Contenu

Introduction

Protection contre les usurpations à l'aide de la vérification de l'expéditeur

Configuration de HAT

Configurer la table des exceptions

Vérification

Informations connexes

Introduction

Par défaut, l'appliance de sécurité de la messagerie Cisco (ESA) n'empêche pas la remise en entrée des messages adressés “ du même domaine ” le même domaine. Cela permet aux messages d'être “ usurpés ” par des sociétés extérieures qui font des affaires légitimes avec le client. Certaines entreprises font appel à des tiers pour envoyer des courriels au nom de l'entreprise, comme Health Care, Travel Agencies, etc.

Protection contre les usurpations à l'aide de la vérification de l'expéditeur

Configurer la politique de flux de courrier (MFP)

1. À partir de la GUI : Politiques de messagerie > Politiques de flux de messagerie > Ajouter une stratégie...

2. Créer une MFP à l'aide d'un nom pertinent tel que SPOOF_ALLOW

3. Dans la section Vérification de l'expéditeur, modifiez la configuration Utiliser la table des exceptions de vérification de l'expéditeur de Utiliser par défaut à Éteindre.

4. Dans Politiques de messagerie > Politiques de flux de messagerie > Paramètres de stratégie par défaut, définissez la configuration Utiliser la table des exceptions de vérification de l'expéditeur sur Activé.

Configuration de HAT

1. À partir de l'interface utilisateur graphique : Politiques de messagerie > Vue d'ensemble du TAH > Ajouter un groupe d'expéditeurs...

2. Définissez le nom en fonction de la MFP créée précédemment, à savoir SPOOF_ALLOW.

3. Définissez la commande de sorte qu'elle soit au-dessus des groupes d'expéditeurs ALLOWLIST et BLOCKLIST.

4. Affectez la stratégie SPOOF_ALLOW à ces paramètres de groupe d'expéditeurs.

5. Cliquez sur Envoyer et ajouter des expéditeurs..

6. Ajoutez des adresses IP ou des domaines pour toutes les parties externes que vous voulez autoriser à usurper le domaine interne.

Configurer la table des exceptions

1. À partir de la GUI : Politiques de messagerie > Table des exceptions > Ajouter une exception de vérification de l'expéditeur...

2. Ajouter le domaine local à la table des exceptions de vérification de l'expéditeur

3. Définir le Comportement par  Rejeter

Vérification

À ce stade, le courrier provenant de your.domain vers your.domain sera rejeté, sauf si l'expéditeur figure dans la liste SPOOF_ALLOW du groupe d'expéditeurs, car il sera associé à un MFP qui n'utilise pas la table d'exceptions de vérification de l'expéditeur.

Un exemple de ceci peut être vu en effectuant une session Telnet manuelle à l’écouteur :

$ telnet example.com 25

Trying 192.168.0.189...

Connected to example.com.

Escape character is '^]'.

220 example.com ESMTP

helo example.com

250 example.com

mail from: <test@example.com>

553 Envelope sender <test@example.com> rejected

La réponse SMTP 553 est un résultat de réponse directe de la table des exceptions telle que configurée sur le ESA à partir des étapes ci-dessus.

Dans les journaux de messagerie, vous pouvez voir que l'adresse IP 192.168.0.9 ne figure pas dans l'adresse IP valide du groupe d'expéditeurs correct :

Wed Aug 5 21:16:51 2015 Info: New SMTP ICID 2692 interface Management (192.168.0.189) address 192.168.0.9 reverse dns host my.host.com verified no

Wed Aug 5 21:16:51 2015 Info: ICID 2692 RELAY SG RELAY_SG match 192.168.0.0/24 SBRS not enabled

Wed Aug 5 21:17:02 2015 Info: ICID 2692 Address: <test@example.com> sender rejected, envelope sender matched domain exception

Une adresse IP autorisée correspondant à l’exemple de configuration des étapes ci-dessus est présentée comme suit :

Wed Aug 5 21:38:19 2015 Info: New SMTP ICID 2694 interface Management (192.168.0.189) address 192.168.0.15 reverse dns host unknown verified no

Wed Aug 5 21:38:19 2015 Info: ICID 2694 ACCEPT SG SPOOF_ALLOW match 192.168.0.15 SBRS not enabled

Wed Aug 5 21:38:29 2015 Info: Start MID 3877 ICID 2694

Wed Aug 5 21:38:29 2015 Info: MID 3877 ICID 2694 From: <test@example.com>

Wed Aug 5 21:38:36 2015 Info: MID 3877 ICID 2694 RID 0 To: <robert@example.com>

Wed Aug 5 21:38:50 2015 Info: MID 3877 Subject 'This is an allowed IP and email'

Wed Aug 5 21:38:50 2015 Info: MID 3877 ready 170 bytes from <test@example.com>

Wed Aug 5 21:38:50 2015 Info: MID 3877 matched all recipients for per-recipient policy DEFAULT in the inbound table

Wed Aug 5 21:38:51 2015 Info: MID 3877 interim verdict using engine: CASE spam negative

Wed Aug 5 21:38:51 2015 Info: MID 3877 using engine: CASE spam negative

Wed Aug 5 21:38:51 2015 Info: MID 3877 interim AV verdict using Sophos CLEAN

Wed Aug 5 21:38:51 2015 Info: MID 3877 antivirus negative

Wed Aug 5 21:38:51 2015 Info: MID 3877 AMP file reputation verdict : CLEAN

Wed Aug 5 21:38:51 2015 Info: MID 3877 Outbreak Filters: verdict negative

Wed Aug 5 21:38:51 2015 Info: MID 3877 queued for delivery

Wed Aug 5 21:38:51 2015 Info: New SMTP DCID 354 interface 192.168.0.189 address 192.168.0.15 port 25

Wed Aug 5 21:38:51 2015 Info: Delivery start DCID 354 MID 3877 to RID [0]

Wed Aug 5 21:38:51 2015 Info: Message done DCID 354 MID 3877 to RID [0] [('X-IPAS-Result', 'A0GJMwA8usJV/w8AqMBbGQSEFRqFGKUygmUBkV2GMAKBcQEBAgEBAQOBB4QbKIEIhxuCQbxmoDcRAYNPAYE0AQSqSZB5gXABAQgCAYQjgT8DAgE'), ('X-IronPort-AV', 'E=Sophos;i="5.15,620,1432612800"; \r\n d="scan\'";a="3877"')]

Wed Aug 5 21:38:51 2015 Info: MID 3877 RID [0] Response '2.0.0 Ok: queued as 1D74E1002A8'

Wed Aug 5 21:38:51 2015 Info: Message finished MID 3877 done

Wed Aug 5 21:38:56 2015 Info: DCID 354 close

Informations connexes

- ESA, SMA et WSA Grep avec Regex to Search Logs

- Détermination de la répartition des messages ESA

- Support et documentation techniques - Cisco Systems