Inhoud

Inleiding

Voorwaarden

Voordelen van het gebruik van berichtfilters

Gerelateerde informatie

Inleiding

Dit artikel gaat over de beste praktijken en implementatie met betrekking tot berichtfilters op de e-mail security applicatie (ESA). Berichtfilters maken het mogelijk speciale regels op te stellen voor het omgaan met berichten die voldoen aan specifieke voorwaarden zoals zij ontvangen en verwerkt worden door het ESA.

Voorwaarden

- Basisbegrip van de werking van het ESR-filter

- Bekendheid met de Opdracht Line Interface (CLI) op de ESA

Voordelen van het gebruik van berichtfilters

Er zijn twee belangrijke voordelen om berichtfilters te gebruiken in plaats van contentfilters:

1. Zij worden toegepast op berichten naar het begin van de verwerkingspijplijn voor de werkwachtrij. Hierom kunnen we mogelijk een groot aantal bronnen opslaan door meldingen te filteren voordat er belangrijke scanmotoren worden gebruikt (bijvoorbeeld: Anti-spam, antivirus, AMP, enz.).

2. Ze zullen actie ondernemen tegen zowel inkomend als uitgaand verkeer, terwijl je voor Content Filters er één moet maken voor Inkomend en één voor Uitgaand verkeer.

Er zijn ook weinig voorwaarden die niet beschikbaar zijn om in te stellen met contentfilters die alleen via berichtfilters kunnen worden uitgevoerd.

Voorbeeld: Indien er een verplichting bestaat om voorwaarden te definiëren op basis van de Sendergroep van het ESA, is die optie alleen beschikbaar in Berichtfilters.

Opmerking: Niet-definitieve berichtfilteracties zijn cumulatief. Als een bericht meerdere filters aanpast waar elk filter een andere actie specificeert, dan worden alle acties geaccumuleerd en afgedwongen. Als een bericht echter meerdere filters aanpast die dezelfde actie specificeren, worden de eerdere handelingen gecorrigeerd en wordt de definitieve filteractie uitgevoerd.

Berichtfilters

Wanneer AsyncOS berichtfilters verwerkt, is de inhoud die AsyncOS scant, de volgorde van de verwerking, en de ondernomen acties gebaseerd op verschillende factoren:

- Berichtenfilters worden verwerkt in de volgorde waarin ze zijn ingesteld (Boven tot Onder Ka Eerst en Laatste)

- Een berichtfilter wordt op de berichtinhoud verwerkt op het moment dat het de filter bereikt.

- Wanneer u een reguliere expressie vergelijkt, vormt u een "score" om het aantal keer dat een match plaatsvindt op te tellen voordat er een filteractie wordt ondernomen. Dit stelt je in staat om de antwoorden op verschillende termen "af te wegen".

- De belangrijkste alternatieven voor het koppelen van de condities van een berichtfilter zijn: (EN / / OF / INDIEN / ANDERS)

Berichtfilters maken

Eerst geven we de opdrachtfilters uit van de CLI om de configuratiemodus van de berichtfilters in te voeren. Dan zijn de opties:

- NIEUW: Met deze optie moet een nieuw filter worden gemaakt. Deze optie-selectie wordt gevolgd door filternaam en vervolgens de syntaxis.

- VERWIJDEREN: Deze optie is om een bestaand filter naar behoefte te verwijderen. Nadat u deze opdracht hebt gegeven, kunt u de filternaam van het sequentienummer invoeren om te verwijderen

- INVOER: U kunt een bestand importeren dat is opgeslagen in de directory van het apparaat.

- UITVOER: Met deze optie kan het bestand van de filters worden geëxporteerd en naar een andere bestemming worden geïmporteerd

- VERPLAATSEN: Met deze optie kunt u de volgorde van een filter per voorkeur wijzigen

- INSTELLEN: Met deze optie kunnen we de status van een filter wijzigen van Actief in Inactief en omgekeerd

- LIJST: Met deze optie worden alle in de ESA aanwezige gemaakte filters weergegeven

- DETAIL: Met deze optie kunnen we de onderdelen van het filter zien maken, zoals de omstandigheden en de gedefinieerde handelingen.

