Instellingen voor ESR-antispam configureren om de spamdetectie te verbeteren

Inleiding

In dit document wordt beschreven hoe de effectiviteit van Cisco Email Security Appliance (ESA) tegen spam kan worden verbeterd en hoe spam die filtering omzeilt, kan worden verminderd.

uitgifte

Spam berichten omzeilen ESA-filtering of worden niet behandeld zoals verwacht door inbound mail beleid.

milieu

• Cisco Email Security Appliance (ESA) met antispam ingeschakeld en een geldige antispam-functiesleutel.
• Inkomende en uitgaande e-mailstroom geconfigureerd op afzonderlijke luisteraars (aanbevolen voor SenderBase-instellingen).
• SenderBase Reputation Score (SBRS) en SenderBase Network Participation (SBNP) beschikbaar in de implementatie.

resolutie

Voltooi de procedures in deze secties om de werking tegen spam te controleren, het scannen te bevestigen, drempelwaarden af te stellen en het SBRS- en mailflowbeleid te optimaliseren.

Oorzaak

• Anti-spam uitgeschakeld, functietoets ontbreekt of regel-updates niet actueel.
• Berichten omzeilen het scannen vanwege toegestane lijsten, berichtfilters of limieten voor scangrootte.
• HAT-beleid (Permissive Host Access Table) of SBRS-drempels.
• Verhoogd spamvolume in de tijd.

opstelling

Procedure 1: Controleer of antispam is ingeschakeld

1.- Ervoor zorgen dat alle Mail Exchange (MX)-records (inclusief MX-records met lagere prioriteit) e-mail doorsturen via de ESA.

2.- Controleer of het toestel beschikt over een geldige antispamfunctiesleutel.

3.- Zorg ervoor dat Anti-Spam is ingeschakeld voor alle relevante inkomende e-mail beleid.

Procedure 2: updates van antispamregels controleren

Navigeer naar Security Services > Anti-Spam en controleer of de meest recente tijdstempels voor het bijwerken van regels binnen de laatste 2 uur zijn.

Procedure 3: Controleer of berichten worden gescand door antispam

1.- Controleer een monster van gemiste spamberichten voor de koptekst X-IronPort-Anti-Spam-Resultaat:

2.- Als de koptekst ontbreekt, voert u de volgende controles uit:

• Controleer of er geen vermeldingen of filters in de lijst zijn die het scannen van spam omzeilen.
• Controleer of berichten niet worden gescand vanwege de maximale berichtscangrootte (standaard 262144 bytes).
• Controleer elke vermelding in de Host Access Table (HAT) en bevestig dat spam_check=on is ingesteld voor het beleid voor inkomende e-mailstromen.
• Controleer berichtfilters en controleer of er geen filters skip-spamcheck gebruiken tenzij dit vereist is.
• Gebruik een recent spam-voorbeeld (tijd, datum, ontvanger) en bekijk mail_logs om te bevestigen dat Anti-Spam een negatief oordeel heeft gegeven.

Procedure 4: Acties voor spam-positieve berichten controleren

Controleer het beleid voor inkomende e-mail en controleer of spampositieve en vermoedelijke spamberichten worden gedropt of in quarantaine worden geplaatst in het standaardbeleid en of andere beleidsregels het standaardgedrag erven of deze opzettelijk negeren.

Procedure 5: drempelwaarden voor het afstemmen van spam (optioneel)

1.- Verlaag de drempel voor positieve spam tot 80 (standaard 90) wanneer false positives acceptabel zijn bij de bepaalde drempel.

2.- Verlaag de drempel voor vermoedelijke spam tot 40 (standaard 50) wanneer false positives acceptabel zijn bij de verdachte drempel.

3.- Wanneer klachten beperkt zijn tot een subset van ontvangers, maak dan een apart e-mailbeleid voor ontvangers met lagere drempels.

Procedure 6: SBRS-instellingen en HAT-beleid optimaliseren

1.- Pas SBRS-bereiken aan voor blokkeergroepen en groepen verdachte afzenders op basis van organisatorische tolerantie voor fout-positieven.

2.- Als het beleid een strengere validatie vereist, voegt u geen SBRS toe aan een verdachte afzendergroep die een afgeslankt beleid gebruikt.

3.- Stel het maximum aantal ontvangers per uur in op 5 voor het afgekorte beleid.

