Shunze 學園 >資訊設備專區 >Sophos XG > 《分享》Email Protect設定(Legacy mode) 哈囉，還沒有註冊或者登入。請你[註冊|登入]
« 上一篇主題 下一篇主題 » 顯示成列印模式 | 增加到我的最愛
發表新主題 發表回覆
作者
主題
shunze
工友伯伯


註冊日期: 2002 04
來自: 潮汐終止之地
文章: 2380
shunze 離線
《分享》Email Protect設定(Legacy mode)引用回覆 編輯/刪除文章 搜尋由 發表的其他文章 回報給版主 IP 位置 回此頁最上方

在XG的email protect上，基本上是透過 Email Servers(SMTP) 與 Email Clients(POP & IMAP) 兩個Business Application Rule來做防護。

  • Email Servers(SMTP)
    Email Servers(SMTP)基本上就跟DNAT的Business Application Rule一樣，
    將外部IP轉到內部的服務主機，只是因為它的目標是Email Server，
    所以多了SMTP與SMTPS掃描功能。







  • Email Clients(POP & IMAP)
    而Email Clients(POP & IMAP)則針對了POP3/IMAP user端的連線服務做掃描，
    所以對應的是內對外的防火牆規則，就跟一般User/Network Rule一樣。
    只是因為專司POP3/IMAP服務，所以多了POP與IMAP的掃描功能。







光靠這兩個類型的描掃服務就夠了嗎？

以順子的觀點來看，這是不夠的！
因為這兩類的規則無法對應到在外部的使用者，經過XG來連線到內部mail server的POP/IMAP掃描需求。
只是...這部分在Cyberoam是做得到的。
XG做為繼任者，卻做不到這個服務讓順子很訝異！
原廠 回覆 說，針對這部分有考慮在未來版本加上此功能需求...

現階段能做的，就是在Email Servers(SMTP) policy上加上110或995的port，
讓外部user能透過這條規則存取內部mail server。

至於外部的pop3/imap的掃描？
下輩子再說...
不...是某個版本之後再說...


清楚了email protect所使用的規則後，接下來看看XG能做到何種程度上的保護。

XG的email protect基本上分為MAT與Legacy兩種模式，
其中MTA模式是V16版之後才加入的新功能。
一般來說要透過XG做為proxy，來保護內部的mail server要選用傳統的Legacy模式。

兩種模式的切換在email protect裏的General Settings來進行。
本篇順子將先以Legacy模式來做介紹，新導入的MTA模式請參考 這一篇。

  • Polices
    Polices是email protect的第一個功能設定區域，也是主要防護定義所在。
    諸如郵件病毒掃描、黑白名單機制套用與RBL信譽參考設定都在此進行。



    在Polices中提供了SMTP Malware Scanning Policy、SMTP Scanning Policy與POP-IMAP Scanning Policy三種類型的郵件掃描定義。
    此各類型間的policy可以透過滑與拖拉來調整優先順序；
    但不同類型間則無優先順序關係，所以不同類型的policy沒有所謂的優先順序調整需求。

    1. SMTP Malware Scanning Policy
      SMTP Malware Scanning Policy，故名思義就是在這類政策中，指定用來掃描SMTP病毒引擎。



      這類規則不用多，用預設的 default-smtp-av 這個規則即可進行完整的病毒掃描。
      需要調整的，也只有是否要送到隔離區，是否要回覆警示信給寄件者，及郵件的處理方式。

      其中 是否要回覆警示信給寄件者 順子測試是沒效果的！
      原廠回覆說在16.05 RC1的韌體版本中已做修正！？

      ***** 2017/03/20 更新 *****
      順子在16.01.2版本測試“回覆警示信給寄件者的功能”是OK的，警示信件樣本如下。


      **********************

      另外Protected Attachment對應的是夾檔有密碼保護的郵件的處理方式，
      有Deliver Original傳送(預設選項)、Don't Deliver不要傳送與Remove and Deliver刪除夾檔後傳送三種方式。

