Descrições da ação do filtro de mensagem ESA

Introduction

Este documento descreve as diferenças entre as ações de filtro de mensagens drop-attachment-by-name, -type, -filetype e -mimetype no Cisco Email Security Appliance (ESA).

Visão geral da ação de filtro de mensagem

As mensagens enviadas usando MIME podem ter rótulos atribuídos a várias partes do corpo, frequentemente chamadas de anexos.  Esses rótulos podem (e entram) em conflito entre si nas informações fornecidas. Além disso, uma parte do corpo pode ter suas próprias características.  Por exemplo, um usuário pode pegar uma imagem JPEG, anexá-la a uma mensagem de correio, dar a ela um tipo MIME de texto/html e marcá-la com um nome de arquivo MIME de jan.mp3. Todas essas etiquetas estão em conflito com a realidade do que é o anexo. 

Por exemplo, considere este cabeçalho de mensagem:

Boundary_(ID_n6BU1raweF+4UwCeweFmVQ)
Content-type: application/msword; name="eval form.doc"
Content-transfer-encoding: BASE64
Content-disposition: attachment; filename="eval form.doc"
Content-description: eval form.doc

Nesse caso, os nomes de arquivos MIME e os tipos MIME são consistentes e podem ou não corresponder ao formato real da parte do corpo (anexo). No entanto, neste cabeçalho, há inconsistências:

Boundary_(ID_n6BU1raweF+4UwCeweFmVQ)
Content-type: image/jpeg; name="eval form.doc"
Content-transfer-encoding: BASE64
Content-disposition: attachment; filename="evaluation.zip"
Content-description:  These are the latest warez, d00d.

Para mensagens bem formadas, a implementação da política é bastante fácil. No entanto, no caso de alguém tentar ignorar a política intencionalmente ou não intencionalmente, é necessária flexibilidade adicional.

Geralmente, os gerentes de rede querem descartar anexos de um tipo específico, como todos os arquivos MP3. No entanto, a implementação desta política significa que você deve decidir a qual dos rótulos deseja prestar atenção (se houver algum). O AsyncOS oferece a flexibilidade de ver o tipo MIME (como text/html), o nome de arquivo MIME (como jan.mp3) e, na verdade, imprimir a impressão digital do anexo para tentar determinar qual é o formato verdadeiro. Ao implementar sua política usando filtros de mensagens ou filtros de conteúdo, talvez você queira usar um ou mais desses rótulos.

Descrições da ação do filtro de mensagens 

Aqui estão as descrições de ação do filtro de mensagens: 

• drop-attachment-by-name - Verifica os nomes de arquivos de cada anexo em uma mensagem para ver se ele corresponde à expressão regular fornecida. O nome do arquivo é retirado dos cabeçalhos MIME. Essa comparação diferencia maiúsculas e minúsculas. Se um dos anexos da mensagem corresponder ao nome do arquivo, esta regra retornará verdadeiro. Se um anexo for um arquivo, o aplicativo IronPort C-Series colherá os nomes dos arquivos de dentro do arquivo e aplicará regras scanconfig (por padrão, os tipos MIME de vídeo/*, áudio/* e imagem/* não são verificados e nada acima de 5 MB é digitalizado).
  
  
• drop-attachment-by-type - Descarta todos os anexos em mensagens que tenham um tipo MIME, determinado pelo tipo MIME especificado ou pela extensão do arquivo.  Os anexos do arquivo morto (zip, tar) serão descartados se contiverem um arquivo correspondente.
  
  
• drop-attachment-by-filetype - Examina anexos com base na impressão digital do arquivo e não apenas na extensão de nome de arquivo de três letras. Isso é semelhante ao comando de arquivo UNIX. Além dos tipos de arquivos individuais que podem ser especificados, as expressões de grupo Compressed, Document, Executable, Image e Media incluem todos os tipos de arquivos do tipo geral. Por exemplo, o grupo executável inclui arquivos .exe, .java .msi .pif, .dll, .scr e .com. Consulte o Guia do usuário do AsyncOS para obter uma lista completa dos tipos de arquivo que podem ser especificados.
  
  
• drop-attachment-by-mimetype - Descarta todos os anexos em mensagens que tenham um determinado tipo de MIME. Esta ação não tenta determinar o tipo MIME por extensão de arquivo, por isso também não examina o conteúdo dos arquivos.