配置ESA反垃圾郵件設定以改進垃圾郵件檢測

簡介

本檔案介紹如何提高思科電子郵件安全裝置(ESA)反垃圾郵件效能並減少繞過篩選的垃圾郵件。

問題

垃圾郵件繞過ESA過濾，或者未按預期由入站郵件策略進行處理。

環境

• 已啟用反垃圾郵件且具備有效反垃圾郵件功能金鑰的思科電子郵件安全裝置(ESA)。
• 在單獨的偵聽程式上配置入站和出站郵件流（建議用於SenderBase設定）。
• 部署中可用的SenderBase信譽得分(SBRS)和SenderBase網路參與(SBNP)。

解析

完成這些部分中的步驟以驗證反垃圾郵件操作、確認掃描、調整閾值以及最佳化SBRS和郵件流策略。

原因

• 已禁用反垃圾郵件、缺少功能金鑰或規則更新不是當前更新。
• 由於允許清單、郵件過濾器或掃描大小限制，郵件繞過掃描。
• 允許的主機訪問表(HAT)策略或SBRS閾值。
• 垃圾郵件數量隨時間的推移而增加。

設定

程式1:驗證是否已啟用反垃圾郵件

1. — 確保所有郵件交換(MX)記錄（包括低優先順序MX記錄）通過ESA轉發郵件。

2. — 驗證裝置是否具有有效的反垃圾郵件功能金鑰。

3. — 確保為所有適當的傳入郵件策略啟用反垃圾郵件。

程式2:驗證反垃圾郵件規則更新

導航到安全服務(Security Services)>反垃圾郵件(Anti-Spam)，並驗證最近的規則更新時間戳是否在最近2小時內。

程式3:驗證郵件是否被反垃圾郵件掃描

1. — 檢查標題X-IronPort-Anti-Spam-Result的未命中垃圾郵件示例：

2. — 如果缺少標頭，請完成以下檢查：

• 驗證沒有允許清單條目或過濾器會繞過垃圾郵件掃描。
• 驗證郵件是否由於最大郵件掃描大小(預設值為262144位元組)而繞過掃描。
• 檢查每個主機訪問表(HAT)條目，並確認已為入站郵件流策略設定spam_check=on。
• 檢查郵件過濾器，確認如果沒有過濾器使用skip-spamcheck（除非需要）。
• 使用最近的垃圾郵件示例（時間、日期、收件人）並檢視mail_logs以確認Anti-Spam返回了否定裁決。

程式4:驗證垃圾郵件陽性郵件的操作

檢查入站郵件策略，並驗證預設策略中是否丟棄或隔離了垃圾郵件呈陽性或可疑的垃圾郵件，其他策略是否繼承預設行為或故意覆蓋預設行為。

程式5:調整垃圾郵件閾值（可選）

1. — 當特定閾值下可以接受誤報時，將垃圾郵件正閾值降低到80（預設值為90）。

2. — 當可疑閾值上可接受的誤報時，將可疑垃圾郵件閾值降低到40（預設值為50）。

3.當投訴僅限於一部分收件人時，為門檻較低的收件人制定單獨的郵件政策。

程式6:最佳化SBRS設定和HAT策略

1. — 根據組織對誤報的容忍度，調整阻止列表和可疑發件人組的SBRS範圍。

2. — 當策略需要更嚴格的驗證時，將SBRS none新增到使用受限策略的可疑發件人組。

3. — 將受限策略每小時的最大收件人數量設定為5。

4. — （可選）為不同的SBRS範圍建立具有不同每小時接收人限制的多個受限策略。

程式7:為受限郵件流啟用發件人驗證

1. — 當策略需要更嚴格的驗證時，請將域名系統(DNS)不存在或配置不當的發件人新增到可疑發件人組。

2. — 考慮單獨的郵件流策略，該策略返回自定義4xx響應，指示郵件被拒絕的原因。

程式8:啟用LDAP接受和目錄收集攻擊保護

1. — 啟用輕型目錄訪問協定(LDAP)接受以減少傳送到無效收件人的垃圾郵件。

2. — 如果啟用LDAP接受，請為每個入站監聽程式配置目錄收集攻擊保護(DHAP)，每個IP的最大無效嘗試次數為5到10次。

程式9:啟用內容詞典（可選）

ESA包括兩個內容詞典：profanity.txt和sexual_content.txt。僅在需要時應用這些詞典，因為它們可以增加誤報。

程式10:報告分類錯誤的郵件

將誤報和漏報提交到Cisco TAC進行分析。

程式11:禁用出站掃描的SBRS

啟用SBNP

1. — 確保入站和出站郵件位於單獨的偵聽程式上。

2. — 禁用出站電子郵件的SenderBase查詢。導航到Network > Listeners。選擇出站監聽程式。按一下「Advanced」。清除Use SenderBase IP profiling覈取方塊。

SenderBase網路參與(SBNP)可以提高信譽過濾器、反垃圾郵件過濾器和病毒爆發過濾器的效率。當啟用反垃圾郵件且安全時，SBNP對效能沒有明顯影響。

附註：您的組織收到的垃圾郵件數量隨時間而變化。可能更多的垃圾郵件通過ESA，只是因為組織收到的垃圾郵件比過去更多。通過檢視「傳入郵件概述」頁，並新增通過信譽過濾停止的行專案以及檢測到的垃圾郵件，可以隨時間跟蹤此行為。

SBRS原理

誤報的主要問題是重要電子郵件可能會丟失。在這種情況下，隔離或丟棄垃圾郵件呈陽性的電子郵件可能會出現問題。如果將合法電子郵件傳送到隔離區或垃圾郵件資料夾，則需要主動搜尋以識別該合法電子郵件被誤分類為垃圾郵件。

與之相反，阻止清單和限費率電子郵件被阻止的方式是立即通知發件人。如果此發件人不是垃圾郵件傳送者，則發件人可能會找到其他聯絡方式。事實上，作為一項整體政策，預設阻止然後根據請求接受可信的合作夥伴，對於某些企業而言是更好的選擇。

如果設定得當，頻寬限制很少會對合作夥伴產生影響，但會提供保護，防止域受到病毒感染。扼殺也讓垃圾郵件傳送者望而卻步。已知的一種垃圾郵件製造者技術是購買大量IP，生成足夠好的電子郵件以獲得SBRS得分，然後開始傳送垃圾郵件。較大的可疑清單範圍可捕獲垃圾郵件，限制它們造成的損害，最終可能導致它們停止向您的域傳送垃圾郵件。

相關內容

• 如何確定SenderBase信譽得分(SBRS)，它們意味著什麼？

修訂記錄

修訂	發佈日期	意見
2.0	05-Oct-2026	重新認證
1.0	12-Aug-2014	初始版本