Configuración de los parámetros antispam de ESA para mejorar la detección de spam

Introducción

Este documento describe cómo mejorar la eficacia antispam del dispositivo de seguridad Cisco Email Security Appliance (ESA) y reducir el spam que omite el filtrado.

Problema

Los mensajes de spam se saltan el filtrado ESA o no se gestionan como cabría esperar mediante políticas de correo entrante.

Entorno

• Dispositivo de seguridad Cisco Email Security Appliance (ESA) con Anti-Spam activado y una clave de función antispam válida.
• Flujo de correo entrante y saliente configurado en receptores independientes (recomendado para la configuración de SenderBase).
• SenderBase Reputation Score (SBRS) y SenderBase Network Participation (SBNP) disponibles en la implementación.

Resolución

Complete los procedimientos de estas secciones para verificar el funcionamiento de Anti-Spam, confirmar el escaneo, ajustar los umbrales y optimizar SBRS y las políticas de flujo de correo.

Causa

• Anti-Spam deshabilitado, clave de característica ausente o actualizaciones de regla no actualizadas.
• Los mensajes omiten el análisis debido a listas de permitidos, filtros de mensajes o límites de tamaño de análisis.
• Políticas de tabla de acceso de host permisivo (HAT) o umbrales SBRS.
• Aumento del volumen de spam con el tiempo.

Configuración

Procedimiento 1: Verifique que Anti-Spam esté habilitado

1.- Asegurarse de que todos los registros de intercambio de correo (MX) (incluidos los registros MX de menor prioridad) retransmitan correo a través del ESA.

2.- Verifique que el dispositivo tenga una clave de función Anti-Spam válida.

3.- Asegúrese de que Anti-Spam esté habilitado para todas las políticas de correo entrante apropiadas.

Procedimiento 2: Verificar actualizaciones de reglas antispam

Navegue hasta Servicios de seguridad > Anti-Spam y verifique que las marcas de tiempo de actualización de reglas más recientes estén dentro de las últimas 2 horas.

Procedimiento 3: Verificar que Anti-Spam analice los mensajes

1.- Inspeccionar una muestra de mensajes de spam perdidos para el encabezado X-IronPort-Anti-Spam-Result:

2.- Si falta el encabezado, complete estas comprobaciones:

• Compruebe que ninguna entrada o filtro de la lista de permitidos omite el análisis de spam.
• Verifique que los mensajes no omitan el análisis debido al tamaño máximo de análisis de mensajes (262144 bytes predeterminado).
• Revise cada entrada de la Tabla de acceso de host (HAT) y confirme que spam_check=on está configurado para las políticas de flujo de correo entrante.
• Revise los filtros de mensajes y verifique que ningún filtro utilice skip-spamcheck a menos que sea necesario.
• Utilice un ejemplo reciente de spam (hora, fecha, destinatario) y revise mail_logs para confirmar que Anti-Spam devolvió un veredicto negativo.

Procedimiento 4: Verificar acciones para mensajes positivos de spam

Revise las directivas de correo entrante y compruebe que los mensajes de spam positivo y de spam sospechoso se descartan o se ponen en cuarentena en la directiva predeterminada, y que otras directivas heredan el comportamiento predeterminado o lo anulan intencionadamente.

Procedimiento 5: Ajustar umbrales de spam (opcional)

1.- Reducir el umbral de spam positivo a 80 (valor predeterminado 90) cuando los falsos positivos son aceptables en un determinado umbral.

2.- Reducir el umbral de spam sospechoso a 40 (valor predeterminado 50) cuando se aceptan falsos positivos en el umbral sospechoso.

3.- Cuando las quejas se limitan a un subconjunto de destinatarios, cree una política de correo independiente para aquellos destinatarios con umbrales más bajos.

Procedimiento 6: Optimizar la configuración de SBRS y las políticas HAT

1.- Ajustar rangos SBRS para lista de bloqueo y grupos de remitentes sospechosos en función de la tolerancia organizativa para falsos positivos.

2.- Cuando la política requiera una validación más estricta, agregue SBRS none a un grupo de remitentes sospechosos que utilice una política acelerada.

