Inhoud

Inleiding

Stapelverificatie

ESA-configuratie

Tabel voor doelcontrole gebruiken

Een nieuw domein aan de tabel met doelcontrole toevoegen

Hiermee implementeert u DNS-gebaseerde verificatie van benoemde entiteiten (DANE)

ESA-configuratie

Inleiding

Ongecontroleerde levering van hoge aantallen e-mail kan overweldigend gebied zijn. AsyncOS geeft u volledige controle over het leveren van berichten door het aantal verbindingen te bepalen die uw e-mail security service zal openen of het aantal berichten dat naar elk doeldomein zal verzenden.

In dit document zullen wij het volgende behandelen:

1. Oprichtingscontrole instellen om uw organisatie te beschermen tegen aanvallen op de kade

2. Doelcontroletabel gebruiken om goed buurbeleid uit te voeren

3. Het implementeren van DNS-gebaseerde verificatie van benoemde entiteiten (DANE) om veilige levering van berichten te waarborgen

Stapelverificatie

Het toestaan van controle op de bons is een zeer goede manier om aanvallen te bestrijden met terugkrabbels en stuiters. Het concept achter deze verificatie is eenvoudig. Eerst de berichten die je achterlaten ESA. Als de markup aanwezig is, betekent dat dat, als de markup aanwezig is, dit is een weerkaatsing van een boodschap die in uw omgeving is ontstaan . Als de markering ontbreekt, de aanval is frauduleus en kan worden geweigerd of ingetrokken .

Bijvoorbeeld MAIL VAN: joe@example.com E-MAIL VANUIT: prvs=joe=123ABCDEFG@example.com. De 123... string in het voorbeeld is de bounce verificatietag die aan de Envelope Sender wordt toegevoegd zoals deze door uw ESA-apparaat wordt verzonden. Indien Het bericht in de vorm van de Bounces bevat het adres van de ontvanger van de envelop in het aangekondigde bericht de controle-tag bounce, die de ESA laat weten dat het een rechtmatig uitgesproken is bericht.

U kunt verificatie-tagging systeem in- of uitschakelen als standaard. U kunt schakelt u verificatie-tagging voor specifieke domeinen ook in of uit. In de meeste implementaties, wordt deze standaard voor alle domeinen ingeschakeld.

ESA-configuratie

- Navigeren in op postbeleid > Verificatie afblazen en op Nieuwe sleutel klikken

- Voer een willekeurige tekst in die als de sleutel voor het coderen en decoderen van adrestags moet worden gebruikt. Bijvoorbeeld, "Cisco_key".

- Klik op Indienen en controleer de nieuwe adrestoewijzing-toets

Schakel deze optie in als u verificatie voor het "standaard"-domein wilt inschakelen:

- Navigeer naar Mail-beleid > Destination Control en klik op de Default.

- Bounce verificatie configureren: Adres taggen uitvoeren: Ja

- Klik op Inzenden en Commit-wijzigingen. Merk op dat de Bounce Verificatie nu is ingeschakeld voor het standaarddomein.

Tabel voor doelcontrole gebruiken

Ongecontroleerde e-maillevering kan overweldigend gebied zijn. De ESA geeft u volledige controle bericht-levering door het aantal verbindingen te bepalen dat uw apparaat zal openen of het aantal berichten die uw apparaat naar elk doeldomein stuurt. De tabel met doelbesturingselementen voorziet in instellingen voor de aansluitings- en berichttarieven wanneer de ESA is levering aan afgelegen bestemmingen . Het biedt ook instellingen voor het trachten of afdwingen van het gebruik van TLS op deze bestemmingen. De ESA is ingesteld met een standaardconfiguratie voor de tabel Besturing.

Wat we in dit document zullen behandelen is hoe we controle kunnen uitoefenen en configureren over bestemmingen waar de standaard niet past. Zo heeft Google bijvoorbeeld een reeks regels die Gmail-gebruikers zouden moeten volgen of die het risico lopen een bericht terug te sturen dat u te snel stuurt, of dat de brievenbus van de ontvanger de opslaglimiet heeft overschreden. We voegen het Gmail-domein toe aan de bestemmingstafel. Deze beperkt de hoeveelheid berichten die naar een Gmail-ontvanger wordt gestuurd.

Een nieuw domein aan de tabel met doelcontrole toevoegen

Zoals al is gezegd, heeft Google beperkingen voor het verzenden van berichten naar Gmail. Ontvangende limieten kunnen worden geverifieerd door naar de hier gepubliceerde beperkingen van de Gmail-zender te kijken - https://support.google.com/a/answer/1366776?hl=en

Laten we het bestemmingsdomein voor Gmail instellen als voorbeeld van goed buurbeleid.

- Navigeer naar Mail-beleid > Bestemmingscontroles en klik op Bestanden toevoegen en maak een nieuw profiel met de volgende parameters:

1. Bestemming: gmail.com

2. IP-adresvoorkeur: IPv4-voorkeur

3. Gelijktijdige verbindingen: Max. 20

4. Max. berichten per verbinding: 5

5. Ontvangers: Max. 180 per minuut

6. Bounce verificatie: Adres taggen uitvoeren: Standaard (Ja)

- Klik op Inzenden en wijzigingen toezeggen. Zo ziet onze tabel met doelcontrole er uit na de toevoeging van het domein.

In de onderstaande afbeelding worden wijzigingen aangebracht in "Doelbeperkingen" en "Bounce Verification":

Hiermee implementeert u DNS-gebaseerde verificatie van benoemde entiteiten (DANE)

Het DNS-gebaseerde Verificatie van Benoemde Entiteiten (DANE)-protocol valideert uw X.509-certificaten met DNS-namen met een DNSSEC-uitbreiding (Domain Name System Security) die op uw DNS-server is geconfigureerd en een DNS-resource record, ook bekend als een TLSA-record.

De TLSA-record wordt toegevoegd aan het certificaat dat gegevens bevat over de certificaatinstantie (CA), het certificaat van de eindentiteit of het vertrouwensanker dat wordt gebruikt voor de DNS-naam die in RFC 6698 is beschreven. De DNSSEC-uitbreidingen (Domain Name System Security) bieden extra beveiliging op de DNS-beveiliging door kwetsbaarheden in DNS-beveiliging aan te pakken. DNSSEC met cryptografische toetsen en digitale handtekeningen zorgt ervoor dat de "lookup"-gegevens correct zijn en op legitieme servers worden aangesloten.

De volgende voordelen zijn het gebruik van MTP DANE voor uitgaande TLS-verbindingen:

- Verleent veilige levering van berichten door te voorkomen dat aanvallen met een Man-in-the-Middle (MITM) worden gedowngrade, e-mailing en DNS cache vergiftiging.

- Verstrekt de authenticiteit van TLS-certificaten en DNS-informatie, indien beveiligd door DNSSEC.

ESA-configuratie

Voordat u start met het instellen van een DANE op de ESA, zorg er dan voor dat de omslagzender en de TLSA-brongegevens DNSSEC zijn gecontroleerd en dat het ontvangende domein DANE-beschermd is. U kunt dit op de ESA doen met behulp van de CLI-opdracht daneverify.

- Navigeer naar Mail-beleid > Bestemmingscontroles en klik op Bestanden toevoegen en maak een nieuw profiel met de volgende parameters:

1. Bestemming: dane_protection.com

2. TLS-ondersteuning: voorbestemd

3. DANE-ondersteuning: opportunistisch

- Klik op Inzenden en Commit-wijzigingen.