguenza, portare a fermi operativi, ordini non evasi e anche a una perdita di reputazione e opportunità di guadagno.
È per questo motivo che l'amministratore di sistema non dovrebbe dimenticare la possibilità di un mail bombing e deve sempre adottare le misure necessarie per proteggersi da questa minaccia. Considerando che è possibile farlo già nella fase di costruzione dell'infrastruttura di posta elettronica e che richiede poco tempo e sforzo all'amministratore di sistema, non ci sono ragioni obiettive per non garantire che la propria infrastruttura sia protetta dal mail bombing. Vediamo ora come è implementata la protezione contro questo attacco informatico nella Zimbra Collaboration Suite Open-Source Edition.
Alla base di Zimbra c'è Postfix, uno dei Mail Transfer Agent più affidabili e funzionali con codice sorgente aperto al momento. Uno dei principali vantaggi della sua apertura è che supporta una vasta gamma di soluzioni di terze parti per espandere la funzionalità. In particolare, Postfix supporta pienamente cbpolicyd, un'utilità avanzata per garantire la sicurezza informatica del server di posta. Oltre a proteggere dallo spam e a creare liste bianche, nere e grigie, cbpolicyd consente all'amministratore di Zimbra di configurare la verifica della firma SPF e di impostare limiti per la ricezione e l'invio di email o dati. Possono garantire una protezione efficace contro lo spam e le email di phishing, oltre a proteggere il server dal mail bombing.
La prima cosa di cui un amministratore di sistema ha bisogno è attivare il modulo cbpolicyd, preinstallato in Zimbra Collaboration Suite OSE sul server MTA dell'infrastruttura. Questo si fa con il comando zmprov ms `zmhostname` +zimbraServiceEnabled cbpolicyd. Dopo di ciò, è necessario attivare l'interfaccia web per poter gestire conveniently cbpolicyd. Per farlo, bisogna consentire le connessioni sulla porta web numero 7780, creare un collegamento simbolico utilizzando il comando ln -s /opt/zimbra/common/share/webui /opt/zimbra/data/httpd/htdocs/webui, e poi modificare il file di configurazione con il comando nano /opt/zimbra/data/httpd/htdocs/webui/includes/config.php, dove è necessario inserire le seguenti righe:
$DB_DSN="sqlite:/opt/zimbra/data/cbpolicyd/db/cbpolicyd.sqlitedb";
$DB_USER="root";
$DB_TABLE_PREFIX="";
Dopo di ciò, non resta che riavviare i servizi di Zimbra e di Zimbra Apache usando i comandi zmcontrol restart e zmapachectl restart. Dopo questo, si avrà accesso all'interfaccia web all'indirizzo :7780/webui/index.php. La principale peculiarità è che l'accesso a questa interfaccia web non è protetto, e per evitare l'accesso a persone non autorizzate, si può semplicemente chiudere le connessioni sulla porta 7780 dopo ogni accesso all'interfaccia web.
Le quote sull'invio di email, che possono essere impostate tramite cbpolicyd, permettono di proteggersi da un flusso di email proveniente dalla rete interna. Tali quote consentono di stabilire un limite sul numero massimo di email che possono essere inviate da una casella di posta in un'unità di tempo. Ad esempio, se i manager della tua azienda inviano mediamente 60-80 email all'ora, allora si potrebbe, considerando un piccolo margine, impostare una quota di 100 email all'ora. Per esaurire tale quota, i manager sarebbero costretti a inviare un'email ogni 36 secondi. Da un lato, questo è sufficiente per lavorare in modo completo, dall'altro, con tale quota, eventuali malintenzionati che accedono alla posta di uno dei tuoi manager non potranno effettuare attacchi di mail bombing o di spam di massa nell'azienda.
