Contenido

Introducción

¿Cuáles son filtros del brote?

¿Puedo utilizar los filtros del brote incluso si no estoy ejecutando Sophos o el antivirus de McAfee en mi ESA?

¿Cuándo los filtros del brote quarantine un mensaje?

¿Cómo se escriben las reglas para filtros del brote?

¿Hay mejores prácticas para configurar los filtros del brote?

¿Cómo señalo una regla para filtros incorrecta del brote?

¿Qué sucede cuando la cuarentena del brote se llena?

¿Cuál es el significado de la amenaza llana para una regla del brote?

¿Cómo puedo ser alertado cuando ocurre un brote?

Información Relacionada

Introducción

Este documento describe y contesta a algunas de las preguntas más con frecuencia hechas con respecto los filtros del brote, o al brote de virus filtra (VOF), en el dispositivo de seguridad del correo electrónico de Cisco (ESA).

¿Cuáles son filtros del brote?

Nota: Esté por favor seguro que usted revisa la guía de usuario para la versión de AsyncOS para la Seguridad del correo electrónico que usted está ejecutando actualmente.  Ejemplo, guía de usuario para AsyncOS 13.0 para los dispositivos de seguridad del correo electrónico de Cisco, capítulo: Filtros del brote

Los filtros del brote protegen su red contra los brotes de virus en grande y ataques más pequeños, no-virales, tales como timos del phishing y distribución del malware, pues ocurren. A diferencia de la mayoría del software anti-malware de la Seguridad, que no puede detectar los nuevos brotes hasta que se recojan los datos y se publica una actualización de software, datos de los frunces de Cisco sobre los brotes como separan y envían la información actualizada a su ESA en el tiempo real para evitar que estos mensajes alcancen a sus usuarios.

Cisco utiliza los modelos de tráfico global para desarrollar las reglas que determinan si un mensaje entrante es seguro o parte de un brote. Los mensajes que pueden ser parte de al brote quarantined hasta que se determinen para ser caja fuerte basada en la información actualizada del brote de Cisco o nuevas definiciones del antivirus son publicados por Sophos y McAfee.

Los mensajes usados en los ataques a escala reducida, no-virales utilizan un diseño de legítimo-mirada, la información del beneficiario, y la aduana URL que señalan a los sitios web del phishing y del malware que han estado en línea solamente por un período corto y son desconocidos a los Servicios de seguridad de la red. Los filtros del brote analizan un contenido de mensaje y buscan para que los links URL detecten este tipo de ataque no-viral. Los filtros del brote pueden reescribir los URL para reorientar el tráfico a los sitios web potencialmente dañinos con un proxy de la Seguridad de la red, que cualquier advierte a los usuarios que el sitio web que están intentando tener acceso puede ser malévolo o bloquea el sitio web totalmente.

¿Puedo utilizar los filtros del brote incluso si no estoy ejecutando Sophos o el antivirus de McAfee en mi ESA?

Cisco recomienda que usted permite a Sophos o al antivirus de McAfee además de los filtros del brote aumentar su defensa contra las conexiones virales. Sin embargo, los filtros del brote pueden actuar independientemente sin requerir Sophos o el antivirus de McAfee que se activarán.

¿Cuándo los filtros del brote quarantine un mensaje?

Un mensaje quarantined cuando contiene el archivo adjunto que encuentra o excede las reglas actuales del brote y por correo a los administradores fijados los umbrales. Cisco publica las reglas actuales del brote a cada ESA que tenga las teclas de función válidas. Los mensajes que pueden ser parte de al brote quarantined hasta que se determinen para ser caja fuerte basada en la información actualizada del brote de Cisco o nuevas definiciones del antivirus son publicados por Sophos y McAfee.

¿Cómo se escriben las reglas para filtros del brote?

