ESA-Inhaltsfilter für E-Mail-Nachrichten mit mehreren Anhängen

Einleitung

In diesem Dokument wird beschrieben, wie die Bedingungen für den Filter negativer Inhalte für E-Mail-Nachrichten funktionieren, die mehrere Anhänge auf der Cisco E-Mail Security Appliance (ESA) enthalten.

Problem

Sie verwenden einen Content-Filter, der bestimmte Arten von E-Mail-Anhängen zulässt, während andere Arten von Anhängen für die Quarantäne markiert werden sollten. Wenn eine E-Mail-Nachricht eingeht, die mehrere Anhänge enthält, von denen einer zulässig und ein anderer für die Quarantäne markiert sein sollte, identifiziert der Filter die gesamte Nachricht als zulässig.

Hier ist der Inhaltsfilter, der verwendet wird:

if attachment filename != (list of attachments), then quarantine

Diese Bedingung und Aktion funktioniert wie vorgesehen, wenn die E-Mail-Nachricht einen einzelnen Anhang enthält, aber nicht ordnungsgemäß für Nachrichten mit mehreren, unterschiedlichen Anhängen funktioniert.

Beispielszenario

Folgende Arten von Anhängen sind zulässig:

• rar
• PDF
• JPG

Alle anderen Anhänge sollten entsprechend der Filterbedingung und -aktion in die Quarantäne verschoben werden.

Filterbedingung

Die verwendete Filterbedingung lautet wie folgt:

if attachment filename != (rar|pdf|jpg)

Filteraktion

Hier ist die Filteraktion, die verwendet wird:

quarantine

In der Regel wird erwartet, dass eine E-Mail, die einen PDF-Anhang und einen Text-Anhang enthält, aufgrund des Text-Anhangs in Quarantäne verschoben wird, da sie nicht in der Liste der zulässigen Anhänge enthalten ist. Dieser Content-Filter funktioniert jedoch nicht wie vorgesehen, da er mit dem PDF-Anhang in der Nachricht übereinstimmt und diesen direkt zulässt, obwohl er einen Text-Anhang enthält.

Lösung

Aus den folgenden Gründen ist es nicht möglich, die E-Mail mit dem Text-Anhang in Quarantäne zu verschieben:

• Die Bedingungen für Anhänge gelten für alle Anhänge, die in einer Nachricht enthalten sind.
  
• Der negative != Vergleich überprüft, ob eine der Anlagen übereinstimmt.

Wenn eine der Anlagen zulässig ist, z. B. wenn sie mit dem != übereinstimmen, wird die gesamte Nachricht wie zulässig behandelt. Es führt kein Weg daran vorbei; es ist einfach die Art, wie diese Bedingungen funktionieren.

Die einzige andere Lösung besteht darin, die Logik umzukehren und spezifische Anhänge zu blockieren, nicht nur alle Anhänge, die nicht in die weiße Liste aufgenommen wurden.