Zimbra et protection contre les surcharges du serveur

Le courrier électronique s'est solidifié en tant que norme de communication d'entreprise. En raison de la grande efficacité économique des e-mails, ainsi que d'un certain nombre de fonctionnalités associées à la citation de texte et à la pièce jointe, ce sont les e-mails qui conviennent le mieux au rôle de moyen universel d'échange de documents et de communication commerciale polie. Ces mêmes fonctionnalités sont devenues la raison pour laquelle les spammeurs aiment tant les e-mails. En conséquence, le courrier électronique est aujourd'hui un immense océan de spam qui fait rage, dans les eaux desquelles on ne trouve que rarement des lettres commerciales. C'est pourquoi l'une des tâches principales de l'administrateur d'un serveur de messagerie est la protection contre les spams. Jetons un coup d'œil à ce que vous pouvez faire avec cela dans Zimbra Collaboration Suite Open-Source Edition.



Malgré la solution gratuite, Zimbra OSE est en mesure de fournir à l'administrateur système une tonne d'outils extrêmement efficaces pour résoudre le problème de la réception d'e-mails indésirables. Nous avons déjà écrit sur des utilitaires tels qu'Amavis, SpamAssassin, ClamAV et cbpolicyd, qui vous permettent de filtrer de manière fiable le courrier entrant en filtrant les spams, ainsi que les e-mails infectés et de phishing. Néanmoins, leur principal inconvénient est qu'ils travaillent tous avec des messages électroniques déjà reçus et dépensent des ressources système pour filtrer les messages inutiles, ce qui peut toujours être trouvé bien mieux. Mais que se passe-t-il si votre entreprise est prise dans l'œil d'un grand botnet qui envoie constamment votre serveur de messagerie dans un si grand nombre d'e-mails indésirables que leur seul filtrage occupera la part du lion de la capacité du serveur MTA?

En théorie, vous pouvez vous protéger de cela en connectant un service cloud pour filtrer le courrier entrant, mais dans la pratique, cette méthode de protection ne convient pas à chaque entreprise, car dans ce cas, vous devrez confier à des tiers le traitement non seulement du spam, mais également de la correspondance commerciale, ce qui n'est pas toujours sûr, et souvent directement contraire à la politique de sécurité de l'entreprise. De plus, la fiabilité du filtre anti-spam cloud présente des risques. Le moyen de sortir de cette situation peut être l'organisation de la protection des serveurs à elle seule. Surtout à ces fins, Zimbra avait un utilitaire intégré Postscreen, qui est conçu pour protéger le serveur de messagerie des lettres envoyées par des botnets, sans charger le serveur de messagerie.

L'essence du travail de Postscreen est que cet utilitaire analyse toutes les demandes de connexion au serveur de messagerie et ne permet pas aux clients qu'il semble suspect de se connecter au serveur. Étant donné que, selon les statistiques, environ 90% du spam dans le monde est envoyé par des botnets, Postscreen est souvent utilisé comme premier degré de protection pour un serveur de messagerie contre les envois indésirables. Grâce à cela, le serveur de messagerie peut fonctionner de manière stable sans surcharge, même face à de fortes attaques de spam provenant de grands réseaux de zombies.

Le principe de fonctionnement de Postscreen est assez simple, l'utilitaire est capable d'effectuer un certain nombre de vérifications simples des lettres entrantes avant de les transférer vers le serveur de messagerie ou d'autres services qui effectuent une vérification plus approfondie et détaillée des lettres entrantes. Chacun des contrôles, respectivement, peut être réussi, mais ne peut pas l'être. En fonction des résultats de chacune des vérifications, Postscreen peut appliquer l'une des trois actions au choix de l'administrateur Zimbra: supprimer , ignorer ou appliquer . L'action Drop force la connexion avec le client à être déconnectée si la vérification échoue, l'action Ignorer vous permet d'ignorer les résultats des contrôles lors de la prise de décision finale, mais en même temps de collecter des informations et des statistiques sur les contrôles, et l'action Enforce vous permet de prendre en compte les résultats des contrôles lors de la prise de décision finale, mais en même temps, continuez d'effectuer tous les tests prévus par l'administrateur système.

Le simple principe de fonctionnement ne signifie pas facilité d'utilisation et de configuration. Le fait est qu'un écran de messages mal configuré peut devenir la raison pour laquelle un certain nombre de messages importants pour l'entreprise n'atteindront pas le destinataire. C'est pourquoi il est nécessaire d'approcher la configuration d'un outil aussi puissant que Postscreen avec grand soin et de le tester constamment pour le comportement dans certaines situations.

L'écran de poste de Zimbra est inclus au départ, mais beaucoup peuvent ne pas être satisfaits de la configuration initiale. Nous allons maintenant examiner la meilleure option pour configurer Postscreen en termes de sécurité et sans risque. Son essence est qu'après l'échec de l'un des contrôles, Postscreen ne se déconnectera pas du client sans parler, mais effectuera tous les contrôles jusqu'à la fin et si ces contrôles échouent, il donnera un message d'erreur. Cela avertira l'expéditeur vivant de la non-remise du message si Postscreen l'accepte comme spam. Ceci est réalisé en définissant la valeur d'application dans les paramètres des contrôles. C'est cette valeur qui vous permet de terminer les vérifications démarrées jusqu'à la fin, sans rompre la connexion avec le client au premier échec, mais en même temps, à la fin, toujours bloquer le courrier indésirable sans le livrer au serveur.

