De reputatie van het afzenderdomein configureren voor ESA REFRESH in uitvoering Apr 2024

Inleiding

Dit document beschrijft de Sender Domain Reputation (SDR) configuratie voor de Email Security Appliance (ESA).

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

• ESA-concepten 
• ESA-configuratie

• Algemene kennis van SEG-functies / functies, waaronder; e-mailstroombeleid, berichtenfilters, inhoudsfilters, wereldwijde domeinreputatie.

Gebruikte componenten

De informatie in dit document is gebaseerd op AsyncOS voor ESR 14.2 en hoger.

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Overzicht

1. SDR is ontwikkeld als een aanvullende service om de detectie van spam en phishing te verbeteren.

2. SDR legt meerdere headerwaarden vast en uploadt deze naar Talos Threat Intelligence Servers, waar de enorme Talos Resources een oordeel bepalen voor elk bericht op een graduele schaal.

3. De in de beschikking opgenomen waarden voor de koptekst zijn:

• Envelop van
• Van
• repliek
• DMAR-, DKIM- en SPF-verificatie (indien geconfigureerd).
• De (gebruikersnaam)waarde van het e-mailadres wordt optioneel ingediend vanuit de koppen Van, Envelope-Van en Antwoord-Op
• IP afzender
• Geef de naam weer in de koppen Van en Antwoord-op.

5. SDR-scan wordt uitgevoerd op alle inkomende berichten.

6. SDR-scan vindt plaats net na de acceptatie van een bericht door het Simple Mail Transfer Protocol (SMTP).

7. SDR-acties kunnen worden uitgevoerd in de eerste beleidsfase voor e-mailstromen en in de opties Berichtenfilter of Inhoudsfilter.

8. De geconfigureerde onderdelen omvatten:

• Domain Reputation Service inschakelen
• Lijst met uitzonderingen voor domeinen (optioneel)
  • Lijst met domeinuitzonderingen (algemeen)
  • Lijst met domeinuitzonderingen met Bericht-/inhoudsfilter specifiek.
  • Globale actie met domeinherstel met behulp van het beleid voor e-mailstromen. 
  • Global Action with Domain Reputation onderneemt actie op het SMTP-gespreksniveau.
• Berichtenfilter of inhoudsfilter

Configureren

Domain Reputation Service WebUI inschakelen

SDR kan worden ingeschakeld via de WebUI- of CLI-interfaces.

Webinterface:

1. Navigeer naar Mail Security Services > Domeinreputatie > Inschakelen.

2. Klik op het vak naast Reputatiefiltering afzenderdomein inschakelen.

3. Selecteer dit vak Extra kenmerken opnemen: (optioneel) als u de optionele kopwaarde wilt toevoegen aan de gecontroleerde gegevens voor een betere werkzaamheid. Klik om te leren. 

4. Kies dit vak Verzender Domein Reputatie Query Time-out. Klik om te leren.

5. Kies Uitzonderingslijst voor overeenkomende domeinen op basis van domein in envelop van - ingeschakeld.

6. Klik op Indienen > Vastleggen zoals weergegeven in de afbeelding.

Sender (Domain Reputation)-service

Beveiligingsservices > Domeinreputatie

Lijst met domeinuitzonderingen

1. De lijst met domeinuitzonderingen kan het scannen van de reputatie van de afzender omzeilen voor inkomende e-mailstromen.

2. De lijst met domeinuitzonderingen kan op verschillende locaties worden toegepast om de mailstroom te beïnvloeden.

3. De algemene toepassing kan van toepassing zijn op alle gescande e-mail.

4. De meer gedetailleerde toepassing in inhoud-/berichtenfilters kan alleen van invloed zijn op een of meer geconfigureerde filters.

5. De lijst met domeinuitzonderingen bevat twee opties om zowel een eenvoudige als een veiligere optie te bieden.

6. In dit document worden de opties beschreven voor het succesvol omzeilen van SDR voor een bericht dat gebruikmaakt van de lijst met domeinuitzonderingen.

7. Vereisten voor de lijst met domeinuitzonderingen toegelicht

Een adreslijst maken

1. Navigeer naar E-mailbeleid > Adreslijst > Adreslijst toevoegen > Naam > Beschrijving > Lijsttype: Alleen domeinen.
2. Voeg elke domeinnaam toe met behulp van de komma-gescheiden.
3. Klik op Indienen en Wijzigingen vastleggen zoals weergegeven in de afbeelding.

