ESA에서 스푸핑된 이메일 메시지를 탐지하고 스푸핑이 허용된 발신자에 대한 예외 생성

메시지 필터 만들기

이제 방금 생성한 사전 "VALID_INTERNAL_DOMAINS"를 활용하려면 메시지 필터를 생성해야 합니다.

1. ESA의 CLI(Command Line Interface)에 연결합니다.
2. Filters 명령을 실행합니다.
3. New 명령을 실행하여 새 메시지 필터를 생성합니다.
4. 필요한 경우 실제 발신자 그룹 이름을 수정하여 다음 필터 예를 복사하여 붙여넣습니다.
   
   
   

   mark_spoofed_messages:
   if(
        (mail-from-dictionary-match("VALID_INTERNAL_DOMAINS", 1)) 
    OR  (header-dictionary-match("VALID_INTERNAL_DOMAINS","From", 1))) 
    AND ((sendergroup != "RELAYLIST") 
    AND (sendergroup != "MY_TRUSTED_SPOOF_HOSTS")
     ) 
   {
   insert-header("X-Spoof", "");
   } 

   
   
   
   
5. 기본 CLI 프롬프트로 돌아가 Commit을 실행하여 컨피그레이션을 저장합니다.
6. GUI > Mail Policies > Incoming Content Filters로 이동합니다.
7. 스푸핑 헤더 X-Spoof에 대해 작업을 수행하는 수신 콘텐츠 필터 만들기:
   1. 다른 헤더 추가
   2. 헤더 이름:X 스푸프
   3. 헤더가 있음 라디오 버튼
   4. 작업 추가:duplicate-quarantine("Policy"). 
      

      참고: 여기에 표시된 Duplicate(중복) 메시지 기능은 메시지의 복사본을 유지하고 원본 메시지를 수신자에게 계속 전송합니다. 

      
      
      
      
      
      
8. GUI > Mail Policies > Incoming Mail Policies에서 콘텐츠 필터를 수신 메일 정책에 연결
9. 변경 사항 제출 및 커밋

MY_TRUSTED_SPOOF_HOSTS에 스푸핑 예외 추가

마지막으로 MY_TRUSTED_SPOOF_HOSTS 발신자 그룹에 스푸핑 예외(IP 주소 또는 호스트 이름)를 추가해야 합니다. 

1. 웹 GUI: Mail Policies(메일 정책) > HAT Overview(HAT 개요)를 통해 이동합니다.
2. 을 클릭하고 MY_TRUSTED_SPOOF_HOSTS 발신자 그룹을 엽니다.
3. "Add Sender.."를 클릭합니다. IP 주소, 범위, 호스트 이름 또는 부분 호스트 이름을 추가합니다.
4. Submit(제출)을 클릭하여 발신자 변경 사항을 저장합니다.
5. 마지막으로 Commit Changes(변경 사항 커밋)를 클릭하여 컨피그레이션을 저장합니다.

예:

다음을 확인합니다.

스푸핑된 메시지가 격리되는지 확인

도메인 중 하나를 봉투 발신자로 지정하는 테스트 메시지를 보냅니다.해당 메시지에 대한 메시지 트랙을 수행하여 필터가 예상대로 작동하는지 확인합니다.스푸핑이 허용된 발신자에 대해 아직 예외를 생성하지 않았으므로 메시지가 격리됩니다. 

Thu Apr 23 07:09:53 2015 Info: MID 102 ICID 9 RID 0 To: <test_user@domain.com>
Thu Apr 23 07:10:07 2015 Info: MID 102 Subject 'test1'
Thu Apr 23 07:10:07 2015 Info: MID 102 ready 177 bytes from <user_1@example.com>
Thu Apr 23 07:10:07 2015 Info: MID 102 matched all recipients for per-recipient policy DEFAULT in the inbound table
Thu Apr 23 07:10:11 2015 Info: MID 102 interim verdict using engine: CASE spam negative
Thu Apr 23 07:10:11 2015 Info: MID 102 using engine: CASE spam negative
Thu Apr 23 07:10:11 2015 Info: MID 102 interim AV verdict using Sophos CLEAN
Thu Apr 23 07:10:11 2015 Info: MID 102 antivirus negative
Thu Apr 23 07:10:12 2015 Info: MID 102 quarantined to "Policy" (message filter:quarantine_spoofed_messages)
Thu Apr 23 07:10:12 2015 Info: Message finished MID 102 done

스푸핑 예외 메시지가 전달되는지 확인합니다.

"Spoof-Exception" 발신자는 위의 필터에서 참조되는 발신자 그룹의 IP 주소입니다.

RELAYLIST는 ESA에서 아웃바운드 메일을 보내는 데 사용되므로 참조됩니다.RELAYLIST에서 보내는 메시지는 일반적으로 아웃바운드 메일이며, 이를 포함하지 않으면 오탐 또는 위 필터에 의해 격리되는 아웃바운드 메시지가 생성됩니다.

MY_TRUSTED_SPOOF_HOSTS에 추가된 "Spoof-Exception" IP 주소의 메시지 추적 예필요한 작업은 전달되고 격리되지 않습니다.(이 IP는 스푸핑할 수 있습니다.)

Thu Apr 23 07:25:57 2015 Info: Start MID 108 ICID 11
Thu Apr 23 07:25:57 2015 Info: MID 108 ICID 11 From: <user_1@example.com>
Thu Apr 23 07:26:02 2015 Info: MID 108 ICID 11 RID 0 To: <test_user@domain.com>
Thu Apr 23 07:26:10 2015 Info: MID 108 Subject 'test2'
Thu Apr 23 07:26:10 2015 Info: MID 108 ready 163 bytes from <user_1@example.com>
Thu Apr 23 07:26:10 2015 Info: MID 108 matched all recipients for per-recipient policy DEFAULT in the inbound table
Thu Apr 23 07:26:10 2015 Info: MID 108 interim AV verdict using Sophos CLEAN
Thu Apr 23 07:26:10 2015 Info: MID 108 antivirus negative
Thu Apr 23 07:26:10 2015 Info: MID 108 queued for delivery
Thu Apr 23 07:26:10 2015 Info: Delivery start DCID 16 MID 108 to RID [0]
Thu Apr 23 07:26:11 2015 Info: Message done DCID 16 MID 108 to RID [0]
Thu Apr 23 07:26:11 2015 Info: MID 108 RID [0] Response '2.0.0 t58EVG9N031598 Message accepted for delivery'
Thu Apr 23 07:26:11 2015 Info: Message finished MID 108 done

관련 정보

• ESA 스푸핑된 메일 필터링
• 발신자 확인을 사용한 스푸핑 보호