Konfigurieren der Anti-Spam-Einstellungen der ESA zur Verbesserung der Spam-Erkennung

Einleitung

In diesem Dokument wird beschrieben, wie Sie die Spam-Abwehr mit der Cisco Email Security Appliance (ESA) verbessern und Spam reduzieren können, der die Filterung umgeht.

Problem

Spam-Nachrichten umgehen die ESA-Filterung oder werden von Richtlinien für eingehende E-Mails nicht wie erwartet behandelt.

Umwelt

• Cisco Email Security Appliance (ESA) mit aktivierter Anti-Spam-Funktion und einem gültigen Anti-Spam-Feature-Schlüssel.
• Auf separaten Listenern konfigurierter eingehender und ausgehender E-Mail-Fluss (empfohlen für SenderBase-Einstellungen).
• SenderBase Reputation Score (SBRS) und SenderBase Network Participation (SBNP) sind in der Bereitstellung verfügbar.

Auflösung

Führen Sie die in diesen Abschnitten beschriebenen Verfahren aus, um den Anti-Spam-Betrieb zu überprüfen, das Scannen zu bestätigen, Grenzwerte anzupassen und die SBRS- und Mail Flow-Richtlinien zu optimieren.

Ursache

• Anti-Spam deaktiviert, Feature-Schlüssel fehlt oder Regelaktualisierungen sind nicht aktuell.
• Nachrichten umgehen den Scanvorgang aufgrund von Listen, Nachrichtenfiltern oder Größenbeschränkungen des Scanvorgangs.
• HAT-Richtlinien (Permissive Host Access Table) oder SBRS-Schwellenwerte.
• Zunahme des Spam-Volumens im Laufe der Zeit

Einrichtung

Verfahren 1: Überprüfen, ob Anti-Spam aktiviert ist

1.- Stellen Sie sicher, dass alle Mail Exchange (MX)-Datensätze (einschließlich MX-Datensätzen mit niedrigerer Priorität) E-Mails über die ESA weiterleiten.

2.- Überprüfen Sie, ob die Appliance über einen gültigen Anti-Spam-Feature-Schlüssel verfügt.

3.- Stellen Sie sicher, dass Anti-Spam für alle geeigneten Richtlinien für eingehende E-Mails aktiviert ist.

Verfahren 2: Updates der Anti-Spam-Regel überprüfen

Navigieren Sie zu Security Services > Anti-Spam, und überprüfen Sie, ob die Zeitstempel der letzten Regelaktualisierung innerhalb der letzten 2 Stunden liegen.

Verfahren 3: Überprüfen, ob Nachrichten von Anti-Spam gescannt werden

1.- Untersuchen Sie eine Stichprobe verpasster Spam-Nachrichten auf den Header X-IronPort-Anti-Spam-Result:

2.- Wenn der Header fehlt, führen Sie die folgenden Prüfungen durch:

• Vergewissern Sie sich, dass keine zulässigen Listeneinträge oder Filter den Spam-Scan umgehen.
• Stellen Sie sicher, dass Nachrichten den Scanvorgang aufgrund der maximalen Größe des Nachrichten-Scanvorgangs nicht umgehen (Standard: 262144 Byte).
• Überprüfen Sie jeden Eintrag in der Host Access Table (HAT), und stellen Sie sicher, dass spam_check=on für Richtlinien für den eingehenden E-Mail-Verkehr festgelegt wurde.
• Überprüfen Sie die Nachrichtenfilter, und vergewissern Sie sich, dass falls nicht erforderlich keine Filter Spam-Überprüfung überspringen.
• Verwenden Sie ein aktuelles Spam-Beispiel (Uhrzeit, Datum, Empfänger), und überprüfen Sie mail_logs, um sicherzustellen, dass Anti-Spam ein negatives Urteil zurückgegeben hat.

Verfahren 4: Aktionen für Spam-positive Nachrichten überprüfen

Überprüfen Sie die Richtlinien für eingehende E-Mails, und vergewissern Sie sich, dass Spam-positive und verdächtige E-Mails in der Standardrichtlinie verworfen oder in Quarantäne gestellt werden, und dass andere Richtlinien das Standardverhalten übernehmen oder es absichtlich überschreiben.

Verfahren 5: Spam-Schwellenwerte anpassen (optional)

1.- Senken Sie den Schwellenwert für positive Spam-Mails auf 80 (Standardwert: 90), wenn falsche Positiva unter einem bestimmten Schwellenwert akzeptabel sind.

2.- Senken Sie den Schwellenwert für Spam-verdächtig auf 40 (Standardwert: 50), wenn Fehlalarme am Schwellenwert für Spam-verdächtig akzeptiert werden.

3.- Wenn Beschwerden auf einen Teil der Empfänger beschränkt sind, erstellen Sie eine separate Mail-Richtlinie für Empfänger mit niedrigeren Schwellenwerten.

Verfahren 6: SBRS-Einstellungen und HAT-Richtlinien optimieren

1.- Passen Sie die SBRS-Bereiche für Sperrlisten und verdächtige Absendergruppen basierend auf der organisatorischen Toleranz für Fehlalarme an.

2.- Wenn eine Richtlinie eine strengere Überprüfung erfordert, fügen Sie SBRS none zu einer verdächtigen Absendergruppe hinzu, die eine Richtlinie mit eingeschränkter Authentifizierung verwendet.

