スパム検出を改善するためのESA Anti-Spam設定
概要
このドキュメントでは、Cisco Eメールセキュリティアプライアンス(ESA)アンチスパムの有効性を向上させ、フィルタリングをバイパスするスパムを減らす方法について説明します。
問題
スパムメッセージはESAフィルタリングをバイパスするか、または着信メールポリシーで想定どおりに処理されません。
環境
- Cisco Eメールセキュリティアプライアンス(ESA)（アンチスパムが有効で、有効なアンチスパム機能キーを備えている）
- 別々のリスナーで構成された着信および発信メールフロー（SenderBase設定に推奨）。
- SenderBase Reputation Score(SBRS)およびSenderBase Network Participation(SBNP)を導入
解決方法
次のセクションの手順を実行して、アンチスパム動作の確認、スキャンの確認、しきい値の調整、およびSBRSとメールフローポリシーの最適化を行います。
原因
- スパム対策が無効になっているか、機能キーがないか、またはルールの更新が最新ではありません。
- 許可リスト、メッセージフィルタ、またはスキャンサイズの制限により、メッセージはスキャンをバイパスします。
- Permissive Host Access Table(HAT)ポリシーまたはSBRSしきい値。
- スパムの量は時間の経過とともに増加します。
セットアップ
手順1：スパム対策が有効になっていることを確認する
1. – すべてのメール交換(MX)レコード（優先順位の低いMXレコードを含む）がESAを経由してメールを中継することを確認します。
2. – アプライアンスに有効なスパム対策機能キーがあることを確認します。
3. – スパム対策がすべての適切な受信メールポリシーで有効になっていることを確認します。
手順2：スパム対策ルールの更新の確認
Security Services > Anti-Spamの順に移動し、最新のルールアップデートのタイムスタンプが過去2時間以内であることを確認します。
手順3：メッセージがアンチスパムによってスキャンされていることの確認
1. – ヘッダーX-IronPort-Anti-Spam-Result:の見逃されたスパムメッセージのサンプルを検査します。
2. – ヘッダーが欠落している場合、次のチェックを実行します。
- 許可リストのエントリやフィルタがスパムスキャンをバイパスしていないことを確認します。
- 最大メッセージスキャンサイズ（デフォルトは262144バイト）が原因で、メッセージがスキャンをバイパスしないことを確認します。
- 各ホストアクセステーブル(HAT)エントリを調べ、着信メールフローポリシーにspam_check=on が設定されていることを確認します。
- メッセージフィルタを検討し、必要でない限りskip-spamcheckを使用するフィルタがないことを確認します。
- 最近のspamの例(time、date、recipient)を使用してmail_logsをレビューし、スパム対策によって否定的判定が返されたことを確認します。
手順4：スパム検知メッセージに対するアクションの確認
受信メールポリシーをレビューし、スパム陽性およびスパムの疑いがあるメッセージがデフォルトポリシーでドロップまたは隔離されること、および他のポリシーがデフォルトの動作を継承するか、意図的にそれを上書きすることを確認します。
手順5：スパムのしきい値の調整（オプション）
1. – 特定のしきい値で誤検出が許容される場合は、スパムの検出しきい値を80（デフォルトは90）に下げます。
2. – 疑わしいスパムのしきい値で誤検出を許容できる場合、疑わしいスパムのしきい値を40（デフォルトは50）に減らします。
3. – 苦情が一部の受信者に限定されている場合は、しきい値が低い受信者用に別のメールポリシーを作成します。
手順6:SBRS設定とHATポリシーの最適化
1. – 組織での誤検出の許容度に基づいて、ブロックリストおよび疑わしい送信者グループのSBRS範囲を調整します。
2. – ポリシーでより厳密な検証が必要な場合、制限されたポリシーを使用する疑わしい送信者グループにSBRS noneを追加します。
3. – 調整ポリシーの1時間あたりの受信者の最大数を5に設定します。
4. – オプションで、異なるSBRS範囲に対して異なる受信者/時間の制限を持つ複数の調整ポリシーを作成します。
手順7：調整されたメールフローに対する送信者検証の有効化
1. – ポリシーでより厳密な検証が必要な場合、存在しない、または不適切に構成されたドメインネームシステム(DNS)を持つ送信者を、問題の疑われる送信者グループに追加します。
2. – メッセージが拒否される理由を示すカスタム4xx応答を返す別のメールフローポリシーについて考えます。
手順8:LDAP受け入れおよびディレクトリ獲得攻撃保護の有効化
1.- Lightweight Directory Access Protocol(LDAP)acceptを有効にして、無効な受信者に送信されるスパムを減らします。
2.- LDAP受け入れが有効になっている場合、各インバウンドリスナーに対して、IPごとに5 ～ 10回の無効な試行の最大数を指定して、Directory Harvest Attack Protection(DHAP)を設定します。
手順9：コンテンツディクショナリを有効にする（オプション）
ESAには2つのコンテンツディクショナリがあります。profanity.txtとsexual_content.txtです。これらの辞書は誤検出を増加させる可能性があるため、必要な場合にのみ適用してください。
手順10：誤って分類されたメッセージの報告
誤検出および誤検出を分析のためにCisco TACに送信します。
手順11：アウトバウンドスキャンに対するSBRSの無効化
SBNPの有効化
1. – 着信メールと発信メールが別々のリスナーにあることを確認します。
2. – 送信メールに対するSenderBaseルックアップを無効にします。Network > Listenersの順に移動します。アウトバウンドリスナーを選択します。[Advanced] をクリックします。Use SenderBase IP profilingチェックボックスをオフにします。
SenderBase Network Participation(SBNP)は、レピュテーションフィルタ、アンチスパム、Virus Outbreakフィルタの効果を高めます。アンチスパムが有効でセキュアな場合、SBNPはパフォーマンスに大きな影響を与えません。
SBRSの根拠
誤検出に関する主な懸念事項は、重要な電子メールが失われる可能性があることです。このような状況では、スパム陽性の電子メールを隔離したり、ドロップしたりすると問題が生じる可能性があります。正当な電子メールが検疫またはスパムフォルダに送信された場合、正当な電子メールがスパムとして誤って分類されたことを識別するための予防的検索が必要です。
これに対して、ブロックリストとレート制限された電子メールは、送信者にすぐに通知されるようにブロックされます。この送信者がスパム送信者でない場合、送信者は別の連絡方法を見つける可能性があります。実際、一部の企業では、全体的なポリシーとして、デフォルトでブロックし、要求に応じて信頼できるパートナーを受け入れる方が有利な立場です。
スロットリングは、適切に設定すると、パートナーに影響を与えることはほとんどありませんが、ウイルスに感染したドメインから保護します。スロットリングもスパマーにとって都合が悪くなります。既知のスパマー手法は、大量のIPを購入し、適切なSBRSスコアを得るのに十分な優れた電子メールを生成し、スパムの送信を開始することです。疑わしいリストの範囲が広いと、スパムが捕捉され、被害が制限され、最終的にドメインへのスパムの送信が停止される可能性があります。
関連コンテンツ
更新履歴
| 改定 | 発行日 | コメント |
|---|---|---|
2.0 |
05-Oct-2026
|
再認定 |
1.0 |
12-Aug-2014
|
初版 |
フィードバック