E-posti filtreerimine VPN-i kaudu: kus sisureeglid tegelikult töötavad

See taotlus kõlab nagu võrguprobleem: takistage teatud tüüpi manuse lahkumist hoonest ja VPN on juba olemas, kasutage seda. See raamistik laguneb esimese küsimuse juures, millele filter peab vastama. Sisureeglid peavad sõnumit nägema ja sõnum muutub nähtavaks tunnelist erineval kihil. Käin postiteed paketist väljapoole ja peatun esimeses kohas, kus vajalikud andmed tõesti olemas on.

Kolm kihti on sõltumatud: VPN-i transport, SMTP TLS-i ühendus ja sõnumi enda krüpteerimine. Igaüks lõpeb eri kohas.

Alustage kihist, mis suudab sõnumit näha

VPN-i dekapsuleerimine annab teile sisemise võrguliikluse. Kui postiklient avas TLS-ühenduse saatmisserveriga, sisaldab sisemine liiklus endiselt seda TLS-voogu, mitte loetavat posti.

Seega vastab tunneliserval tehtud paketipüüdmine teisele küsimusele kui „kas see sõnum sisaldab keelatud manust“.

SMTP TLS-i lõpetamine lõpeb ümbriku juures

SMTP TLS-i lõpetamine postiserveris paljastab sõnumi nii, nagu see sellesse lõpp-punkti saadeti. Server näeb päiseid, ümbrikku ja MIME-struktuuri. Sellest piisab paljudele sisureeglitele. Ümbrik ütleb saatja ja adressaadid nii, nagu server neist aru sai.

Sellest ei piisa S/MIME-ga kaitstud sõnumi jaoks. Server saab kaitstud üksuse ja ilma asjakohaste võtmeteta ei saa ta sisu lugeda. Sama piirang kehtib krüpteeritud manuse kohta, mis saabub tervelt.

Ärge nõrgendage transpordi turvalisust, et muuta passiivne püüdmine loetavaks. See muudab arhitektuuri, selle asemel et paigutada reegel sinna, kus andmed on.

S/MIME lõpeb seal, kus on võtmed

S/MIME kaitseb MIME-sõnumi andmeid, seega on selle piiriks võtmematerjal ja volitatud dekrüpteerimiskord. Filter, millel neid võtmeid pole, saab siiski tegutseda nähtavate metaandmete või kaitstud objekti olemasolu põhjal, kuid see on teine tulemus.

Kui organisatsioon haldab volitatud krüpteerimislüüsi või hallatavat lõpp-punkti kontrolli, dokumenteerige, kus on lihttekst, milline identiteet tohib seda kontrollida ja kuidas võtmeid ning kirjeid kaitstakse. Ühtki peavõtit ei teki sellest, et liiklus suunatakse VPN-i kaudu.

Kirjutage see üles enne, kui keegi lubab lihtteksti klassifitseerimist. Lubadus on see osa, mida on raske tagasi võtta.

Asetage reegel postiplatvormi

Kui heakskiidetud postiserver saab loetava sõnumi, on selle toetatud sisufiltri integratsioon jõustamispunkt. See erineb SMTP-ühenduse lubamisest läbi tulemüüri. See erinevus otsustab, kas reegel saab tagasi lükata, karantiini panna või ainult märkida.

Postfix dokumenteerib näiteks sisu filtreerimise pärast järjekorda: post pannakse järjekorda, antakse filtrile ja tagastatakse kohaletoimetamise teele. Selle järjestus pärast järjekorda erineb enne järjekorda paikneva puhverserveri ja Milteri valikutest, millele sama juhend viitab. Valige toetatud integratsioon ja rikkekäitumine postiteenusele, mida te tegelikult käitate.

Üks manuse reegel ei ole täielik andmekao programm. Brauseri üleslaadimised, jagatud salvestusruum ja lõpp-punkti toimingud vajavad oma kontrolle.

Kirjutage vastuvõtutest sünteetiliste sõnumitega

Testige heakskiidetud sünteetiliste näidetega: lubatud sõnum, keelatud sisutoiming ja deklareeritud sõnumitasandi krüpteerimise käsitlemine. Lisage, mida postiteenus teeb, kui selle filter pole saadaval.

Kasulik tulemus nimetab toimingu, jõustamispunkti ja seal nähtavad andmed. „VPN dekrüpteeris selle“ vastab ühele kihile ega asenda postirakenduse sisu- ja volitusmudelit.