3.- Establecer el número máximo de destinatarios por hora a 5 para la política acelerada.

4.- Opcionalmente, cree múltiples políticas aceleradas con diferentes límites de destinatarios por hora para diferentes rangos SBRS.

Procedimiento 7: Habilitar verificación de remitente para flujo de correo acelerado

1.- Cuando la política requiera una validación más estricta, agregue remitentes con un sistema de nombres de dominio (DNS) inexistente o configurado incorrectamente a un grupo de remitentes sospechosos.

2.- Considerar una política de flujo de correo independiente que devuelve una respuesta 4xx personalizada que indica por qué se rechazan los mensajes.

Procedimiento 8: Habilitar aceptación LDAP y protección contra ataques de recolección de directorios

1.- Activar el protocolo ligero de acceso a directorios (LDAP) para reducir el spam enviado a destinatarios no válidos.

2.- Si LDAP accept está habilitado, configure Directory Harvest Attack Protection (DHAP) para cada receptor entrante con un máximo de intentos no válidos entre 5 y 10 por IP.

Procedimiento 9: Habilitar diccionarios de contenido (opcional)

El ESA incluye dos diccionarios de contenido: profanity.txt y sexual_content.txt. Aplique estos diccionarios sólo cuando sea necesario porque pueden aumentar los falsos positivos.

Procedimiento 10: Notificar mensajes mal clasificados

Envíe falsos positivos y falsos negativos al TAC de Cisco para su análisis.

Procedimiento 1: Deshabilitar SBRS para escaneo saliente

Habilitar SBNP

1.- Asegúrese de que el correo entrante y saliente estén en receptores separados.

2.- Deshabilitar búsquedas SenderBase para correo electrónico saliente. Vaya a Red > Receptores. Seleccione el receptor saliente. Haga clic en Advanced. Desactive la casilla de verificación Usar perfiles de IP de SenderBase.

SenderBase Network Participation (SBNP) puede aumentar la eficacia de los filtros de reputación, antispam y filtros de brote de virus. SBNP no tiene un impacto notable en el rendimiento cuando Anti-Spam está habilitado y es seguro.

Nota: El volumen de spam que recibe su organización cambia con el tiempo. Es posible que pase más spam por los ESA simplemente porque la organización recibe más spam que en el pasado. Realice un seguimiento de este comportamiento a lo largo del tiempo en la página Incoming Mail Overview y agregue los elementos de línea detenidos por el filtrado de reputación y los mensajes de spam detectados.

Fundamento de SBRS

La principal preocupación con los falsos positivos es que se puede perder un correo electrónico importante. En este contexto, poner en cuarentena o descartar correo electrónico spam positivo puede ser problemático. Si se envía un correo electrónico legítimo a una cuarentena o a una carpeta de spam, se requiere una búsqueda proactiva para identificar que el correo electrónico legítimo se ha clasificado erróneamente como spam.

Por el contrario, los correos electrónicos de lista de bloqueo y de velocidad limitada se bloquean de tal manera que se notifica inmediatamente al remitente. Si este remitente no es un remitente de correo no deseado, es probable que encuentre otra forma de establecer contacto. De hecho, como política general, el bloqueo de forma predeterminada y la posterior aceptación de partners de confianza previa solicitud es una mejor posición para algunas empresas.

La aceleración, si se establece correctamente, raramente afecta a los partners, pero proporciona protección frente a dominios que se infectan con virus. La aceleración también es desfavorable para los spammers. Una técnica conocida de los spammers consiste en adquirir grandes cantidades de direcciones IP, generar suficientes mensajes de correo electrónico adecuados para obtener una puntuación SBRS adecuada y, a continuación, empezar a enviar spam. Un rango mayor de listas de sospechosos detecta el spam, limita el daño que causan y eventualmente puede hacer que dejen de enviar spam a su dominio.

Contenido relacionado

• ¿Cómo se determinan las puntuaciones de reputación de SenderBase (SBRS) y qué significan?

Historial de revisiones

Revisión	Fecha de publicación	Comentarios
2.0	05-Oct-2026	Recertificación
1.0	12-Aug-2014	Versión inicial