Adreslijst die moet worden toegepast op de lijst met domeinuitzonderingen

De adreslijst toepassen op de SDR Global Domain Exception List

1. Navigeer naar Beveiligingsservices > Domeinreputatie > Lijst met domeinuitzonderingen > Instellingen bewerken > Lijst met domeinuitzonderingen (selecteer uw lijst).
2. Klik op Indienen en Wijzigingen vastleggen zoals weergegeven in de afbeelding.

Kies een adreslijst in de vervolgkeuzelijst

De adreslijst toepassen op inhoud-/berichtenfilters

Inkomende inhoudsfilters:

1. Navigeer naar Voorwaarde > URL-reputatie > Optie voor bedreigingsfeeds.

2. Reputatie van het domein.

3. Klik hier:

De lijst met domeinuitzonderingen staat per beleidsactie toe.

Berichtenfilters

De toepassing Domain Exception List binnen berichtenfilters zou als optie in een voorwaarde worden opgenomen. 

1. SDR-reputatie (['verschrikkelijk', 'arm', 'besmet', 'zwak', 'onbekend', 'neutraal', 'goed'], domain_exception_list)
2. SDR-leeftijd ("days", <, 5, domain_exception_list)
3. SDR-unscanable (domain_exception_list)

Een meer uitgebreide uitleg en voorbeelden van Berichtenfiltertoepassing zijn te vinden in de ESA-gebruikershandleidingen onder de kopjes:

• Domeinreputatieregel voor ETF
• Berichten filteren op basis van de reputatie van het afzenderdomein met berichtenfilter

Een inhoudsfilter maken om actie te ondernemen naar aanleiding van het SDR-vonnis

1. SDR is alleen ingeschakeld voor Inkomende e-mailstroom.
2. De SDR-conditienaam: Domeinreputatie.
3. Er kunnen meerdere voorwaarden worden gecreëerd om verschillende resultaten te combineren.
4. De voorwaarde Domeinreputatie bevat 2 verschillende controles die meerdere opties bevatten voor elk:

• reputatie van het afzenderdomein
  • Verdict inzake reputatie van afzenderdomein
  • Leeftijd afzenderdomein
  • Reputatie van afzenderdomein niet-scanbaar
• Externe bedreigingen
  • Hiermee kunt u de lijsten met gedownloade inhoud van Threat Feeds gebruiken om te scannen op dezelfde domeinheaders die zijn verzameld voor SDR.

Opmerking: Deze opties binnen de voorwaarde Domeinreputatie kunnen visueel worden gewijzigd op basis van de verschillende opties voor elke selectie.

5. De laatste optie binnen de voorwaarde voor de reputatie van het domein is de lijst met domeinuitzonderingen.

6. De functie Uitzonderingenlijst domein die is gekoppeld aan een adreslijst, voegt meer controle toe aan de toepassing van de actie door de lijst toe te passen op het meer gedetailleerde niveau van berichtenverwerking van het e-mailbeleid.

7. Navigeer naar E-mailbeleid > Filters voor binnenkomende inhoud > Filter toevoegen > Voorwaarde toevoegen > Domeinreputatie.

8. Voorwaarde 1: Verdict inzake de reputatie van het afzenderdomein.

• Afschuwelijk, arm, bezoedeld, zwak, onbekend, neutraal, goed
• Bevat driehoekige glijdende markeringen om het bereik te kiezen dat u wilt matchen.
• De Awful en Poor zijn de aanbevolen waarden om actie te ondernemen.
• De berichten die overeenkomen met Awful en Poor kunnen een extra categorie waarde hebben, zoals Spam of Malicious zichtbaar binnen Berichtentracering.
  
  

SDR Verdict verstelbare bereik diabalk.Volledige weergave van de SDR Verdict Slide Bar.

9. Voorwaarde 2: Leeftijd afzenderdomein.

• De leeftijd van het domein kan worden geassocieerd met meer risico of langdurige betrouwbaarheid.
• De mogelijkheid van een domein met een leeftijd van minder dan 10 dagen kan riskanter zijn.

Leeftijd van het afzenderdomein. Lagere waarden wijzen op meer risico.

