ESAでのスプーフィングされた電子メールメッセージの検出と例外の作成

内容

メッセージフィルタの作成

次に、作成したディクショナリ「VALID_INTERNAL_DOMAINS」を利用するために、メッセージフィルタを作成する必要があります。

1. ESAのコマンドラインインターフェイス(CLI)に接続します。
2. Filtersコマンドを実行します。
3. Newコマンドを実行して、新しいメッセージフィルタを作成します。
4. このフィルタ例をコピーして貼り付け、必要に応じて実際の送信者グループ名を編集します。
   
   
   

   mark_spoofed_messages:
   if(
        (mail-from-dictionary-match("VALID_INTERNAL_DOMAINS", 1)) 
    OR  (header-dictionary-match("VALID_INTERNAL_DOMAINS","From", 1))) 
    AND ((sendergroup != "RELAYLIST") 
    AND (sendergroup != "MY_TRUSTED_SPOOF_HOSTS")
     ) 
   {
   insert-header("X-Spoof", "");
   } 

5. メインCLIプロンプトに戻り、Commitを実行して設定を保存します。
6. GUI > Mail Policies > Incoming Content Filtersの順に移動します。
7. スプーフィングヘッダーX-Spoofに対してアクションを実行する着信コンテンツフィルタを作成します。

   1. その他のヘッダーの追加

   2. ヘッダー名：X-Spoof

   3. Header existsオプションボタン

   4. アクションduplicate-quarantine(Policy)の追加。 
      

      注：ここに示すメッセージの複製機能では、メッセージのコピーが保持され、受信者に元のメッセージが送信され続けます。 

      
      
      
      
      
      
8. GUI > Mail Policies> Incoming Mail Policiesの順に選択して、コンテンツフィルタを受信メールポリシーにリンクします。
9. 送信し、変更を確定します。

スプーフィング例外をMY_TRUSTED_SPOOF_HOSTSに追加する

最後に、スプーフィング例外（IPアドレスまたはホスト名）をMY_TRUSTED_SPOOF_HOSTSセンダーグループに追加する必要があります。 

1. Web GUIから移動します：Mail Policies > HAT Overview
2. をクリックし、送信者グループMY_TRUSTED_SPOOF_HOSTSを開きます。
3. Add Sender...をクリックして、IPアドレス、範囲、ホスト名、またはホスト名の一部を追加します。
4. Submitをクリックして、送信者の変更を保存します。
5. 最後に、Commit Changesをクリックして、設定を保存します。

例：

確認

スプーフィングメッセージが隔離されていることの確認

ドメインの1つをエンベロープ送信者として指定して、テストメッセージを送信します。メッセージに対してメッセージトラックを実行することで、フィルタが期待どおりに機能することを検証します。期待される結果は、スプーフィングを許可された送信者に対してまだ例外が作成されていないため、メッセージが検疫されることです。 

Thu Apr 23 07:09:53 2015 Info: MID 102 ICID 9 RID 0 To: <xxxx_xxxx@domain.com>
Thu Apr 23 07:10:07 2015 Info: MID 102 Subject 'test1'
Thu Apr 23 07:10:07 2015 Info: MID 102 ready 177 bytes from <user_1@example.com>
Thu Apr 23 07:10:07 2015 Info: MID 102 matched all recipients for per-recipient policy DEFAULT in the inbound table
Thu Apr 23 07:10:11 2015 Info: MID 102 interim verdict using engine: CASE spam negative
Thu Apr 23 07:10:11 2015 Info: MID 102 using engine: CASE spam negative
Thu Apr 23 07:10:11 2015 Info: MID 102 interim AV verdict using Sophos CLEAN
Thu Apr 23 07:10:11 2015 Info: MID 102 antivirus negative
Thu Apr 23 07:10:12 2015 Info: MID 102 quarantined to "Policy" (message filter:quarantine_spoofed_messages)
Thu Apr 23 07:10:12 2015 Info: Message finished MID 102 done

スプーフィング例外メッセージが配信されていることの確認

Spoof-Exception送信者は、上記のフィルタで参照されている送信者グループのIPアドレスです。

RELAYLISTは、ESAが送信メールの送信に使用されるため、参照されます。RELAYLISTによって送信されるメッセージは通常アウトバウンドメールであり、これを含めないとfalse positiveが発生するか、上記のフィルタによって検疫されるアウトバウンドメッセージになります。

MY_TRUSTED_SPOOF_HOSTSに追加されたSpoof-Exception IPアドレスのメッセージトラッキング例。予期されたアクションは配信であり、検疫ではありません。（このIPはスプーフィングできます）。

Thu Apr 23 07:25:57 2015 Info: Start MID 108 ICID 11
Thu Apr 23 07:25:57 2015 Info: MID 108 ICID 11 From: <user_1@example.com>
Thu Apr 23 07:26:02 2015 Info: MID 108 ICID 11 RID 0 To: <user_xxxx@domain.com>
Thu Apr 23 07:26:10 2015 Info: MID 108 Subject 'test2'
Thu Apr 23 07:26:10 2015 Info: MID 108 ready 163 bytes from <user_1@example.com>
Thu Apr 23 07:26:10 2015 Info: MID 108 matched all recipients for per-recipient policy DEFAULT in the inbound table
Thu Apr 23 07:26:10 2015 Info: MID 108 interim AV verdict using Sophos CLEAN
Thu Apr 23 07:26:10 2015 Info: MID 108 antivirus negative
Thu Apr 23 07:26:10 2015 Info: MID 108 queued for delivery
Thu Apr 23 07:26:10 2015 Info: Delivery start DCID 16 MID 108 to RID [0]
Thu Apr 23 07:26:11 2015 Info: Message done DCID 16 MID 108 to RID [0]
Thu Apr 23 07:26:11 2015 Info: MID 108 RID [0] Response '2.0.0 t58EVG9N031598 Message accepted for delivery'
Thu Apr 23 07:26:11 2015 Info: Message finished MID 108 done

関連情報

• ESA のスプーフィング メールのフィルタリング
• 送信者検証を使用したスプーフィング保護