Filtrowanie poczty przez VPN: gdzie naprawdę działają reguły treści

To żądanie brzmi jak problem sieciowy: powstrzymać pewien rodzaj załącznika przed opuszczeniem budynku, a VPN już jest, więc go użyj. Ta rama rozpada się przy pierwszym pytaniu, na które filtr musi odpowiedzieć. Reguły treści muszą widzieć wiadomość, a wiadomość staje się widoczna w innej warstwie niż tunel. Idę ścieżką poczty na zewnątrz od pakietu i zatrzymuję się w pierwszym miejscu, gdzie wymagane dane naprawdę istnieją.

Trzy warstwy są niezależne: transport VPN, połączenie SMTP TLS i własne szyfrowanie wiadomości. Każda kończy się gdzie indziej.

Zacznij od warstwy, która widzi wiadomość

Dekapsulacja VPN daje wewnętrzny ruch sieciowy. Jeśli klient poczty otworzył połączenie TLS do serwera wysyłkowego, wewnętrzny ruch nadal zawiera ten strumień TLS, a nie czytelną pocztę.

Dlatego przechwycenie pakietów na krawędzi tunelu odpowiada na inne pytanie niż „czy ta wiadomość zawiera zabroniony załącznik”.

Zakończenie SMTP TLS kończy się na kopercie

Zakończenie SMTP TLS na serwerze poczty odsłania wiadomość tak, jak została złożona w tym punkcie. Serwer widzi nagłówki, kopertę i strukturę MIME. To wystarcza dla wielu reguł treści. Koperta mówi, kto wysłał i kto odbiera, tak jak zrozumiał to serwer.

To nie wystarcza dla wiadomości chronionej przez S/MIME. Serwer otrzymuje chronioną jednostkę i bez odpowiednich kluczy nie może odczytać treści w środku. Ten sam limit dotyczy zaszyfrowanego załącznika, który dociera nietknięty.

Nie osłabiaj bezpieczeństwa transportu, aby uczynić pasywny zrzut czytelnym. To zmienia architekturę, zamiast umieścić regułę tam, gdzie są dane.

S/MIME kończy się tam, gdzie są klucze

S/MIME chroni dane wiadomości MIME, więc jego granicą jest materiał kluczy i zatwierdzony układ odszyfrowywania. Filtr bez tych kluczy nadal może działać na widocznych metadanych lub na obecności chronionego obiektu, ale to inny wynik.

Jeśli organizacja prowadzi zatwierdzoną bramę szyfrowania lub zarządzaną kontrolę punktów końcowych, udokumentuj, gdzie istnieje tekst jawny, która tożsamość może go sprawdzić i jak chronione są klucze oraz rejestry. Nie istnieje klucz główny tworzony przez kierowanie ruchu przez VPN.

Zapisz to, zanim ktokolwiek obieca klasyfikację tekstu jawnego. Obietnica to ta część, którą trudno wycofać.

Umieść regułę w platformie poczty

Jeśli zatwierdzony serwer poczty odbiera czytelną wiadomość, jego obsługiwana integracja filtrowania treści jest punktem egzekwowania. To różni się od zezwolenia na połączenie SMTP przez zaporę. Ta różnica decyduje, czy reguła może odrzucić, umieścić w kwarantannie czy tylko opatrzyć adnotacją.

Postfix na przykład dokumentuje filtrowanie treści po kolejce: poczta trafia do kolejki, jest przekazywana do filtra i wraca na ścieżkę doręczania. Jego układ po kolejce różni się od opcji proxy przed kolejką i Milter, do których odwołuje się ten sam przewodnik. Wybierz obsługiwaną integrację i zachowanie przy awarii dla usługi pocztowej, którą naprawdę prowadzisz.

Jedna reguła załączników nie jest kompletnym programem przeciw wyciekom danych. Przesyłanie z przeglądarki, współdzielona pamięć i działania punktów końcowych wymagają własnych kontroli.

Napisz test akceptacyjny z syntetycznymi wiadomościami

Testuj na zatwierdzonych syntetycznych przykładach: wiadomość dozwolona, zabronione działanie na treści i zadeklarowane postępowanie z szyfrowaniem na poziomie wiadomości. Uwzględnij, co usługa poczty robi, gdy jej filtr jest niedostępny.

Przydatny wynik nazywa działanie, punkt egzekwowania i widoczne tam dane. „VPN to odszyfrował” odpowiada na jedną warstwę i nie zastąpi modelu treści i autoryzacji aplikacji pocztowej.