Configurer ESA pour ignorer le téléchargement de fichiers de type MIME inconnu vers le serveur d'analyse de fichiers

Introduction

Ce document décrit les étapes à suivre pour ignorer le téléchargement de fichiers de type MIME inconnus (Application/flux d'octets) vers le serveur d'analyse de fichiers dans Cisco ESA.

Conditions préalables

Exigences

Cisco vous recommande de prendre connaissance des rubriques suivantes :

• Fonctionnement d'Advanced Malware Protection (AMP) dans ESA.
• Connaissance de base des types MIME de fichiers.

Cisco recommande que vous ayez :

• ESA physique ou virtuel installé.
• Licence activée ou installée.
• L'Assistant de configuration est terminé.

• Accès administratif à l'interface de ligne de commande (CLI) ESA.

Composants utilisés

Ce document s'applique à AsyncOS 15.5.1, 15.0.2 et versions ultérieures.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si votre réseau est en ligne, assurez-vous de bien comprendre l’incidence possible des commandes.

Types MIME 

Un type de support, également appelé MIME (Multipurpose Internet Mail Extensions), sert à identifier le caractère et la structure d'un document, d'un fichier ou d'une collection d'octets. Les spécifications des types MIME sont établies et uniformisées dans le document RFC 6838 de l'IETF (Internet Engineering Task Force).

Les sous-types non reconnus de « text » doivent être traités comme des sous-types « plain » tant que l'implémentation MIME sait comment gérer le jeu de caractères. Les sous-types non reconnus qui spécifient également un jeu de caractères non reconnu doivent être traités comme « application/octet-stream ».

Pour plus d'informations, veuillez vous reporter à la RFC 2046 - Multipurpose Internet Mail Extensions (MIME) Part Two : Media Types

L'appliance ESA a dépassé la limite de téléchargement

Si vous avez activé le service d'analyse de fichiers et que le service de réputation ne dispose d'aucune information sur le fichier, et que le fichier répond aux critères des fichiers pouvant être analysés, le message peut être mis en quarantaine et le fichier envoyé pour analyse. Si vous n'avez pas configuré la solution matérielle-logicielle pour mettre en quarantaine les messages lorsque les pièces jointes sont envoyées pour analyse, ou si le fichier n'est pas envoyé pour analyse, le message est alors libéré pour l'utilisateur.

Pour plus d'informations, reportez-vous au Guide de l'utilisateur. Guide de l'utilisateur d'AsyncOS 15.0 pour Cisco Secure Email Gateway - GD (General Deployment) - Filtrage par réputation de fichiers et analyse de fichiers [Cisco Secure Email Gateway] - Cisco

Attention : pour une sécurité renforcée, nous vous conseillons vivement de télécharger tous les fichiers comme recommandé. Cependant, si vous jugez essentiel de contourner cette étape pour des types de fichiers spécifiques, la commande fournie permet de le faire à votre discrétion. Veuillez procéder avec prudence et comprendre les risques potentiels.

Exclure les types MIME d'application/flux d'octets à télécharger dans l'analyse de fichiers

Pour exclure les types MIME d'application/flux d'octets à télécharger sur le serveur d'analyse de fichiers pour l'analyse, procédez comme suit :

Étape 1. Connectez-vous à CLI.

Étape 2 : exécutez la commande ampconfig

Étape 3. Tapez unknown imeoverride et appuyez sur Entrée 

Remarque : unknownmimeoverride est une commande masquée.

Étape 4. Tapez N en réponse à « Voulez-vous envoyer un MIME inconnu pour analyse uniquement si leurs extensions sont sélectionnées ? [N]> "

Étape 5. Appuyez sur Entrée pour quitter l'assistant.

Étape 6. Valider les modifications 

ESA_CLI> ampconfig
 
File Reputation: Enabled
File Analysis: Enabled
Appliance Group ID/Name: Not part of any group yet
 
 
Choose the operation you want to perform:
- SETUP - Configure Advanced-Malware protection service.
- ADVANCED - Set values for AMP parameters (Advanced configuration).
- SETGROUP - Add this appliance to the group of appliances that can share File Analysis reporting
details.
- CACHESETTINGS - Configure the cache settings for AMP.
[]> unknownmimeoverride
 
Do you want to send unknown mime for analysis only if their extensions are selected? [Y]> N

ESA_CLI>  commit

Défauts et améliorations liés 

Cette nouvelle fonctionnalité est introduite en raison des requêtes et des défauts suivants :

• Le changement de comportement dans les fichiers HTML et les fichiers de flux d'octets chargés dans l'analyse de fichiers perturbe les clients. ID de bogue Cisco CSCwh61317
• Les fichiers p7s sont téléchargés dans l'analyse de fichier même si le type de fichier n'est pas sélectionné. ID de bogue Cisco CSCwh70476

Références

Guide de l'utilisateur d'AsyncOS 15.0 pour Cisco Secure Email Gateway - GD (General Deployment) - Filtrage par réputation de fichiers et analyse de fichiers [Cisco Secure Email Gateway] - Cisco

RFC 2046 - Multipurpose Internet Mail Extensions (MIME) - Deuxième partie : Types de support