Afin d'activer les vérifications nécessaires, entrez les commandes suivantes:

zmprov mcf zimbraMtaPostscreenDnsblSites 'b.barracudacentral.org = 127.0.0.2 * 7' zimbraMtaPostscreenDnsblSites 'zen.spamhaus.org = 127.0.0. [10; 11] * 8' zimbraMtaPostscreenDnsblSites 'zen.spamhaus.org = 127.0.0 ..7] * 6 'zimbraMtaPostscreenDnsblSites' zen.spamhaus.org = 127.0.0.3 * 4 'zimbraMtaPostscreenDnsblSites' zen.spamhaus.org = 127.0.0.2 * 3 '

Cette commande vous permet d'ajouter une vérification DNS des connexions entrantes aux deux bases de données de spam publiques les plus populaires et d'évaluer les lettres en fonction de la base de données à laquelle l'adresse de l'expéditeur sera trouvée. Plus un client obtient de «étoiles» pénalisées, plus il est susceptible d'être un spammeur

zmprov mcf zimbraMtaPostscreenDnsblAction appliquer

Cette commande détermine l'action qui est effectuée suite à la réussite de la vérification DNS. Dans ce cas, le résultat du test est mémorisé et la lettre elle-même continue de subir d'autres tests.

zmprov mcf zimbraMtaPostscreenGreetAction appliquer

Étant donné que dans le protocole SMTP, après une connexion directe, le serveur commence d'abord la communication avec le client et, en conséquence, Postscreen peut envoyer un message d'accueil au client. Étant donné que de nombreux clients de spam, sans attendre la fin du message d'accueil, commencent à envoyer des commandes, ils peuvent être facilement reconnus. Cette commande vous permet de prendre en compte les résultats de ce test, mais en même temps de continuer à effectuer d'autres tests.

zmprov mcf zimbraMtaPostscreenNonSmtpCommandAction drop

Dans le cadre de ce test, Postscreen vous permet de filtrer les connexions qui ne proviennent pas des clients de messagerie. Puisqu'ils n'envoient aucune lettre, vous pouvez les déconnecter en toute sécurité du serveur sans aucune crainte.

zmprov mcf zimbraMtaPostscreenPipeliningAction enforce

Cette vérification est basée sur le fait que par défaut dans le protocole SMTP, le client ne peut envoyer qu'une seule commande à la fois, puis attendre que le serveur réponde à cette commande. Cependant, de nombreux robots de spam se comportent différemment en envoyant de nombreuses commandes sans attendre de réponse du serveur. Cela vous permet d'identifier les robots de spam presque sans équivoque.

En principe, ces vérifications pour Postscreen seront plus que suffisantes pour couper la majeure partie des robots de spam du serveur et obtenir une réduction significative de la charge sur votre serveur de messagerie. Dans le même temps, les personnes vivantes recevront un message indiquant que leur lettre n'a pas été remise, ce qui réduit considérablement le risque de perdre des messages importants en raison des paramètres de l'écran de publication. Dans ce cas, vous pouvez ajouter un expéditeur de confiance à la liste blanche de Postscreen. Pour créer des listes blanches et noires de Postscreen, vous devez d'abord créer le fichier / opt / zimbra / conf / postfix / postscreen_wblist .

Nous y ajouterons une liste d'adresses IP et de sous-réseaux autorisés et interdits au format de table CIDR. Par exemple, bloquez le sous-réseau 121.144.169. *, Mais autorisez la connexion à une seule adresse IP à partir de ce sous-réseau:

# Les règles sont évaluées dans l'ordre spécifié.
# Liste noire 121.144.169. * Sauf 121.144.169.196.
121.144.169.196/32 permis
121.144.169.0/24 rejet

Nous attirons votre attention sur l'importance de l'ordre des inscriptions. Le fait est que Postscreen analysera le fichier avec des listes blanches et noires jusqu'à la première correspondance, et si le sous-réseau bloqué est avant l'adresse IP autorisée, la vérification n'atteindra tout simplement pas l'enregistrement que cette adresse IP est ajoutée à la liste blanche et à la connexion. le serveur ne se produira pas.

Une fois le fichier contenant les listes blanches et noires modifié et enregistré, vous pouvez activer la vérification correspondante à l'aide des commandes suivantes:

zmprov mcf zimbraMtaPostscreenAccessList "permit_mynetworks, cidr: / opt / zimbra / conf / postfix / postscreen_wblist"
zmprov mcf zimbraMtaPostscreenBlacklistAction enforce

Maintenant, Postscreen, en plus des vérifications que nous avons déjà définies, aura également accès au fichier avec des listes blanches et noires, ce qui permettra à l'administrateur de résoudre facilement les problèmes liés à l'impossibilité de connecter des expéditeurs fiables au serveur.

Pour toutes questions relatives à la Suite Zextras, vous pouvez contacter le représentant de Zextras Katerina Triandafilidi par e-mail katerina@zextras.com