aplikacja spamstop
Głównym kanałem ataków cybernetycznych jest poczta elektroniczna.
Podszywanie się pod adres nadawcy można wykryć za pomocą informacji uwierzytelniających wiadomość e-mail.
Aplikacja „spamstop” firmy RealSender wyświetla wyniki kontroli autentyczności
bezpośrednio w temacie otrzymanych wiadomości.
Jest to skuteczne rozwiązanie antyspamowe w połączeniu z filtrem
dzielącym wiadomości według nadawców, którzy NIE znajdują się w Twojej książce adresowej.
Można ją aktywować dla całej domeny lub nawet tylko dla kilku adresów e-mail.
Główne cechy:
sprawdzanie nadawcy wiadomości e-mail na podstawie SPF
sprawdzanie nadawcy i pieczęci e-mail na podstawie dkim
co najmniej jedna z domen musi być zgodna z domeną nadawcy
do tematu dodano dwa tagi SPAM, aby zwrócić uwagę na oszustwo
aby otrzymywać do swojej skrzynki odbiorczej wyłącznie wiadomości od nadawców, których wcześniej autoryzowałeś
aby otrzymywać wiadomości e-mail tylko od nadawców, których wcześniej autoryzowałeś
aby chronić skrzynki e-mail przed niechcianymi nadawcami i niebezpiecznymi załącznikami
Podsekcje aplikacji spamstop
1 - kontrola spf
Chcemy mieć pewność, że adres nadawcy nie został sfałszowany/podrobiony*.
* = spraw, aby wiadomość wyglądała na pochodzącą od kogoś innego niż jej faktyczne źródło
Uwierzytelnianie SPF pomaga nam ustalić, czy wiadomość została wysłana przez autoryzowany serwer SMTP.
Informacje te są przechowywane w DNS domeny, czyli bezpiecznym miejscu, poza wiadomością e-mail.
Tylko w przypadku, gdy wiadomość NIE została poprawnie uwierzytelniona:
do tematu dodawany jest symbol !! (uwaga),
w nagłówku wiadomości, w wierszu „X-RealSender” umieszczana jest jedna z poniższych notatek wyjaśniających:
:: spf-none :: Domena nadawcy nie zawiera informacji umożliwiających uwierzytelnienie wiadomości e-mail :: spf-softfail :: Serwer SMTP nie znajduje się na liście autoryzowanych, ale ten przypadek należy traktować jako „softfail” :: spf-fail :: Serwer SMTP nie znajduje się na liście autoryzowanych i wiadomość e-mail powinna zostać odrzucona lub usunięta
Czasami informacje rejestrowane na poziomie domeny są nieprawidłowe/niezrozumiałe.
:: spf-permerror :: wystąpił trwały błąd (np. nieprawidłowo sformatowany rekord SPF)
Weryfikacja SPF jest przeprowadzana na podstawie adresu e-mail „Nadawca”, który jest ukryty w nagłówkach wiadomości e-mail.
Widoczny jest tylko adres „Nadawca”. Jeśli domeny główne są różne, wyświetlane jest to ostrzeżenie:
:: spf-diff :: domeny główne „Mail From” i „From” są różne
Powiedz mi więcej
2 - sprawdzenie dkim
DKIM (DomainKeys Identified Mail) pozwala nadawcom udowodnić, że wiadomość e-mail została faktycznie przez nich wysłana i nie została zmodyfikowana po wysłaniu.
Osiąga to poprzez dołączenie podpisu cyfrowego (pieczęci) powiązanego z nazwą domeny do każdej wychodzącej wiadomości e-mail.
