La posta elettronica si è affermata come standard nella comunicazione aziendale. Grazie all'elevata efficienza economica delle email, così come ad alcune caratteristiche legate alla citazione del testo e all'allegato di file, le email sono il mezzo universale più adatto per lo scambio di documenti e per una comunicazione commerciale cortese. Queste stesse caratteristiche sono state la causa per cui gli spammer amano così tanto la posta elettronica. Di conseguenza, oggi la posta elettronica rappresenta un enorme oceano turbolento di spam, dove solo occasionalmente si possono trovare email aziendali. Per questo motivo, una delle priorità per l'amministratore di qualsiasi server di posta è proteggere il sistema dalle distribuzioni di spam. Vediamo quindi cosa si può fare al riguardo in Zimbra Collaboration Suite Open-Source Edition.
Nonostante sia una soluzione gratuita, Zimbra OSE è in grado di fornire all'amministratore di sistema una serie di strumenti altamente efficaci per affrontare il problema della ricezione di email indesiderate. Abbiamo già trattato strumenti come Amavis, SpamAssassin, ClamAV e cbpolicyd, che consentono di filtrare in modo affidabile le email in arrivo, separando le comunicazioni di spam, nonché i messaggi infetti e di phishing. Tuttavia, il loro principale svantaggio è che tutti operano su messaggi di posta già ricevuti e consumano risorse di sistema per filtrare messaggi inutili, risorse che potrebbero essere impiegate molto meglio altrove. Ma cosa succede se la vostra azienda si trova nel mirino di un grande botnet, che inonda costantemente il vostro server di posta con così tanti messaggi di spazzatura che la loro semplice filtrazione occuperebbe la maggior parte delle risorse del server MTA?
In teoria, è possibile difendersi da questo collegando un servizio cloud per filtrare la posta in arrivo; tuttavia, nella pratica, questo metodo di protezione non è adatto a ogni azienda, poiché in tal modo si dovrà affidare a terzi l'elaborazione non solo dello spam, ma anche della corrispondenza commerciale, il che non è sempre sicuro e spesso contraddice direttamente la politica di sicurezza dell'azienda. Inoltre, ci sono rischi associati all'affidabilità del funzionamento del filtro antispam cloud. Una soluzione a questa situazione potrebbe essere l'organizzazione della protezione del server con le proprie forze. A questo scopo, Zimbra ha integrato l'utilità Postscreen, progettata per proteggere il server di posta dai messaggi inviati da botnet senza sovraccaricare il server di posta.
Il funzionamento di Postscreen consiste nel fatto che questa utilità esamina tutte le richieste di connessione al server di posta. server e non consente di connettersi al server ai clienti che sembrano sospetti. Poiché, secondo le statistiche, circa il 90% dello spam nel mondo è inviato proprio da botnet, Postscreen viene frequentemente utilizzato come primo livello di protezione del server di posta contro le email indesiderate. Grazie a questo, il server di posta può funzionare in modo stabile senza sovraccarichi anche in condizioni di forti attacchi spam da parte di grandi botnet.
Il funzionamento di Postscreen è piuttosto semplice; l'utilità è in grado di eseguire una serie di controlli basilari sulle email in entrata prima di passarle al server di posta o ad altri servizi che effettuano controlli più approfonditi e dettagliati delle email in arrivo. Ogni controllo, di conseguenza, può essere superato o meno. Sulla base dei risultati di ciascun controllo, Postscreen può applicare una delle tre azioni a scelta dell'amministratore di Zimbra: Scarta, Ignora o Applica. L'azione Scarta interrompe forzatamente la connessione con il cliente nel caso in cui il controllo non venga superato, l'azione Ignora consente di ignorare i risultati del controllo durante la presa di decisione finale, ma consente di raccogliere informazioni e statistiche relative alle ispezioni effettuate. Applica consente di considerare i risultati delle ispezioni effettuate nella presa di decisione finale, ma continua a eseguire tutti i test pianificati dall'amministratore di sistema.
Un principio di funzionamento semplice non implica necessariamente facilità d'uso e configurazione. Infatti, una configurazione errata di Postscreen può causare l'impossibilità di recapitare alcune email importanti per l'azienda. Proprio per questo motivo, la configurazione di uno strumento potente come Postscreen deve essere effettuata con grande cautela e testata continuamente per valutare il suo comportamento in diverse situazioni.
Postscreen in Zimbra è attivato di default, ma molti potrebbero non essere soddisfatti della configurazione iniziale. Ora esamineremo la configurazione di Postscreen migliore in termini di sicurezza e riduzione dei rischi. Il principio è che, dopo il fallimento di uno qualsiasi dei controlli, Postscreen non interromperà immediatamente la connessione con il cliente, ma completerà tutti i controlli e, se questi falliscono, fornirà un messaggio di errore. Questo permetterà di informare un mittente reale della mancata consegna dell'email nel caso in cui Postscreen la consideri spam. Questo viene raggiunto impostando il valore enforce nelle opzioni di verifica. Questo valore consente di completare i controlli avviati fino alla fine, senza interrompere la connessione con il cliente al primo fallimento, ma al termine dei controlli, bloccando comunque la email di spam, impedendone la consegna al server.
