فیلتر ایمیل روی VPN: قواعد محتوا واقعاً کجا اجرا می‌شوند
ضبط VPN پیام را نشان نمی‌دهد. مسیر ایمیل را از رفع کپسوله‌سازی تا SMTP TLS و S/MIME طی کنید و قاعده محتوا را جایی بگذارید که داده وجود دارد.
این درخواست شبیه یک مشکل شبکه به نظر می‌رسد: جلوی خروج نوع خاصی از پیوست از ساختمان را بگیرید، و VPN هم که هست، پس از آن استفاده کنید. این چارچوب در نخستین پرسشی که فیلتر باید پاسخ دهد می‌شکند. قواعد محتوا باید پیام را ببینند، و پیام در لایه‌ای متفاوت از تونل نمایان می‌شود. من مسیر ایمیل را از بسته به سمت بیرون دنبال می‌کنم و در نخستین جایی می‌ایستم که داده‌های لازم واقعاً وجود دارند.
سه لایه مستقل‌اند: انتقال VPN، اتصال SMTP TLS و رمزنگاری خود پیام. هر یک جایی متفاوت پایان می‌یابد.
از لایه‌ای شروع کنید که پیام را می‌بیند
رفع کپسوله‌سازی VPN ترافیک شبکه درونی را به شما می‌دهد. اگر کارخواه ایمیل اتصال TLS به یک کارساز ارسال باز کرده باشد، ترافیک درونی هنوز همان جریان TLS را دارد، نه ایمیل خواندنی.
بنابراین ضبط بسته در لبه تونل به پرسشی متفاوت از «آیا این پیام پیوست ممنوع دارد» پاسخ می‌دهد.
پایان‌دهی SMTP TLS در پاکت پایان می‌یابد
پایان‌دهی SMTP TLS در کارساز ایمیل پیام را همان‌گونه که به آن نقطه تحویل شده آشکار می‌کند. کارساز سرآیندها، پاکت و ساختار MIME را می‌بیند. این برای بسیاری از قواعد محتوا کافی است. پاکت فرستنده و گیرندگان را همان‌گونه که کارساز فهمیده به شما می‌گوید.
این برای پیام محافظت‌شده با S/MIME کافی نیست. کارساز یک موجودیت محافظت‌شده دریافت می‌کند و بدون کلیدهای مربوط نمی‌تواند محتوای درون آن را بخواند. همین محدودیت برای پیوست رمز‌شده‌ای که سالم می‌رسد هم صدق می‌کند.
امنیت انتقال را برای خواندنی کردن یک ضبط غیرفعال تضعیف نکنید. این معماری را تغییر می‌دهد به‌جای آن‌که قاعده را جایی بگذارد که داده هست.
S/MIME جایی پایان می‌یابد که کلیدها هستند
S/MIME داده‌های پیام MIME را محافظت می‌کند، پس مرز آن مواد کلید و ترتیب مجاز رمزگشایی است. فیلتری که آن کلیدها را ندارد باز هم می‌تواند بر فراداده‌های دیدنی یا بر وجود یک شیء محافظت‌شده عمل کند، اما این نتیجه‌ای متفاوت است.
اگر سازمان یک دروازه رمزنگاری مجاز یا کنترل مدیریت‌شده نقطه پایانی اداره می‌کند، مستند کنید که متن آشکار کجا وجود دارد، کدام هویت می‌تواند آن را بازرسی کند و کلیدها و سوابق چگونه محافظت می‌شوند. هیچ کلید اصلی‌ای از عبور ترافیک از VPN ساخته نمی‌شود.
این را پیش از آن‌که کسی طبقه‌بندی متن آشکار را وعده دهد بنویسید. وعده همان بخشی است که پس گرفتنش دشوار است.
قاعده را در سکوی ایمیل بگذارید
اگر کارساز ایمیل تأییدشده پیام خواندنی را دریافت می‌کند، یکپارچه‌سازی فیلتر محتوای پشتیبانی‌شده آن نقطه اعمال است. این با اجازه دادن به اتصال SMTP از میان دیوار آتش متفاوت است. همان تمایز تعیین می‌کند که قاعده می‌تواند رد کند، قرنطینه کند یا فقط یادداشت بگذارد.
برای نمونه، Postfix مستند می‌کند فیلتر محتوا پس از صف: ایمیل در صف قرار می‌گیرد، به فیلتر داده می‌شود و به مسیر تحویل بازمی‌گردد. چیدمان پس از صف آن با گزینه‌های واسط پیش از صف و Milter که همان راهنما به آن‌ها اشاره دارد متفاوت است. یکپارچه‌سازی و رفتار خطای پشتیبانی‌شده را برای سرویس ایمیلی که واقعاً اداره می‌کنید انتخاب کنید.
یک قاعده پیوست برنامه کامل جلوگیری از نشت داده نیست. بارگذاری‌های مرورگر، ذخیره‌سازی مشترک و کنش‌های نقطه پایانی به کنترل‌های خود نیاز دارند.
آزمون پذیرش را با پیام‌های ساختگی بنویسید
با نمونه‌های ساختگی تأییدشده بیازمایید: پیام مجاز، کنش محتوای ممنوع و رفتار اعلام‌شده رمزنگاری در سطح پیام. همچنین بگنجانید که سرویس ایمیل وقتی فیلترش در دسترس نیست چه می‌کند.
نتیجه سودمند کنش، نقطه اعمال و داده‌های دیدنی در آنجا را نام می‌برد. «VPN آن را رمزگشایی کرد» به یک لایه پاسخ می‌دهد و نمی‌تواند جایگزین مدل محتوا و مجوزدهی برنامه ایمیل شود.