VPN üzerinden e-posta filtreleme: içerik kuralları gerçekte nerede çalışır
Bir VPN kaydı mesajı göstermez. Posta yolunu kapsül çözmeden SMTP TLS ve S/MIME'e kadar izleyin ve içerik kuralını verinin bulunduğu yere koyun.
Bu talep bir ağ sorunu gibi kulağa geliyor: belirli bir ek türünün binadan çıkmasını durdurun, VPN zaten var, öyleyse onu kullanın. Bu çerçeve, filtrenin yanıtlaması gereken ilk soruda çöküyor. İçerik kurallarının mesajı görmesi gerekir ve mesaj tünelden farklı bir katmanda görünür hâle gelir. Ben posta yolunu paketten dışarı doğru izliyor ve gereken verinin gerçekten bulunduğu ilk yerde duruyorum.
Üç katman bağımsızdır: VPN taşıması, SMTP TLS bağlantısı ve mesajın kendi şifrelemesi. Her biri farklı bir yerde biter.
Mesajı görebilen katmandan başlayın
VPN kapsül çözme size iç ağ trafiğini verir. Posta istemcisi bir gönderim sunucusuna TLS bağlantısı açtıysa, iç trafik hâlâ o TLS akışını içerir, okunabilir postayı değil.
Bu yüzden tünel kenarında alınan paket kaydı «bu mesajda yasaklı bir ek var mı» sorusundan farklı bir soruyu yanıtlar.
SMTP TLS sonlandırması zarfın yanında biter
SMTP TLS'i posta sunucusunda sonlandırmak, mesajı o uç noktaya gönderildiği hâliyle açığa çıkarır. Sunucu başlıkları, zarfı ve MIME yapısını görür. Bu, birçok içerik kuralı için yeterlidir. Zarf size göndereni ve alıcıları sunucunun anladığı biçimde söyler.
Bu, S/MIME ile korunan bir mesaj için yeterli değildir. Sunucu korunmuş bir varlık alır ve ilgili anahtarlar olmadan içindeki içeriği okuyamaz. Aynı sınır, sağlam ulaşan şifreli bir ek için de geçerlidir.
Pasif bir kaydı okunabilir kılmak için taşıma güvenliğini zayıflatmayın. Bu, kuralı verinin bulunduğu yere koymak yerine mimariyi değiştirir.
S/MIME anahtarların bulunduğu yerde biter
S/MIME, MIME mesaj verilerini korur, dolayısıyla sınırı anahtar malzemesi ve yetkili şifre çözme düzenidir. Bu anahtarlar olmadan bir filtre hâlâ görünür üst veriler veya korunmuş bir nesnenin varlığı üzerinde işlem yapabilir, ancak bu farklı bir sonuçtur.
Kuruluş yetkili bir şifreleme geçidi veya yönetilen uç nokta denetimi işletiyorsa, açık metnin nerede bulunduğunu, hangi kimliğin onu denetleyebileceğini ve anahtarlarla kayıtların nasıl korunduğunu belgeleyin. Trafiği bir VPN üzerinden geçirmekle oluşan bir ana anahtar yoktur.
Bunu, biri açık metin sınıflandırması vaat etmeden önce yazın. Geri alınması zor olan kısım vaattir.
Kuralı posta platformuna koyun
Onaylanmış posta sunucusu okunabilir mesajı alıyorsa, desteklenen içerik filtresi entegrasyonu uygulama noktasıdır. Bu, bir güvenlik duvarından SMTP bağlantısına izin vermekten farklıdır. Bu ayrım, kuralın reddedebileceğine, karantinaya alabileceğine yoksa yalnızca not düşebileceğine karar verir.
Örneğin Postfix şunu belgeler: sıradan sonra içerik filtreleme. Posta sıraya girer, bir filtreye geçirilir ve teslim yoluna geri döndürülür. Sıra sonrası düzeni, aynı kılavuzun atıfta bulunduğu sıra öncesi vekil sunucu ve Milter seçeneklerinden farklıdır. Gerçekten işlettiğiniz posta hizmeti için desteklenen entegrasyonu ve hata davranışını seçin.
Tek bir ek kuralı eksiksiz bir veri kaybı programı değildir. Tarayıcı yüklemeleri, paylaşılan depolama ve uç nokta eylemleri kendi denetimlerine ihtiyaç duyar.
Kabul testini sentetik mesajlarla yazın
Onaylanmış sentetik örneklerle test edin: izin verilen bir mesaj, yasaklı bir içerik eylemi ve mesaj düzeyinde şifrelemenin beyan edilen işlenişi. Filtresi kullanılamadığında posta hizmetinin ne yaptığını da ekleyin.
Yararlı sonuç eylemi, uygulama noktasını ve orada görünen veriyi adlandırır. «VPN onu çözdü» tek bir katmanı yanıtlar ve posta uygulamasının içerik ve yetkilendirme modelinin yerini alamaz.