3.- Legen Sie die maximale Anzahl der Empfänger pro Stunde für die Richtlinie mit eingeschränkter Verwendung auf 5 fest.

4.- Erstellen Sie optional mehrere Richtlinien mit Drosselung und unterschiedlichen stündlichen Empfängergrenzwerten für verschiedene SBRS-Bereiche.

Verfahren 7: Absenderverifizierung für gedrosselten E-Mail-Fluss aktivieren

1.- Wenn eine Richtlinie eine strengere Überprüfung erfordert, fügen Sie Absender mit nicht vorhandenem oder falsch konfiguriertem Domain Name System (DNS) zu einer verdächtigen Absendergruppe hinzu.

2.- Ziehen Sie eine separate Mail Flow-Richtlinie in Betracht, die eine benutzerdefinierte Antwort vom Typ 4xx zurückgibt, die angibt, warum Nachrichten abgelehnt werden.

Verfahren 8: LDAP Accept und Directory Harvest Attack Protection aktivieren

1.- Aktivieren Sie LDAP (Lightweight Directory Access Protocol), um Spam zu reduzieren, der an ungültige Empfänger gesendet wird.

2.- Wenn LDAP Accept aktiviert ist, konfigurieren Sie DHAP (Directory Harvest Attack Protection) für jeden eingehenden Listener mit maximal ungültigen Versuchen zwischen 5 und 10 pro IP.

Verfahren 9: Content-Dictionarys aktivieren (optional)

Die ESA umfasst zwei Content-Dictionarys: profanity.txt und sexual_content.txt. Wenden Sie diese Wörterbücher nur an, wenn dies erforderlich ist, da sie die Zahl der Fehlalarme erhöhen können.

Verfahren 10: Falsch klassifizierte Nachrichten melden

Senden Sie falsche Positiva und falsche Negative zur Analyse an das Cisco TAC.

Verfahren 11: SBRS für Scannen von ausgehenden Nachrichten deaktivieren

SBNP aktivieren

1.- Stellen Sie sicher, dass eingehende und ausgehende E-Mails auf separaten Listenern vorhanden sind.

2.- SenderBase-Suchvorgänge für ausgehende E-Mails deaktivieren Navigieren Sie zu Netzwerk > Listener. Wählen Sie den ausgehenden Listener aus. Klicken Sie auf Erweitert. Deaktivieren Sie das Kontrollkästchen SenderBase IP-Profilerstellung verwenden.

SenderBase Network Participation (SBNP) kann die Effektivität von Reputationsfiltern, Anti-Spam- und Virus-Outbreak-Filtern erhöhen. Bei aktivierter und sicherer Anti-Spam-Funktion hat SBNP keine spürbaren Auswirkungen auf die Leistung.

Anmerkung: Das Spam-Volumen, das Ihre Organisation erhält, ändert sich im Laufe der Zeit. Es ist möglich, dass mehr Spam durch die ESAs gelangt, einfach weil das Unternehmen mehr Spam als in der Vergangenheit empfängt. Verfolgen Sie dieses Verhalten im Laufe der Zeit, indem Sie auf der Seite Übersicht über eingehende E-Mails die durch Reputationsfilterung und Spam-Nachrichten gestoppte Posten hinzufügen.

SBRS-Begründung

Das Hauptproblem bei Fehlalarmen ist, dass wichtige E-Mails verloren gehen können. In diesem Zusammenhang kann die Quarantäne oder das Verwerfen von Spam-positiven E-Mails problematisch sein. Wenn eine legitime E-Mail-Nachricht in einen Quarantäne- oder Spamordner gesendet wird, muss sie proaktiv durchsucht werden, um zu ermitteln, dass die legitime E-Mail irrtümlich als Spam klassifiziert wurde.

Dagegen werden blocklist- und rate-limitierte E-Mails so blockiert, dass der Absender sofort benachrichtigt wird. Wenn es sich bei diesem Absender nicht um einen Spammer handelt, findet er wahrscheinlich eine andere Möglichkeit, Kontakt aufzunehmen. Tatsächlich ist die Blockierung standardmäßig und die Annahme vertrauenswürdiger Partner auf Anfrage eine bessere Position für einige Unternehmen.

Drosseln, wenn richtig eingestellt, selten, wenn überhaupt, betrifft Partner, sondern bietet Schutz vor Domains, die mit Viren infiziert werden. Die Drosselung ist auch abwertend für Spammer. Eine bekannte Spammer-Technik ist es, eine große Anzahl von IPs zu kaufen, genug gute E-Mails zu erzeugen, um eine ordentliche SBRS-Bewertung zu erhalten, und dann damit zu beginnen, Spam zu versenden. Ein größerer Bereich der verdächtigen Liste fängt die Spam-Mails, begrenzt den Schaden, den sie anrichten, und es kann schließlich dazu führen, dass sie keine Spam-Mails mehr an Ihre Domain senden.

Verwandte Inhalte

• Wie werden die SenderBase-Reputationsbewertungen (SBRS) ermittelt, und was bedeuten sie?

Revisionsverlauf

Überarbeitung	Veröffentlichungsdatum	Kommentare
2.0	05-Oct-2026	Rezertifizierung
1.0	12-Aug-2014	Erstveröffentlichung