Definir configurações antisspam do ESA para melhorar a detecção de spam

Introdução

Este documento descreve como melhorar a eficácia antisspam do Cisco Email Security Appliance (ESA) e reduzir o spam que ignora a filtragem.

Problema

As mensagens de spam ignoram a filtragem do ESA ou não são tratadas como esperado pelas políticas de e-mail de entrada.

Ambiente

• Cisco Email Security Appliance (ESA) com antisspam ativado e uma chave de recurso antisspam válida.
• Fluxo de e-mail de entrada e saída configurado em ouvintes separados (recomendado para configurações SenderBase).
• Pontuação de reputação SenderBase (SBRS) e Participação de rede SenderBase (SBNP) disponíveis na implantação.

Resolução

Conclua os procedimentos nestas seções para verificar a operação do Anti-Spam, confirmar a varredura, ajustar limites e otimizar SBRS e políticas de fluxo de e-mail.

Causa

• Anti-Spam desabilitado, chave de recurso ausente ou atualizações de regra não atuais.
• As mensagens ignoram a verificação devido a listas de permissão, filtros de mensagem ou limites de tamanho de verificação.
• Políticas HAT ou limites SBRS.
• Aumento do volume de spam ao longo do tempo.

Instalação

Procedimento 1: Verificar se o Anti-Spam está habilitado

1.- Garantir que todos os registros do Mail Exchange (MX) (incluindo registros MX de prioridade mais baixa) transmitam e-mail através do ESA.

2.- Verifique se o equipamento tem uma chave de recurso válida do Anti-Spam.

3.- Certifique-se de que o Anti-Spam esteja habilitado para todas as políticas de recebimento de e-mail apropriadas.

Procedimento 2: Verificar atualizações de regras antisspam

Navegue para Serviços de segurança > Anti-Spam e verifique se os carimbos de data/hora de atualização de regra mais recentes estão nas últimas 2 horas.

Procedimento 3: Verificar se as mensagens são verificadas pelo Anti-Spam

1.- Inspecione uma amostra de mensagens de spam perdidas para o cabeçalho X-IronPort-Anti-Spam-Result:

2.- Se o cabeçalho estiver faltando, conclua estas verificações:

• Verifique se não há entradas de lista de permissão ou filtros ignoram a verificação de spam.
• Verifique se as mensagens não ignoram a verificação devido ao tamanho máximo de verificação de mensagens (padrão 262144 bytes).
• Revise cada entrada da HAT (Host Access Table, tabela de acesso de host) e confirme se spam_check=on está definido para políticas de fluxo de e-mail de entrada.
• Revise os filtros de mensagem e verifique se nenhum filtro usa skip-spamcheck, a menos que seja necessário.
• Use um exemplo recente de spam (hora, data, destinatário) e examine mail_logs para confirmar se o Anti-Spam retornou um veredito negativo.

Procedimento 4: Verificar ações para mensagens de spam positivo

Revise as políticas de e-mail de entrada e verifique se as mensagens com suspeita de spam e positivas a spam são eliminadas ou colocadas em quarentena na política padrão e se outras políticas herdam o comportamento padrão ou o substituem intencionalmente.

Procedimento 5: Ajustar Limites de Spam (Opcional)

1.- Reduza o Limite de spam positivo para 80 (padrão 90) quando os falsos positivos forem aceitáveis dentro de um determinado limite.

2.- Reduza o Limite de spam suspeito para 40 (padrão 50) quando falsos positivos forem aceitáveis no limite de suspeita.

3.- Quando as reclamações são limitadas a um subconjunto de destinatários, crie uma política de e-mail separada para aqueles destinatários com limites mais baixos.

Procedimento n.o 6: Otimizar configurações SBRS e Políticas HAT

1.- Ajuste os intervalos de SBRS para os grupos de lista de bloqueio e de remetentes suspeitos com base na tolerância organizacional para falsos positivos.

2.- Quando a política exigir validação mais rigorosa, adicione SBRS none a um grupo de remetente suspeito que use uma política limitada.

3.- Defina o número máximo de destinatários por hora como 5 para a política limitada.

