ESR-contentfilters voor e-mailberichten met meerdere bijlagen

Inleiding

Dit document beschrijft hoe de negatieve omstandigheden van het inhoudsfilter werken voor e-mailberichten die meerdere bijlagen op de Cisco Email Security Applicatie (ESA) bevatten.

Probleem

U gebruikt een inhoudsfilter dat bepaalde soorten e-mailbijlagen toestaat, terwijl andere soorten bijlagen moeten worden gemarkeerd voor quarantaine. Wanneer een e-mailbericht aankomt dat meerdere bijlagen heeft, een die moet worden toegestaan en een ander die moet worden gemarkeerd voor quarantaine, identificeert het filter het gehele bericht zoals toegestaan.

Hier is het inhoudsfilter dat wordt gebruikt:

if attachment filename != (list of attachments), then quarantine

Deze voorwaarde en actie functioneren zoals bedoeld als het e-mailbericht een enkele bijlage heeft, maar het werkt niet goed voor berichten die meerdere, verschillende bijlagen bevatten.

Voorbeeldscenario

Dit zijn de soorten bijlagen die zijn toegestaan:

• rar
• pdf
• jpg

Alle andere bijlagen moeten naar quarantaine worden gezonden, zoals gespecificeerd door de filtervoorwaarde en de actie.

Filtervoorwaarde

Hier is de filtervoorwaarde die wordt gebruikt:

if attachment filename != (rar|pdf|jpg)

Filteractie

Hier is de filteractie die wordt gebruikt:

quarantine

De verwachting is meestal dat als het e-mailbericht een pdf-bijlage en een txt-bijlage bevat, het in quarantaine moet worden geplaatst vanwege de txt-bijlage omdat het niet in de lijst met toegestane bijlagen staat. Deze content filter werkt echter niet zoals bedoeld omdat het overeenkomt met de pdf bijlage in het bericht en het direct toestaat, ook al heeft het een tekst bijlage.

Oplossing

Het is niet mogelijk om de e-mail met de txt bijlage in quarantaine te plaatsen om de volgende redenen:

• De bijlagevoorwaarden gelden voor alle bijlagen die in een bericht zijn opgenomen.
  
• De negatieve != vergelijking verifieert of een van de bijlagen overeenkomt.

Zoals beschreven, als een van de bijlagen is toegestaan, zoals wanneer ze overeenkomen met de !=, dan wordt het gehele bericht behandeld zoals toegestaan. Dat kan onmogelijk worden omzeild, het is gewoon de manier waarop deze omstandigheden werken.

De enige andere oplossing is om de logica om te keren en specifieke bijlagen te blokkeren, niet alleen een bijlage die niet op de witte lijst staat.