送信者レピュテーションフィルタリング

この章は、次の項で構成されています。

送信者レピュテーションフィルタリングの概要

送信者レピュテーションフィルタリングは、スパム保護の最初のレイヤで、Cisco SenderBase™ レピュテーションサービスにより決定される送信者の信頼性に基づいて、電子メールゲートウェイ経由で送信されるメッセージを制御できます。

アプライアンスは、既知または信頼性の高い送信者、つまりお客様やパートナーなどからのメッセージを受け取り、コンテンツスキャンを一切実施しないでエンドユーザに直接配信できます。未知または信頼性の低い送信者からのメッセージは、アンチスパムおよびアンチウイルススキャンなどのコンテンツスキャンの対象にできます。また、各送信者から受け入れるメッセージの数をスロットリングすることもできます。信頼性の最も低い電子メール送信者に対しては、設定に基づいて接続を拒否したり、その送信者からのメッセージを送り返したりできます。

（注）

ファイルレピュテーションフィルタリングは別のサービスです。詳細については、次の資料を参照してください。ファイルレピュテーションフィルタリングとファイル分析

SenderBase レピュテーションサービス

SenderBase Affiliate ネットワークからのグローバルデータを使用する Cisco SenderBase レピュテーションサービスは、クレーム率、メッセージ量の統計情報、および公開ブラックリストやオープンプロキシリストからのデータに基づいて、電子メール送信者に SenderBase レピュテーションスコアを割り当てます。SenderBase レピュテーションスコアサービスは、正当な送信者とスパム発信元を区別する際に役立ちます。レピュテーションスコアの低い送信者からのメッセージをブロックするしきい値を指定することも可能です。

SenderBase Security Network Web サイト（www.senderbase.org）では、最新の電子メールおよび Web ベースの脅威のグローバルな概要を提供し、国別の電子メールトラフィック量を表示し、IP アドレス、URI、またはドメインに基づいたレピュテーションスコアを検索できます。

SenderBase レピュテーションスコア（SBRS）

SenderBase レピュテーションスコア（SBRS）は、SenderBase レピュテーションサービスからの情報に基づいて、IP アドレスに割り当てられる数値です。SenderBase レピュテーションサービスは、25 個を超える公開ブラックリストおよびオープンプロキシリストのデータを集約し、さらにこのデータを SenderBase のグローバルデータと組み合わせて、次のように -10.0 ～ +10.0 のスコアを割り当てます。


スコア	意味
-10.0	スパムの送信元である可能性が最も高い
0	中間か、または推奨を行うための十分な情報がない
+10.0	信頼できる送信者である可能性が最も高い

スコアが低いほど、メッセージがスパムである可能性は高くなります。スコアが -10.0 であれば、そのメッセージはスパムであると「保証」されていることを意味し、スコアが 10.0 であれば、そのメッセージは正規であると「保証」されていることを意味します。

SBRS を使用して、信頼性に基づいてメールフローポリシーを送信者に適用するようにアプライアンスを設定します（メッセージフィルタを作成して SenderBase レピュテーションスコアに「しきい値」を指定し、システムで処理されるメッセージにさらにアクションを実行できます。詳細については、SenderBase レピュテーションルールおよびアンチスパムシステムのバイパスアクションを参照してください）。

SenderBase Affiliate から、リアルタイムのグローバルデータを送信します。
送信側 MTA により、アプライアンスとの接続が開始されます。
アプライアンスにより、接続 IP アドレスのグローバルデータがチェックされます。
SenderBase レピュテーションサービスにより、このメッセージがスパムである可能性が計算され、SenderBase レピュテーションスコアが割り当てられます。
シスコにより、SenderBase レピュテーションスコアに基づいて応答が返されます。

SenderBase レピュテーションフィルタの仕組み

送信者レピュテーションフィルタテクノロジーは、アプライアンスで使用可能なその他のセキュリティサービスの処理から、できる限り多くのメールを切り離すことを目的としています（電子メールパイプラインについてを参照）。

