E-Mail-Filterung über ein VPN: wo Inhaltsregeln tatsächlich laufen

Diese Anfrage klingt nach einem Netzwerkproblem: Verhindern Sie, dass eine bestimmte Art von Anhang das Gebäude verlässt, und das VPN ist ja schon da, also nutzen Sie es. Dieser Rahmen bricht bei der ersten Frage, die der Filter beantworten muss. Inhaltsregeln müssen die Nachricht sehen, und die Nachricht wird auf einer anderen Ebene sichtbar als der Tunnel. Ich gehe den Mailpfad vom Paket nach außen und halte an der ersten Stelle an, an der die erforderlichen Daten tatsächlich vorliegen.

Drei Ebenen sind unabhängig: der VPN-Transport, die SMTP-TLS-Verbindung und die eigene Verschlüsselung der Nachricht. Jede endet woanders.

Beginnen Sie bei der Ebene, die die Nachricht sieht

Die VPN-Entkapselung liefert den inneren Netzwerkverkehr. Hat der Mailclient eine TLS-Verbindung zu einem Einlieferungsserver geöffnet, enthält der innere Verkehr weiterhin diesen TLS-Strom, keine lesbare Mail.

Ein Paketmitschnitt am Tunnelrand beantwortet also eine andere Frage als „enthält diese Nachricht einen unzulässigen Anhang“.

SMTP-TLS-Terminierung endet am Umschlag

Terminiert man SMTP TLS am Mailserver, liegt die Nachricht so offen, wie sie an diesen Endpunkt eingeliefert wurde. Der Server sieht Header, den Umschlag und die MIME-Struktur. Das reicht für viele Inhaltsregeln. Der Umschlag nennt Absender und Empfänger so, wie der Server sie verstanden hat.

Für eine S/MIME-geschützte Nachricht reicht das nicht. Der Server erhält eine geschützte Entität und kann ohne die zugehörigen Schlüssel den Inhalt darin nicht lesen. Dieselbe Grenze gilt für einen verschlüsselten Anhang, der unversehrt ankommt.

Schwächen Sie die Transportsicherheit nicht, um einen passiven Mitschnitt lesbar zu machen. Das ändert die Architektur, statt die Regel dort zu platzieren, wo die Daten sind.

S/MIME endet dort, wo die Schlüssel sind

S/MIME schützt MIME-Nachrichtendaten, seine Grenze sind also das Schlüsselmaterial und die autorisierte Entschlüsselungsvereinbarung. Ein Filter ohne diese Schlüssel kann noch auf sichtbare Metadaten oder auf das Vorhandensein eines geschützten Objekts reagieren, aber das ist ein anderes Ergebnis.

Betreibt die Organisation ein autorisiertes Verschlüsselungsgateway oder eine verwaltete Endpunktkontrolle, dokumentieren Sie, wo Klartext vorliegt, welche Identität ihn einsehen darf und wie Schlüssel und Aufzeichnungen geschützt werden. Es gibt keinen Hauptschlüssel, der dadurch entsteht, dass Verkehr durch ein VPN läuft.

Schreiben Sie das auf, bevor jemand eine Klartextklassifizierung verspricht. Das Versprechen ist der Teil, der schwer zurückzunehmen ist.

Setzen Sie die Regel in die Mailplattform

Empfängt der freigegebene Mailserver die lesbare Nachricht, ist seine unterstützte Inhaltsfilter-Integration der Durchsetzungspunkt. Das ist etwas anderes, als eine SMTP-Verbindung durch eine Firewall zu erlauben. Diese Unterscheidung entscheidet, ob die Regel ablehnen, unter Quarantäne stellen oder nur annotieren kann.

Postfix dokumentiert zum Beispiel Inhaltsfilterung nach der Warteschlange: Mail wird eingereiht, an einen Filter übergeben und in den Zustellpfad zurückgegeben. Seine Anordnung nach der Warteschlange unterscheidet sich von den Proxy-Optionen vor der Warteschlange und Milter, auf die derselbe Leitfaden verweist. Wählen Sie die unterstützte Integration und das Fehlerverhalten für den Maildienst, den Sie tatsächlich betreiben.

Eine Anhangsregel ist kein vollständiges Programm gegen Datenverlust. Browser-Uploads, gemeinsam genutzter Speicher und Endpunktaktionen brauchen eigene Kontrollen.

Schreiben Sie den Abnahmetest mit synthetischen Nachrichten

Testen Sie mit freigegebenen synthetischen Beispielen: eine erlaubte Nachricht, eine untersagte Inhaltsaktion und der erklärte Umgang mit Verschlüsselung auf Nachrichtenebene. Nehmen Sie auf, was der Maildienst tut, wenn sein Filter nicht verfügbar ist.

Das nützliche Ergebnis benennt die Aktion, den Durchsetzungspunkt und die dort sichtbaren Daten. „Das VPN hat es entschlüsselt“ beantwortet eine Ebene und ersetzt nicht das Inhalts- und Autorisierungsmodell der Mailanwendung.