4.- Opcionalmente, crie várias políticas limitadas com limites diferentes de destinatário por hora para intervalos SBRS diferentes.

Procedimento 7: Habilitar verificação de remetente para fluxo de e-mail limitado

1.- Quando a política exigir validação mais rigorosa, adicione a um grupo de remetentes suspeitos remetentes com DNS (Domain Name System) inexistente ou configurado incorretamente.

2.- Considere uma política de fluxo de e-mail separada que retorne uma resposta 4xx personalizada indicando por que as mensagens são rejeitadas.

Procedimento 8: Habilitar aceitação LDAP e proteção contra ataques de coleta de diretório

1.- Ative a aceitação do Lightweight Diretory Access Protocol (LDAP) para reduzir o spam enviado a destinatários inválidos.

2.- Se a aceitação LDAP estiver habilitada, configure a Proteção contra Ataque de Coleta de Diretório (DHAP) para cada ouvinte de entrada com o máximo de tentativas inválidas entre 5 e 10 por IP.

Procedimento 9: Habilitar dicionários de conteúdo (opcional)

O ESA inclui dois dicionários de conteúdo: profanity.txt e sexual_content.txt. Aplique esses dicionários somente onde for necessário, pois eles podem aumentar os falsos positivos.

Procedimento 10: Relatar Mensagens com Classificação Incorreta

Envie falsos positivos e falsos negativos ao TAC da Cisco para análise.

Procedimento 11: Desabilitar SBRS para Varredura de Saída

Habilitar SBNP

1.- Certifique-se de que os e-mails recebidos e enviados estejam em ouvintes separados.

2.- Desabilite as pesquisas SenderBase para emails de saída. Navegue até Rede > Ouvintes. Selecione o listener de saída. Clique em Advanced (Avançado). Desmarque a caixa de seleção Usar perfil IP SenderBase.

A SenderBase Network Participation (SBNP) pode aumentar a eficácia de filtros de reputação, antisspam e filtros de detecção de vírus. O SBNP não tem nenhum impacto perceptível no desempenho quando o Anti-Spam está habilitado e seguro.

Note: O volume de spam que a sua organização recebe muda com o tempo. É possível que mais spams passem pelos ESAs simplesmente porque a empresa recebe mais spams do que no passado. Rastreie esse comportamento ao longo do tempo examinando a página Visão geral de e-mails recebidos e adicionando os itens de linha interrompidos pela filtragem de reputação e mensagens de spam detectadas.

Fundamentação SBRS

A principal preocupação com falsos positivos é que e-mails importantes podem ser perdidos. Nesse contexto, a quarentena ou a eliminação de e-mails positivos a spam podem ser problemáticas. Se um e-mail legítimo for enviado para uma pasta de spam ou de quarentena, será necessária uma pesquisa proativa para identificar se o e-mail legítimo foi classificado incorretamente como spam.

Por outro lado, os e-mails de lista de bloqueio e com taxa limitada são bloqueados de tal forma que o remetente é notificado imediatamente. Se esse remetente não for um remetente de spam, provavelmente ele encontrará outra maneira de fazer contato. Na verdade, como uma política geral, bloquear por padrão e depois aceitar parceiros confiáveis mediante solicitação é uma posição melhor para algumas empresas.

A limitação, se definida corretamente, raramente ou nunca afeta os parceiros, mas fornece proteção contra domínios infectados com vírus. A limitação também é desagradável para os remetentes de spam. Uma técnica conhecida de spammer é comprar um grande número de IPs, gerar e-mails bons o suficiente para obter uma pontuação SBRS decente e, em seguida, começar a enviar spam. Um intervalo maior de listas suspeitas detecta o spam, limita o dano que ele causa e pode eventualmente fazer com que ele pare de enviar spam ao seu domínio.

Conteúdo relacionado

• Como são determinadas as pontuações de reputação SenderBase (SBRS) e o que elas significam?

Histórico de revisões

Revisão	Data de publicação	Comentários
2.0	05-Oct-2026	Recertificação
1.0	12-Aug-2014	Versão inicial