送信者レピュテーションフィルタリングがイネーブルになっている場合は、既知の悪質な送信者からのメールだけが拒否されます。世界中の 2000 社から送信された既知の良好なメールは自動的にスパムフィルタを避けてルーティングされるため、誤検出の可能性が低減されます。未知、または「灰色」の電子メールは、アンチスパムスキャンエンジンにルーティングされます。送信者レピュテーションフィルタは、この方法を使用して、コンテンツフィルタにかかる負荷を最大 50 % 低減できます。

さまざまな送信者レピュテーションフィルタリング手法の推奨設定

企業の目的に応じて、Conservative、Moderate、Aggressive のいずれかの方法を選択できます。


アプローチ	特性	WHITELIST	BLACKLIST	SUSPECTLIST	UNKNOWNLIST
		SenderBase レピュテーションスコア範囲
Conservative	誤検出はほぼ 0。良好なパフォーマンス。	7 ～ 10	-10 ～ -4	-4 ～ -2	-2 ～ 7
Moderate （インストール時のデフォルト）	誤検出は非常に少ない。高パフォーマンス。	SenderBase レピュテーションスコアは使用されません。	-10 ～ -3	-3 ～ -1	-1 ～ +10
Aggressive	誤検出はいくらか発生。パフォーマンスは最大。このオプションは、ほとんどのメールをアンチスパム処理から切り離します。	4 ～ 10	-10 ～ -2	-2 ～ -1	-1 ～ 4
すべての方式		メールフローポリシー：
すべての方式		信頼できる	ブロック	スロットル	承認（Accepted）

リスナーの送信者レピュテーションフィルタリングスコアのしきい値の編集

デフォルトの SenderBase レピュテーションサービス（SBRS）スコアのしきい値を変更またはレピュテーションフィルタリングに送信者グループを追加する場合は、この手順を使用します。

（注）

SBRS スコアのしきい値に関連するその他の設定およびメールフローポリシー設定については、次に記載されていますホストアクセステーブルを使用した接続を許可するホストの定義

はじめる前に

アプライアンスがローカル MX/MTA から電子メールを受信するように設定されている場合は、送信者の IP アドレスをマスクする可能性のあるアップストリームホストを特定してください。詳細については、着信リレー構成における送信者の IP アドレスの決定を参照してください。
SenderBase レピュテーションスコア範囲について理解します。SenderBase レピュテーションスコアを使用した送信者グループの定義を参照してください。
組織のフィルタリング方法を選択し、このアプローチの推奨設定を確認します。さまざまな送信者レピュテーションフィルタリング手法の推奨設定を参照してください。

手順

ステップ 1	[メールポリシー（Mail Policies）] > [HAT概要（HAT Overview）] を選択します。
ステップ 2	[送信者グループ（リスナー）（Sender Groups (Listener)）] メニューからパブリックリスナーを選択します。
ステップ 3	送信者グループのリンクをクリックします。たとえば、「SUSPECTLIST」のリンクをクリックします。
ステップ 4	[設定の編集（Edit Settings）] をクリックします。
ステップ 5	送信者グループの SenderBase レピュテーションスコアの範囲を入力します。たとえば、「WHITELIST」に 7.0 ～ 10 の範囲を入力します。
ステップ 6	[送信（Submit）] をクリックします。
ステップ 7	必要に応じてこのリスナーの各送信者グループに対し、繰り返し実行します。
ステップ 8	変更を確定します。

SBRS を使用した送信者レピュテーションフィルタリングのテスト

常時大量のスパムを受信しているか、または組織に対するスパムを受信するために「ダミー」のアカウントを特に設定していない限り、実装した SBRS ポリシーをただちにテストすることは困難です。ただし、次の表に示すように、リスナーの HAT に SenderBase レピュテーションスコアによるレピュテーションフィルタリングのエントリを追加した場合は、インバウンドメールのうち「未分類」になるパーセンテージが低くなります。