Tylko jeśli wiadomość NIE została podpisana poprawnie:
do tematu dodaje się symbol !! (uwaga),
w nagłówku wiadomości, w wierszu „X-RealSender” umieszcza się jedną z następujących notatek wyjaśniających:
:: dkim-none :: Nie znaleziono nagłówków podpisu DKIM (prawidłowych lub nieprawidłowych) :: dkim-fail :: Znaleziono prawidłowy nagłówek podpisu DKIM, ale podpis nie zawiera prawidłowej wartości dla wiadomości
Czasami nie jest możliwe wykonanie sprawdzenia:
:: dkim-invalid :: Wystąpił problem z samym podpisem lub rekordem klucza publicznego. Np. nie można przetworzyć podpisu :: dkim-temperror :: Wykryto błąd, który prawdopodobnie ma charakter przejściowy, na przykład tymczasową niemożność pobrania klucza publicznego
Jeśli wiadomość została podpisana przy użyciu innej domeny, dodawany jest komunikat „diff”:
To ostrzeżenie NIE pojawi się, jeśli nadawca pomyślnie przejdzie kontrolę SPF:
:: dkim-diff :: wiadomość NIE została podpisana przez domenę nadawcy
Powiedz mi więcej
3 - wyrównanie dmarc
DMARC (Domain-based Message Authentication, Reporting and Conformance)
to standard uwierzytelniania wiadomości e-mail opracowany w celu zwalczania fałszywych wiadomości e-mail w domenach.
W rozdziale „3.1. Wyrównanie identyfikatorów” napisano:
Technologie uwierzytelniania poczty e-mail uwierzytelniają różne (i rozbieżne) aspekty pojedynczej wiadomości. Na przykład [DKIM] uwierzytelnia domenę, która dołączyła podpis do wiadomości, podczas gdy [SPF] może uwierzytelniać domenę występującą w części RFC5321.MailFrom (MAIL FROM) protokołu [SMTP] lub domenę RFC5321.EHLO/HELO, lub obie. Mogą to być różne domeny i zazwyczaj nie są widoczne dla użytkownika końcowego. Protokół DMARC uwierzytelnia użycie domeny RFC5322.From, wymagając, aby była ona zgodna z uwierzytelnionym identyfikatorem (zgodna z nim). -- https://tools.ietf.org/html/rfc7489#section-3.1
Oznacza to po prostu:
gdy nadawca uwierzytelnia swój adres e-mail za pomocą protokołu SPF i/lub DKIM, co najmniej jedna z domen musi być zgodna z domeną nadawcy
Podejście to jest szeroko akceptowane i generalnie uważane za
dobrą praktykę w zakresie identyfikacji zaufanych domen nadawców.
**RealSender MX Protect sprawdza domyślne wyrównanie dmarc „relaxed”:**
-
W przypadku uwierzytelniania SPF
domena główna adresu „Nadawca” musi być zgodna z domeną główną adresu „Nadawca”.
Elastyczne dopasowanie pozwala na użycie dowolnej subdomeny i nadal spełnia wymóg dopasowania domeny.
-
W przypadku uwierzytelniania DKIM,
domena główna podpisu DKIM musi być zgodna z domeną „Od”.
Elastyczne dopasowanie pozwala na użycie dowolnej subdomeny i nadal spełnianie wymogu dopasowania domeny.
**Możliwe wyniki:**
-
obie zasady są przestrzegane,
domena nadawcy jest w pełni zaufana,
wiadomość dociera bez zmian
-
jeśli spełniony jest tylko jeden z dwóch warunków,
do tematu dodawany jest symbol ~ (tylda), a
w nagłówku wiadomości umieszczana jest jedna z następujących notatek wyjaśniających
~ ... temat ... X-RealSender: ~ | spf=pass (domena NIE jest wyrównana) | dkim=pass | ~
~ ... temat ... X-RealSender: ~ | spf=pass | dkim=pass (domena NIE jest wyrównana) | ~
- brak jakiegokolwiek wyrównania
w temacie wyświetlane są
ostrzeżenia „:: spf-diff ::” i „:: dkim-diff ::”
Powiedz mi więcej
Coraz więcej firm korzysta z protokołu DMARC, aby chronić nadawców przed podszywaniem się.
Wymaga on odpowiedniego uwierzytelnienia za pomocą SPF lub DKIM oraz dopasowania domen nadawcy/poczty-nadawcy.
