Filtriranje e-pošte preko VPN-a: gdje se pravila o sadržaju zaista izvršavaju

Ovaj zahtjev zvuči kao mrežni problem: zaustavite određenu vrstu priloga da ne napusti zgradu, a VPN već postoji, pa ga iskoristite. Taj okvir se lomi na prvom pitanju na koje filter mora odgovoriti. Pravila o sadržaju moraju vidjeti poruku, a poruka postaje vidljiva na drugom sloju od tunela. Pratim put pošte prema van od paketa i zaustavljam se na prvom mjestu gdje traženi podaci zaista postoje.

Tri sloja su nezavisna: VPN transport, SMTP TLS veza i vlastito šifriranje poruke. Svaki završava na drugom mjestu.

Počnite od sloja koji može vidjeti poruku

Dekapsulacija VPN-a daje vam unutrašnji mrežni saobraćaj. Ako je klijent pošte otvorio TLS vezu prema serveru za predaju, unutrašnji saobraćaj još uvijek sadrži taj TLS tok, a ne čitljivu poštu.

Zato snimak paketa uzet na rubu tunela odgovara na drugo pitanje od „sadrži li ova poruka zabranjeni prilog“.

Završetak SMTP TLS-a završava na koverti

Završavanje SMTP TLS-a na poštanskom serveru otkriva poruku onako kako je predata tom odredištu. Server vidi zaglavlja, kovertu i MIME strukturu. To je dovoljno za mnoga pravila o sadržaju. Koverta vam kaže pošiljaoca i primaoce onako kako ih je server shvatio.

To nije dovoljno za poruku zaštićenu S/MIME-om. Server prima zaštićeni entitet i bez odgovarajućih ključeva ne može pročitati sadržaj unutar njega. Isto ograničenje vrijedi za šifrirani prilog koji stigne neoštećen.

Ne slabi transportnu sigurnost da bi pasivni snimak postao čitljiv. To mijenja arhitekturu umjesto da postavi pravilo tamo gdje su podaci.

S/MIME završava tamo gdje su ključevi

S/MIME štiti MIME podatke poruke, pa je njegova granica ključni materijal i odobreni aranžman dešifriranja. Filter bez tih ključeva još može djelovati na vidljive metapodatke ili na prisustvo zaštićenog objekta, ali to je drugačiji rezultat.

Ako organizacija pokreće odobreni šifrarni prolaz ili upravljani nadzor krajnjih tačaka, dokumentirajte gdje postoji otvoreni tekst, koji identitet ga smije pregledati i kako su ključevi i zapisi zaštićeni. Ne postoji glavni ključ stvoren usmjeravanjem saobraćaja kroz VPN.

Zapišite to prije nego što bilo ko obeća klasifikaciju otvorenog teksta. Obećanje je dio koji je teško povući.

Stavite pravilo u poštansku platformu

Ako odobreni poštanski server prima čitljivu poruku, njegova podržana integracija filtra sadržaja je tačka provođenja. To se razlikuje od dopuštanja SMTP veze kroz vatrozid. Ta razlika odlučuje može li pravilo odbiti, staviti u karantenu ili samo označiti.

Postfix, na primjer, dokumentira filtriranje sadržaja nakon reda čekanja: pošta se stavlja u red, prosljeđuje filteru i vraća na put dostave. Njegov aranžman nakon reda razlikuje se od opcija proxyja prije reda i Miltera na koje se isti vodič poziva. Odaberite podržanu integraciju i ponašanje pri otkazu za poštansku uslugu koju zaista vodite.

Jedno pravilo za priloge nije potpun program protiv gubitka podataka. Prijenosi iz preglednika, dijeljeno spremište i radnje na krajnjim tačkama trebaju vlastite kontrole.

Napišite prihvatni test sa sintetičkim porukama

Testirajte s odobrenim sintetičkim primjerima: dopuštena poruka, zabranjena radnja sa sadržajem i najavljeno postupanje sa šifriranjem na razini poruke. Uključite šta poštanska usluga radi kada njen filter nije dostupan.

Koristan rezultat imenuje radnju, tačku provođenja i podatke vidljive tamo. „VPN je to dešifrirao“ odgovara na jedan sloj i ne može zamijeniti model sadržaja i autorizacije poštanske aplikacije.