스팸 감지를 개선하기 위해 ESA Anti-Spam 설정 구성

다운로드 옵션

PDF (276.7 KB)
다양한 디바이스에서 Adobe Reader로 보기
ePub (80.1 KB)
iPhone, iPad, Android, Sony Reader 또는 Windows Phone의 다양한 앱에서 보기
Mobi (Kindle) (66.8 KB)
Kindle 디바이스에서 보기 또는 다양한 디바이스의 Kindle 앱에서 보기

업데이트:2026년 10월 5일

문서 ID:118220

편견 없는 언어

본 제품에 대한 문서 세트는 편견 없는 언어를 사용하기 위해 노력합니다. 본 설명서 세트의 목적상, 편견 없는 언어는 나이, 장애, 성별, 인종 정체성, 민족 정체성, 성적 지향성, 사회 경제적 지위 및 교차성에 기초한 차별을 의미하지 않는 언어로 정의됩니다. 제품 소프트웨어의 사용자 인터페이스에서 하드코딩된 언어, RFP 설명서에 기초한 언어 또는 참조된 서드파티 제품에서 사용하는 언어로 인해 설명서에 예외가 있을 수 있습니다. 시스코에서 어떤 방식으로 포용적인 언어를 사용하고 있는지 자세히 알아보세요.

이 번역에 관하여

Cisco는 전 세계 사용자에게 다양한 언어로 지원 콘텐츠를 제공하기 위해 기계 번역 기술과 수작업 번역을 병행하여 이 문서를 번역했습니다. 아무리 품질이 높은 기계 번역이라도 전문 번역가의 번역 결과물만큼 정확하지는 않습니다. Cisco Systems, Inc.는 이 같은 번역에 대해 어떠한 책임도 지지 않으며 항상 원본 영문 문서(링크 제공됨)를 참조할 것을 권장합니다.

소개

이 문서에서는 Cisco ESA(Email Security Appliance) 안티스팸 효율성을 개선하고 필터링을 우회하는 스팸을 줄이는 방법에 대해 설명합니다.

문제

스팸 메시지는 ESA 필터링을 우회하거나 인바운드 메일 정책에서 예상한 대로 처리되지 않습니다.

환경

Anti-Spam이 활성화되고 유효한 Anti-Spam 기능 키가 있는 Cisco ESA(Email Security Appliance)
별도의 리스너에 구성된 인바운드 및 아웃바운드 메일 흐름(SenderBase 설정에 권장).
구축에서 사용 가능한 SBRS(SenderBase Reputation Score) 및 SBNP(SenderBase Network Participation)

해결

Anti-Spam 작업을 확인하고, 스캐닝을 확인하고, 임계값을 조정하고, SBRS 및 메일 플로우 정책을 최적화하려면 이 섹션의 절차를 완료하십시오.

원인

안티스팸이 비활성화되었거나, 기능 키가 누락되었거나, 규칙 업데이트가 최신 상태가 아닙니다.
허용 목록, 메시지 필터 또는 스캔 크기 제한으로 인해 메시지가 검사를 우회합니다.
허용 HAT(Host Access Table) 정책 또는 SBRS 임계값.
시간이 지남에 따라 스팸 양 증가.

설정

절차 1: Anti-Spam이 활성화되었는지 확인

1.- 모든 MX(Mail Exchange) 레코드(낮은 우선 순위의 MX 레코드 포함)가 ESA를 통해 메일을 릴레이합니다.

2.- 어플라이언스에 유효한 안티스팸 기능 키가 있는지 확인합니다.

3.- 모든 해당 수신 메일 정책에 대해 안티스팸이 활성화되어 있는지 확인합니다.

절차 2: 안티스팸 규칙 업데이트 확인

Security Services(보안 서비스) > Anti-Spam(안티스팸)으로 이동하여 가장 최근 규칙 업데이트 타임스탬프가 지난 2시간 이내인지 확인합니다.

절차 3: 안티스팸으로 메시지 검사 확인

1.- 헤더 X-IronPort-Anti-Spam에 대한 누락된 스팸 메시지 샘플 검사 결과:

2.- 헤더가 없을 경우 다음 검사를 완료합니다.

허용 목록 항목 또는 필터가 스팸 검사를 우회하지 않는지 확인합니다.
최대 메시지 스캔 크기(기본값 262144바이트)로 인해 메시지가 검사를 우회하지 않는지 확인합니다.
각 HAT(Host Access Table) 항목을 검토하고 spam_check=on이 인바운드 메일 플로우 정책에 대해 설정되었는지 확인합니다.
메시지 필터를 검토하고 필요한 경우가 아니면 skip-spamcheck를 사용하는 필터가 없는지 확인합니다.
최신 스팸 예(시간, 날짜, 수신자)를 사용하고 mail_logs를 검토하여 Anti-Spam이 부정적인 판정을 반환했는지 확인합니다.

절차 4: 스팸 양성 메시지에 대한 작업 확인

인바운드 메일 정책을 검토하고 스팸 양성 및 의심스런 스팸 메시지가 기본 정책에서 삭제 또는 격리되는지, 그리고 다른 정책이 기본 동작을 상속하거나 의도적으로 재정의하는지 확인합니다.

절차 5: 스팸 임계값 조정(선택 사항)

1.- 특정 임계값에서 오탐을 허용할 수 있는 경우 Positive Spam Threshold(양의 스팸 임계값)를 80(기본값 90)으로 줄입니다.

