Configurazione delle impostazioni di protezione da posta indesiderata ESA per migliorare il rilevamento della posta indesiderata

Opzioni per il download

PDF (242.9 KB)
Visualizza con Adobe Reader su diversi dispositivi
ePub (92.3 KB)
Visualizza in diverse app su iPhone, iPad, Android, Sony Reader o Windows Phone
Mobi (Kindle) (78.8 KB)
Visualizza su dispositivo Kindle o tramite app Kindle su più dispositivi

Aggiornato:5 ottobre 2026

ID documento:118220

Linguaggio senza pregiudizi

La documentazione per questo prodotto è stata redatta cercando di utilizzare un linguaggio senza pregiudizi. Ai fini di questa documentazione, per linguaggio senza di pregiudizi si intende un linguaggio che non implica discriminazioni basate su età, disabilità, genere, identità razziale, identità etnica, orientamento sessuale, status socioeconomico e intersezionalità. Le eventuali eccezioni possono dipendere dal linguaggio codificato nelle interfacce utente del software del prodotto, dal linguaggio utilizzato nella documentazione RFP o dal linguaggio utilizzato in prodotti di terze parti a cui si fa riferimento. Scopri di più sul modo in cui Cisco utilizza il linguaggio inclusivo.

Informazioni su questa traduzione

Cisco ha tradotto questo documento utilizzando una combinazione di tecnologie automatiche e umane per offrire ai nostri utenti in tutto il mondo contenuti di supporto nella propria lingua. Si noti che anche la migliore traduzione automatica non sarà mai accurata come quella fornita da un traduttore professionista. Cisco Systems, Inc. non si assume alcuna responsabilità per l’accuratezza di queste traduzioni e consiglia di consultare sempre il documento originale in inglese (disponibile al link fornito).

Sommario

Introduzione

Configurazione di base

Abilita SBNP

Motivazione SBRS

Introduzione

In questo documento viene descritto come migliorare l'efficacia della protezione da posta indesiderata di Cisco Email Security Appliance (ESA) e ridurre la posta indesiderata che ignora i filtri.

Problema

I messaggi di posta indesiderata ignorano il filtro ESA o non vengono gestiti come previsto dai criteri di posta in arrivo.

Ambiente

Cisco Email Security Appliance (ESA) con protezione antispam abilitata e una chiave di funzionalità antispam valida.
Flusso della posta in entrata e in uscita configurato su listener separati (consigliato per le impostazioni di SenderBase).
Punteggio reputazione SenderBase (SBRS) e partecipazione di rete SenderBase (SBNP) disponibili nella distribuzione.

Risoluzione

Completare le procedure descritte in queste sezioni per verificare il funzionamento della protezione dalla posta indesiderata, confermare la scansione, regolare le soglie e ottimizzare le regole SBRS e del flusso di posta.

Causa

Protezione da posta indesiderata disabilitata, chiave di funzionalità mancante o aggiornamenti delle regole non aggiornati.
I messaggi ignorano la scansione a causa di elenchi di autorizzazioni, filtri messaggi o limiti delle dimensioni della scansione.
Criteri Permissive Host Access Table (HAT) o soglie SBRS.
Aumento del volume della posta indesiderata nel tempo.

Configurazione

Procedura 1: Verifica che la protezione da posta indesiderata sia abilitata

1.- Assicurarsi che tutti i record Mail Exchange (MX) (inclusi i record MX con priorità inferiore) inoltrino la posta attraverso l'ESA.

2.- Verificare che l'accessorio disponga di una chiave valida per la funzione di protezione dalla posta indesiderata.

3.- Verificare che la funzionalità Anti-Spam sia abilitata per tutti i criteri di posta elettronica in arrivo appropriati.

Procedura 2: Verifica aggiornamenti regole posta indesiderata

Passare a Servizi di sicurezza > Antispam e verificare che gli indicatori di data e ora più recenti per l'aggiornamento delle regole siano presenti nelle ultime 2 ore.

Procedura 3: Verifica dell'analisi dei messaggi da parte di Anti-Spam

1.- Analizzare un esempio di messaggi di posta indesiderata persi per l'intestazione X-IronPort-Anti-Spam-Result:

2.- Se l'intestazione è mancante, completare i seguenti controlli:

Verificare che nessuna voce dell'elenco dei permessi o nessun filtro ignori la scansione della posta indesiderata.
Verificare che i messaggi non ignorino l'analisi a causa delle dimensioni massime di analisi dei messaggi (262144 byte predefiniti).
Esaminare tutte le voci della tabella Host Access (HAT) e verificare che spam_check=on sia impostato per i criteri del flusso di posta in arrivo.
Esaminare i filtri messaggi e verificare che nessun filtro utilizzi skip-spamcheck se non richiesto.
Utilizzare un esempio recente di posta indesiderata (ora, data, destinatario) ed esaminare mail_logs per confermare che la funzione Anti-Spam ha restituito un verdetto negativo.