      不過不論選哪一種方式，若上方Action有勾選要保留一份在隔離區的話，
      夾檔有密碼保護的郵件會跟病毒郵件一樣，會強制保留一份在隔離區中。
      差別在於被判斷為病毒的郵件無法檡出，只能透過主旨連結來下載；
      而夾檔有密碼保護郵件則多了釋出的功能連結，可將郵件釋出寄給使用者。



    2. SMTP Scanning Policy
      除了病毒掃描引擎是在SMTP Malware Scanning Policy中指定外，其它所有SMTP的防護設定都是在SMTP Scanning Policy這種類型的政策中定義，
      包含常用的黑/白名單、垃圾郵件的判斷、RBL機制及郵件大小的定義與處理機制等，都在此類型中設定。



      預設有Premium與Standard RBL的參照使用、病毒爆發郵件的判斷等4條政策，
      若要定義黑/白名單及垃圾郵件判斷，需依需求自行增加！

    3. POP-IMAP Scanning Policy
      有SMTP的規則，當然也有POP3/IMAP的相關政策 - POP-IMAP Scanning Policy。
      在此類型中，user同樣可以定義黑/白名單、垃圾郵件的判斷及郵件大小的定義與處理機制等。


      ↑與SMTP不同的是，動作只有接受或加上前綴字串，因為已送達mail server的郵件是無法刪除的！

      預設共有掃描引擎定義 default-pop-av 與病毒郵件判斷等共3條政策，
      其中這條 default-pop-av 預設政策是個比較特殊的存在，用來定義POP3/IMAP掃描時所要套用的引擎。



      這條預設的 default-pop-av 政策無法刪除，只能修改！


  • Data Control List
    Data Control List是email protect的第二個功能設定區域，用來做郵件的資料防護。



    裏面定義了世界上大多數國家的所常用的機密字串格式，
    定義了所屬國家的機密字串後，套用在SMTP Scanning Policy規則中，
    當郵件中有相同的字串出現，即會套用policy中的動作。

    但裏面的定義中沒有台灣，所以這類型的應用對台灣而言，並不適用。

  • SMTP Quarantine
    SMTP Quarantine是email protect的第三個功能設定區域，供系統管理員檢視隔離區中的郵件。



    此功能是給系統管理員使用的，
    一般user要使用此功能，可透過登入user portal來進行操作。



    隔離區中的記錄，有郵件圖示的，表示該郵件可以重新發送給user；
    沒有郵件圖示的(病毒信件)，則可以透過主旨的連結，將該郵件以eml的檔案格式下載下來。







    隔離區裏的郵件，XG保留一週，
    若該郵件確定要release，請務必在一週內進行！

    接下來的問題應該是，每一個郵件使用者都有user portal可供檢視隔離區檔案嗎？
    很抱歉，答案是否定的！

    XG的user portal只提供給XG上可以識別的user，包含XG本機上的帳號，及與AD/RADIUS server整合後的帳號。
    若使用者的mail server是Exchnge Server，那確實是可以完整結合的，perfect！

    但著使用者的mail server是其它類型的mail server。
    該mail server上的郵件帳號未必能與XG做整合，
    在這樣的條件下，要讓使用者能透過user portal來檢視隔離區的檔案，
    就只有手動在XG上把所有郵件帳號一筆一筆的鍵入，即便密碼是不同的也沒關係，
    這樣，XG的user portal才能與mail server的使用者帳號進行整合，提供隔離區的檢視功給郵件使用者！

  • Encryption
    Encryption是email protect的第四個功能設定區域，透過Sophos自有的SPX加密技術來保證郵件能完整不遭竄改的送到收件端。



    這是Sophos自有的技術，設定上比較複雜，會再獨立一篇介紹...

