Filtrimi i email-it përmes një VPN: ku ekzekutohen në të vërtetë rregullat e përmbajtjes

Kjo kërkesë tingëllon si problem rrjeti: ndaloni një lloj të caktuar bashkëngjitjeje të dalë nga ndërtesa, dhe VPN-ja është tashmë aty, pra përdoreni. Ky kornizë thyhet në pyetjen e parë që filtri duhet të përgjigjet. Rregullat e përmbajtjes duhet ta shohin mesazhin, dhe mesazhi bëhet i dukshëm në një shtresë të ndryshme nga tuneli. Unë përshkoj rrugën e postës nga paketa drejt jashtë dhe ndalem në vendin e parë ku të dhënat e kërkuara ekzistojnë vërtet.

Tre shtresa janë të pavarura: transporti VPN, lidhja SMTP TLS dhe kriptimi i vetë mesazhit. Secila përfundon diku tjetër.

Filloni nga shtresa që mund ta shohë mesazhin

Dekapsulimi i VPN-së ju jep trafikun e brendshëm të rrjetit. Nëse klienti i postës hapi një lidhje TLS drejt një serveri dërgimi, trafiku i brendshëm ende përmban atë rrjedhë TLS, jo postë të lexueshme.

Prandaj një regjistrim paketash në skajin e tunelit përgjigjet një pyetjeje tjetër nga „a përmban ky mesazh një bashkëngjitje të ndaluar“.

Përfundimi i SMTP TLS përfundon në zarf

Përfundimi i SMTP TLS në serverin e postës e zbulon mesazhin ashtu siç u dorëzua në atë pikë. Serveri sheh kokat, zarfin dhe strukturën MIME. Kjo mjafton për shumë rregulla përmbajtjeje. Zarfi ju tregon dërguesin dhe marrësit ashtu siç i kuptoi serveri.

Kjo nuk mjafton për një mesazh të mbrojtur me S/MIME. Serveri merr një entitet të mbrojtur dhe, pa çelësat përkatës, nuk mund të lexojë përmbajtjen brenda tij. I njëjti kufizim vlen për një bashkëngjitje të kriptuar që arrin e paprekur.

Mos e dobësoni sigurinë e transportit për ta bërë të lexueshëm një regjistrim pasiv. Kjo ndryshon arkitekturën në vend që ta vendosë rregullin atje ku janë të dhënat.

S/MIME përfundon atje ku janë çelësat

S/MIME mbron të dhënat e mesazhit MIME, pra kufiri i tij është materiali i çelësave dhe rregullimi i autorizuar i dekriptimit. Një filtër pa ato çelësa mund të veprojë ende mbi metadata të dukshme ose mbi praninë e një objekti të mbrojtur, por ky është një rezultat tjetër.

Nëse organizata operon një portë kriptimi të autorizuar ose një kontroll të menaxhuar të pikave fundore, dokumentoni ku ekziston teksti i pastër, cili identitet mund ta inspektojë dhe si mbrohen çelësat e regjistrat. Nuk ekziston asnjë çelës kryesor që krijohet duke drejtuar trafikun përmes një VPN.

Shkruajeni këtë përpara se dikush të premtojë klasifikim të tekstit të pastër. Premtimi është pjesa e vështirë për t’u tërhequr.

Vendosni rregullin në platformën e postës

Nëse serveri i miratuar i postës merr mesazhin e lexueshëm, integrimi i tij i mbështetur i filtrit të përmbajtjes është pika e zbatimit. Kjo është ndryshe nga lejimi i një lidhjeje SMTP përmes një firewalle. Ky dallim vendos nëse rregulli mund të refuzojë, të karantinojë apo vetëm të shënojë.

Postfix, për shembull, dokumenton filtrimin e përmbajtjes pas radhës: posta vihet në radhë, i kalohet një filtri dhe kthehet në rrugën e dërgimit. Rregullimi i tij pas radhës ndryshon nga opsionet e proxy-t para radhës dhe Milter që i referohet i njëjti udhëzues. Zgjidhni integrimin e mbështetur dhe sjelljen në dështim për shërbimin e postës që vërtet operoni.

Një rregull bashkëngjitjesh nuk është një program i plotë kundër humbjes së të dhënave. Ngarkimet nga shfletuesi, ruajtja e përbashkët dhe veprimet në pikat fundore kanë nevojë për kontrollet e tyre.

Shkruani testin e pranimit me mesazhe sintetike

Provoni me shembuj sintetikë të miratuar: një mesazh i lejuar, një veprim i ndaluar përmbajtjeje dhe trajtimi i deklaruar i kriptimit në nivel mesazhi. Përfshini çfarë bën shërbimi i postës kur filtri i tij nuk është i disponueshëm.

Rezultati i dobishëm emërton veprimin, pikën e zbatimit dhe të dhënat e dukshme atje. „VPN-ja e dekriptoi“ përgjigjet për një shtresë dhe nuk mund të zëvendësojë modelin e përmbajtjes dhe autorizimit të aplikacionit të postës.