Procedura 4: Verifica delle azioni per i messaggi posta indesiderata

Esaminare i criteri della posta in arrivo e verificare che i messaggi di posta indesiderata positivi e presunti vengano eliminati o messi in quarantena nel criterio predefinito e che gli altri criteri ereditino il comportamento predefinito o lo sostituiscano intenzionalmente.

Procedura 5: Soglie di ottimizzazione della posta indesiderata (facoltativo)

1.- Ridurre la soglia di posta indesiderata positiva a 80 (valore predefinito 90) quando sono accettabili falsi positivi a una determinata soglia.

2.- Ridurre la soglia per il sospetto di posta indesiderata a 40 (valore predefinito 50) quando sono accettabili falsi positivi alla soglia del sospetto.

3.- Quando i reclami sono limitati a un sottoinsieme di destinatari, creare una politica di posta separata per i destinatari con soglie inferiori.

Procedura 6: Ottimizzazione delle impostazioni SBRS e dei criteri HAT

1.- Regolare gli intervalli SBRS per i gruppi di mittenti sospetti e bloccati in base alla tolleranza organizzativa per i falsi positivi.

2.- Quando i criteri richiedono una convalida più rigorosa, aggiungere SBRS none a un gruppo di mittenti sospetti che utilizza un criterio limitato.

3.- Impostare il numero massimo di destinatari all'ora su 5 per il criterio limitato.

4.- Facoltativamente, creare più criteri limitati con limiti orari per destinatario diversi per intervalli SBRS diversi.

Procedura 7: Abilita verifica mittente per flusso di posta limitato

1.- Quando i criteri richiedono una convalida più rigorosa, aggiungere mittenti con DNS (Domain Name System) inesistente o configurato in modo non corretto a un gruppo di mittenti sospetti.

2.- Considerare un criterio del flusso di posta separato che restituisca una risposta 4xx personalizzata indicante il motivo per cui i messaggi vengono rifiutati.

Procedura 8: Abilita accettazione LDAP e protezione dagli attacchi di tipo Raccolto directory

1.- Abilitare il protocollo LDAP (Lightweight Directory Access Protocol) per accettare la riduzione della posta indesiderata inviata ai destinatari non validi.

2.- Se l'accettazione LDAP è abilitata, configurare il protocollo DHCP (Directory Harvest Attack Protection) per ciascun listener in entrata con un massimo di tentativi non validi compreso tra 5 e 10 per IP.

Procedura 9: Abilita dizionari contenuto (facoltativo)

L'ESA comprende due dizionari di contenuti: profanity.txt e sex_content.txt. Applicare questi dizionari solo se necessario perché possono aumentare i falsi positivi.

Procedura 10: Segnala messaggi classificati in modo erroneo

Invia i falsi positivi e i falsi negativi a Cisco TAC per l'analisi.

Procedura 11: Disabilita SBRS per analisi in uscita

Abilita SBNP

1.- Assicurarsi che la posta in entrata e in uscita si trovino su listener separati.

2.- Disabilitare le ricerche SenderBase per la posta elettronica in uscita. Passare a Rete > Listener. Selezionare il listener in uscita. Fare clic su Avanzate. Deselezionare la casella di controllo Usa profilatura IP SenderBase.

SenderBase Network Participation (SBNP) può aumentare l'efficacia dei filtri reputazione, antispam ed epidemie di virus. La protezione SBNP non ha un impatto significativo sulle prestazioni quando la protezione antispam è abilitata e protetta.

Nota: Il volume di posta indesiderata ricevuto dall'organizzazione cambia nel tempo. È possibile che più spam passino attraverso le ESA semplicemente perché l'organizzazione riceve più spam che in passato. Tenere traccia di questo comportamento nel tempo esaminando la pagina Panoramica della posta in arrivo e aggiungendo le righe bloccate dal filtro della reputazione e i messaggi di posta indesiderata rilevati.

Motivazione SBRS

La preoccupazione principale con i falsi positivi è che importanti e-mail possono andare perdute. In questo contesto, mettere in quarantena o eliminare i messaggi di posta indesiderata positivi può essere problematico. Se un messaggio e-mail legittimo viene inviato a una cartella di posta indesiderata o in quarantena, è necessaria una ricerca proattiva per identificare che il messaggio è stato erroneamente classificato come posta indesiderata.

Al contrario, i messaggi di posta elettronica bloccati e con limitazioni di velocità vengono bloccati in modo che il mittente venga informato immediatamente. Se il mittente non è uno spammer, è probabile che trovi un altro modo per contattare. In effetti, come regola generale, il blocco per impostazione predefinita e l'accettazione successiva di partner di fiducia su richiesta rappresentano una posizione migliore per alcune aziende.

La limitazione, se impostata correttamente, raramente o mai colpisce i partner, ma fornisce protezione dai domini che vengono infettati da virus. La limitazione è anche off-put per gli spammer. Una tecnica nota per lo spammer è l'acquisto di un gran numero di IP, generare abbastanza messaggi di posta elettronica validi per ottenere un punteggio SBRS decente, e poi iniziare a inviare spam. Un intervallo più ampio dell'elenco dei sospetti intercetta la posta indesiderata, limita i danni che può causare l'interruzione dell'invio di posta indesiderata al tuo dominio.