소개
특정 스패머가 안티스팸 검사를 통과하기 위해 첨부 파일이 없는 매우 큰 메시지를 보낼 수 있습니다.ESA 안티스팸 엔진의 안티스팸 최대 스캐닝 크기보다 큰 메시지를 전송할 수 있는 경우 해당 메시지에 대해 안티스팸 검사를 건너뜁니다.이 문서를 작성할 때 별도로 권장하지 않는 한 안티스팸 최대 검사 크기를 2MB보다 크게 늘리는 것은 권장되지 않습니다.따라서 크기가 2MB를 초과하는 메시지는 대부분의 경우 안티스팸을 쉽게 우회할 수 있습니다.
이 문서에서는 메시지 필터를 사용하여 이러한 유형의 메시지에 대해 조치를 취하는 하나의 개념에 대해 설명합니다.
요구 사항
- ESA(Email Security Appliance)에 대한 명령줄 액세스
- 메시지 필터 작성 방법에 대한 기본 지식
- 정규식(RegEx)에 대한 기본 지식
메시지 필터 만들기
이 섹션에서는 메시지 필터를 생성하겠습니다.이 메시지 필터는 크기가 2MB를 초과하며 첨부 파일이 포함되지 않은 모든 메시지와 일치시킵니다.
- 텍스트 편집기를 열고 다음 메시지 필터를 복사/붙여넣으십시오.
large_spam_no_attachment:
if ((body-size > 2097152) AND NOT (attachment-size > 0)) {
quarantine("large_spam");
log-entry("*****This is a large message with no attachments*****");
}
참고: 메시지 필터가 그대로 작동하려면 메시지 필터의 격리 작업에 사용된 격리의 이름과 일치하는 PVO(Policy, Virus and Outbreak) 격리를 생성해야 합니다.그렇지 않으면 다른 작업 유형을 사용해야 합니다.이 PVO 격리가 생성되고 메시지 필터가 ESA에 적용되면 필요에 따라 PVO 격리를 모니터링하고 격리된 메시지를 릴리스하거나 삭제하는 것이 좋습니다.
- 여기에서 특정 요구 사항에 맞게 이 메시지 필터를 변경할 수 있습니다.예를 들어 안티스팸 최대 검사 크기가 1MB로 설정된 경우 본문 크기를 1MB로 줄일 수 있습니다.
- 이 메시지 필터가 특정 발신자 그룹 또는 리스너의 메시지에만 적용되도록 할 수도 있습니다.다음은 두 가지 추가 예로서 귀사에 사용할 수 있습니다.
large_spam_no_attachment:
if (recv-listener == "IncomingMail") AND ((body-size > 2097152) AND NOT (attachment-size > 0)) {
quarantine("large_spam");
log-entry("*****This is a large message with no attachments*****");
}
large_spam_no_attachment:
if (sendergroup != "RELAYLIST") AND ((body-size > 2097152) AND NOT (attachment-size > 0)) {
quarantine("large_spam");
log-entry("*****This is a large message with no attachments*****");
}
- 추가로 변경하려면 ESA 최종 사용 설명서에서 메시지 필터 섹션을 검토하는 것이 좋습니다.사용 가능한 조건 및 작업 목록을 제공하는 섹션이 가이드에 있습니다.
ESA에 메시지 필터 적용
이 섹션에서는 이전 섹션에서 생성한 메시지 필터를 ESA에 적용합니다.메시지 필터는 명령줄을 통해서만 ESA에 적용할 수 있습니다.따라서 ESA에 대한 명령줄 액세스가 필요합니다.
- 명령줄을 통해 ESA에 로그인합니다.
- 강조 표시된 다음 명령을 실행하여 메시지 필터를 ESA에 적용합니다.
ironport.example.com> filters
Choose the operation you want to perform:
- NEW - Create a new filter.
- IMPORT - Import a filter script from a file.
[]> NEW
Enter filter script. Enter '.' on its own line to end.
large_spam_no_attachment:
if ((body-size > 2097152) AND NOT (attachment-size > 0)) {
quarantine("large_spam");
log-entry("*****This is a large message with no attachments*****");
}
.
1 filters added.
- 여기에서 메시지 필터를 보고 활성 및 유효한지 확인할 수 있습니다.다음 명령을 실행하여 이를 수행할 수 있습니다.
ironport.example.com> filters
Choose the operation you want to perform:
- NEW - Create a new filter.
- DELETE - Remove a filter.
- IMPORT - Import a filter script from a file.
- EXPORT - Export filters to a file
- MOVE - Move a filter to a different position.
- SET - Set a filter attribute.
- LIST - List the filters.
- DETAIL - Get detailed information on the filters.
- LOGCONFIG - Configure log subscriptions used by filters.
- ROLLOVERNOW - Roll over a filter log file.
[]> LIST
Num Active Valid Name
1 Y Y large_spam_no_attachment
Choose the operation you want to perform:
- NEW - Create a new filter.
- DELETE - Remove a filter.
- IMPORT - Import a filter script from a file.
- EXPORT - Export filters to a file
- MOVE - Move a filter to a different position.
- SET - Set a filter attribute.
- LIST - List the filters.
- DETAIL - Get detailed information on the filters.
- LOGCONFIG - Configure log subscriptions used by filters.
- ROLLOVERNOW - Roll over a filter log file.
[]> DETAIL
Enter the filter name, number, or range:
[]> 1
Num Active Valid Name
1 Y Y large_spam_no_attachment
large_spam_no_attachment: if (body-size > 2097152) AND NOT (attachment-size > 0)) {
quarantine("large_spam");
log-entry("*****This is a large message with no attachments*****");
}
- commit 명령을 실행하고 관련 커밋 코멘트를 추가합니다.
ironport.example.com> commit
Please enter some comments describing your changes:
[]> Applied large_spam_no_attachment message filter
추가 리소스
ESA 최종 사용자 가이드