Las reglas del brote son publicadas por las operaciones de inteligencia del Cisco Security (SIO), un ecosistema de la Seguridad que conecte la información global de la amenaza, los servicios reputación-basados, y el análisis sofisticado de los dispositivos de seguridad de Cisco para proveer de una protección más fuerte tiempos de respuesta más rápidos.  Por abandono, su dispositivo controla para y descarga el nuevo brote gobierna cada 5 minutos como parte de las actualizaciones del servicio.

El SIO consiste en tres componentes:

- SenderBase , la red más grande de la supervisión de la amenaza del mundo, y base de datos de la vulnerabilidad.

- Talos, el equipo global de Cisco de expertos en seguridad y de sistemas automáticos.

- Las actualizaciones dinámicas, las actualizaciones en tiempo real entregadas automáticamente a los dispositivos como brotes ocurren.

¿Hay mejores prácticas para configurar los filtros del brote?

Yes.  La recomendación para el nivel de servicio es como sigue:

- Reglas adaptantes del permiso

- Fije el tamaño máximo de mensaje para analizar hasta los 2M

- Seguimiento activado de la interacción de la red

La configuración en el nivel de directiva del correo entrante necesitará ser determinada en un por-cliente, base de la por-directiva.

¿Cómo señalo una regla para filtros incorrecta del brote?

Usted puede señalar el falso positivo o las negativas falsas en una de dos maneras:

1. Abra un caso de soporte de Cisco: https://mycase.cloudapps.cisco.com/case

2. Abra un boleto de la reputación con Talos: https://talosintelligence.com/reputation_center/support

Abajo están las condiciones que podemos refinar las reglas para filtros del brote:

- Extensiones de archivo

- Firma de archivo (magia) (firma binaria del fichero que indica su tipo “verdadero”)

- URL

- Nombre de fichero

- Tamaño del archivo

¿Qué sucede cuando la cuarentena del brote se llena?

Cuando una cuarentena excede el espacio máximo afectado un aparato a ella, o si un mensaje excede la configuración del tiempo máximo, los mensajes se podan automáticamente de la cuarentena para guardarla dentro de los límites. Los mensajes se quitan en a primero-en, la primera-hacia fuera base (primero en entrar, primero en salir). Es decir los más viejos mensajes se borran primero. Usted puede configurar una cuarentena a la versión (es decir, entregue) o borrar un mensaje que se deba podar de una cuarentena. Si usted elige a los mensajes release, usted puede elegir para tener el asunto marcado con etiqueta con el texto que usted especifica cuál alertará al beneficiario que el mensaje era forzado fuera de la cuarentena.

La versión de siguiente de la cuarentena del brote, los mensajes es pre-explorada por el módulo del antivirus, y medidas se toman según la directiva antivirus. Dependiendo de esta directiva, un mensaje se puede entregar, borrar, o entregar con las conexiones virales eliminadas. Se espera que los virus sean encontrados a menudo durante la pre-exploración después de la versión de la cuarentena del brote. Los mail_logs ESA o Seguimiento de mensajes se pueden consultar para determinar si un mensaje individual que fue observado en la cuarentena fueron encontrados para ser viral, y si y cómo él fue entregado.

Antes de que una cuarentena del sistema se llene, se envía una alerta cuando la cuarentena alcanza el 75% lleno, y se envía otra alerta cuando alcanza el 95% lleno. La cuarentena del brote tiene una función de administración adicional que permita que usted borre o que release/versión todos los mensajes que hagan juego un nivel determinado de la amenaza del virus (VTL). Esto permite la limpieza fácil de la cuarentena después de que se reciba una actualización del antivirus que dirige una amenaza determinada del virus.

¿Cuál es el significado de la amenaza llana para una regla del brote?

