Filtrage des e-mails sur un VPN : où les règles de contenu s’exécutent réellement

Cette demande ressemble à un problème réseau : empêcher un certain type de pièce jointe de quitter le bâtiment, et le VPN est déjà là, alors utilisez-le. Ce cadrage se brise à la première question à laquelle le filtre doit répondre. Les règles de contenu ont besoin de voir le message, et le message devient visible à une couche différente de celle du tunnel. Je parcours le chemin du courrier vers l’extérieur depuis le paquet et je m’arrête au premier endroit où les données requises existent réellement.

Trois couches sont indépendantes : le transport VPN, la connexion SMTP TLS et le chiffrement propre au message. Chacune se termine ailleurs.

Commencez par la couche qui peut voir le message

La décapsulation VPN donne le trafic réseau interne. Si le client de messagerie a ouvert une connexion TLS vers un serveur de soumission, le trafic interne contient toujours ce flux TLS, pas du courrier lisible.

Ainsi, une capture de paquets prise en bordure du tunnel répond à une autre question que « ce message contient-il une pièce jointe interdite ».

La terminaison SMTP TLS s’arrête à l’enveloppe

Terminer SMTP TLS sur le serveur de messagerie expose le message tel qu’il a été soumis à ce point. Le serveur voit les en-têtes, l’enveloppe et la structure MIME. Cela suffit pour de nombreuses règles de contenu. L’enveloppe vous indique l’expéditeur et les destinataires tels que le serveur les a compris.

Cela ne suffit pas pour un message protégé par S/MIME. Le serveur reçoit une entité protégée et, sans les clés pertinentes, il ne peut pas lire le contenu à l’intérieur. La même limite s’applique à une pièce jointe chiffrée qui arrive intacte.

N’affaiblissez pas la sécurité du transport pour rendre lisible une capture passive. Cela change l’architecture au lieu de placer la règle là où sont les données.

S/MIME s’arrête là où sont les clés

S/MIME protège les données du message MIME, sa frontière est donc le matériel de clés et l’accord de déchiffrement autorisé. Un filtre sans ces clés peut encore agir sur des métadonnées visibles ou sur la présence d’un objet protégé, mais c’est un résultat différent.

Si l’organisation exploite une passerelle de chiffrement autorisée ou un contrôle géré des postes, documentez où le texte en clair existe, quelle identité peut l’inspecter et comment les clés et les enregistrements sont protégés. Aucune clé maîtresse n’est créée en faisant passer le trafic par un VPN.

Écrivez-le avant que quiconque promette une classification en clair. La promesse est la partie difficile à retirer.

Placez la règle dans la plateforme de messagerie

Si le serveur de messagerie approuvé reçoit le message lisible, son intégration de filtrage de contenu prise en charge est le point d’application. C’est différent d’autoriser une connexion SMTP à travers un pare-feu. Cette distinction décide si la règle peut rejeter, mettre en quarantaine ou seulement annoter.

Postfix, par exemple, documente le filtrage de contenu après la file : le courrier est mis en file, transmis à un filtre et renvoyé vers le chemin de distribution. Sa disposition après la file diffère des options de proxy avant la file et Milter auxquelles le même guide fait référence. Choisissez l’intégration prise en charge et le comportement en cas de panne pour le service de messagerie que vous exploitez réellement.

Une règle de pièces jointes n’est pas un programme complet contre la perte de données. Les envois depuis le navigateur, le stockage partagé et les actions sur les postes ont besoin de leurs propres contrôles.

Écrivez le test d’acceptation avec des messages synthétiques

Testez avec des exemples synthétiques approuvés : un message autorisé, une action de contenu interdite et le traitement déclaré du chiffrement au niveau du message. Incluez ce que fait le service de messagerie lorsque son filtre n’est pas disponible.

Le résultat utile nomme l’action, le point d’application et les données visibles à cet endroit. « Le VPN l’a déchiffré » répond à une couche et ne peut pas remplacer le modèle de contenu et d’autorisation de l’application de messagerie.