  • General Settings
    General Settings是email protect的第五個功能設定區域，也是除了Policy外，最重要的一個部分，
    裏面設定很多，我們逐一拆開來看∼
    1. SMTP Deployment Mode
      可切為MAT或是Legacy模式。



      要讓XG居中掃描郵件，就選用預設的Legacy mode做為Transparent Proxy角色。
      選了MAT模式，email protect還會多出幾個對應的MTA功能...

    2. Banner Settings
      可在郵件中加上banner字串。



      效果如下∼



    3. SMTP Settings
      可對SMTP做些全域的掃描設定。



    4. POP/S and IMAP/S Settings
      可對POP3/IMAP做全域設定。



    5. SMTP TLS Configuration
      SMTP TLS的憑證相關設定，說真的順子不是很懂，不太敢亂動...



    6. POP and IMAP TLS Configuration
      POP3/IMAP TLS的憑證相關設定，順子一樣不是很懂，不太敢亂動...



    7. Email Journaling
      可以將郵件副本一份給某人！





      此功能僅適用於SMTP。

    8. Spam Check Exceptions
      郵件掃描例外設定，針對某些domain做例外放行，不做掃描。



    9. Malware Protection
      定義掃描引擎，有Sophos與Avira可選。



  • Address Group
    Address Group是email protect的第六個功能設定區域，用來定義email protect所用的domin與email群組物件。



    例如定義一個黑名單群組，然後將此群組在SMTP Scanning Policy中進行套用，做黑名單的隔離。



  • File Type
    File Type是email protect的第七個功能設定區域，用來定義email夾檔的類型。



    這些定義好的檔案物件可在SMTP Scanning Policy中進行套用。

  • Quarantine Digest
    Quarantine Digest是email protect的最後一個設定區域，用來設定隔離區郵件摘要的排程發送通知。



    這個功能並不是針所有有隔離郵件的使用者進行隔離郵件的摘要通知，
    需要管理員自行勾選哪些user需要收到摘要通知。



    其中要特別注意的是Reference User Portal IP這個選項，
    這個選項所指定的介面IP，將會出現在摘要郵件中的user portal與釋放郵件連結。
    若指定的是內部介面IP，那麼user在外將無法透過摘要郵件中的連結，連結到user portal與釋放郵件連結；
    若指定的是外部介面IP，而Device Access中未開放WAN的HTTPS的存取，那釋放郵件連結也將無法正常運作。

    順子的建議是在Device Access中開放WAN的HTTPS存取，然後Reference User Portal IP使用外部IP，
    這樣使用者不論在內部或外部都可以正常使用。
    但要注意的是，開放了WAN的HTTPS存取，XG就有機會遭受外部的暴力密碼測試攻擊，
    加強Device Access安全性在開放WAN的HTTPS存取後，相對格外重要！


    Quarantine Digest一如SMTP Quarantine功能中所述，這邊的使用者是XG上可用的使用者，
    包含XG本機上的帳號與AD/RADIUS server上的帳號(假設已與XG進行整合的話)。

    若mail server上的郵件使用者並不在XG可用的帳號資源中，
    那管理者就必幫使用者逐一建立帳號，
    否則隔離郵件的摘要通知是不可能寄到這些user的信箱中。

    若使用者帳號與email正確聯繫到的話，使用者會收到類似如下的隔離郵件的摘要通知。



    另外，要附件一提的是，XG在寄送摘要通知時，是透過 SYSTEM > Administration > Notification Settiings 裏的郵件設定，
    請先確認好郵件組態是正確的，再來測試隔離郵件的摘要通知喔∼



  • LOG
    關於email protect的log，若是因為夾檔有病毒而被XG攔下來的話，會在Malware中留下事件記錄。



    而其它郵件記錄則會出現在Email的事件記錄之中。



    若發現郵件有問題，收不到的話可往這兩個方向去查找原因。


XG的email protect設定就分享到這，若有遺漏之後再補充。


以上測試順子是在Ubuntu 16.04.1上安裝Postfix/Dovecot來進行，
簡單的架設mail server可以參考以下這篇。
Ubuntu架設mail server