2.- 의심스런 임계값에서 오탐이 허용되는 경우 의심스런 스팸 임계값을 40(기본값 50)으로 줄입니다.

3.- 일부 수신자에 대한 불만 사항이 있을 경우 임계값이 낮은 수신자에 대한 별도의 메일 정책을 만듭니다.

절차 6: SBRS 설정 및 HAT 정책 최적화

1.- 오탐에 대한 조직 허용 수준에 따라 차단 목록 및 의심되는 발신자 그룹의 SBRS 범위를 조정합니다.

2.- 정책에 더 엄격한 검증이 필요한 경우, SBRS none을 제한된 정책을 사용하는 의심되는 발신자 그룹에 추가합니다.

3.- 제한된 정책의 시간당 최대 수신자 수를 5로 설정합니다.

4.- 선택적으로, 서로 다른 SBRS 범위에 대해 시간당 수신자 수 제한이 서로 다른 여러 제한된 정책을 생성합니다.

절차 7: 제한된 메일 흐름에 대해 발신자 확인 사용

1.- 정책에 더 엄격한 검증이 필요한 경우, 존재하지 않거나 잘못 구성된 DNS(Domain Name System)가 있는 발신자를 의심되는 발신자 그룹에 추가합니다.

2.- 메시지가 거부된 이유를 나타내는 맞춤형 4xx 응답을 반환하는 별도의 메일 플로우 정책을 고려하십시오.

절차 8: LDAP 수락 및 디렉토리 수집 공격 보호 활성화

1.- LDAP(Lightweight Directory Access Protocol) 수락을 활성화하여 잘못된 수신자에게 전송되는 스팸을 줄입니다.

2.- LDAP 수락이 활성화된 경우, IP당 5~10의 최대 유효하지 않은 시도를 포함하여 각 인바운드 리스너에 대해 DHAP(Directory Harvest Attack Protection)를 구성합니다.

절차 9: 컨텐트 사전 사용(선택 사항)

ESA에는 두 개의 콘텐츠 사전이 포함되어 있습니다. profanity.txt 및 sexual_content.txt입니다. 이러한 사전은 오탐을 높일 수 있으므로 필요한 경우에만 적용하십시오.

절차 10: 잘못 분류된 메시지 보고

오탐과 오탐을 Cisco TAC에 제출하여 분석하십시오.

절차 11: 아웃바운드 스캐닝에 대해 SBRS 비활성화

SBNP 활성화

1.- 인바운드 메일과 아웃바운드 메일이 별도의 리스너에 있는지 확인합니다.

2.- 아웃바운드 이메일에 대한 SenderBase 조회를 비활성화합니다. Network(네트워크) > Listeners(리스너)로 이동합니다. 아웃바운드 리스너를 선택합니다. Advanced를 클릭합니다. Use SenderBase IP profiling(SenderBase IP 프로파일링 사용) 확인란의 선택을 취소합니다.

SenderBase Network Participation(SBNP)은 평판 필터, 안티스팸 및 신종 바이러스 필터의 효과를 높일 수 있습니다. SBNP는 Anti-Spam이 활성화되고 안전할 때 눈에 띄는 성능 영향을 미치지 않습니다.

참고: 시간이 지남에 따라 조직에서 변경 사항을 수신하는 스팸의 양. 조직이 과거보다 더 많은 스팸을 받기 때문에 더 많은 스팸이 ESA를 통과할 가능성이 있습니다. Incoming Mail Overview(수신 메일 개요) 페이지를 확인하고 평판 필터링에 의해 중지된 항목 및 탐지된 스팸 메시지를 추가하여 시간 경과에 따라 이 동작을 추적합니다.

SBRS 근거

오탐의 주된 관심사는 중요한 이메일이 손실될 수 있다는 것입니다. 이러한 맥락에서 스팸 양성 이메일을 격리하거나 삭제하는 것은 문제가 될 수 있습니다. 합법적인 이메일이 쿼런틴 또는 스팸 폴더로 전송된 경우, 합법적인 이메일이 스팸으로 잘못 분류되었음을 식별하기 위해 사전 대응적 검색이 필요합니다.

반면 차단 목록 및 속도 제한 이메일은 발신자에게 즉시 알리는 방식으로 차단됩니다. 이 발신자가 스패머가 아닌 경우 발신자는 다른 연락 방법을 찾을 수 있습니다. 사실 전반적인 정책으로는 기본적으로 차단한 다음 요청 시 신뢰할 수 있는 파트너를 수락하는 것이 일부 기업에게는 더 나은 포지션입니다.

조절(Throttling)은 제대로 설정된 경우 파트너에게 영향을 미치는 경우는 거의 없지만 바이러스에 감염된 도메인으로부터 보호합니다. 속도 조절도 스패머에게 부담을 주지 않습니다. 알려진 스패머 기법은 대량의 IP를 구매하고 적절한 SBRS 점수를 받을 수 있을 만큼 좋은 이메일을 생성한 다음 스팸을 전송하기 시작하는 것입니다. 의심스러운 목록의 범위가 더 커지면 스팸을 포착하여 스팸의 피해를 제한하고, 결국 스팸의 도메인 전송을 중단시킬 수 있습니다.

개정	게시 날짜	의견
2.0	05-Oct-2026	자격 증명
1.0	12-Aug-2014	최초 릴리스