发件人域信誉过滤

本章包含以下部分：

发件人域信誉过滤概述

思科 Talos 发件人域信誉（SDR）是一种云服务，可根据发件人的域和其他属性为邮件提供信誉判定。

基于域的信誉分析通过查看共享 IP 地址、托管或基础设施提供程序的信誉，并根据与完全限定域名 (FQDN) 相关的功能以及简单邮件传输协议 (SMTP) 对话和邮件信头中的其他发件人信息衍生判定，从而实现更高的垃圾邮件捕获率。

有关详细信息，请参阅“思科客户连接计划”中的《思科 Talos 发件人域信誉 (SDR)》白皮书，网址为：http://www.cisco.com/go/ccp。

注	您必须创建一个 Cisco 客户连接帐户，才能访问 SDR 白皮书。与 Cisco IPAS 争议一样，通过 Cisco 技术支持中心 (TAC) 打开支持请求来提交 SDR 争议。

SDR 判定

下表列出了 SDR 判定名称、说明和建议操作：

表 1. SDR 判定
判定名称	说明	建议的操作
极差	最差的信誉判定。如果阻止阈值设置为“仅此判定”，则会看到漏报 (FN)，这会将传送的优先级确定为高于安全性。	阻止邮件。
较差	建议的阻止阈值。这会在漏报 (FN) 和误报 (FP) 之间均衡权衡。Talos 调整 SDR，以便 SDR 阻止的邮件具有差或极差的判定。不阻止此判定确定传送的优先级高于安全性，但会导致客户在未根据此判定阻止的情况下接受漏报。	使用邮件网关上配置的其他引擎扫描邮件。
不佳	发件人信誉可疑。根据这些判定的阻止属于严格阻止，Talos 建议不采取此行为。它将安全性的优先级视为高于传送，但会导致您可在根据此判定阻止的情况下接受误报。	使用邮件网关上配置的其他引擎扫描邮件。
弱	多个域（包括合法和混合使用）的共同判定，它们与不符合特定判定的弱指示器相关。Talos 建议不要阻止此判定。尽管这会将安全性的优先级确定为高于传送，但在根据此判定阻止邮件时，会导致不可接受的误报数量（Talos 指定的误报数量）。	使用邮件网关上配置的其他引擎扫描邮件。
未知	发件人使用新注册的域或者 SDR 无法识别的域。对于处于这种未确定状态的域，Talos 将执行进一步分析以快速建立判定。Talos 建议不要阻止此判定。阻止此判定会导致在您将其阈值调整为此判定时接受许多误报。Talos 建议隔离“未知”判定的邮件。邮件传送略有延迟，使 Talos 有时间在使用后续引擎扫描邮件之前对域进行调查。	使用邮件网关上配置的其他引擎扫描邮件。
一般	当发件人使用非新域并遵守发件人最佳实践时预期的正常判定。以下是发件人最佳实践：使用 SPF、DKIM 签名、不发送垃圾邮件等。	使用邮件网关上配置的其他引擎扫描邮件。
安全	一种极为少见的判定，表示发件人正在使用经认证的域，其中的邮件已经 DKIM 签名（在“`发件人：`”信头域中对齐）。	使用邮件网关上配置的其他引擎扫描邮件。

