O e-mail se consolidou como um padrão de comunicação empresarial. Devido à alta eficiência econômica dos e-mails e a uma série de características relacionadas à citação de texto e ao envio de anexos, os e-mails são a melhor opção para a troca de documentos e comunicação comercial educada. Essas mesmas características também atraíram os spammers. Como resultado, hoje em dia, os e-mails representam um vasto oceano agitado de spam, onde apenas ocasionalmente aparecem mensagens comerciais. Por isso, uma das principais tarefas de um administrador de servidor de e-mail é proteger o sistema contra envios em massa de spam. Vamos olhar para o que pode ser feito no Zimbra Collaboration Suite Open-Source Edition.
Apesar de ser uma solução gratuita, o Zimbra OSE pode fornecer ao administrador de sistema uma série de ferramentas extremamente eficazes para resolver o problema do recebimento de e-mails indesejados. Já discutimos utilitários como Amavis, SpamAssassin, ClamAV e cbpolicyd, que permitem filtrar de maneira confiável os e-mails recebidos, separando envios de spam, mensagens infectadas e tentativas de phishing. No entanto, a principal desvantagem dessas ferramentas é que todas elas operam com e-mails que já foram recebidos, consumindo recursos do sistema para filtrar mensagens inúteis, que poderiam ter uma aplicação muito melhor. Mas e se a sua empresa estiver sob o ataque de um grande botnet, que está constantemente inundando seu servidor de e-mail com tanta quantidade de lixo eletrônico que a filtragem sozinha consome a maior parte dos recursos do MTA?
Em teoria, é possível se proteger disso conectando-se a um serviço em nuvem para filtrar e-mails recebidos, no entanto, na prática, essa forma de proteção pode não ser adequada para todas as empresas, pois assim teria que confiar a terceiros o processamento não apenas de spam, mas também de correspondência comercial, o que nem sempre é seguro e, muitas vezes, contraria a política de segurança da empresa. Além disso, surgem riscos relacionados à confiabilidade do funcionamento do filtro de spam em nuvem. Uma saída para essa situação pode ser a organização da proteção do servidor com os próprios recursos. Especialmente para esses fins, foi integrada na Zimbra a ferramenta Postscreen, que tem como objetivo proteger o servidor de e-mail contra mensagens enviadas por botnets, sem sobrecarregar o servidor de e-mail.
A essência do funcionamento do Postscreen é que essa ferramenta analisa todas as solicitações de conexão ao servidor de e-mail servidor e impede a conexão ao servidor de clientes que parecerem suspeitos. De acordo com as estatísticas, cerca de 90% do spam no mundo é enviado exatamente por botnets, e o Postscreen é frequentemente utilizado como um primeiro nível de proteção do servidor de e-mail contra correspondências indesejadas. Graças a isso, o servidor de e-mail pode operar de forma estável sem sobrecargas, mesmo sob ataques severos de spam por parte de grandes botnets.
O princípio de funcionamento do Postscreen é bastante simples, a ferramenta é capaz de realizar uma série de verificações básicas nos e-mails recebidos antes de entregá-los ao servidor de e-mail ou a outros serviços que realizam uma verificação mais profunda e detalhada dos e-mails recebidos. Cada uma das verificações, por sua vez, pode ser aprovada ou não. Com base nos resultados de cada verificação, o Postscreen pode aplicar uma das três ações escolhidas pelo administrador do Zimbra: Drop, Ignore ou Enforce. A ação Drop corta a conexão com o cliente no caso de a verificação não ser aprovada, a ação Ignore permite ignorar os resultados da verificação ao tomar a decisão final, mas ao mesmo tempo coleta informações e estatísticas sobre as verificações realizadas, e a ação Enforce considera os resultados das verificações realizadas ao tomar a decisão final, mas continua a executar todos os testes que foram planejados pelo administrador do sistema.
O princípio simples de funcionamento não implica simplicidade no uso e na configuração. O fato é que uma configuração inadequada do Postscreen pode ser a razão pela qual uma série de e-mails importantes para a empresa não chegam ao destinatário. É exatamente por isso que a configuração de uma ferramenta tão poderosa como o Postscreen deve ser feita com muito cuidado e deve ser constantemente testada em diferentes situações.
O Postscreen no Zimbra é ativado por padrão, no entanto, muitos podem não se satisfazer com a configuração inicial. Agora vamos analisar a configuração mais segura e livre de riscos para o Postscreen. A essência é que, após a falha de alguma das verificações, o Postscreen não interromperá a conexão com o cliente sem mais nem menos, mas fará todas as verificações até o fim e, caso essas verificações falhem, fornecerá uma mensagem de erro. Isso permitirá informar um remetente legítimo sobre a não entrega do e-mail, caso o Postscreen o reconheça como spam. Isso é alcançado configurando o valor enforce nas opções de verificação. Este valor permite que as verificações iniciadas sejam completadas, sem interromper a conexão com o cliente após a primeira falha, mas após a conclusão, ainda assim bloquear o e-mail de spam, não o entregando ao servidor.
