ელფოსტის ფილტრაცია VPN-ის გავლით: სად მუშაობს სინამდვილეში კონტენტის წესები
VPN-ის ჩანაწერი არ აჩვენებს შეტყობინებას. გაიარეთ ფოსტის გზა დეკაფსულაციიდან SMTP TLS-მდე და S/MIME-მდე, და მოათავსეთ კონტენტის წესი იქ, სადაც მონაცემებია.
ეს მოთხოვნა ქსელურ პრობლემას ჰგავს: შეაჩერეთ გარკვეული ტიპის დანართის შენობიდან გასვლა, და VPN უკვე არსებობს, ამიტომ გამოიყენეთ ის. ეს ჩარჩო იმ პირველ კითხვაზე იშლება, რომელზეც ფილტრმა უნდა უპასუხოს. კონტენტის წესებს სჭირდება შეტყობინების დანახვა, ხოლო შეტყობინება ჩანს გვირაბისგან განსხვავებულ დონეზე. მე ფოსტის გზას გარეთ მივყვები პაკეტიდან და ვჩერდები პირველ ადგილას, სადაც საჭირო მონაცემები ნამდვილად არსებობს.
სამი დონე დამოუკიდებელია: VPN-ის ტრანსპორტი, SMTP TLS კავშირი და თავად შეტყობინების დაშიფვრა. თითოეული სხვადასხვა ადგილას მთავრდება.
დაიწყეთ იმ დონიდან, რომელიც ხედავს შეტყობინებას
VPN-ის დეკაფსულაცია გაძლევთ შიდა ქსელურ ტრაფიკს. თუ ფოსტის კლიენტმა TLS კავშირი გახსნა წარდგენის სერვერთან, შიდა ტრაფიკი კვლავ შეიცავს იმ TLS ნაკადს და არა წაკითხვად ფოსტას.
ამრიგად, გვირაბის კიდეზე აღებული პაკეტის ჩანაწერი პასუხობს სხვა კითხვას, ვიდრე „შეიცავს ეს შეტყობინება აკრძალულ დანართს“.
SMTP TLS-ის დასრულება მთავრდება კონვერტთან
ფოსტის სერვერზე SMTP TLS-ის დასრულება ავლენს შეტყობინებას ისე, როგორც ის ამ წერტილში იყო წარდგენილი. სერვერი ხედავს სათაურებს, კონვერტს და MIME სტრუქტურას. ეს საკმარისია ბევრი კონტენტის წესისთვის. კონვერტი გეუბნებათ გამგზავნსა და მიმღებებს ისე, როგორც სერვერმა გაიგო ისინი.
ეს არ არის საკმარისი S/MIME-ით დაცული შეტყობინებისთვის. სერვერი იღებს დაცულ ერთეულს და შესაბამისი გასაღებების გარეშე ვერ წაიკითხავს მის შიგნით არსებულ კონტენტს. იგივე შეზღუდვა ეხება დაშიფრულ დანართს, რომელიც უვნებლად ჩამოდის.
ნუ შეასუსტებთ ტრანსპორტის უსაფრთხოებას პასიური ჩანაწერის წაკითხვადობისთვის. ეს ცვლის არქიტექტურას იმის ნაცვლად, რომ წესი მონაცემების ადგილას მოათავსოს.
S/MIME მთავრდება იქ, სადაც გასაღებებია
S/MIME იცავს MIME შეტყობინების მონაცემებს, ამიტომ მისი საზღვარი გასაღების მასალა და ნებადართული გაშიფვრის წესია. გასაღებების გარეშე ფილტრს მაინც შეუძლია იმოქმედოს ხილულ მეტამონაცემებზე ან დაცული ობიექტის არსებობაზე, მაგრამ ეს სხვა შედეგია.
თუ ორგანიზაცია მართავს ნებადართულ დაშიფვრის კარიბჭეს ან მართულ ბოლო წერტილის კონტროლს, დაადგინეთ სად არსებობს ღია ტექსტი, რომელ იდენტობას შეუძლია მისი შემოწმება და როგორ იცავენ გასაღებებსა და ჩანაწერებს. არ არსებობს მთავარი გასაღები, რომელიც VPN-ის გავლით ტრაფიკის გატარებით იქმნება.
ჩაწერეთ ეს მანამ, სანამ ვინმე ღია ტექსტის კლასიფიკაციას დაჰპირდება. დაპირება ის ნაწილია, რომლის უკან წაღებაც ძნელია.
მოათავსეთ წესი ფოსტის პლატფორმაში
თუ დამტკიცებული ფოსტის სერვერი იღებს წაკითხვად შეტყობინებას, მისი მხარდაჭერილი კონტენტის ფილტრის ინტეგრაცია აღსრულების წერტილია. ეს განსხვავდება firewall-ის გავლით SMTP კავშირის დაშვებისგან. ეს განსხვავება წყვეტს, შეუძლია თუ არა წესს უარის თქმა, კარანტინი ან მხოლოდ შენიშვნა.
მაგალითად, Postfix ადგენს დოკუმენტაციას კონტენტის ფილტრაცია რიგის შემდეგ: ფოსტა რიგში დგება, ფილტრს გადაეცემა და მიწოდების გზას უბრუნდება. მისი რიგის შემდგომი წყობა განსხვავდება რიგამდე პროქსისა და Milter-ის ვარიანტებისგან, რომლებზეც იგივე სახელმძღვანელო მიუთითებს. აირჩიეთ მხარდაჭერილი ინტეგრაცია და წარუმატებლობის ქცევა იმ ფოსტის სერვისისთვის, რომელსაც ნამდვილად მართავთ.
დანართების ერთი წესი არ არის მონაცემთა დაკარგვის სრული პროგრამა. ბრაუზერიდან ატვირთვებს, საერთო საცავს და ბოლო წერტილის მოქმედებებს საკუთარი კონტროლი სჭირდება.
დაწერეთ მიღების ტესტი სინთეტიკური შეტყობინებებით
გამოსცადეთ დამტკიცებული სინთეტიკური მაგალითებით: ნებადართული შეტყობინება, აკრძალული კონტენტის მოქმედება და შეტყობინების დონის დაშიფვრის გამოცხადებული დამუშავება. ჩართეთ ისიც, თუ რას აკეთებს ფოსტის სერვისი, როცა მისი ფილტრი მიუწვდომელია.
სასარგებლო შედეგი ასახელებს მოქმედებას, აღსრულების წერტილს და იქ ხილულ მონაცემებს. „VPN-მა გაშიფრა ის“ ერთ დონეს პასუხობს და ვერ ჩაანაცვლებს ფოსტის აპლიკაციის კონტენტისა და ავტორიზაციის მოდელს.