ESAでのスプーフィングされた電子メールメッセージの検出と例外の作成

メッセージフィルタの作成

次に、作成したディクショナリ「VALID_INTERNAL_DOMAINS」を利用するために、メッセージフィルタを作成する必要があります。

1. ESAのコマンドラインインターフェイス(CLI)に接続します。
2. Filtersコマンドを実行します。
3. Newコマンドを実行して、新しいメッセージフィルタを作成します。
4. このフィルタ例をコピーして貼り付け、必要に応じて実際の送信者グループ名を編集します。
   
   
   

   mark_spoofed_messages:
   if(
        (mail-from-dictionary-match("VALID_INTERNAL_DOMAINS", 1)) 
    OR  (header-dictionary-match("VALID_INTERNAL_DOMAINS","From", 1))) 
    AND ((sendergroup != "RELAYLIST") 
    AND (sendergroup != "MY_TRUSTED_SPOOF_HOSTS")
     ) 
   {
   insert-header("X-Spoof", "");
   } 

5. メインCLIプロンプトに戻り、Commitを実行して設定を保存します。
6. GUI > Mail Policies > Incoming Content Filtersの順に移動します
7. スプーフィングヘッダーX-Spoofに対してアクションを実行する着信コンテンツフィルタを作成します。

   1. その他のヘッダーの追加

   2. ヘッダー名：X-Spoof

   3. Header existsオプションボタン

   4. アクションduplicate-quarantine(Policy)を追加します。 
      

      注：ここに示すメッセージの重複機能は、メッセージのコピーを保持し、受信者に元のメッセージを送信し続けます。 

      
      
      
      
      
      
8. GUI > Mail Policies> Incoming Mail Policiesで、コンテンツフィルタを受信メールポリシーにリンクします。
9. 送信し、変更を確定します。

MY_TRUSTED_SPOOF_HOSTSにスプーフィング例外を追加する

最後に、スプーフィング例外（IPアドレスまたはホスト名）をMY_TRUSTED_SPOOF_HOSTSセンダーグループに追加する必要があります。 

1. Web GUIを使用して移動します：Mail Policies > HAT Overview
2. をクリックし、MY_TRUSTED_SPOOF_HOSTS送信者グループを開きます。
3. Add Sender...をクリックして、IPアドレス、範囲、ホスト名、またはホスト名の一部を追加します。
4. Submitをクリックして、送信者の変更を保存します。
5. 最後に、Commit Changesをクリックして設定を保存します。

以下に例を挙げます。

確認

スプーフィングされたメッセージが隔離されていることの確認

ドメインの1つをエンベロープ送信者として指定して、テストメッセージを送信します。メッセージに対してメッセージトラックを実行して、フィルタが期待どおりに機能することを確認します。期待される結果は、スプーフィングを許可された送信者に対してまだ例外が作成されていないため、メッセージが隔離されることです。 

Thu Apr 23 07:09:53 2015 Info: MID 102 ICID 9 RID 0 To: <xxxx_xxxx@domain.com>
Thu Apr 23 07:10:07 2015 Info: MID 102 Subject 'test1'
Thu Apr 23 07:10:07 2015 Info: MID 102 ready 177 bytes from <user_1@example.com>
Thu Apr 23 07:10:07 2015 Info: MID 102 matched all recipients for per-recipient policy DEFAULT in the inbound table
Thu Apr 23 07:10:11 2015 Info: MID 102 interim verdict using engine: CASE spam negative
Thu Apr 23 07:10:11 2015 Info: MID 102 using engine: CASE spam negative
Thu Apr 23 07:10:11 2015 Info: MID 102 interim AV verdict using Sophos CLEAN
Thu Apr 23 07:10:11 2015 Info: MID 102 antivirus negative
Thu Apr 23 07:10:12 2015 Info: MID 102 quarantined to "Policy" (message filter:quarantine_spoofed_messages)
Thu Apr 23 07:10:12 2015 Info: Message finished MID 102 done

スプーフィング例外メッセージが配信されていることの確認

Spoof-Exceptionの送信者は、上記のフィルタで参照されている送信者グループのIPアドレスです。

RELAYLISTは、ESAが送信メールの送信に使用するため、参照されます。通常、RELAYLISTによって送信されるメッセージは送信メールであり、これを含めないと誤検出が発生するか、上記のフィルタによって検疫される送信メッセージになります。

MY_TRUSTED_SPOOF_HOSTSに追加されたスプーフィング例外IPアドレスのメッセージ追跡の例。予期されたアクションは配信であり、検疫ではありません。（このIPはスプーフィングが許可されます）。

Thu Apr 23 07:25:57 2015 Info: Start MID 108 ICID 11
Thu Apr 23 07:25:57 2015 Info: MID 108 ICID 11 From: <user_1@example.com>
Thu Apr 23 07:26:02 2015 Info: MID 108 ICID 11 RID 0 To: <user_xxxx@domain.com>
Thu Apr 23 07:26:10 2015 Info: MID 108 Subject 'test2'
Thu Apr 23 07:26:10 2015 Info: MID 108 ready 163 bytes from <user_1@example.com>
Thu Apr 23 07:26:10 2015 Info: MID 108 matched all recipients for per-recipient policy DEFAULT in the inbound table
Thu Apr 23 07:26:10 2015 Info: MID 108 interim AV verdict using Sophos CLEAN
Thu Apr 23 07:26:10 2015 Info: MID 108 antivirus negative
Thu Apr 23 07:26:10 2015 Info: MID 108 queued for delivery
Thu Apr 23 07:26:10 2015 Info: Delivery start DCID 16 MID 108 to RID [0]
Thu Apr 23 07:26:11 2015 Info: Message done DCID 16 MID 108 to RID [0]
Thu Apr 23 07:26:11 2015 Info: MID 108 RID [0] Response '2.0.0 t58EVG9N031598 Message accepted for delivery'
Thu Apr 23 07:26:11 2015 Info: Message finished MID 108 done

関連情報

• ESA のスプーフィング メールのフィルタリング
• 送信者検証を使用したスプーフィング保護