Фільтраванне электроннай пошты праз VPN: дзе насамрэч дзейнічаюць правілы змесціва

Гэты запыт гучыць як сеткавая праблема: спыніце пэўны від укладання пакідаць будынак, а VPN ужо ёсьць, таму выкарыстайце яго. Такая пастаноўка рассыпаецца на першым пытанні, на якое фільтр павінен адказаць. Правілам змесціва трэба бачыць паведамленне, а паведамленне становіцца бачным на іншым узроўні, чым тунель. Я іду па шляху пошты вонкі ад пакета і спыняюся ў першым месцы, дзе патрэбныя даныя сапраўды існуюць.

Тры ўзроўні незалежныя: транспарт VPN, злучэнне SMTP TLS і ўласнае шыфраванне паведамлення. Кожны сканчаецца ў розным месцы.

Пачніце з узроўня, які бачыць паведамленне

Дэкапсуляцыя VPN дае вам унутраны сеткавы трафік. Калі паштовы кліент адкрыў злучэнне TLS да сервера адпраўкі, унутраны трафік усё адно змяшчае гэты паток TLS, а не чытальную пошту.

Такім чынам, перахоп пакетаў на краі тунеля адказвае на іншае пытанне, чым “ці змяшчае гэтае паведамленне забароненае ўкладанне”.

Завяршэнне SMTP TLS спыняецца на канверце

Завяршэнне SMTP TLS на паштовым серверы адкрывае паведамленне так, як яно было адпраўлена на гэты пункт. Сервер бачыць загалоўкі, канверт і структуру MIME. Гэтага дастаткова для многіх правілаў змесціва. Канверт паведамляе вам адпраўніка і атрымальнікаў так, як іх зразумеў сервер.

Гэтага недастаткова для паведамлення, абароненага S/MIME. Сервер атрымлівае абаронены аб'ект, і без адпаведных ключоў ён не можа прачытаць змесціва ўнутры. То ж абмежаванне датычыцца зашыфраванага ўкладання, якое прыходзіць цэлым.

Не паслабляйце бяспеку транспарту, каб зрабіць пасіўны перахоп чытальным. Гэта змяняе архітэктуру замест таго, каб змясціць правіла там, дзе ёсць даныя.

S/MIME сканчаецца там, дзе ключы

S/MIME абараняе даныя паведамлення MIME, таму яго мяжа — гэта ключавы матэрыял і дазволены парадак расшыфроўкі. Фільтр без гэтых ключоў усё яшчэ можа дзейнічаць на бачныя метаданыя або на наяўнасць абароненага аб'екта, але гэта іншы вынік.

Калі арганізацыя запускае дазволены шлюз шыфравання або кіраваны кантроль канчатковых пунктаў, задакументуйце, дзе існуе адкрыты тэкст, якая асоба можа яго агледзець і як абараняюцца ключы і запісы. Няма галоўнага ключа, які ствараецца ад правядзення трафіку праз VPN.

Запішыце гэта, перш чым хтосьці паабяцае класіфікацыю адкрытага тэксту. Абяцанне — гэта тое, што цяжка адабраць назад.

Змясціце правіла ў паштовую платформу

Калі зацверджаны паштовы сервер атрымлівае чытальнае паведамленне, яго падтрымліваемая інтэграцыя фільтра змесціва ёсьць пунктам прымянення. Гэта адрозніваецца ад дазволу злучэння SMTP праз міжсеткавы экран. Гэтае адрозненне вырашае, ці можа правіла адхіляць, змяшчаць у карантын або толькі пазначаць.

Напрыклад, Postfix дакументуе фільтраванне змесціва пасля чаргі: пошта ставіцца ў чаргу, перадаецца фільтру і вяртаецца на шлях дастаўкі. Яго схема пасля чаргі адрозніваецца ад варыянтаў проксі да чаргі і Milter, на якія спасылаецца той жа дапаможнік. Выберыце падтрымліваемую інтэграцыю і паводзіны пры збоі для паштовай службы, якую вы сапраўды запускаеце.

Адно правіла для ўкладанняў не з'яўляецца поўнай праграмай абароны ад уцечкі даных. Загрузкі з браўзера, агульнае сховішча і дзеянні на канчатковых пунктах патрабуюць уласных сродкаў кантролю.

Напішыце прыёмачны тэст з сінтэтычнымі паведамленнямі

Тэстуйце на зацверджаных сінтэтычных прыкладах: дазволенае паведамленне, забароненае дзеянне зь змесцівам і абвешчаная апрацоўка шыфравання ўзроўню паведамлення. Уключыце тое, што робіць паштовая служба, калі яе фільтр недаступны.

Карысны вынік называе дзеянне, пункт прымянення і бачныя там даныя. “VPN яго расшыфраваў” адказвае на адзін узровень і не можа замяніць мадэль змесціва і аўтарызацыі паштовага дадатка.