Filtrovanie e-mailov cez VPN: kde sa pravidlá obsahu skutočne vykonávajú

Táto požiadavka znie ako sieťový problém: zastavte určitý druh prílohy, aby neopustil budovu, a VPN už existuje, tak ju použite. Tento rámec sa láme pri prvej otázke, na ktorú musí filter odpovedať. Pravidlá obsahu potrebujú vidieť správu a správa sa stáva viditeľnou v inej vrstve ako tunel. Prechádzam cestu pošty smerom von od paketu a zastavím sa na prvom mieste, kde požadované údaje skutočne existujú.

Tri vrstvy sú nezávislé: prenos VPN, spojenie SMTP TLS a vlastné šifrovanie správy. Každá končí inde.

Začnite pri vrstve, ktorá vidí správu

Dekapsulácia VPN vám dá vnútornú sieťovú prevádzku. Ak poštový klient otvoril spojenie TLS k odosielaciemu serveru, vnútorná prevádzka stále obsahuje ten tok TLS, nie čitateľnú poštu.

Preto zachytenie paketov na okraji tunela odpovedá na inú otázku než „obsahuje táto správa zakázanú prílohu“.

Ukončenie SMTP TLS končí pri obálke

Ukončenie SMTP TLS na poštovom serveri odhalí správu tak, ako bola tomuto bodu odovzdaná. Server vidí hlavičky, obálku a štruktúru MIME. To stačí na mnohé pravidlá obsahu. Obálka vám povie odosielateľa a príjemcov tak, ako ich server pochopil.

To nestačí na správu chránenú S/MIME. Server dostane chránenú entitu a bez príslušných kľúčov nemôže prečítať obsah vnútri. Rovnaké obmedzenie platí pre šifrovanú prílohu, ktorá dorazí neporušená.

Nezoslabujte zabezpečenie prenosu, aby bolo pasívne zachytenie čitateľné. To mení architektúru namiesto toho, aby umiestnilo pravidlo tam, kde sú dáta.

S/MIME končí tam, kde sú kľúče

S/MIME chráni údaje správy MIME, takže jeho hranicou je kľúčový materiál a povolené usporiadanie dešifrovania. Filter bez týchto kľúčov môže stále pôsobiť na viditeľné metadáta alebo na prítomnosť chráneného objektu, ale to je iný výsledok.

Ak organizácia prevádzkuje povolenú šifrovaciu bránu alebo spravovanú kontrolu koncových bodov, zdokumentujte, kde existuje otvorený text, ktorá identita ho smie skontrolovať a ako sú chránené kľúče a záznamy. Neexistuje hlavný kľúč vytvorený smerovaním prevádzky cez VPN.

Zapíšte to skôr, než niekto sľúbi klasifikáciu otvoreného textu. Sľub je tá časť, ktorú je ťažké vziať späť.

Umiestnite pravidlo do poštovej platformy

Ak schválený poštový server prijíma čitateľnú správu, jeho podporovaná integrácia filtra obsahu je miestom presadenia. To sa líši od povolenia spojenia SMTP cez firewall. Ten rozdiel rozhoduje, či pravidlo môže odmietnuť, dať do karantény alebo len označiť.

Postfix napríklad dokumentuje filtrovanie obsahu po fronte: pošta sa zaradí do fronty, odovzdá sa filtru a vráti sa na cestu doručenia. Jeho usporiadanie po fronte sa líši od možností proxy pred frontou a Milter, na ktoré odkazuje ten istý sprievodca. Vyberte podporovanú integráciu a správanie pri zlyhaní pre poštovú službu, ktorú skutočne prevádzkujete.

Jedno pravidlo pre prílohy nie je úplný program proti úniku údajov. Nahrávanie z prehliadača, zdieľané úložisko a akcie na koncových bodoch potrebujú vlastné kontroly.

Napíšte akceptačný test so syntetickými správami

Testujte so schválenými syntetickými príkladmi: povolená správa, zakázaná akcia s obsahom a deklarované zaobchádzanie so šifrovaním na úrovni správy. Zahrňte, čo poštová služba robí, keď jej filter nie je dostupný.

Užitočný výsledok pomenuje akciu, miesto presadenia a údaje tam viditeľné. „VPN to dešifrovala“ odpovedá na jednu vrstvu a nemôže nahradiť model obsahu a autorizácie poštovej aplikácie.