Los filtros del brote actúan bajo niveles de la amenaza entre 0 y 5. El nivel de la amenaza valora la probabilidad de un brote viral. De acuerdo con el riesgo de un brote viral, el nivel de la amenaza influencia quarantining de los ficheros sospechosos. El nivel de la amenaza es basado en varios factores, incluyendo pero no sólo el tráfico de la red, la actividad de fichero sospechosa, la entrada de los vendedores del antivirus, y el análisis por Cisco SIO.  Además, los filtros del brote permiten que los administradores del correo aumenten o disminuyan el impacto de los niveles de la amenaza para sus redes.

‘Nivel’

Riesgo

Significado

0

Ninguno

No hay riesgo que el mensaje es una amenaza.

1

Bajo

El riesgo que el mensaje es una amenaza es bajo.

2

Bajo/media

El riesgo que el mensaje es una amenaza es bajo al media. Es una amenaza “sospechosa”.

3

Medio

O el mensaje es parte de al brote confirmado o hay un media al riesgo grande de su contenido que es una amenaza.

4

Alto

O el mensaje se confirma para ser parte de al brote del gran escala o su contenido es muy peligroso.

5

Extremo

El contenido de mensaje se confirma a la parte de un brote que sea extremadamente gran escala o gran escala y extremadamente peligroso.

¿Cómo puedo ser alertado cuando ocurre un brote?

Cuando los filtros del brote reciben nuevo/ponen al día las reglas para elevar la amenaza de la cuarentena llana para un tipo determinado de perfil del mensaje, usted puede ser alertado vía un correo electrónico enviado a su dirección de correo electrónico alerta configurada. Cuando un nivel de la amenaza cae debajo de su umbral configurado, se envía otra alerta. Usted puede vigilar así el progreso de las conexiones virales.  Estos correos electrónicos se envían como correos electrónicos de la “información”.

Nota: Para asegurarle recibirá estos correos electrónicos de notificación, verifica la dirección de correo electrónico que las alertas estén enviadas en al CLI usando el comando del alertconfig, o el GUI: Administración del sistema > alertas.

Para configurar, o configuración del estudio

- GUI: Los Servicios de seguridad > los filtros del brote y revisan la configuración bajo configuraciones globales del corregir…

- CLI:  outbreakconfig > puesto

Ejemplo:

> outbreakconfig

NOTICE: This configuration command has not yet been configured for the current cluster mode (Machine esa2.hc3033-47.iphmx.com).

What would you like to do?

1. Switch modes to edit at mode "Cluster Hosted_Cluster".

2. Start a new, empty configuration at the current mode (Machine esa2.hc3033-47.iphmx.com).

3. Copy settings from another cluster mode to the current mode (Machine esa2.hc3033-47.iphmx.com).

[1]>

Outbreak Filters: Enabled

Choose the operation you want to perform:

- SETUP - Change Outbreak Filters settings.

- CLUSTERSET - Set how the Outbreak Filters are configured in a cluster.

- CLUSTERSHOW - Display how the Outbreak Filters are configured in a cluster.

[]> setup

Outbreak Filters: Enabled

Would you like to use Outbreak Filters? [Y]>

Outbreak Filters enabled.

Outbreak Filter alerts are sent when outbreak rules cross the threshold (go above or back down below), meaning that new messages of certain types could be quarantined or will no longer be quarantined, respectively.

Would you like to receive Outbreak Filter alerts? [Y]> y

What is the largest size message Outbreak Filters should scan?

[2097152]>

Do you want to use adaptive rules to compute the threat level of messages? [Y]>

Logging of URLs is currently enabled.

Do you wish to disable logging of URL's? [N]>

Web Interaction Tracking is currently enabled.

Do you wish to disable Web Interaction Tracking? [N]>

The Outbreak Filters feature is now globally enabled on the system. You must use the 'policyconfig' command in the CLI or the Email Security Manager in the GUI to enable Outbreak Filters for the desired Incoming and Outgoing Mail Policies.

Información Relacionada

- Dispositivo de seguridad del correo electrónico de Cisco - Guías del usuario final

- Soporte Técnico y Documentación - Cisco Systems