简介

本文档介绍如何控制思科ESA上的邮件欺骗，以及如何为允许发送欺骗邮件的用户创建例外。

先决条件

要求

邮件安全设备(ESA)必须处理传入和传出邮件，并使用RELAYLIST的标准配置将邮件标记为传出。

使用的组件

使用的具体组件包括：

注：如果调用任一发件人组时调用了不同于MY_TRUSTED_SPOOF_HOSTS或RELAYLIST的内容，则必须使用相应的发件人组名称修改过滤器。此外，如果您有多个侦听程序，则您还有多个MY_TRUSTED_SPOOF_HOSTS。

本文档中的信息基于任何AsyncOS版本的ESA。

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。

背景信息

默认情况下，思科ESA上启用欺骗。允许其他域代表您发送邮件有几个正当的理由。 一个常见示例是，ESA管理员想要通过在发送欺骗邮件之前隔离这些邮件来控制欺骗邮件。

要采取特定操作，如隔离伪造的邮件，必须先检测伪造的邮件。

什么是邮件欺骗

邮件欺骗是指伪造邮件信头，使邮件看似来自某人或实际来源以外的其他地方。电子邮件欺骗是网络钓鱼和垃圾邮件活动中使用的一项策略，因为人们更倾向于在认为电子邮件是由合法来源发送时打开该电子邮件。

如何检测欺骗性邮件

您想要过滤信封发件人(Mail-From)和友好发件人(From)信头的邮件，这些邮件在邮件地址中包含您自己的某个传入域。

如何允许特定发件人的欺骗

当您实施本文中提供的邮件过滤器时，伪造的邮件会使用信头进行标记，而内容过滤器则用于对信头执行操作。要添加例外，只需将发件人IP添加到MY_TRUSTED_SPOOF_HOSTS。

配置

创建发件人组 

  1. 从ESA GUI导航到邮件策略> HAT概述
  2. 点击 添加。 
  3. 在Name字段中，指定MY_TRUSTED_SPOOF_HOSTS。
  4. 在“订单”字段中指定1。
  5. 对于Policy字段，指定ACCEPTED。
  6. 单击Submit保存更改。
  7. 最后，单击Commit Changes以保存配置

示例： Create a Sender Group

创建字典

为要在ESA上为其禁用欺骗的所有域创建词典：

  1. 从ESA GUI导航到邮件策略>字典。
  2. 点击 添加字典。
  3. 在Name字段中，指定“VALID_INTERNAL_DOMAINS”，以使复制和粘贴邮件过滤器不会出错。 
  4. 在add terms下，添加要检测欺骗的所有域。  在域前面输入带有@符号的域，然后单击add。 
  5. 确保match whole words复选框未选中。 
  6. 单击Submit保存字典更改。
  7. 最后，单击Commit Changes以保存配置。

示例：

Create a Dictionary

创建邮件过滤器

接下来，您需要创建邮件过滤器以利用刚创建的词典“VALID_INTERNAL_DOMAINS”:

  1. 连接到ESA的命令行界面(CLI)。
  2. 运行命令Filters。
  3. 运行命令New创建新的邮件过滤器。
  4. 复制并粘贴此过滤器示例，根据需要编辑实际的发件人组名称：


    mark_spoofed_messages:
    if(
         (mail-from-dictionary-match("VALID_INTERNAL_DOMAINS", 1)) 
     OR  (header-dictionary-match("VALID_INTERNAL_DOMAINS","From", 1))) 
     AND ((sendergroup != "RELAYLIST") 
     AND (sendergroup != "MY_TRUSTED_SPOOF_HOSTS")
      ) 
    {
    insert-header("X-Spoof", "");
    }
  5. 返回主CLI提示符并运行Commit以保存配置。
  6. 导航到GUI > Mail Policies > Incoming Content Filters
  7. 创建对欺骗报头X-Spoof执行操作的传入内容过滤器：

