소개
이 문서에서는 내부 사용자 계정이 손상되어 전역으로 신뢰할 수 없는 이메일을 보낸 경우 ESA(Email Security Appliance)의 대기열 문제를 해결하고 수정하는 방법에 대해 설명합니다.
사전 요구 사항
요구 사항
이 문서에 대한 특정 요건이 없습니다.
사용되는 구성 요소
이 문서의 정보는 ESA의 AsyncOS 7.6 이상을 기반으로 합니다.
이 문서의 정보는 특정 랩 환경의 디바이스를 토대로 작성되었습니다. 이 문서에 사용된 모든 디바이스는 초기화된(기본) 컨피그레이션으로 시작되었습니다. 현재 네트워크가 작동 중인 경우, 모든 명령어의 잠재적인 영향을 미리 숙지하시기 바랍니다.
문제 해결
스팸이 알려진 경우 스팸을 전송하는 어카운트를 잠그고, 그렇지 않은 경우 ESA의 조사를 통해 발견된 어카운트를 잠그는 것이 좋습니다.
Workqueue 확인
Workqueue 카운터에 많은 수의 이메일이 있고 시스템에 들어오는 이메일 비율이 시스템을 나가는 비율을 훨씬 초과하는 경우, 이는 작업 대기열에 영향이 있음을 나타냅니다. workqueue 명령을 사용하여 검사를 수행할 수 있습니다.
C370.lab> workqueue status
Status as of: Thu Feb 06 12:48:02 2014 GMT
Status: Operational
Messages: 48654
C370.lab> workqueue rate 5
Type Ctrl-C to return to the main prompt.
Time Pending In Out
12:48:04 48654 48 2
12:48:09 48700 31 0
Workqueue에 있는 전자 메일의 보낸 사람 또는 제목을 알 수 있음
작업 대기열에 영향을 주는 이메일을 제거하려면 메시지 필터를 사용하는 것이 좋습니다. 메시지 필터를 사용하면 ESA에서 보다 효율적인 간격으로 이메일 제거를 지원하기 위해 작업 대기열의 시작 부분에서 이 이메일을 처리할 수 있습니다.
이 필터를 사용하여 다음을 수행할 수 있습니다.
C370.lab> filters
Choose the operation you want to perform:
- NEW - Create a new filter.
- DELETE - Remove a filter.
- IMPORT - Import a filter script from a file.
- EXPORT - Export filters to a file
- MOVE - Move a filter to a different position.
- SET - Set a filter attribute.
- LIST - List the filters.
- DETAIL - Get detailed information on the filters.
- LOGCONFIG - Configure log subscriptions used by filters.
- ROLLOVERNOW - Roll over a filter log file.
[]> new
Enter filter script. Enter '.' on its own line to end.
FilterName:
if (mail-from == 'abc@abc1.com')
{
drop();
}
.
OR
FilterName:
if (subject == "^SUBJECT NAME$")
{
drop();
}
.
배달 큐 검사
tophosts 명령은 현재 영향을 받는 호스트를 표시합니다. 라이브 환경에서는 수신자 호스트(현재 활성 전달 대기열)에 많은 수의 활성 수신자가 영향을 받는 것을 볼 수 있습니다. 이 출력에서 예는 impactedhost.queue입니다.
C370.lab> tophosts
Sort results by:
1. Active Recipients
2. Connections Out
3. Delivered Recipients
4. Hard Bounced Recipients
5. Soft Bounced Events
[1]> 1
Status as of: Thu Feb 06 12:52:17 2014 GMT
Hosts marked with '*' were down as of the last delivery attempt.
Active Conn. Deliv. Soft Hard
# Recipient Host Recip. Out Recip. Bounced Bounced
1 impactedhost.queue 321550 50 440 75568 8984
2 the.euq.queue 0 0 0 0 0
3 the.euq.release.queue 0 0 0 0 0
영향을 받는 호스트가 모든 이메일을 제거하기 전에 추가 정보가 필요한 생소한 수신자 도메인인 경우 show receipients, showmessage, deleterecipients 명령을 사용할 수 있습니다. showreceipients 명령은 메시지 ID(MID), 메시지 크기, 배달 시도, 봉투 발신자, 봉투 수신자 및 이메일 제목을 표시합니다.
C370.lab> showrecipients
Please select how you would like to show messages:
1. By recipient host.
2. By Envelope From address.
3. All.
[1]> 1
Please enter the hostname for the messages you wish to show.
> impactedhost.queue
전달 대기열의 의심되는 MID가 합법적인 것으로 보이는 경우 작업을 수행하기 전에 showmessage 명령을 사용하여 메시지 소스를 표시할 수 있습니다.
C370.lab> showmessage
Enter the MID to show.
[]>
스팸으로 확인된 경우 이러한 이메일을 제거하려면 deleterecipient 명령을 계속 사용합니다. 이 명령은 전달 대기열에서 이메일을 삭제하는 세 가지 옵션(Envelope Sender, Recipient Host 또는 전달 대기열의 모든 이메일)을 제공합니다.
C370.lab> deleterecipients
Please select how you would like to delete messages:
1. By recipient host.
2. By Envelope From address.
3. All.
[1]> 2
Please enter the Envelope From address for the messages you wish to delete.
[]>
사전 대응적 모니터링 및 조치
ESA의 9.0+ AsyncOS 버전에서는 Header Repeats Rule이라는 새로운 메시지 필터 조건을 사용할 수 있습니다.
헤더 반복 규칙
Header Repeats(헤더 반복) 규칙은 지정된 시점에 지정된 수의 메시지가 있는 경우 true로 평가됩니다.
- 지난 1시간 동안 동일한 주제가 탐지되었습니다.
- 지난 1시간 동안 동일한 봉투 발신자에서 탐지됩니다.
- header-repeats(<target>, <threshold> [, <direction>])
이 조건에 대한 자세한 내용은 장치의 온라인 도움말 설명서에서 확인할 수 있습니다.
CLI에 로그인하고 필터를 구축하여 이 확인 및 필요한 작업을 실행합니다. 임계값을 충족한 후 이메일을 삭제하거나 관리자에게 알리기 위한 필터의 예.
C370.lab> filters
Choose the operation you want to perform:
- NEW - Create a new filter.
- DELETE - Remove a filter.
- IMPORT - Import a filter script from a file.
- EXPORT - Export filters to a file
- MOVE - Move a filter to a different position.
- SET - Set a filter attribute.
- LIST - List the filters.
- DETAIL - Get detailed information on the filters.
- LOGCONFIG - Configure log subscriptions used by filters.
- ROLLOVERNOW - Roll over a filter log file.
[]> new
Enter filter script. Enter '.' on its own line to end.
FilterName:
if header-repeats('mail-from',1000,'outgoing')
{
drop();
}
.
OR
FilterName:
if header-repeats('subject',1000,'outgoing')
{
notify('admin@xyz.com');
}
.
관련 정보
피드백