Para habilitar as verificações necessárias, é preciso inserir os seguintes comandos:
zmprov mcf zimbraMtaPostscreenDnsblSites ‘b.barracudacentral.org=127.0.0.2*7’ zimbraMtaPostscreenDnsblSites ‘zen.spamhaus.org=127.0.0.[10;11]*8’ zimbraMtaPostscreenDnsblSites ‘zen.spamhaus.org=127.0.0.[4..7]*6’ zimbraMtaPostscreenDnsblSites ‘zen.spamhaus.org=127.0.0.3*4’ zimbraMtaPostscreenDnsblSites ‘zen.spamhaus.org=127.0.0.2*3’
Este comando permite adicionar uma verificação DNS para conexões de entrada a duas das bases de spam públicas mais populares e classificar os e-mails conforme a base na qual o endereço do remetente for encontrado. Quanto mais estrelas de penalização um cliente acumular, maior a probabilidade de ser um remetente de spam.
zmprov mcf zimbraMtaPostscreenDnsblAction enforce
Este comando determina a ação a ser tomada com base nos resultados da verificação DNS. Neste caso, o resultado da verificação é memorizado, enquanto o e-mail continua a passar por mais testes.
zmprov mcf zimbraMtaPostscreenGreetAction enforce
Uma vez que, no protocolo SMTP, após a conexão inicial, o servidor é o primeiro a iniciar a comunicação com o cliente, o Postscreen pode enviar uma saudação ao cliente. Graças ao fato de que muitos clientes de spam, sem esperar o término da saudação, começam a enviar comandos, é possível reconhecê-los facilmente. Este comando permite levar em conta os resultados desta verificação, mas ainda assim continuar a execução de outros testes.
zmprov mcf zimbraMtaPostscreenNonSmtpCommandAction drop
Neste teste, o Postscreen permite filtrar aquelas conexões que não provêm de clientes de e-mail. Como elas não enviam mensagens, é seguro desconectá-las do servidor.
zmprov mcf zimbraMtaPostscreenPipeliningAction enforce
Esta verificação baseia-se no fato de que, por padrão, no protocolo SMTP, o cliente pode enviar apenas um comando por vez e então aguardar a resposta do servidor a esse comando. Entretanto, muitos bots de spam se comportam de maneira diferente, enviando múltiplos comandos sem esperar a resposta do servidor. Isso permite identificar praticamente sem erro um bot de spam.
Em princípio, essas verificações para o Postscreen serão mais do que suficientes para bloquear a maior parte dos bots de spam e alcançar uma redução significativa na carga do seu servidor de e-mail. Os usuários reais receberão uma mensagem informando que seus e-mails não foram entregues, o que reduz significativamente o risco de perder mensagens importantes devido às configurações do Postscreen. Caso isso ocorra, você pode adicionar remetentes confiáveis à lista branca do Postscreen. Para criar listas brancas e negras no Postscreen, é necessário primeiro criar um arquivo. /opt/zimbra/conf/postfix/postscreen_wblist.
Neste arquivo, adicionaremos uma lista de endereços IP e sub-redes permitidos e bloqueados no formato CIDR. Por exemplo, bloquearemos a sub-rede 121.144.169.*, mas permitiremos a conexão do único endereço IP daquela sub-rede:
# Rules are evaluated in the order as specified.
# Blacklist 121.144.169.* except 121.144.169.196.
121.144.169.196/32 permit
121.144.169.0/24 reject
Atenção para a importância da ordem das entradas. O fato é que o Postscreen irá escanear o arquivo das listas brancas e negras até encontrar a primeira correspondência e se a sub-rede bloqueada estiver antes do endereço IP permitido, a verificação simplesmente não chegará à entrada que indica que esse endereço IP foi adicionado à lista branca, resultando na não conexão com o servidor.
Após editar e salvar o arquivo com as listas brancas e negras, você pode ativar a verificação correspondente usando os seguintes comandos:
zmprov mcf zimbraMtaPostscreenAccessList «permit_mynetworks, cidr:/opt/zimbra/conf/postfix/postscreen_wblist»
zmprov mcf zimbraMtaPostscreenBlacklistAction enforce
Agora, o Postscreen, além das verificações que já configuramos, também consultará o arquivo com as listas brancas e negras, permitindo que o administrador resolva facilmente questões relacionadas à impossibilidade de conexão ao servidor de remetentes confiáveis.
Fonte: habr.com
