Filtriranje e-pošte preko VPN-a: gdje se pravila o sadržaju doista izvršavaju

Ovaj zahtjev zvuči kao mrežni problem: zaustavite određenu vrstu privitka da ne napusti zgradu, a VPN već postoji, pa ga iskoristite. Taj se okvir lomi na prvom pitanju na koje filtar mora odgovoriti. Pravila o sadržaju moraju vidjeti poruku, a poruka postaje vidljiva na drugom sloju od tunela. Pratim put pošte prema van od paketa i zaustavljam se na prvom mjestu gdje traženi podaci doista postoje.

Tri su sloja neovisna: VPN prijevoz, SMTP TLS veza i vlastito šifriranje poruke. Svaki završava na drugom mjestu.

Počnite od sloja koji može vidjeti poruku

Dekapsulacija VPN-a daje vam unutarnji mrežni promet. Ako je klijent pošte otvorio TLS vezu prema poslužitelju za predaju, unutarnji promet još uvijek sadrži taj TLS tok, a ne čitljivu poštu.

Zato snimka paketa uzeta na rubu tunela odgovara na drugo pitanje od „sadrži li ova poruka zabranjeni privitak“.

Završetak SMTP TLS-a završava na omotnici

Završavanje SMTP TLS-a na poslužitelju pošte otkriva poruku onako kako je predana tom odredištu. Poslužitelj vidi zaglavlja, omotnicu i MIME strukturu. To je dovoljno za mnoga pravila o sadržaju. Omotnica vam kaže pošiljatelja i primatelje onako kako ih je poslužitelj shvatio.

To nije dovoljno za poruku zaštićenu S/MIME-om. Poslužitelj prima zaštićeni entitet i bez odgovarajućih ključeva ne može pročitati sadržaj unutar njega. Isto ograničenje vrijedi za šifrirani privitak koji stigne neoštećen.

Ne slabite transportnu sigurnost da biste pasivnu snimku učinili čitljivom. To mijenja arhitekturu umjesto da postavi pravilo tamo gdje su podaci.

S/MIME završava tamo gdje su ključevi

S/MIME štiti MIME podatke poruke, pa je njegova granica ključni materijal i odobreni raspored dešifriranja. Filtar bez tih ključeva još može djelovati na vidljive metapodatke ili na prisutnost zaštićenog objekta, ali to je drukčiji rezultat.

Ako organizacija pokreće odobreni šifrirni prolaz ili upravljani nadzor krajnjih točaka, dokumentirajte gdje postoji otvoreni tekst, koji ga identitet smije pregledati i kako su ključevi i zapisi zaštićeni. Ne postoji glavni ključ stvoren usmjeravanjem prometa kroz VPN.

Zapišite to prije nego što bilo tko obeća klasifikaciju otvorenog teksta. Obećanje je dio koji je teško povući.

Stavite pravilo u platformu pošte

Ako odobreni poslužitelj pošte prima čitljivu poruku, njegova podržana integracija filtra sadržaja mjesto je provedbe. To se razlikuje od dopuštanja SMTP veze kroz vatrozid. Ta razlika odlučuje može li pravilo odbiti, staviti u karantenu ili samo označiti.

Postfix, primjerice, dokumentira filtriranje sadržaja nakon reda čekanja: pošta se stavlja u red, prosljeđuje filtru i vraća na put dostave. Njegov raspored nakon reda razlikuje se od opcija proxyja prije reda i Miltera na koje se isti vodič poziva. Odaberite podržanu integraciju i ponašanje pri otkazu za poštansku uslugu koju doista vodite.

Jedno pravilo za privitke nije potpun program protiv gubitka podataka. Prijenosi iz preglednika, dijeljeno spremište i radnje na krajnjim točkama trebaju vlastite kontrole.

Napišite prihvatni test sa sintetičkim porukama

Testirajte s odobrenim sintetičkim primjerima: dopuštena poruka, zabranjena radnja sa sadržajem i najavljeno postupanje sa šifriranjem na razini poruke. Uključite što poštanska usluga radi kada njezin filtar nije dostupan.

Koristan rezultat imenuje radnju, mjesto provedbe i podatke vidljive tamo. „VPN je to dešifrirao“ odgovara na jedan sloj i ne može zamijeniti model sadržaja i autorizacije poštanske aplikacije.