目录

简介

先决条件

使用的组件

概述

配置

验证

故障排除

TDC连接行为：

简介

本文档介绍配置安全邮件网关(SEG)以执行针对安全邮件威胁防御(SETD)的每策略日志记录的步骤。

先决条件

事先了解思科安全邮件网关(SEG)常规设置和配置会很有用。

使用的组件

此设置需要两者；

- 思科安全邮件网关(SEG) AsyncOS 15.5.1及更高版本

- 思科邮件威胁防御(SETD)实例。

- 威胁防御连接器(TDC)。 “两种技术之间明确的连接。”

"本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。”

概述

Cisco SEG能够与SETD集成，以提供额外的保护。

- SEG日志操作会传输所有正常邮件的完整邮件。

- SEG提供了根据每邮件策略匹配选择性地选择传入邮件流的选项。

- SEG Per Policy选项允许3种选择：No Scan、Default Message Inceive Address或Custom Message Inceive Address。

- “默认接收地址”表示接受特定帐户实例邮件的主SETD帐户。

- 自定义邮件接收地址表示接受不同已定义域的邮件的第二个SETD帐户。此方案适用于更复杂的SETD环境。

- 日志消息具有SEG消息ID (MID)和目标连接ID DCID

- 传递队列包含类似于域的值“the.tdc.queue”，用于捕获SETD传输计数器。

- 在此处可查看“the.tdc.queue”活动计数器：cli>tophosts或SEG Reporting > Delivery Status (non-CES)。

- “the.tdc.queue”表示相当于目标域名的威胁防御连接器(TDC)。

配置

SETD初始设置步骤生成“邮件接收地址”(Message Inceive Address)。

1. 是，安全邮件网关存在。

2. 思科SEG

3. 消息方向=传入。

4. 无身份验证=仅可视性。

5. 接受第4步后显示消息接收地址。

6. 如果需要检索设置后的消息接收地址，请定位至“策略”菜单。

过渡到SEG WebUI，导航至Security Services（安全服务）> Threat Defense Connector Settings（威胁防御连接器设置）。

导航至Mail Policies（邮件策略）：

- 传入邮件策略

- 右侧的最后一项服务是“Threat Defense Connector”。

- 设置链接首次显示“已禁用”。

自定义邮件接收地址将使用辅助SETD实例填充。

注意：使用自定义接收地址配置邮件策略匹配条件以捕获正确的域流量时，这一点非常重要。

设置的最终视图显示已配置服务的“已启用”值。

验证

完成所有步骤后，邮件会填充SETD控制面板。

SEG CLI命令> tophosts显示活动传递的.tdc.queue计数器。

故障排除

TDC连接行为：

- 当目标队列中存在条目时，至少会打开3个连接

- 对于常规邮件目标队列，使用相同的逻辑动态生成更多连接。

- 一旦队列变为空或目标队列中没有足够的条目，打开的连接就会关闭。

- 根据表中的值执行重试。

- 在重试被耗尽或消息在队列中的时间过长（120秒）时，消息将从队列中删除

威胁防御连接器重试机制

错误案例

重试完成

重试次数

SMTP 5xx错误（503/552除外）

无

不适用

SMTP 4xx错误（包括503/552）

Yes

1

TLS错误

无

不适用

常规网络\连接错误、DNS错误等。

Yes

1

基于传送结果的TDC邮件日志示例

与TDC相关的日志条目包含日志文本之前的TDC：值。

样本呈现正常的TDC传输。

Fri Feb 16 21:19:22 2024 Info: TDC: MID 14501404 with Message-ID '<O7afv777xxreILg2OQ@gostrt-sstp-0>' enqueued for forwarding to Cisco Secure Email Threat Defense to the message intake address 33c48e-27xp9-05ecb4@beta.cmd.cisco.com

Fri Feb 16 21:19:23 2024 Info: TDC: New SMTP DCID 4566150 interface 10.13.0.99 address 10.10.55.171 port 25

Fri Feb 16 21:19:23 2024 Info: DCID 4566150 TLS success protocol TLSv1.2 cipher ECDHE-RSA-AES128-GCM-SHA256

Fri Feb 16 21:19:23 2024 Info: TDC: Delivery start DCID 4566150 MID 14501404

Fri Feb 16 21:19:24 2024 Info: TDC: MID 14501404 successfully delivered for scanning with Cisco Secure Email Threat Defense.

Fri Feb 16 21:19:24 2024 Info: Message finished MID 14501404 done

该示例在120秒超时后由于无法传送的消息而出现传送错误

Wed Nov 29 09:03:05 2023 Info: TDC: Connection Error: DCID 36 domain: the.tdc.queue IP: 10.10.0.3 port: 25 details: timeout interface: 10.10.11.63 reason: connection timed out

示例显示由于TLS错误而导致的传递错误。

Fri Feb 14 04:10:14 2024 Info: TDC: MID 1450012 delivery failed to Cisco Secure Email Threat Defense:TLS Error.

此示例显示的SETD日记帐地址无效，导致硬退回。

Wed Nov 29 09:07:16 2023 Info: TDC: MID 171 with Message-ID '<20231129090720.24911.11947@vm21bsd0050.cs21>' enqueued for forwarding to Cisco Secure Email Threat Defense to the message intake ad

dress test@esa.example.com

Wed Nov 29 09:07:16 2023 Info: DNS Error esa.example.com MX - NXDomain

Wed Nov 29 09:07:16 2023 Info: TDC: Hard bounced - 5.1.2 - Bad destination host ('000', 'DNS Hard Error looking up outbound.cisco.om (MX) : NXDomain'])

Wed Nov 29 09:07:16 2023 Info:

TDC: MID 171 delivery failed to Cisco Secure Email Threat Defense: Hard Bounced.

Wed Nov 29 09:07:16 2023 Info: Bounced: DCID 0 MID 171 to RID 0 - Bounced by destination server with response: 5.1.2 - Bad destination host ('000', ['DNS Hard Error looking up outbound.cisco.om

(MX) :

“邮件跟踪”(Message Tracking)仅显示指示邮件成功传递到SETD的单个行。

此示例显示由于TLS错误而导致的传送错误。

2024年2月16日21:19:24 (GMT -06:00)

TDC：邮件14501404已成功传送给使用思科安全邮件威胁防御进行扫描。

相关信息

- 邮件安全设置指南

- 支持指南的思科安全电邮网关发布页面

- ETD用户指南