Więcej informacji:
<dmarc> act on fraudulent email
Wiadomości od nadawców z rekordem _dmarc,
jeśli NIE są uwierzytelnione, są wyróżniane dwoma tagami [ SPAM ] w temacie:
[ SPAM ] ... temat wiadomości ... [ SPAM ]
Wiadomości bez rekordu _dmarc, gdy uwierzytelnianie SPF i DKIM nie powiedzie się,
są zgłaszane z tagiem [podejrzane] w temacie:
[podejrzane] ... temat wiadomości ...
Poproś o bezpłatną wersję próbną
filtr nadawcy po stronie klienta
Aplikacja „spamstop” firmy RealSender stanowi skuteczne rozwiązanie antyspamowe
w połączeniu z filtrem dzielącym wiadomości
według nadawców, którzy NIE znajdują się w Twojej książce adresowej.
Większość nowoczesnych klientów poczty e-mail oferuje tę funkcję.
Oto kilka przykładów konfiguracji:
w ustawieniach programu Outlook włącz opcję: ufaj wiadomościom e-mail od moich kontaktów
w Thunderbirdzie utwórz filtr z regułami „Od nie ma w mojej książce adresowej”
Podsekcje filtra nadawcy po stronie klienta
Microsoft 365 Outlook
Poniżej znajduje się ekran „Ustawienia” w programie Outlook.
W sekcji „Wiadomości-śmieci” zaznacz opcję „Ufaj e-mailom od moich kontaktów”.
Naciśnij [Zapisz], aby zapisać zmiany.
Poproś o bezpłatną wersję próbną
Mozilla Thunderbird
Poniżej znajduje się zrzut ekranu narzędzia „Filtr wiadomości” w Thunderbirdzie.
Dodaj warunki z opcją „Dopasuj WSZYSTKIE z poniższych”:
- Od nie ma w mojej książce adresowej, Osobista książka adresowa
- Od nie ma w mojej książce adresowej, Zebrane adresy
Wykonaj następujące czynności: Przenieś wiadomość do: Spamu.
Poproś o bezpłatną wersję próbną
filtr nadawcy po stronie serwera
Nie wszystkie klienty poczty elektronicznej oferują zaawansowane metody filtrowania wiadomości e-mail.
W takich przypadkach możliwe jest działanie odgórne.
Funkcja „Autoryzowani nadawcy” umożliwia odbieranie wiadomości
wyłącznie od nadawców, których wcześniej autoryzowałeś
(możesz również określić całą domenę, np. @example.com):
Wszystkie standardowe wiadomości będą trafiać do Twojej skrzynki odbiorczej.
Wszystkie wiadomości spamowe trafią do innej skrzynki pocztowej
lub do folderu „Wiadomości-śmieci” użytkownika w usłudze Microsoft 365 Exchange.
Żadne wiadomości e-mail nie zostaną utracone.
Możesz przeglądać skrzynkę z odrzuconymi wiadomościami raz lub kilka razy dziennie.
Zaoszczędzisz mnóstwo cennego czasu.
Poproś o bezpłatną wersję próbną
Podsekcje filtra nadawcy po stronie serwera
Usługa Microsoft 365 Exchange
Ta konfiguracja umożliwia prawidłowe przenoszenie poczty
od NIEUprawnionych nadawców do folderu ze spamem użytkownika
Wiadomości filtrowane przez aplikację SpamStop będą dostarczane
z następującymi nagłówkami i wartościami antyspamowymi:
Raport X-Forefront-Antispam: SFV:SKB
(wiadomość oznaczona jako spam przez filtr antyspamowy
ze względu na to, że adres e-mail nadawcy lub jego domena
nie znajdują się na liście autoryzowanych nadawców)
Należy aktywować następującą akcję:
Ustaw poziom ufności spamu (SCL) tych wiadomości na 6 (spam)
Domyślna wartość parametru SCLJunkThreshold wynosi 4, co oznacza, że
wartość SCL równa 5 lub wyższa powinna spowodować dostarczenie wiadomości do folderu wiadomości-śmieci w poczcie e-mail użytkownika.
