Configurar filtros para mitigar ataques con bomba por correo electrónico

Introducción

Este documento describe cómo configurar filtros de contenido y mensajes mediante expresiones regulares para mitigar ataques de bomba de correo electrónico en un ESA.

Problema

Una bomba de correo electrónico en un Cisco Secure Email Gateway (ESA) es una forma de abuso de la red que envía grandes volúmenes de correo electrónico a una dirección para desbordar el buzón de correo, saturar el servidor donde se aloja la dirección de correo electrónico en un ataque de denegación de servicio (ataque DoS) o actuar como una cortina de humo para distraer la atención de los mensajes de correo electrónico importantes que indican una brecha en la seguridad.

Entorno

• Dispositivo de seguridad Cisco Email Security Appliance (ESA)
• AsyncOS (todas las versiones compatibles)

Causa

Los ataques con bombas de lista (también conocidos como bombas de suscripción o bombas de clúster de correo electrónico) pueden ser muy perjudiciales para los usuarios afectados. Sus bandejas de entrada se llenan con un gran volumen de mensajes de confirmación de suscripción, lo que resulta en dificultades para encontrar el correo deseado, a veces abrumando a los clientes de correo o excediendo las cuotas de buzones de correo. Dado que los mensajes de confirmación de suscripción (por lo general) proceden de fuentes legítimas y se envían como respuesta a una acción de registro, los sistemas antispam no pueden defenderse eficazmente contra ellos sin el riesgo de que se generalicen los falsos positivos.

Resolución

Utilizar expresiones regulares (regex) para buscar coincidencias del cuerpo

A menudo es deseable reducir el volumen enviado a la bandeja de entrada de destino para que siga funcionando sin afectar al flujo de correo de los usuarios no afectados. La herramienta recomendada para este caso práctico es un mensaje o un filtro de contenido.

Las expresiones regulares proporcionadas son ejemplos de lo que ha funcionado bien en el pasado para identificar confirmaciones de suscripción:

(?i)(task=activat|click the confirmation|click on the confirmation|Confirm Subscription|confirm your subscription|Confirm my subscription|activate your subscription|If you did not sign up for|Gracias por suscribirse|cliquez pas sur le lien de confirmation|votre inscription|hiermit Ihre Newsletter-Registrierung|After activation you may|Benutzerkonto zu aktivieren|sie haben den Newsletter|Registrierung auf|start receiving the newsletter)

En función del volumen de ataque y de la tolerancia de los falsos positivos (FP), los términos genéricos adicionales, como en esta expresión regular, ayudan a capturar mensajes de forma más agresiva:

(?i)(register|registr|subscri|suscri|inscri|confirm|aktiv|activ|newsletter|news.letter)

Estas expresiones regulares se pueden utilizar en una condición de filtro de mensaje "only-body-contains" o en una condición Cuerpo del mensaje > Contiene texto en un filtro de contenido. El filtro se puede configurar para desviar mensajes de confirmación de suscripción a un buzón diferente, a una cuarentena o para agregar un encabezado o una etiqueta de asunto que permita mover el mensaje a una subcarpeta dedicada dentro del buzón del usuario.

Ejemplo de filtro de mensaje

Los filtros de mensajes se crean y administran a través de la CLI con el comando filters.

Para conocer los pasos para crear filtros de mensajes, consulte Crear y administrar filtros de mensajes (guía de AsyncOS).

Este es un ejemplo de filtro de mensajes:

esa.example.com> filters
Choose the operation you want to perform:
- NEW - Create a new filter.
- IMPORT - Import a filter script from a file.
[]> new
Enter filter script. Enter '.' on its own line to end.
Email_Bomb:
if (sendergroup != "RELAYLIST" and (only-body-contains("(?i)(task=activat|click the confirmation|click on the confirmation|Confirm Subscription|confirm your subscription|Confirm my subscription|activate your subscription|If you did not sign up for|Gracias por suscribirse|cliquez pas sur le lien de confirmation|votre inscription|hiermit Ihre Newsletter-Registrierung|After activation you may|Benutzerkonto zu aktivieren|sie haben den Newsletter|Registrierung auf|start receiving the newsletter)", 1)))
{
log-entry("$MatchedContent");
log-entry("Message Filter Email_Bomb matched");
quarantine("Policy");
}
.
1 filters added.
esa.example.com> commit
Please enter some comments describing your changes:
[]> Added message filter
Do you want to save the current configuration for rollback? [Y]>
Changes committed: Mon Jan 10 22:31:04 2022 EST

Ejemplo de Filtro de Contenido Entrante

Los filtros de contenido para los correos electrónicos entrantes se pueden crear directamente desde la GUI en Políticas de correo > Filtros de contenido entrante.

1. Seleccione Agregar filtro, introduzca un nombre de filtro como Email_Bomb.
2. Seleccione Agregar condición, seleccione Cuerpo del mensaje, seleccione el botón de opción Contiene texto e ingrese el regex para coincidir con el cuerpo del correo electrónico. Seleccione OK cuando haya terminado.
3. Seleccione Agregar acción, seleccione una acción para realizar cuando el filtro coincida, como cuarentena, Agregar/Editar encabezado, Notificar, etc. Seleccione OK cuando haya terminado.
4. Repita el paso 3 para agregar tantas acciones como sea necesario y seleccione Enviar una vez hecho.
5. Vaya a Políticas de correo > Políticas de correo entrante.
6. En la columna Filtros de contenido, seleccione la casilla de verificación Enable para Email_Bomb para una o varias políticas. Seleccione Enviar y confirme los cambios.

Verificación

En función del tipo de filtro configurado, utilice los informes disponibles en la ficha Monitor para realizar un seguimiento del número de coincidencias de filtro:

• Supervisar > Filtros de contenido
• Supervisar > Filtros de mensajes

El rastreo de mensajes (mediante la opción Búsqueda avanzada) y los registros de correo (mediante comandos grep) también se pueden utilizar para revisar detalles de correos electrónicos individuales y rastrear correos electrónicos que coincidan con los filtros.

Troubleshoot

Revise la documentación disponible en sitios de terceros y utilice herramientas de prueba como Regex101 (de terceros) o RegExr (de terceros) para probar y comprender cómo la expresión regular utilizada en los filtros coincide con el asunto de los correos electrónicos recibidos.

Información Relacionada

• Dispositivo de seguridad Cisco Email Security Appliance: guías del usuario final
• Trabajo con filtros de mensajes
• Guía de prácticas recomendadas para filtros de contenido entrante y saliente
• Soporte Técnico y Documentación - Cisco Systems

Historial de revisiones

Revisión	Fecha de publicación	Comentarios
2.0	01-Jul-2026	Reformateo, contenedores de notas y precaución, formato de código, traducción automática
1.0	18-Jan-2022	Versión inicial