4.- Maak optioneel meerdere vernauwde beleidsregels met verschillende limiet per ontvanger per uur voor verschillende SBRS-bereiken.

Procedure 7: Verificatie van afzender inschakelen voor verkorte poststroom

1.- Als voor het beleid een strengere validatie vereist is, voegt u afzenders met een niet-bestaand of niet correct geconfigureerd Domain Name System (DNS) toe aan een groep verdachte afzenders.

2.- Overweeg een apart mailflowbeleid dat een aangepast 4xx-antwoord retourneert dat aangeeft waarom berichten worden afgewezen.

Procedure 8: LDAP-acceptatie en Directory Harvest Attack Protection inschakelen

1.- Schakel Lightweight Directory Access Protocol (LDAP) accept in om spam die naar ongeldige ontvangers wordt verzonden, te verminderen.

2.- Als LDAP accept is ingeschakeld, configureert u Directory Harvest Attack Protection (DHAP) voor elke inkomende luisteraar met maximaal ongeldige pogingen tussen 5 en 10 per IP.

Procedure 9: Inhoudswoordenboeken inschakelen (optioneel)

De ESA bevat twee inhoudswoordenboeken: profanity.txt en sexual_content.txt. Pas deze woordenboeken alleen toe waar nodig, omdat ze valse positieven kunnen verhogen.

Procedure 10: Melding van verkeerd geclassificeerde berichten

Dien false positives en false negatives in bij Cisco TAC voor analyse.

Procedure 11: SBRS uitschakelen voor uitgaand scannen

SBNP inschakelen

1.- Zorg ervoor dat inkomende en uitgaande e-mail op afzonderlijke luisteraars staan.

2.- Schakel het zoeken van SenderBase uit voor uitgaande e-mail. Ga naar Netwerk > Luisteraars. Selecteer de uitgaande luisteraar. Klik op Advanced (Geavanceerd). Schakel het selectievakje IP-profilering van SenderBase gebruiken uit.

SenderBase Network Participation (SBNP) kan de effectiviteit van reputatiefilters, antispam- en virusuitbraakfilters vergroten. SBNP heeft geen merkbare invloed op de prestaties wanneer Anti-Spam is ingeschakeld en veilig is.

Opmerking: Het aantal spam dat uw organisatie ontvangt, verandert in de loop van de tijd. Het is mogelijk dat er meer spam via de ETA's komt, simpelweg omdat de organisatie meer spam ontvangt dan in het verleden. Volg dit gedrag in de loop van de tijd door te kijken naar de pagina Incoming Mail Overview en het toevoegen van de gestopt door reputatie filtering en spam berichten gedetecteerd regel items.

SBRS-ratio

De belangrijkste zorg bij false positives is dat belangrijke e-mail verloren kan gaan. In deze context kan het in quarantaine plaatsen of laten vallen van spam-positieve e-mail problematisch zijn. Als een legitieme e-mail wordt verzonden naar een quarantaine of een spammap, is een proactieve zoekopdracht vereist om te identificeren dat legitieme e-mail verkeerd is geclassificeerd als spam.

Blokkeerlijsten en e-mails met beperkte tarieven worden daarentegen zodanig geblokkeerd dat de afzender onmiddellijk op de hoogte wordt gesteld. Als deze afzender geen spammer is, vindt de afzender waarschijnlijk een andere manier om contact te maken. Als algemeen beleid is het blokkeren van standaard en vervolgens het accepteren van vertrouwde partners op verzoek een betere positie voor sommige bedrijven.

Gestorven, indien goed ingesteld, zelden of nooit invloed op partners, maar biedt bescherming tegen domeinen die besmet raken met virussen. Ook is het afknijpen van spammers onaangenaam. Een bekende spammer-techniek is om grote aantallen IP's te kopen, voldoende goede e-mail te genereren om een fatsoenlijke SBRS-score te krijgen en vervolgens spam te verzenden. Een groter bereik van verdachte lijsten vangt de spam, beperkt de schade die ze aanrichten en kan er uiteindelijk voor zorgen dat ze stoppen met het verzenden van spam naar uw domein.

Gerelateerde inhoud

• Hoe worden SenderBase Reputation Scores (SBRS) bepaald en wat betekenen ze?

Revisiegeschiedenis

Revisie	Publicatiedatum	Opmerkingen
2.0	05-Oct-2026	hercertificering
1.0	12-Aug-2014	Eerste vrijgave