-
W Centrum administracyjnym programu Exchange (EAC) przejdź do Przepływ poczty > Reguły.
-
Na stronie Reguły wybierz z listy rozwijanej opcję Dodaj > Utwórz nową regułę.
-
Na otwartej stronie Nowa reguła skonfiguruj następujące ustawienia:
Nazwa: SpamStop
Zastosuj tę regułę, jeśli: nagłówek wiadomości „X-Forefront-Antispam-Report-Untrusted”
pasuje do: „SFV:SKB”
Wykonaj następujące czynności:
Zmień właściwości wiadomości
Ustaw poziom ufności spamu „SCL” na: „6”
Zapisz i włącz regułę.
Poproś o bezpłatną wersję próbną
ustawienia zabezpieczeń
Dodają dodatkową warstwę zabezpieczeń do Twoich wiadomości e-mail.
Aby chronić skrzynki odbiorcze poczty elektronicznej
przed fałszywymi nadawcami i niebezpiecznymi załącznikami.
Opcje bezpieczeństwa aktywowane na żądanie:
aby otrzymywać wiadomości e-mail tylko od nadawców, którzy przeszli kontrolę uwierzytelniania
aby usunąć wszystkie potencjalnie szkodliwe załączniki z wiadomości e-mail
Podsekcje ustawień zabezpieczeń
tylko uwierzytelnieni nadawcy
Jest to przydatne, gdy chcesz otrzymywać wiadomości tylko od zweryfikowanych nadawców.
Wszystkie wiadomości, które nie przejdą weryfikacji, są usuwane lub odsyłane.
Musisz upewnić się, że adres e-mail nadawcy nie został podrobiony.
Można to zrobić, łącząc uwierzytelnianie SPF i DKIM.
SPF potwierdza adres nadawcy i jego relację z serwerem, który wysłał wiadomość.
DKIM zapewnia, że wiadomości e-mail (w tym załączniki) nie zostaną zmodyfikowane
po ich „podpisaniu” podczas wysyłania.
Teoretycznie jest to takie proste, w praktyce jednak zarówno SPF, jak i DKIM mogą odnosić się
do innej domeny niż adres e-mail nadawcy.
Sprawdzamy, czy uwierzytelnianie SPF i podpis DKIM są powiązane z domeną w adresie nadawcy.
W ten sposób nikt inny poza oryginalnym nadawcą nie może uwierzytelnić wiadomości e-mail. To gwarantuje jej pochodzenie.
Poproś o bezpłatną wersję próbną
usuń niebezpieczne załączniki
Opcja „usuń niebezpieczne załączniki” blokuje wszystkie potencjalnie szkodliwe załączniki
z wyjątkiem bezpiecznych rozszerzeń, takich jak pdf, txt, gif, jpg i png.
Odbiorca otrzymuje wiadomość bez załącznika.
Na początku treści dodawane jest ostrzeżenie, takie jak to:
OSTRZEŻENIE: Ta wiadomość e-mail narusza politykę bezpieczeństwa poczty elektronicznej Państwa firmy i została zmodyfikowana. Aby uzyskać więcej informacji, prosimy o kontakt z administratorem IT. Załącznik o nazwie „example.zip” został usunięty z tego dokumentu, ponieważ stanowił zagrożenie bezpieczeństwa. Jeśli potrzebują Państwo tego dokumentu, prosimy o kontakt z nadawcą i ustalenie alternatywnego sposobu jego odbioru.
W Internecie opublikowano ciekawe studium przypadku, które kończy się zdaniem:
„Filtrowanie załączników okazało się dla nas bardzo skuteczne”
– web.mit.edu/net-security/Camp/2004/presentations/reillyb-mit2004.ppt (prezentacja PowerPoint)
Poproś o bezpłatną wersję próbną