Filtrování e-mailů přes VPN: kde se pravidla obsahu skutečně provádějí

Tento požadavek zní jako síťový problém: zastavte určitý druh přílohy, aby neopustil budovu, a VPN už tam je, tak ji použijte. Tento rámec se láme u první otázky, na kterou musí filtr odpovědět. Pravidla obsahu potřebují vidět zprávu a zpráva se stává viditelnou v jiné vrstvě než tunel. Procházím cestu pošty ven od paketu a zastavuji se na prvním místě, kde požadovaná data skutečně existují.

Tři vrstvy jsou nezávislé: přenos VPN, spojení SMTP TLS a vlastní šifrování zprávy. Každá končí jinde.

Začněte u vrstvy, která vidí zprávu

Dekapsulace VPN vám dá vnitřní síťový provoz. Pokud poštovní klient otevřel spojení TLS k odesílacímu serveru, vnitřní provoz stále obsahuje tento tok TLS, nikoli čitelnou poštu.

Zachycení paketů na okraji tunelu tedy odpovídá na jinou otázku než „obsahuje tato zpráva zakázanou přílohu“.

Ukončení SMTP TLS končí u obálky

Ukončení SMTP TLS na poštovním serveru odhalí zprávu tak, jak byla tomuto koncovému bodu odeslána. Server vidí hlavičky, obálku a strukturu MIME. To stačí pro mnohá pravidla obsahu. Obálka vám řekne odesílatele a příjemce tak, jak jim server rozuměl.

To nestačí pro zprávu chráněnou S/MIME. Server obdrží chráněnou entitu a bez příslušných klíčů nemůže přečíst obsah uvnitř. Stejné omezení platí pro šifrovanou přílohu, která dorazí neporušená.

Neslabte zabezpečení přenosu, aby bylo pasivní zachycení čitelné. To mění architekturu, místo aby umístilo pravidlo tam, kde jsou data.

S/MIME končí tam, kde jsou klíče

S/MIME chrání data zprávy MIME, takže jeho hranicí je klíčový materiál a povolené uspořádání dešifrování. Filtr bez těchto klíčů může stále působit na viditelná metadata nebo na přítomnost chráněného objektu, ale to je jiný výsledek.

Pokud organizace provozuje povolenou šifrovací bránu nebo spravovanou kontrolu koncových bodů, zdokumentujte, kde existuje otevřený text, která identita jej smí zkontrolovat a jak jsou klíče a záznamy chráněny. Neexistuje hlavní klíč vytvořený směrováním provozu přes VPN.

Zapište to dřív, než někdo slíbí klasifikaci otevřeného textu. Slib je ta část, která se těžko bere zpět.

Umístěte pravidlo do poštovní platformy

Pokud schválený poštovní server přijímá čitelnou zprávu, jeho podporovaná integrace filtru obsahu je místem prosazení. To se liší od povolení spojení SMTP přes firewall. Tento rozdíl rozhoduje, zda pravidlo může odmítnout, dát do karantény, nebo jen označit.

Postfix například dokumentuje filtrování obsahu po frontě: pošta se zařadí do fronty, předá se filtru a vrátí se na cestu doručení. Jeho uspořádání po frontě se liší od možností proxy před frontou a Milter, na které stejný průvodce odkazuje. Vyberte podporovanou integraci a chování při selhání pro poštovní službu, kterou skutečně provozujete.

Jedno pravidlo pro přílohy není úplný program proti úniku dat. Nahrávání z prohlížeče, sdílené úložiště a akce na koncových bodech potřebují vlastní kontroly.

Napište akceptační test se syntetickými zprávami

Testujte se schválenými syntetickými příklady: povolená zpráva, zakázaná akce s obsahem a deklarované zacházení se šifrováním na úrovni zprávy. Zahrňte, co poštovní služba dělá, když její filtr není dostupný.

Užitečný výsledek pojmenuje akci, místo prosazení a data tam viditelná. „VPN to dešifrovala“ odpovídá na jednu vrstvu a nemůže nahradit model obsahu a autorizace poštovní aplikace.