♥順子老婆的網拍，請多關照∼

If you don't like something, change it.
If you can't change it, change your attitude.
Don't complain!
2016-12-22, 16:14 shunze 的個人資料 把 shunze 加入好友列表 發送Email給 shunze 瀏覽 shunze 的網站 MSN : shunze@gmail.com
shunze
工友伯伯


註冊日期: 2002 04
來自: 潮汐終止之地
文章: 2380
shunze 離線
《分享》順子建議的Policy設定引用回覆 編輯/刪除文章 搜尋由 發表的其他文章 回報給版主 IP 位置 回此頁最上方

由上文可以知道，在XG中Email Protection是由SMTP Malware Scanning Policy、SMTP Scanning Policy與POP-IMAP Scanning Policy這三種類型的policy來過濾掃描郵件。



而這三種policy的優先順序如下，無法進行調整。



由上圖的優先順序我們可以理解，郵件一旦進入XG，首先進行的會是SMTP Malware Scanning Policy的病毒掃描，然後才是預設的4條SMTP Scanning Policy；
當然若使用者是透過POP3/IMAP的協定來收信，那進行的郵件保護自然就是POP-IMAP Scanning Policy的掃描。


接下來我們來看看這三類policy的預設政策內容。

首先是只有一條預設政策的SMTP Malware Scanning Policy。
在這條預設政策default-smtp-av中，除了可以決定要使用單引擎還是雙引擎防毒外，
還可以針對特定檔案類型做阻擋。



要注意的是此政策中，預設是沒有保留該郵件在隔離區中；
郵件一旦被刪除，沒了就是沒了，無法取回！
所以順子建議勾選保留一份郵件在隔離區中，以應不時之需。




再來是4條預設的MTP Scanning Policy，其說明如下，


↑Virus Outbreak的判斷，Sophos Community始終無法給個答案...

很明顯的，只有Premium/Standard RBL的參考機制與病毒郵件爆發的判斷是不足的；
一般來說，使用單位還會需要黑/白名單機制做為優先判斷的參考依據與垃圾郵判斷件機制，
所以順子會加入以下這5條policy來加強郵件掃描！


↑其中依主旨來進行判斷是by case需求；實用性不大，但可以利用此政策進行郵件判斷的測試。

在黑/白名單機制的設定上，黑/白名單的定義可以在Address Group中設定。



定義好後，在policy中把sender與黑/白名單連結。



然後再選擇對應的動作即可，白名單當然是Accept放行；
而黑名單可以丟棄，並保留一份在隔離區中，以應使用者查看的需求。



而在垃圾郵件的判斷上，XG預設有SPAM與疑似SPAM的判斷機制可選用。



SPAM當然是丟棄，並保留一份在隔離區中；
而疑似SPAM則可在主旨上加上前綴字串後放行該郵件來提醒使用者，或採取與SPAM相同的做法。



遇到XG誤判的情況，或寄件者IP/domain列在RBL名單中，郵件無法順利送達時，
管理者可以將寄件者email或domain加入白名單中，以利郵件的放行。


另外在 Drop 與 Reject 的選擇上，順子建議使用Drop。
順子遇過一個特殊狀況，選用Reject時，因來信信件有問題而被XG退件，
但因退件信無法寄達，又退給XG，而XG又退件，
如此愈滾愈大...
一封幾K的小郵件在半小時後變成四百多K！

所以順子建議使用Drop，省去退件又被退的無窮迴圈問題。


這樣就夠了嗎？
其實還不夠...

在實務上順子遇到一個狀況，
某帳號收到了含有疑似病毒夾檔的郵件，
該郵件被XG判斷為病毒郵件後，出現在隔離區中...

一切看似正常，是不是？
但...問題出現在接下來的動作！

當使用者/管理員在隔離區中按下release連結時，
雖然該郵件被XG釋放，由Notificaion中定義的系統郵件帳號重新發出該郵件給使用者，
但因為該郵件含有病毒，所以又被XG的SMTP Malware Scanning Policy攔截，而再次進入了隔離區，形成無限迴圈...