如何根据发件人域信誉过滤邮件

步骤

相应操作

更多信息

第 1 步

在思科邮件安全网关上启用 SDR 过滤。

注	升级到 AsyncOS 12.0 后，默认情况下会启用 SDR 查询。

在邮件网关上启用发件人域信誉过滤

第 2 步

配置邮件或内容过滤器以根据 SDR 处理邮件。

根据发件人域信誉配置邮件或内容过滤器以处理邮件

第 3 步

附加您配置的内容过滤器，以根据 SDR 将邮件过滤为传入邮件策略。

将内容过滤器附加到传入邮件策略

在邮件网关上启用发件人域信誉过滤

注	升级到 AsyncOS 12.0 后，默认情况下会启用 SDR 查询。

过程

步骤 1

转到安全服务 (Security Services) > 域信誉 (Domain Reputation)。

步骤 2

单击启用 (Enable)。

步骤 3

选中启用发件人域信誉过滤 (Enable Sender Domain Reputation Filtering)。

步骤 4

（可选）如果您希望 SDR 服务根据邮件的其他属性检查 SDR，请选中包括其他属性 (Include Additional Attributes)。

如果启用此选项，下列其他邮件属性也将包括在 SDR 检查中，以提高效率：

“信封发件人：”、 “发件人：”和“回复收件人：”信头中出现的邮箱地址的用户名部分。
“发件人：”和“回复收件人：”信头中的显示名称。

步骤 5

（可选）输入 SDR 查询超时前经过的秒数。

注	修改 S查询超时值可能会影响邮件处理性能。

步骤 6

（可选）选中基于信封发件人域匹配域例外列表 (Match Domain Exception List based on Domain in Envelope From)：如果您希望邮件网关仅根据“信封发件人”信头中的域跳过 SDR 检查。

步骤 7

移动范围滑块以选择所需的 SDR 判定范围，以便在 SMTP 会话级别接受或拒绝邮件。

注	升级到 AsyncOS 14.x 及更高版本后，范围滑块将默认指向“极差”(Awful) 判定。所有被判定为“极差”的邮件都会在 SMTP 会话级别被丢弃。

注	您不能选择“良好”判定来拒绝邮件，因为该判定表示发件人使用的域已通过认证。

步骤 8

单击提交 (Submit)。

步骤 9

（可选）如果您要接受“SDR 包括其他属性协议”邮件，请单击我同意 (I Agree)。

注	仅当您选择“包括其他属性”选项时，才会显示“SDR 包括其他属性协议”邮件。

步骤 10

单击确认 (Commit) 确认更改。

下一步做什么

配置内容或邮件过滤器以根据 SDR 处理邮件。请参阅根据发件人域信誉配置邮件或内容过滤器以处理邮件。

根据发件人域信誉配置邮件或内容过滤器以处理邮件

您可以使用以下任一方法中的“域信誉”邮件或内容过滤器根据 SDR 过滤邮件，并对此类邮件执行相应的操作：

发件人域判定
发件人域有效期
发件人域不可扫描

使用邮件过滤器根据发件人域信誉过滤邮件

根据发件人域判定过滤邮件

注	建议的阻止阈值为“极差”(Awful)。有关 SDR 判定的详细信息，请参阅SDR 判定。

语法：

drop_msg_based_on_sdr_verdict:
if sdr-reputation (['awful', 'poor'], "<domain_exception_list>")
{drop();}

其中：

'drop_msg_based_on_sdr_verdict' 是邮件过滤器的名称。
'sdr-reputation' 是域信誉邮件过滤器规则。
'awful','poor' 是用于根据 SDR 过滤邮件的发件人域判定的范围。
'domain_exception_list' 是域例外列表的名称。如果不存在域例外列表，它将显示为 ""。
'drop' 是在邮件上应用的操作。

示例

在以下邮件中，如果 SDR 判定为“未知”，则该邮件将被隔离。

quarantine_unknown_sdr_verdicts:
if sdr-reputation (['unknown'], "")
{quarantine("Policy")}

根据发件人域有效期过滤邮件

注	“发件人域有效期”(Sender Domain Age) 选项将在下一个 AsyncOS 版本中删除。

语法：

<msg_filter_name> 
if sdr-age (<‘unit'>, <‘operator'> <‘actual value’>)
{<action>}

其中：

‘sdr-reputation' 是域信誉邮件过滤器规则。
‘sdr_age’ 是用于根据 SDR 过滤邮件的发件人域的有效期。
‘unit' 是“天数”、“年”、“月”或“周”选项，用于根据发件人域有效期过滤邮件
‘operator' 是以下比较运算符，用于根据发件人域有效期过滤邮件：
- – >（大于）
- – >=（大于或等于）
- – <（小于）
- – <=（小于或等于）
- – ==（等于）
- – !=（不等于）
- – 未知
‘actual value' 是用于根据发件人的域有效期过滤邮件的编号。

