Pag-filter ng email sa ibabaw ng VPN: saan talaga tumatakbo ang mga patakaran sa nilalaman

Ang kahilingang ito ay parang problema sa network: pigilan ang isang uri ng attachment na umalis sa gusali, at nandiyan na ang VPN, kaya gamitin ito. Nababasag ang balangkas na iyon sa unang tanong na kailangang sagutin ng filter. Kailangan ng mga patakaran sa nilalaman na makita ang mensahe, at nagiging nakikita ang mensahe sa ibang layer kaysa sa tunnel. Nilalakad ko ang landas ng mail palabas mula sa packet at humihinto sa unang lugar kung saan talagang umiiral ang kinakailangang data.

Tatlong layer ang independiyente: ang transport na VPN, ang koneksyon ng SMTP TLS at ang sariling encryption ng mensahe. Bawat isa ay nagtatapos sa ibang lugar.

Magsimula sa layer na nakakakita ng mensahe

Ang decapsulation ng VPN ay nagbibigay sa iyo ng panloob na trapiko ng network. Kung nagbukas ang mail client ng koneksyon ng TLS sa isang submission server, naglalaman pa rin ang panloob na trapiko ng TLS stream na iyon, hindi nababasang mail.

Kaya ang packet capture sa gilid ng tunnel ay sumasagot sa ibang tanong kaysa „may ipinagbabawal na attachment ba ang mensaheng ito“.

Nagtatapos ang SMTP TLS termination sa envelope

Ang pagtatapos ng SMTP TLS sa mail server ay naglalantad ng mensahe ayon sa isinumite sa puntong iyon. Nakikita ng server ang mga header, ang envelope at ang istrukturang MIME. Sapat iyon para sa maraming patakaran sa nilalaman. Sinasabi ng envelope ang nagpadala at mga tatanggap ayon sa pagkakaintindi ng server.

Hindi iyon sapat para sa mensaheng protektado ng S/MIME. Tumanggap ang server ng protektadong entity, at kung walang kaugnay na mga key ay hindi nito mabasa ang nilalaman sa loob. Ganoon din ang limitasyon sa naka-encrypt na attachment na dumarating nang buo.

Huwag pahinain ang seguridad ng transport para maging nababasa ang isang passive capture. Binabago nito ang arkitektura sa halip na ilagay ang patakaran kung saan naroon ang data.

Nagtatapos ang S/MIME kung saan naroon ang mga key

Pinoprotektahan ng S/MIME ang data ng mensaheng MIME, kaya ang hangganan nito ay ang materyal ng key at ang awtorisadong kaayusan ng decryption. Ang filter na walang mga key na iyon ay makakagawa pa rin sa nakikitang metadata o sa pagkakaroon ng protektadong object, ngunit ibang resulta iyon.

Kung ang organisasyon ay nagpapatakbo ng awtorisadong gateway ng encryption o pinamamahalaang kontrol sa endpoint, idokumento kung saan umiiral ang plaintext, aling identidad ang maaaring sumuri nito at paano pinoprotektahan ang mga key at talaan. Walang master key na nalilikha sa pamamagitan ng pagruruta ng trapiko sa VPN.

Isulat iyon bago mangako ang sinuman ng klasipikasyon ng plaintext. Ang pangako ang bahaging mahirap bawiin.

Ilagay ang patakaran sa platform ng mail

Kung natatanggap ng aprubadong mail server ang nababasang mensahe, ang sinusuportahang integrasyon nito sa pag-filter ng nilalaman ang punto ng pagpapatupad. Iba iyon sa pagpayag ng koneksyon ng SMTP sa firewall. Ang pagkakaibang iyon ang nagtatakda kung ang patakaran ay makakatanggi, makakapag-quarantine o makakapag-annotate lamang.

Halimbawa, idinodokumento ng Postfix ang pag-filter ng nilalaman pagkatapos ng pila: inilalagay ang mail sa pila, ipinapasa sa filter at ibinabalik sa landas ng paghahatid. Ang kaayusan nito pagkatapos ng pila ay iba sa mga opsyon ng proxy bago ang pila at Milter na tinutukoy ng parehong gabay. Piliin ang sinusuportahang integrasyon at pag-uugali sa pagkabigo para sa serbisyong mail na talagang pinapatakbo mo.

Ang isang patakaran sa attachment ay hindi kumpletong programa laban sa pagkawala ng data. Ang mga upload sa browser, shared storage at mga aksyon sa endpoint ay nangangailangan ng sariling mga kontrol.

Isulat ang acceptance test gamit ang mga sintetikong mensahe

Subukan gamit ang mga aprubadong sintetikong halimbawa: pinapayagang mensahe, ipinagbabawal na aksyon sa nilalaman at ang ipinahayag na paghawak sa encryption sa antas ng mensahe. Isama kung ano ang ginagawa ng serbisyong mail kapag hindi available ang filter nito.

Pinapangalanan ng kapaki-pakinabang na resulta ang aksyon, ang punto ng pagpapatupad at ang data na nakikita doon. „Ni-decrypt ito ng VPN“ ay sumasagot sa isang layer at hindi maaaring pumalit sa modelo ng nilalaman at awtorisasyon ng aplikasyon ng mail.