Como arquivar e-mails no Email Security Appliance e no Cloud Email Security?

Introduction

Este documento descreve as etapas a serem seguidas para arquivar e-mails no Email Security Appliance (ESA) e Cloud Email Security (CES) para recuperação e revisão.

Informações de Apoio

Quando você arquiva e-mails no ESA e CES, eles podem ser usados para atender aos requisitos de regulamentação ou para fornecer um meio adicional de dados para diagnóstico e revisão de e-mails. O arquivamento de e-mails atua como um armazenamento secundário dos e-mails em um formato de log mbox em sua origem original para administradores a fim de recuperar e validar.

• É recomendável manter as configurações com os valores padrão se você decidir ativar o arquivamento de emails. Os valores padrão são 10 MB por log e 10 logs no máximo retidos. Os registros continuarão a ser adicionados e rolados com base no tamanho do próprio arquivo de log. Os arquivos de log da caixa de arquivo são preenchidos com base na taxa do tráfego de e-mail que passa pelo dispositivo. À medida que mais registros são criados, os registros mais antigos da caixa de arquivo são removidos para espaço livre para a criação do novo log.
• Certifique-se de que o dispositivo tenha espaço em disco suficiente antes de aumentar os tamanhos dos arquivos de log da caixa de arquivo e os arquivos de log máximos retidos.
• Para impedir que os logs da caixa de arquivo sejam gerados, você terá que desabilitar a função de arquivamento por política.

Note: Os registros da caixa de arquivamento ESA e CES não podem ser recuperados pelo Security Management Appliance (SMA) e são armazenados localmente de acordo com cada ESA e CES com o recurso ativado.

Como arquivar e-mails no ESA e CES?

O arquivamento de e-mails está disponível com filtros antisspam, antivírus, proteção avançada contra malware, correio de cinza e mensagens. A ação de arquivamento pode ser configurada através da interface gráfica do usuário (GUI) ou da interface de linha de comando (CLI) para antisspam, antivírus, proteção avançada contra malware e Graymail.

Para filtros de mensagens, a ação de arquivamento pode ser configurada usando a CLI sozinha.

Configurar Arquivo Anti-Spam

1. Navegue até a GUI > Políticas de e-mail > Políticas de recebimento/envio de e-mails.
2. Clique nas configurações antisspam da respectiva política para configurar o arquivamento de e-mails.
3. Clique em Avançado nas configurações disponíveis para Configurações de spam identificadas positivamente e/ou Configurações de spam suspeito.
4. Pressione o botão de opção ao lado de Sim para arquivar emails com o respectivo veredito Anti-spam.
5. Envie a configuração e confirme essas alterações conforme mostrado na imagem.

Configurar arquivo antivírus

1. Navegue até a GUI > Políticas de e-mail > Políticas de recebimento/envio de e-mails.
2. Clique nas configurações de antivírus na respectiva política para configurar o arquivamento de e-mails.
3. Em cada um dos vereditos de digitalização que deseja arquivar a mensagem original, pressione o botão de opção ao lado de Sim para arquivar.
4. Envie a configuração e confirme essas alterações conforme mostrado na imagem.

Configurar o arquivo de proteção avançada contra malware

1. Navegue até a GUI > Políticas de e-mail > Políticas de recebimento/envio de e-mails.
2. Clique nas configurações da Advanced Malware Protection na respectiva política para configurar o arquivamento de e-mails.
3. Em cada um dos vereditos de digitalização desejados para arquivar a mensagem original, pressione o botão de opção ao lado de Sim para arquivar.
4. Envie a configuração e confirme essas alterações conforme mostrado na imagem.

Configurar o arquivo do Graymail

1. Navegue até a GUI > Políticas de e-mail > Políticas de recebimento/envio de e-mails.
2. Clique nas configurações do Graymail na respectiva política para configurar o arquivamento de e-mails.
3. Clique em Avançar nas configurações disponíveis para Marketing, Social, Bulk.
4. Pressione o botão de opção ao lado de Yes (Sim) para arquivar e-mails com o respectivo veredito do Graymail.
5. Envie a configuração e confirme essas alterações.

Configurar o arquivo do filtro de mensagens

Nota: é necessário um filtro de mensagens com ação de arquivamento para exibir logs arquivados. Os filtros de mensagens só podem ser criados na CLI.

Exemplo de filtro:

Test_Archive:
if (mail-from == "test1@cisco.com")
{
archive("Test");
}

1. Faça login no dispositivo na CLI.
2. Crie um filtro de mensagens conforme visto no filtro de exemplo fornecido.
3. Envie este filtro e confirme as alterações.

Validar Disponibilidade de Logs de Arquivamento Mbox

Quando a configuração do arquivo é confirmada para os respectivos serviços, os emails arquivados são armazenados em um arquivo de log de formato mbox. Para verificar se os logs de arquivamento estão disponíveis para recuperação, navegue até a GUI > Administração do sistema > Inscrições de log.

Os arquivos de serviços de segurança criam um log separado com um tipo de log de arquivamento, como mostrado na imagem: 

Para filtros de mensagem, a configuração de arquivo é exibida somente na CLI:

• Filtros > Logconfig

Recuperar os registros do Mbox

Para dispositivos autônomos, esses registros mbox podem ser recuperados diretamente da GUI. Navegue até GUI > System Administration > Log Subscription e clique em Log Files para o respectivo log de arquivamento que você recuperará.

Para dispositivos em cluster, os registros da caixa podem ser recuperados com o uso de FTP/cópia segura (SCP) conforme descrito neste artigo. (https://www.cisco.com/c/en/us/support/docs/security/email-security-appliance/118315-technote-esa-00....)

Informações Relacionadas

• Cisco Email Security Appliance – Guias do usuário final
• O que é o formato da caixa de correio UNIX?
• Onde os logs são armazenados no Cisco Email Security Appliance (ESA) e como posso acessá-los
• Como extrair um e-mail dos logs da caixa de arquivo
• Suporte Técnico e Documentação - Cisco Systems