示例

在以下邮件中，如果发件人的域有效期未知，则该邮件将被丢弃。

Drop_Messages_Based_On_SDR_Age: if (sdr-age ("unknown", "")) {drop();}

在以下邮件中，如果发件人的域有效期少于一个月，则该邮件将被丢弃。

Drop_Messages_Based_On_SDR_Age: if (sdr-age ("months", <, 1, "")) { drop(); }

根据发件人域不可扫描过滤邮件

语法：

<msg_filter_name> 
if sdr-unscannable (<'domain_exception_list'>)
{<action>}

其中：

'sdr-unscannable' 是域信誉邮件过滤器规则。

'domain_exception_list' 是域例外列表的名称。如果不存在域例外列表，它将显示为 ""。

示例

在以下邮件中，如果邮件未通过 SDR 检查，则该邮件将被隔离。

Quarantine_Messages_Based_On_Sender_Domain_Unscannable: if (sdr-unscannable ("")) {quarantine("Policy");}

使用内容过滤器根据发件人域信誉过滤邮件

开始之前

（可选）创建仅包含域的地址列表。要创建一个，请转到 Web 界面中的邮件策略 (Mail Policies) > 地址列表 (Address Lists) 页面或 CLI 中的 addresslistconfig 命令。有关详细信息，请参阅邮件策略。
（可选）创建域例外列表。有关详细信息，请参阅创建域例外列表。

过程

步骤 1

转到邮件策略 (Mail Policies) > 传入内容过滤器 (Incoming Content Filters)。

步骤 2

单击添加过滤器 (Add Filter)。

步骤 3

输入内容过滤器的名称和描述。

步骤 4

单击添加条件 (Add Condition)。

步骤 5

单击域信誉 (Domain Reputation)。

步骤 6

选择以下任一条件以根据 SDR 过滤邮件：

选择发件人域信誉判定以选择判定范围，根据从 SDR 服务接收的判定过滤邮件。

注	建议的阻止阈值为“极差”(Awful)。有关 SDR 判定的详细信息，请参阅SDR 判定。

选择发件人域有效期，选择比较运算符，输入一个数字，然后选择根据发件人域的有效期过滤邮件的时段。

注	“发件人域有效期”(Sender Domain Age) 选项将在下一个 AsyncOS 版本中删除。

选择发件人域信誉不可扫描 (Sender Domain Reputation Unscannable) 以过滤未通过 SDR 检查的邮件。

步骤 7

（可选）选择您不希望邮件网关根据 SDR 过滤邮件的已列入允许之列的域列表。

步骤 8

单击添加操作 (Add Action)，配置要根据 SDR 对邮件执行的相应操作。

步骤 9

提交并确认更改。

创建域例外列表

域例外列表由仅包含域的地址列表组成。无论思科邮件安全网关上配置的邮件策略如何，您均可使用域例外列表跳过对所有传入邮件的 SDR 检查。

注	如果要在传入邮件上跳过针对特定邮件策略的 SDR 内容过滤器操作，则需要在域信誉内容过滤器中选择域例外列表。

使用域例外列表的条件

默认情况下，跳过 SDR 检查的条件是，邮件的信封发件人：、发件人和回复收件人：信头中的域必须相同，并且与域例外列表中配置的域完全匹配。如果要仅根据“信封收件人：”(Envelope From:) 信头中的域跳过 SDR 检查，请从“域信誉”(Domain Reputation) 设置页面中选择“基于信封发件人域匹配域例外列表”(Match Domain Exception List based on Domain in Envelope From:) 选项。

过程

步骤 1	转到安全服务 (Security Services) > 域信誉 (Domain Reputation)。
步骤 2	单击域例外列表下的编辑设置 (Edit Settings)。
步骤 3	选择仅包含域的所需地址列表。
步骤 4	提交并确认更改。

下一步做什么

您还可以在 CLI 中使用 domainrepconfig 命令创建域例外列表。有关详细信息，请参阅《适用于思科邮件安全设备的 AsyncOS 的 CLI 参考指南》。

将内容过滤器附加到传入邮件策略

您可以附加已配置的内容过滤器，以根据 SDR 将邮件过滤为传入邮件策略。

过程

步骤 1	转到邮件策略 (Mail Policies) > 传入邮件策略 (Incoming Mail Policies)。
步骤 2	单击内容过滤器下方的链接。
步骤 3	确保选择启用内容过滤器(自定义设置) (Enable Content Filters [Customize Settings])。
步骤 4	选择您为根据 SDR 过滤邮件而创建的内容过滤器。
步骤 5	提交并确认更改。