10. Voorwaarde 3: reputatie van afzenderdomein niet-scanbaar.

• Geef beheerders de mogelijkheid om actie te ondernemen als een vonnis niet kan worden verkregen.

SDR niet-scanbaar

11. Voorwaarde 4: Externe bedreigingsfeeds

• De headers in SDR Scanning kunnen ook worden gescand met aangepaste gedownloade STIX / TAXII-inhoud.
• De externe dreigingsfeeds worden hier in meer detail behandeld.  Externe bedreigingen.
  
  

Externe Threat Feeds kunnen worden gebruikt om dezelfde headers te scannen die voor SDR worden gebruikt.

• Gebruikershandleidingen voor e-mailbeveiligingstoestellen

12. Voorwaarde 5: Uitzonderingslijst voor domeinen gebruiken.

• Het gebruik van de lijst met domeinuitzonderingen in het inhoudsfilter voegt meer controle toe dan de algemene lijst.

De lijst met domeinuitzonderingen staat per beleidsactie toe.

13. De actie in combinatie met deze voorwaarden kan variëren van minimaal tot extreem en is afhankelijk van de gewenste resultaten van de beheerder.

14. Enkele van de populairdere acties worden opgesomd:

• Quarantaine/kopiëren naar quarantaine
• Afwijzing
• Voeg een disclaimer of waarschuwing toe aan het onderwerp of de hoofdtekst van het bericht.
• Maak een logboekvermelding om een specifiek woord, woordgroep of waarde te genereren voor de logboeken voor het bijhouden van berichten.

SDR configureren met behulp van berichtenfilters

1. De ESA-gebruikershandleidingen is een uitstekende bron voor de syntaxis, definities en voorbeelden van berichtenfilters.
2. Zoek naar deze rubriek in de gebruikershandleiding voor aanvullende inhoud voor berichtenfilters naast de informatie die hier wordt verstrekt.

• Berichten filteren op basis van Sender Domain Reputation met Berichtenfilter

3. Deze voorwaarden zijn gekoppeld aan het SDR-berichtenfilter:

• als sdr-reputatie (['verschrikkelijk', 'slecht'] >>> alle waarden hiervoor zijn: verschrikkelijk, arm, besmet, zwak, onbekend, neutraal, goed
• als sdr-reputatie (['awful', 'poor'], "<domain_exception_list>") >> Dit omvat het gebruik van een Domain Exception List
• als sdr-age (<‘unit’>, <‘operator’> <‘actual value’>) >>> Raadpleeg de gebruikershandleiding voor de definitie van "operator".
  
  • if (SDR-leeftijd ("onbekend", "") >>> eenheid = onbekend. Resterende waarden worden vervangen door de ""
  • Voorbeeld: indien (SDR-leeftijd ("maanden", <, 1, "")). >> Eenheid = dagen, maanden, jaren. Operator = < (minder dan). Werkelijke waarde = 1
• als sdr-unscanable (<'domain_exception_list'>) >> Zoals gepresenteerd, als het bericht resulteert in unscanable. Dit voorbeeld bevat ook de voorwaarde van de lijst met domeinuitzonderingen.
• indien (sdr-unscanable ("")) >>> Dit voorbeeld bevat niet de uitzonderingenlijst. De waarde wordt vervangen door ("")

Verifiëren

Gebruik deze sectie om te controleren of uw configuratie goed werkt.

Zodra de SDR-service is ingeschakeld, beginnen de mail_logs en Message Tracking de SDR: -logboekvermeldingen weer te geven.

1. mail_logs bevatten de score van de verzamelde SDR-gegevens.

2. De score wordt vroeg in de poststroom bepaald, voordat het e-mailbeleid wordt bepaald.

3. Maatregelen die naar aanleiding van het vonnis worden genomen, vinden plaats op het moment van de acties voor berichtenfilter en inhoudsfilter.