Per attivare i controlli necessari, è necessario inserire i seguenti comandi:
zmprov mcf zimbraMtaPostscreenDnsblSites ‘b.barracudacentral.org=127.0.0.2*7’ zimbraMtaPostscreenDnsblSites ‘zen.spamhaus.org=127.0.0.[10;11]*8’ zimbraMtaPostscreenDnsblSites ‘zen.spamhaus.org=127.0.0.[4..7]*6’ zimbraMtaPostscreenDnsblSites ‘zen.spamhaus.org=127.0.0.3*4’ zimbraMtaPostscreenDnsblSites ‘zen.spamhaus.org=127.0.0.2*3’
Questo comando consente di aggiungere una verifica DNS per le connessioni in ingresso basata su due delle più popolari blacklist pubbliche, e di classificare le email a seconda di quale blacklist trova l'indirizzo del mittente. Maggiore è il numero di 'stelle' di penalità accumulate dal cliente, maggiore è la probabilità che sia uno spammer.
zmprov mcf zimbraMtaPostscreenDnsblAction enforce
Questo comando determina l'azione intrapresa a seguito della verifica DNS. In questo caso, il risultato della verifica viene registrato e l'email continua a passare attraverso ulteriori test.
zmprov mcf zimbraMtaPostscreenGreetAction enforce
Nel protocollo SMTP, dopo la connessione iniziale, il server avvia per primo la comunicazione con il client e, di conseguenza, Postscreen può inviare un saluto al client. Poiché molti client di spam iniziano a inviare comandi senza attendere la conclusione del saluto, possono essere facilmente riconosciuti. Questo comando consente di considerare i risultati di questo controllo, continuando però ad eseguire ulteriori test.
zmprov mcf zimbraMtaPostscreenNonSmtpCommandAction drop
Questa verifica consente a Postscreen di filtrare le connessioni che non provengono da client di posta. Poiché non inviano alcuna email, si possono disconnettere senza alcuna preoccupazione dal server.
zmprov mcf zimbraMtaPostscreenPipeliningAction enforce
Questo controllo si basa sul fatto che, per impostazione predefinita, nel protocollo SMTP un client può inviare solo un comando alla volta e poi attendere la risposta del server a quel comando. Tuttavia, molti bot di spam si comportano in modo diverso, inviando più comandi senza attendere una risposta dal server. Questo permette di identificare quasi senza errore un bot di spam.
In generale, questi controlli per Postscreen sono più che sufficienti per bloccare la maggior parte dei bot spam dal server e ridurre significativamente il carico sul proprio server di posta. Nel frattempo, le persone reali riceveranno un messaggio informando che la loro email non è stata recapitata, il che riduce notevolmente il rischio di perdere email importanti a causa delle impostazioni di Postscreen. Nel caso in cui ciò accada, è possibile aggiungere un mittente affidabile alla lista bianca di Postscreen. Per creare liste bianche e nere in Postscreen, è necessario prima creare un file /opt/zimbra/conf/postfix/postscreen_wblist.
In esso aggiungeremo un elenco di indirizzi IP e sottoreti consentiti e vietati nel formato CIDR. Ad esempio, bloccheremo la sottorete 121.144.169.*, ma consentiremo la connessione all'unico indirizzo IP di questa sottorete:
# Rules are evaluated in the order as specified.
# Blacklist 121.144.169.* except 121.144.169.196.
121.144.169.196/32 permit
121.144.169.0/24 reject
Ti ricordiamo l'importanza dell'ordine delle voci. Infatti, Postscreen scannerizza il file con le liste bianche e nere fino al primo match, e se la subnet bloccata si trovasse prima dell'indirizzo IP autorizzato, la verifica non arriverà mai alla voce che indica che l'indirizzo IP è stato aggiunto alla lista bianca, e la connessione al server non avverrà.
Dopo aver modificato e salvato il file con le liste bianche e nere, è possibile attivare il controllo corrispondente utilizzando i seguenti comandi:
zmprov mcf zimbraMtaPostscreenAccessList «permit_mynetworks, cidr:/opt/zimbra/conf/postfix/postscreen_wblist»
zmprov mcf zimbraMtaPostscreenBlacklistAction enforce
Ora Postscreen, oltre ai controlli già impostati, consulterà anche il file con le liste bianche e nere, il che consentirà all'amministratore di gestire piuttosto facilmente le problematiche legate all'impossibilità di connessione da parte di mittenti affidabili.
Fonte: habr.com
