Филтрирање е-поште преко VPN-а: где се правила о садржају заиста извршавају

Овај захтев звучи као мрежни проблем: зауставите одређену врсту прилога да не напусти зграду, а VPN већ постоји, па га искористите. Тај оквир се ломи на првом питању на које филтер мора да одговори. Правила о садржају морају да виде поруку, а порука постаје видљива на другом слоју од тунела. Ја пратим пут поште према споља од пакета и заустављам се на првом месту где тражени подаци заиста постоје.

Три слоја су независна: VPN транспорт, SMTP TLS веза и сопствено шифровање поруке. Сваки се завршава на другом месту.

Почните од слоја који може да види поруку

Декапсулација VPN-а даје вам унутрашњи мрежни саобраћај. Ако је клијент поште отворио TLS везу према серверу за предају, унутрашњи саобраћај још увек садржи тај TLS ток, а не читљиву пошту.

Зато снимак пакета узет на ивици тунела одговара на друго питање од „да ли ова порука садржи забрањени прилог“.

Завршетак SMTP TLS-а се завршава на коверти

Завршавање SMTP TLS-а на серверу поште открива поруку онако како је предата том одредишту. Сервер види заглавља, коверту и MIME структуру. То је довољно за многа правила о садржају. Коверта вам каже пошиљаоца и примаоце онако како их је сервер разумео.

То није довољно за поруку заштићену S/MIME-ом. Сервер прима заштићени ентитет и без одговарајућих кључева не може да прочита садржај унутар њега. Исто ограничење важи за шифровани прилог који стиже неоштећен.

Не слабите транспортну безбедност да бисте пасивни снимак учинили читљивим. То мења архитектуру уместо да постави правило тамо где су подаци.

S/MIME се завршава тамо где су кључеви

S/MIME штити MIME податке поруке, па је његова граница кључни материјал и одобрени распоред дешифровања. Филтер без тих кључева још може да делује на видљиве метаподатке или на присуство заштићеног објекта, али то је другачији резултат.

Ако организација покреће одобрени шифрарни пролаз или управљани надзор крајњих тачака, документујте где постоји отворени текст, који идентитет сме да га прегледа и како су кључеви и записи заштићени. Не постоји главни кључ створен усмеравањем саобраћаја кроз VPN.

Запишите то пре него што било ко обећа класификацију отвореног текста. Обећање је део који је тешко повући.

Ставите правило у платформу поште

Ако одобрени сервер поште прима читљиву поруку, његова подржана интеграција филтера садржаја је тачка спровођења. То се разликује од допуштања SMTP везе кроз заштитни зид. Та разлика одлучује да ли правило може да одбије, стави у карантин или само означи.

Postfix, на пример, документује филтрирање садржаја после реда чекања: пошта се ставља у ред, прослеђује филтеру и враћа на пут доставе. Његов распоред после реда разликује се од опција проксија пре реда и Milter-а на које се позива исти водич. Изаберите подржану интеграцију и понашање при отказу за поштанску услугу коју заиста водите.

Једно правило за прилоге није потпун програм против губитка података. Преноси из прегледача, дељено складиште и радње на крајњим тачкама требају сопствене контроле.

Напишите прихватни тест са синтетичким порукама

Тестирајте са одобреним синтетичким примерима: дозвољена порука, забрањена радња са садржајем и најављено поступање са шифровањем на нивоу поруке. Укључите шта поштанска услуга ради када њен филтер није доступан.

Користан резултат именује радњу, тачку спровођења и податке видљиве тамо. „VPN је то дешифровао“ одговара на један слој и не може да замени модел садржаја и ауторизације поштанске апликације.