ESA에서 스푸핑된 이메일 메시지 탐지 및 예외 생성

목차

메시지 필터 만들기

다음으로, 방금 생성한 사전 "VALID_INTERNAL_DOMAINS"를 활용하려면 메시지 필터를 생성해야 합니다.

1. ESA의 CLI(Command Line Interface)에 연결합니다.
2. Filters 명령을 실행합니다.
3. New 명령을 실행하여 새 메시지 필터를 만듭니다.
4. 필요한 경우 실제 발신자 그룹 이름을 편집하여 이 필터 예제를 복사하여 붙여 넣습니다.
   
   
   

   mark_spoofed_messages:
   if(
        (mail-from-dictionary-match("VALID_INTERNAL_DOMAINS", 1)) 
    OR  (header-dictionary-match("VALID_INTERNAL_DOMAINS","From", 1))) 
    AND ((sendergroup != "RELAYLIST") 
    AND (sendergroup != "MY_TRUSTED_SPOOF_HOSTS")
     ) 
   {
   insert-header("X-Spoof", "");
   } 

5. 기본 CLI 프롬프트로 돌아가 Commit을 실행하여 컨피그레이션을 저장합니다.
6. GUI > Mail Policies(메일 정책) > Incoming Content Filters(수신 콘텐츠 필터)로 이동합니다.
7. 스푸핑 헤더 X-Spoof에 대한 작업을 수행하는 수신 콘텐츠 필터 만들기:

   1. 다른 헤더 추가

   2. 헤더 이름: X-스푸핑

   3. Header exists(헤더 있음) 라디오 버튼

   4. 작업 추가: duplicate-quarantine(Policy). 
      

      참고: 여기에 표시된 메시지 복제 기능은 메시지의 복사본을 보관하며, 원본 메시지를 수신자에게 계속 전송합니다. 

      
      
      
      
      
      
8. GUI > Mail Policies(메일 정책) > Incoming Mail Policies(수신 메일 정책)에서 콘텐츠 필터를 수신 메일 정책에 연결합니다.
9. 변경 사항을 제출 및 커밋합니다.

MY_TRUSTED_SPOOF_HOSTS에 스푸핑 예외 추가

마지막으로 MY_TRUSTED_SPOOF_HOSTS 발신자 그룹에 스푸핑 예외(IP 주소 또는 호스트 이름)를 추가해야 합니다. 

1. 웹 GUI를 통해 탐색: Mail Policies(메일 정책) > HAT Overview(HAT 개요)
2. MY_TRUSTED_SPOOF_HOSTS 발신자 그룹을 클릭하고 엽니다.
3. Add Sender..(발신자 추가...)를 클릭합니다.  IP 주소, 범위, 호스트 이름 또는 부분 호스트 이름을 추가합니다.
4. Submit(제출)을 클릭하여 발신자 변경 사항을 저장합니다.
5. 마지막으로, Commit Changes(변경 사항 커밋)를 클릭하여 컨피그레이션을 저장합니다.

예:

다음을 확인합니다.

스푸핑된 메시지가 격리되었는지 확인

도메인 중 하나를 봉투 발신자로 지정하는 테스트 메시지를 보냅니다. 필터가 예상대로 작동하는지 확인하려면 해당 메시지에 대해 메시지 추적을 수행합니다. 스푸핑이 허용된 발신자에 대한 예외를 아직 만들지 않았으므로 메시지가 격리됩니다. 

Thu Apr 23 07:09:53 2015 Info: MID 102 ICID 9 RID 0 To: <xxxx_xxxx@domain.com>
Thu Apr 23 07:10:07 2015 Info: MID 102 Subject 'test1'
Thu Apr 23 07:10:07 2015 Info: MID 102 ready 177 bytes from <user_1@example.com>
Thu Apr 23 07:10:07 2015 Info: MID 102 matched all recipients for per-recipient policy DEFAULT in the inbound table
Thu Apr 23 07:10:11 2015 Info: MID 102 interim verdict using engine: CASE spam negative
Thu Apr 23 07:10:11 2015 Info: MID 102 using engine: CASE spam negative
Thu Apr 23 07:10:11 2015 Info: MID 102 interim AV verdict using Sophos CLEAN
Thu Apr 23 07:10:11 2015 Info: MID 102 antivirus negative
Thu Apr 23 07:10:12 2015 Info: MID 102 quarantined to "Policy" (message filter:quarantine_spoofed_messages)
Thu Apr 23 07:10:12 2015 Info: Message finished MID 102 done

Spoof-Exception 메시지가 전달되고 있는지 확인

Spoof-Exception 발신자는 위의 필터에서 참조하는 발신자 그룹의 IP 주소입니다.

RELAYLIST는 ESA에서 아웃바운드 메일을 보내는 데 사용되므로 참조됩니다. 일반적으로 RELAYLIST가 전송하는 메시지는 아웃바운드 메일입니다. 이를 포함하지 않으면 오탐이 발생하거나 위의 필터에 의해 격리되는 아웃바운드 메시지가 생성됩니다.

MY_TRUSTED_SPOOF_HOSTS에 추가된 Spoof-Exception IP 주소의 메시지 추적 예. 예상되는 작업은 격리가 아닌 배달입니다. (이 IP는 스푸핑할 수 있습니다.)

Thu Apr 23 07:25:57 2015 Info: Start MID 108 ICID 11
Thu Apr 23 07:25:57 2015 Info: MID 108 ICID 11 From: <user_1@example.com>
Thu Apr 23 07:26:02 2015 Info: MID 108 ICID 11 RID 0 To: <user_xxxx@domain.com>
Thu Apr 23 07:26:10 2015 Info: MID 108 Subject 'test2'
Thu Apr 23 07:26:10 2015 Info: MID 108 ready 163 bytes from <user_1@example.com>
Thu Apr 23 07:26:10 2015 Info: MID 108 matched all recipients for per-recipient policy DEFAULT in the inbound table
Thu Apr 23 07:26:10 2015 Info: MID 108 interim AV verdict using Sophos CLEAN
Thu Apr 23 07:26:10 2015 Info: MID 108 antivirus negative
Thu Apr 23 07:26:10 2015 Info: MID 108 queued for delivery
Thu Apr 23 07:26:10 2015 Info: Delivery start DCID 16 MID 108 to RID [0]
Thu Apr 23 07:26:11 2015 Info: Message done DCID 16 MID 108 to RID [0]
Thu Apr 23 07:26:11 2015 Info: MID 108 RID [0] Response '2.0.0 t58EVG9N031598 Message accepted for delivery'
Thu Apr 23 07:26:11 2015 Info: Message finished MID 108 done

관련 정보

• ESA 스푸핑된 메일 필터링
• 발신자 확인을 사용한 스푸핑 보호