    1. 添加其他信头

    2. 报头名称：X-Spoof

    3. 报头存在单选按钮

    4. 添加操作：duplicate-quarantine(Policy)。 

      注意：此处显示的“复制邮件”功能保留邮件的副本，并继续向收件人发送原始邮件。 



      Create a Message Filter
      Add Incoming Content Filter

  8. 通过GUI > Mail Policies > Incoming Mail Policies将内容过滤器链接到传入邮件策略。
  9. 提交并确认更改。

向MY_TRUSTED_SPOOF_HOSTS添加欺骗异常

最后，您需要将欺骗异常（IP地址或主机名）添加到MY_TRUSTED_SPOOF_HOSTS发件人组。 

  1. 通过Web GUI导航：邮件策略> HAT概述
  2. 单击并打开MY_TRUSTED_SPOOF_HOSTS发件人组。
  3. 单击Add Sender... 以添加IP地址、范围、主机名或部分主机名。
  4. 单击Submit保存发件人更改。
  5. 最后，单击Commit Changes以保存配置。

示例：

Add Spoof Exceptions to MY_TRUSTED_SPOOF_HOSTS

验证

验证伪装邮件是否被隔离

发送测试消息，指定其中一个域作为信封发件人。通过对邮件执行邮件跟踪，验证过滤器是否按预期工作。预期的结果是邮件被隔离，因为您尚未为允许假冒的发件人创建任何例外。 

Thu Apr 23 07:09:53 2015 Info: MID 102 ICID 9 RID 0 To: <xxxx_xxxx@domain.com>
Thu Apr 23 07:10:07 2015 Info: MID 102 Subject 'test1'
Thu Apr 23 07:10:07 2015 Info: MID 102 ready 177 bytes from <user_1@example.com>
Thu Apr 23 07:10:07 2015 Info: MID 102 matched all recipients for per-recipient policy DEFAULT in the inbound table
Thu Apr 23 07:10:11 2015 Info: MID 102 interim verdict using engine: CASE spam negative
Thu Apr 23 07:10:11 2015 Info: MID 102 using engine: CASE spam negative
Thu Apr 23 07:10:11 2015 Info: MID 102 interim AV verdict using Sophos CLEAN
Thu Apr 23 07:10:11 2015 Info: MID 102 antivirus negative
Thu Apr 23 07:10:12 2015 Info: MID 102 quarantined to "Policy" (message filter:quarantine_spoofed_messages)
Thu Apr 23 07:10:12 2015 Info: Message finished MID 102 done

验证是否正在传送欺骗异常消息

欺骗例外发件人是上面过滤器中引用的发件人组中的IP地址。

引用RELAYLIST的原因是ESA用它来发送出站邮件。由RELAYLIST发送的邮件通常是出站邮件，若不包含，则会产生误报，或以上过滤器隔离的出站邮件。

添加到MY_TRUSTED_SPOOF_HOSTS的欺骗异常IP地址的邮件跟踪示例。预期操作为deliver而不是quarantine。（此IP允许伪装）。

Thu Apr 23 07:25:57 2015 Info: Start MID 108 ICID 11
Thu Apr 23 07:25:57 2015 Info: MID 108 ICID 11 From: <user_1@example.com>
Thu Apr 23 07:26:02 2015 Info: MID 108 ICID 11 RID 0 To: <user_xxxx@domain.com>
Thu Apr 23 07:26:10 2015 Info: MID 108 Subject 'test2'
Thu Apr 23 07:26:10 2015 Info: MID 108 ready 163 bytes from <user_1@example.com>
Thu Apr 23 07:26:10 2015 Info: MID 108 matched all recipients for per-recipient policy DEFAULT in the inbound table
Thu Apr 23 07:26:10 2015 Info: MID 108 interim AV verdict using Sophos CLEAN
Thu Apr 23 07:26:10 2015 Info: MID 108 antivirus negative
Thu Apr 23 07:26:10 2015 Info: MID 108 queued for delivery
Thu Apr 23 07:26:10 2015 Info: Delivery start DCID 16 MID 108 to RID [0]
Thu Apr 23 07:26:11 2015 Info: Message done DCID 16 MID 108 to RID [0]
Thu Apr 23 07:26:11 2015 Info: MID 108 RID [0] Response '2.0.0 t58EVG9N031598 Message accepted for delivery'
Thu Apr 23 07:26:11 2015 Info: Message finished MID 108 done

相关信息

思科内部信息

有一个功能请求，要求将RAT暴露到邮件过滤器/内容过滤器，以简化此过程：

Cisco Bug ID CSCus49018 - ENH: Expose Recipient Access Table(RAT)to filter conditions(思科漏洞ID CSCus49018 — 增强版：公开收件人访问表(RAT)以过滤条件)