Per impostare tale quota, è necessario creare una nuova politica di limitazione dell'invio di email nell'interfaccia web e indicare che sia valida sia per le email inviate all'interno del dominio sia per quelle inviate a indirizzi esterni. Si fa in questo modo:
Dopo questo, sarà possibile specificare in modo più dettagliato le restrizioni relative all'invio di email, in particolare impostare un intervallo di tempo dopo il quale le restrizioni verranno aggiornate e anche il messaggio che riceverà l'utente che ha superato il proprio limite. Successivamente, sarà possibile impostare la limitazione stessa per l'invio di email. Questa può essere definita sia come un numero di email in uscita, sia come un numero di byte di informazioni trasmesse. In questo caso, le email inviate oltre il limite stabilito possono essere trattate in modi diversi. Ad esempio, si possono eliminare immediatamente oppure conservare per essere inviate non appena il limite per l'invio dei messaggi viene aggiornato. La seconda opzione può essere utile durante l'individuazione del valore ottimale del limite per l'invio di email da parte degli impiegati.
Oltre alle restrizioni sull'invio di email, cbpolicyd consente di impostare un limite per la ricezione di email. Tale restrizione, a prima vista, sembra una soluzione eccellente per proteggere da attacchi di mail bombing, tuttavia, in realtà, stabilire un limite anche alto comporta il rischio che, in determinate circostanze, un'importante email possa non raggiungervi. Ecco perché è fortemente sconsigliato applicare restrizioni per la posta in arrivo. Tuttavia, se decidete di rischiare, impostare un limite per i messaggi in arrivo deve essere fatto con particolare attenzione. Ad esempio, si può limitare il numero di email provenienti da controparti fidate, in modo che, nel caso in cui il loro server di posta venga compromesso, non venga effettuato un attacco spam sulla vostra azienda.
Per proteggersi da un afflusso di messaggi in arrivo durante un attacco di mail bombing, l'amministratore di sistema dovrebbe intraprendere azioni più intelligenti rispetto a una semplice limitazione della posta in arrivo. Una soluzione può essere l'uso delle liste grigie. Il principio di funzionamento consiste nel fatto che, alla prima tentativo di consegnare un messaggio da un mittente non affidabile, la connessione con il server viene bruscamente interrotta, portando così a un fallimento della consegna dell'email. Tuttavia, se in un determinato periodo il server non affidabile cerca nuovamente di inviare la stessa email, il server non interrompe la connessione, e la sua consegna avviene con successo.
Il significato di tutte queste azioni è che i programmi per l'invio automatico di email di massa di solito non controllano il successo della consegna del messaggio inviato e non tentano di rinviarlo, mentre una persona si assicurerà sicuramente se la sua email è stata inviata all'indirizzo corretto o meno.
È possibile attivare le liste grigie anche nell'interfaccia web di cbpolicyd. Per fare in modo che tutto funzioni, è necessario creare una politica che includa tutte le email in arrivo destinate agli utenti sul nostro server, e poi, sulla base di questa politica, creare una regola di Greylisting, in cui è possibile impostare l'intervallo durante il quale cbpolicyd attenderà una risposta ripetuta da parte di un mittente sconosciuto. Di solito è di 4-5 minuti. Tuttavia, le liste grigie possono essere configurate in modo tale che tutti i tentativi di consegna delle email, sia quelli riusciti che quelli non riusciti, vengano considerati e sulla base del loro numero venga presa una decisione riguardante l'aggiunta automatica del mittente nelle liste bianche o nere.
Ti ricordiamo che l'uso delle liste grigie deve essere affrontato con la massima responsabilità. È meglio se l'uso di questa tecnologia proceda di pari passo con la gestione costante di liste bianche e nere, per escludere la possibilità di perdere email veramente importanti per l'azienda.
Inoltre, per proteggersi dal mail bombing può aiutare l'aggiunta di controlli SPF, DMARC e DKIM. Spesso, le email che arrivano durante un attacco di mail bombing non superano questi controlli. Di come fare, se ne è parlato .
Pertanto, proteggersi da una minaccia come il mail bombing è piuttosto semplice, e ciò può essere fatto già nella fase di costruzione dell'infrastruttura Zimbra per la tua azienda. Tuttavia, è importante monitorare costantemente affinché i rischi derivanti dall'uso di tale protezione non superino mai i vantaggi che si ottengono.
Fonte: habr.com