xxx.com> mail_logs sample including SDR verdict
Tue Dec 3 15:22:44 2019 Info: New SMTP ICID 5539460 interface Data 1 (10.10.10.170) address 55.1.x.y reverse dns host xxx1.xxx.com verified yes
Tue Dec 3 15:22:44 2019 Info: ICID 5539460 ACCEPT SG Production_INBOUND match xxx1.xxx.com SBRS 2.5 country United States
Tue Dec 3 15:22:44 2019 Info: ICID 5539460 TLS success protocol TLSv1.2 cipher ECDHE-RSA-AES128-GCM-SHA256
Tue Dec 3 15:22:44 2019 Info: Start MID 3291517 ICID 5539460
Tue Dec 3 15:22:44 2019 Info: MID 3291517 ICID 5539460 From: <customer@xxx.com>
Tue Dec 3 15:22:44 2019 Info: MID 3291517 ICID 5539460 RID 0 To: <owner@xxx.com>
Tue Dec 3 15:22:44 2019 Info: MID 3291517 IncomingRelay(PROD_TO_BETA): Header Received found, IP 172.20.245.245 being used, SBRS -1.9 country United States
Tue Dec 3 15:22:44 2019 Info: MID 3291517 Message-ID '<mail>'
Tue Dec 3 15:22:44 2019 Info: MID 3291517 Subject "You\\'ve Been Nominated for inclusion with Who\\'s Who"
Tue Dec 3 15:22:44 2019 Info: MID 3291517 SDR: Domains for which SDR is requested: reverse DNS host: Not Present, helo: xxx1.xxx.com, env-from: xxx.com, header-from: xxx.com, reply-to: Not Present
Tue Dec 3 15:22:46 2019 Info: MID 3291517 SDR: Consolidated Sender Reputation: Awful, Threat Category: N/A, Suspected Domain(s) : owner@xxx.com, owner=xxx.com@xxx.com. Youngest Domain Age: unknown for domain: owner@xxx.com
Tue Dec 3 15:22:46 2019 Info: MID 3291517 SDR: Tracker Header : 5Zrl76622ZDGPsS6cByUUXq7LTXXS3/wonoZb5cGe2AbRQKxXE5Fag5SfJuNyzii3UPRVoCasmgBq9G0UrsLt7i/omQxDae82pU/wJbLOD8akDJ7eq7cLFChOcPm0utOmSv9sFJ4K/K1dL4uNiB13e/pXHjGDAmZrKwo7A13/7HTMCZz8PaMgKl7AFKvwVuZc1oVn5OGQr95d0L5x6/ipHZi6/2oKPxMcovolx580SiJ29lJFv7qLjJ8jOlGZCEQOVBnzRHJ7X8wJrZKhGMiLgy
Tue Dec 3 15:22:46 2019 Info: MID 3291517 ready 10011 bytes from <owner@xxx.com>
Tue Dec 3 15:22:46 2019 Info: MID 3291517 Custom Log Entry: MF_URL_Category_all HIT
Tue Dec 3 15:22:46 2019 Info: MID 3291517 matched all recipients for per-recipient policy DEFAULT in the inbound table
Tue Dec 3 15:22:47 2019 Info: MID 3291517 interim verdict using engine: CASE spam positive
Tue Dec 3 15:22:47 2019 Info: MID 3291517 using engine: CASE spam positive
Tue Dec 3 15:22:47 2019 Info: MID 3291517 interim AV verdict using Sophos CLEAN
Tue Dec 3 15:22:47 2019 Info: MID 3291517 antivirus negative
Tue Dec 3 15:22:47 2019 Info: MID 3291517 AMP file reputation verdict : SKIPPED (no attachment in message)
Tue Dec 3 15:22:47 2019 Info: MID 3291517 using engine: GRAYMAIL negative
Tue Dec 3 15:22:47 2019 Info: MID 3291517 Custom Log Entry: SDR_Verdict_matched_Awful_Poor
Tue Dec 3 15:22:47 2019 Info: Start MID 3291519 ICID 0

4. Eenvoudige grep-opdrachten om de frequentie of het bestaan van specifieke vonnissen te controleren.

• >> grep "Afzender Reputatie: Awful" mail_logs
• >> grep "Reputatie van afzender: slecht" mail_logs

5. Bovendien kunnen details van het maillogboek worden verkregen met het gebruik van de CLI findevent-opdracht in combinatie met de MID-waarde.

