Filtres de contenu ESA pour les e-mails comportant plusieurs pièces jointes

Introduction

Ce document décrit comment les conditions de filtrage de contenu négatives fonctionnent pour les e-mails qui contiennent plusieurs pièces jointes sur l'appliance de sécurité de la messagerie Cisco (ESA).

Problème

Vous utilisez un filtre de contenu qui autorise certains types de pièces jointes, alors que d'autres types de pièces jointes doivent être marqués pour la quarantaine. Lorsqu'un e-mail contenant plusieurs pièces jointes arrive, l'une devant être autorisée et l'autre marquée pour quarantaine, le filtre identifie l'intégralité du message comme autorisée.

Voici le filtre de contenu qui est utilisé :

if attachment filename != (list of attachments), then quarantine

Cette condition et cette action fonctionnent comme prévu si le message électronique comporte une seule pièce jointe, mais ne fonctionnent pas correctement pour les messages qui contiennent plusieurs pièces jointes différentes.

Exemple de scénario

Voici les types de pièces jointes autorisés :

• arrière
• pdf
• jpg

Toutes les autres pièces jointes doivent être mises en quarantaine, conformément à la condition et à l'action de filtrage.

Condition de filtre

Voici la condition de filtre qui est utilisée :

if attachment filename != (rar|pdf|jpg)

Action de filtrage

Voici l'action de filtrage utilisée :

quarantine

En général, si le message électronique contient une pièce jointe pdf et une pièce jointe txt, il doit être mis en quarantaine en raison de la pièce jointe txt car elle ne figure pas dans la liste des pièces jointes autorisées. Cependant, ce filtre de contenu ne fonctionne pas comme prévu, car il correspond à la pièce jointe pdf dans le message et l'autorise directement, même s'il contient une pièce jointe texte.

Solution

Il n'est pas possible de mettre en quarantaine l'e-mail avec la pièce jointe texte pour les raisons suivantes :

• Les conditions de pièce jointe s'appliquent à toutes les pièces jointes incluses dans un message.
  
• La comparaison négative != vérifie si l'une des pièces jointes correspond.

Comme décrit ci-dessus, si l'une des pièces jointes est autorisée, par exemple lorsqu'elle correspond à !=, alors le message entier est considéré comme autorisé. Il n'y a pas d'autre solution ; c'est simplement la manière dont ces conditions fonctionnent.

La seule autre solution consiste à inverser la logique et à bloquer des pièces jointes spécifiques, et pas seulement toute pièce jointe qui ne figure pas dans la liste blanche.