因為SMTP Malware Scanning Policy的優先權比SMTP Scanning Policy高，
所以即便設定了白名單，一旦信件被XG判斷為病毒郵件，
還是會被列入隔離區而無法發揮白名單預期效果...


為了避免此狀況的發生，順子增加了一條針對系統郵件帳號不進行掃毒的SMTP Malware Scanning Policy。


↑該policy的優先順序需比預設的default-smtp-av policy來的高。

而對應的寄件者System_Sender同樣可以在Address Group中設定。



這樣系統郵件帳號重寄此郵件時，就不會被XG擋了！

那萬一這個email的夾檔真的有毒呢？
拜託，使用者自己決定要release有問題的郵件，後果當然自行負責，
不然要怪順子喔...


SMTP協定的補充設定完成後，接下來來看看POP3/IMAP可以加強的部分。

在POP3/IMAP協定上預設已建好3條如下政策。



只有病毒郵件爆發的判斷就足夠了嗎？
其實這很難說...

要知道透過POP3/IMAP去收取信件時，信件其實都已經在mail server中了，
與SMTP不同的是，還“沒”寄到mail server的郵件，在該郵件進入mail server前，郵件保護機制是可以依據需求來刪除它；
但已經進入mail server的郵件，為保留郵件的完整性，外加的郵件保護機制是不能刪除它的！
唯一能做的，就是在主旨上動手腳來通知使用者，
這也是為什麼POP3/IMAP政策的動作只有Accept與Prefix Subject兩種選擇。



即然POP3/IMAP方向能做保護機制只剩下在主旨加上前綴字串，無法直接刪除有問題的郵件，
那麼要不要加黑/白名單或垃圾郵件的提醒字串似乎都是多餘的，反正郵件都會進來...

但若真的需要提醒使用者，該封郵件為垃圾郵件的話，我們倒是可以針對垃圾建立新政策來提醒使用者。




加上以上這幾條自訂的政策後，XG的Email Protection應該就可以應付所有的狀況了∼



♥順子老婆的網拍，請多關照∼

If you don't like something, change it.
If you can't change it, change your attitude.
Don't complain!
2017-01-05, 14:19 shunze 的個人資料 把 shunze 加入好友列表 發送Email給 shunze 瀏覽 shunze 的網站 MSN : shunze@gmail.com
shunze
工友伯伯


註冊日期: 2002 04
來自: 潮汐終止之地
文章: 2380
shunze 離線
《分享》RBL與Sender IP Reputation引用回覆 編輯/刪除文章 搜尋由 發表的其他文章 回報給版主 IP 位置 回此頁最上方

在XG中對Sender IP合法性的判斷機制有兩種，
一個是Policy中的 RBL，可以使用XG預設的Premium/Standard RBL來判斷Sender IP是否在黑名單中；
而另一個是General Settings中SMTP Settings區段裏的 Verify Sender's IP Reputation。



Verify Sender's IP Reputation參照的是 ctmail.com 中的黑名單，
且對應的處理動作只有 Reject/Accept/Drop，這是跟RBL不同的地方。

而信件進入XG後，其Anti-Spam的處理優先順序為Verify Sender's IP Reputation，
然後才是Policy中的RBL。

啟用Verify Sender's IP Reputation功能後，請注意它與RBL的不同。



♥順子老婆的網拍，請多關照∼

If you don't like something, change it.
If you can't change it, change your attitude.
Don't complain!
2017-01-24, 12:00 shunze 的個人資料 把 shunze 加入好友列表 發送Email給 shunze 瀏覽 shunze 的網站 MSN : shunze@gmail.com
  « 上一篇主題 下一篇主題 »
發表新主題 發表回覆
跳到:

Powered by: Burning Board 1.1.1 2001 WoltLab GbR