ポリシーは、任意の SBRS で trace コマンドを使用してテストします。テストメッセージを使用したメールフローのデバッグ：トレースを参照してください。trace コマンドは、GUI だけでなく CLI でも使用できます。

表 1. SBRS 実装の推奨メールフローポリシー
ポリシー名	主な動作（アクセスルール）	パラメータ	値
`$BLOCKED`	`REJECT`	`None`
`$THROTTLED`	`ACCEPT`	Maximum messages / session: Maximum recipients / message: Maximum message size: Maximum concurrent connections: Use Spam Detection: Use TLS: Maximum recipients / hour: Use SenderBase:	10 20 1 MB 10 オンオフ 20（推奨）オン
`$ACCEPTED` （パブリックリスナー）	`ACCEPT`	Maximum messages / session: Maximum recipients / message: Maximum message size: Maximum concurrent connections: Use Spam Detection: Use TLS: Use SenderBase:	1,000 1,000 100 MB 1,000 オンオフオン
`$TRUSTED`	`ACCEPT`	Maximum messages / session: Maximum recipients / message: Maximum message size: Maximum concurrent connections: Use Spam Detection: Use TLS: Maximum recipients / hour: Use SenderBase:	1,000 1,000 100 MB 1,000 オフオフ -1（ディセーブル）オフ

（注）

$THROTTLED ポリシーでは、リモートホストから受信する 1 時間あたりの最大受信者数は、デフォルトで 1 時間あたり 20 人に設定されています。この設定により、使用可能な最大スロットリングが制御されることに注意してください。このパラメータが厳しすぎる場合は、時間あたりの受信者数を増やすことができます。デフォルトのホストアクセスポリシーの詳細については、定義済みの送信者グループとメールフローポリシーの理解を参照してください。

SenderBase レピュテーションサービスのステータスのモニタリング

SenderBase レピュテーションスコアサービスは、アプライアンスに SRBS スコアを送信します。SenderBase Network Server は、アプライアンスにメール送信元の IP アドレス、ドメイン、および組織についての情報を送信します。AsyncOS は、このデータをレポート作成および電子メールモニタリング機能に使用します。

これらのサービスへの接続のステータスを表示するには、[セキュリティサービス（Security Services）] > [SenderBase] を選択します。

[セキュリティサービス（Security Services）] メニューの [SenderBase] ページには、アプライアンスから SenderBase Network Status Server および SenderBase 評価スコアサービスに対して最後に実行したクエリーの接続ステータスおよびタイムスタンプが表示されます。

CLI で sbstatus コマンドを使用しても、同じ情報を表示できます。

メッセージの件名への低い SBRS スコアの入力

スロットリングを推奨しますが、SenderBase レピュテーションサービスを使用する別方法では、スパムの疑いのあるメッセージの件名行を変更します。これを行うには、次の表に示すメッセージフィルタを使用します。このフィルタは、reputation フィルタルールおよび strip-header および insert-header フィルタアクションを使用して、SenderBase レピュテーションスコアが -2.0 未満のメッセージの件名行を、{Spam SBRS} のように表現される実際の SenderBase レピュテーションスコアを含む件名行に置き換えます。この例の listener_name を、ご使用のパブリックリスナーの名前に置き換えます（このテキストを切り取って filters コマンドのコマンドラインインターフェイスに直接貼り付けできるように、この行自体にピリオドが含まれています）。

表：件名ヘッダーを SBRS に変更するメッセージフィルタ：例 1

sbrs_filter:


if ((recv-inj == "listener_name
" AND subject != "\\{Spam -?[0-9.]+\\}"))


       insert-header("X-SBRS", "$REPUTATION");


       if (reputation <= -2.0)


       strip-header("Subject");


       insert-header("Subject", "$Subject \\{Spam $REPUTATION\\}");

AsyncOS 11.1 for Cisco Email Security Appliances ユーザガイド（一般導入）

偏向のない言語

翻訳について

Book Title

AsyncOS 11.1 for Cisco Email Security Appliances ユーザガイド（一般導入）

Chapter Title