xxx.com> grep "SDR: Domain Reputation.*Poor" mail_logs
Tue Dec 3 11:07:01 2019 Info: MID 3265844 SDR: Consolidated Sender Reputation: Poor, Threat Category: Spam, Suspected Domain(s) : xxx.com Youngest Domain Age: 21 days for domain: customer@xxx.net
Tue Dec 3 12:57:28 2019 Info: MID 3277401 SDR: Consolidated Sender Reputation: Poor, Threat Category: Spam, Suspected Domain(s) : xxxs.com@xxx.com, Youngest Domain Age: 6 months 29 days for domain: xxxs.com@xxx.com


xxx.com> grep "SDR: Domain Reputation.*Awful" mail_logs
Tue Dec 3 10:24:08 2019 Info: MID 3261075 SDR: Consolidated Sender Reputation: Awful, Threat Category: N/A, Suspected Domain(s) : owner@xxxxxx.us Youngest Domain Age: unknown for domain: owner@xxx.ca
Tue Dec 3 15:18:27 2019 Info: MID 3291182 SDR: Consolidated Sender Reputation: Awful, Threat Category: N/A, Suspected Domain(s) : example.com@xxx.info, xxx@.info. Youngest Domain Age: 1 day for domain: example.com@xxx.info

Problemen oplossen

Deze sectie bevat informatie waarmee u problemen met de configuratie kunt oplossen.

1. Geen SDR: logs aanwezig in de mail_logs of Message Tracking.

• SDR-logs kunnen altijd aanwezig zijn voor berichten die een Accept Mail Flow Policy doorlopen.
• Zorg ervoor dat de service is ingeschakeld zoals beschreven in de eerste stappen van deze handleiding.

2. SDR-time-out:

• Controleer of de Cisco-cloudserver voor SDR is geopend en beschikbaar is voor gebruik.
• v2.sds.cisco.com
• Een zeer algemene test kan worden uitgevoerd met het gebruik van het telnet van de CLI.
• Als de banner verschijnt, kan deze de basisbereikbaarheid bevestigen.
  • CLI > telnet v2.sds.cisco.com 443 (hiermee kan alleen een punt in de tijd worden geverifieerd.)
• Controleer logboeken van andere services om te bepalen of er potentiële communicatiefouten zijn naar internetgebaseerde services.
• CLI > geeft waarschuwingen weer om te controleren op bijkomende tekenen van communicatiefouten.
• Voorafgaand aan 13.5 AsyncOS maken SDR en URL Filtering beide gebruik van v2.sds.cisco.com.
  • Een controle van de opdracht URL Filtering CLI > websecurity diagnostics kan enige validatie bieden als het netwerkpad latentie bevat.
• Controleer de instelling voor de time-out van de afzenderdomeinreputatie en bepaal of de waarde met 1-10 seconden kan worden verhoogd. Navigeer naar Beveiligingsservices > Domeinreputatie > Bewerken > Time-out voor zoekopdracht voor domeinreputatie: 2

De standaardinstelling is 2 seconden en een maximale instelling van 10 seconden.

Belangrijke update voor AsyncOS-versies later dan 14

Na de overgang kan de hostnaam v2.sds.cisco.com nog steeds beschikbaar zijn, maar kan deze niet langer worden geoptimaliseerd voor zowel URL Filtering als SDR.

U moet deze hostnamen en IP-adressen in uw firewall toestaan voor uitgaande TCP-poort 443-verkeer.

Hostnamen:

• serviceconfig.talos.cisco.com
• grpc.talos.cisco.com
• email-sender-ip-rep-grpc.talos.cisco.com

IP-adresbereiken:

• 146.112.62.0/24
• 146.112.63.0/24
• 146.112.255.0/24
• 146.112.59.0/24
• 2A04:E4C7:FFFF::/48
• 2A04:E4C7:FFFE::/48

Dit zijn Cisco Talos Intelligence Services-eindpunten die worden gebruikt om IP-reputatie, URL-reputatie en -categorie te verkrijgen en om servicelogs-details te verzenden.

Gerelateerde informatie

• ESA-gebruikershandleidingen
• ESA Release Notes
• ESA CLI-referentiehandleidingen
• Technische ondersteuning en documentatie – Cisco Systems

Revisiegeschiedenis

Revisie	Publicatiedatum	Opmerkingen
4.0	27-Jul-2026	Bijgewerkte machinevertaling, stijlvereisten en opmaak.
3.0	01-Jun-2023	Verwijderde PII. Bijgewerkte SEO, alt-tekst, machinevertaling, stijlvereisten, redenen en opmaak.
2.0	21-Oct-2021	Gecorrigeerde voorbeelden -- bevatten live klantgegevens.
1.0	04-Nov-2020	Eerste vrijgave