- LOGCONFIG: Deze optie geeft de logbestandsnamen weer die zijn gemaakt voor berichtfilters met acties die zijn gedefinieerd als een archief ("mapnaam")

- ROLLOVERNEE: Met deze optie kunt u alle logbestanden die in de mappen aanwezig zijn, weergeven die worden aangemaakt vanwege de archiefactie die in de berichtfilters is gedefinieerd

Filters kunnen worden gemaakt in alle modi van het ESA, zoals Cluster, Group of Machine.

De selectiecriteria van de configuratie-preferentie waarin de ESA de filters op de e-mails zal toepassen, zijn als hieronder:

1 Voorkeuren: Machine

2e voorkeur: groepsmodus

3e voorkeur: Cluster mode

Voor het maken van berichtfilters hebben we een combinatie van syntaxis nodig om de voorwaarden en acties te definiëren:

Voorbeeld:

if (recv-listener == 'InboundMail' or recv-int == 'notmain')

{

skip-filters();

}

else

{

quarantine(“Policy”);

}

.

Het bovenstaande filter laat zien dat als de ontvangende luisteraar 'InboundMail' is of als de ontvangende interface 'niet-belangrijk' is, de actie is om alle resterende berichtfilters te overslaan.

Als de omstandigheden niet overeenkomen, dan wordt de quarantaine gehouden in Policy. Dit wordt hierna gedefinieerd.

Handige tips

Soms kan de syntaxis die gebruikt moet worden in berichtfilters verwarrend worden, maar een gemakkelijk referentiepunt voor hetzelfde type is Content Filters.

We kunnen een contentfilter maken met voorwaarden en acties die we willen in het berichtfilter. Nadat we het filter hebben ingediend, zien we op de volgende pagina 3 tabbladen aan de bovenkant van het filtergedeelte, namelijk:

- Beschrijving

- Regels

- Beleid

Wanneer we op de tab Regels klikken, toont dat de syntaxis die het filter gebruikt en die tegelijkertijd kan worden gebruikt om Berichtfilters te maken. Dat is de eenvoudigste manier om de syntaxis voor filteromstandigheden te beperken zoals in onze eis.

Normale expressie gebruikt in berichtfilters

- Carat (^): regels die het inbraaksymbool (^) bevatten, komen alleen overeen met het begin van de string.

Voorbeeld: ^Ik ben net zoiets als ik een ingenieur ben

- Dollar-teken ($): Regels die het dollarteken ($) bevatten, komen alleen overeen met het einde van de string

Voorbeeld: .com$ komt evenveel overeen met google.com als met yahoo.com

- Teken voor periode (.): Regels met een teken voor de periode (..) komen overeen met elk teken (behalve een nieuwe regel).

Voorbeeld: De reguliere expressie ^...admin$ komt overeen met de string macadmin evenals de string sunadmin maar win32admin.

- RICHTLIJN STERKE (*): Regels met een sterretje (*) komen overeen met "nul of meer overeenkomsten van de vorige richtlijn". Met name komt de reeks van een periode en een sterretje (.*) overeen met elke reeks tekens (die geen nieuwe regel bevatten).

Voorbeeld: De reguliere expressie ^P.*Piper$ past al deze strings aan: Perper, Peter Piper, P.Piper

- Bijzondere tekens backslash (\): Het backslash-teken ontsnapt aan speciale tekens. Dus de volgorde \. komt slechts een letterlijke periode aan, de volgorde \$ past slechts een letterlijk dollarteken aan, en de volgorde \^ past slechts een letterlijk caret symbool aan.

Voorbeeld: De reguliere expressie ^ik\\.ac\.uk$ komt alleen overeen met de string ik.ac.uk

- Case-insensitiviteit (?i): Het token (?i) dat aangeeft dat de rest van de reguliere expressie moet worden behandeld in de case-inSECTOR-modus.

Voorbeeld: De reguliere expressie (?i)cisco komt overeen met Cisco, CISCO zowel als cisco

- Of (|): De "of" operator. Als A en B reguliere expressies zijn zal de expressie "A|B" elke string evenaren die overeenkomt met "A" of "B".

Voorbeeld:  De expressie "foo|bar" komt overeen met foo of bar, maar niet met voetregels.

Gerelateerde informatie

Cisco e-mail security applicatie - eindgebruikershandleidingen