Перехват и анализ всего трафика электронной почты в сети

Question

Мы строим решение сетевой безопасности для защиты электронной почты в крупных организациях.

Наша конечная цель:

Перехватив все письма, которые въезжающих в организации, сканирующие вложения сообщения электронной почты, в в случае все в порядке пусть электронной почты продолжать его назначения, иначе блокировать электронную почту.

Мы специализируемся на сканировании электронной почты, и в настоящее время мы не уверены, что было бы лучшим решением для перехвата всех электронных писем.

Мы будем более чем рады получить информацию по этой проблеме (ключевые слова? Проекты с открытым исходным кодом?).

Мы считаем, что наше решение похоже на IDS/IPS, но все еще не понимает, как будет выполняться перехват электронной почты.

Существующие решения, такие как Wireshark, могут перехватывать электронные письма, но, как я уже сказал, нам нужно перехватить ВСЕ входящие письма организации, является ли Wireshark масштабируемым для такой задачи?

Большое спасибо, Michael.

Answer 1

Wireshark только слушает, что происходит в сети сейчас, это не поможет вам заблокировать указанный трафик. Wireshark не подходит для круглосуточного захвата. Это инструмент отладки, он используется, чтобы помочь администраторам понять, почему что-то не работает.

Есть лучшие решения для перенаправления копии трафика для анализа вещей, но вы не сможете блокировать текущий трафик. Скажем, вы нашли вирус и, ну, факт, что у вас есть копия трафика, означает, что вирус уже пробился к клиентскому компьютеру. Это метод IDS.

Вы должны быть основным в-середине, чтобы делать профилактику и быть IPS. Ваше программное обеспечение должно отображаться как действительный сервер для клиентов и понимать, куда он хочет пойти, идите туда и покажитесь как действительный клиент для этого сервера.

Итак, когда ваш маршрутизатор видит подключение к порту 143 (IMAP) в Интернет, он перенаправляет пакеты в ваш фильтр. Это поле ответит «* Готово», т. Е. Притворится, что это IMAP-сервер, при подключении к реальному серверу, на котором клиент должен был подключиться (вам нужно будет как-то узнать исходный IP-адрес назначения от маршрутизатора). Затем вы передаете некоторые команды IMAP и ответы на них вперед и назад, возможно, просматривая электронные письма и вложения, которые появляются там. Вы можете блокировать, заменяя какое-либо вложение «жаль, вот вирус и мы отключили доставку» и так далее. Будьте готовы, IMAP - довольно сложный протокол, и он довольно популярен, и вы должны реализовать прозрачный прокси-сервер IMAP.

Вы можете перехватывать и вмешиваться в трафик, который проходит через незашифрованный, но сегодня каждый использует TLS, поэтому вам повезло, что они смогли перехватить что-то значимое и увидеть, что это электронная почта.Чтобы обойти это, вы должны иметь возможность проксирования SSL/TLS MitM, что трудно сделать. Прокси SSL MitM - довольно неприятная вещь, это означает, что вы должны запускать внутренний центр сертификации, доверять всем своим внутренним клиентам, заставлять ваш блок перехвата автоматически генерировать сертификаты «на лету», которые подписываются этим специальным центром сертификации, чтобы появиться для клиента как действительный сервер.

Если вы не можете установить сертификат CA на какого-либо клиента (например, у генерального директора будет гость с ноутбуком или планшетным ПК), их почтовое программное обеспечение будет жаловаться на ненадежное обслуживание и если оно жалуется на что-то известное (например, gmail), у вас будет очень подозрительная ситуация.

И все же это не является полностью пуленепробиваемым, поскольку кто-то может построить VPN-туннель из вашей сети и обмениваться данными через него, минуя фильтры.

Есть готовые решения, делающие это на рынке, и они соответственно стоят. Обычно они могут подключаться к нескольким антивирусным сканерам. Тем не менее, даже с помощью этого дорогого решения вам нужно решить проблему установки сертификата CA. Это может быть проще, если у вас есть контроль над всеми клиентскими машинами (скажем, вы решите, что никогда не столкнетесь с гостевым ноутбуком внутри вашего периметра, создадите гостевую сеть и не фильтруете ее вообще), но тогда было бы проще просто интегрировать сканер в программное обеспечение электронной почты клиента.

Он может отправить все, чтобы проверить на каком-либо сервере сканирования, или проверить локально, но это будет гарантировать, что проблема TLS не коснется вас - клиентское программное обеспечение является одной стороной туннеля шифрования, поэтому оно всегда имеет полезную нагрузку в ясном тексте ,

Если вы находитесь в корпоративной среде, предприятие может иметь корпоративную почтовую службу. Вы можете интегрировать сканер в эту службу. Различные настройки службы электронной почты делают все по-другому, но все могут работать с «smtp-proxy», который будет вызывать сканер для каждого сообщения, проходящего через него. Это имеет очевидный недостаток проверки только электронной почты, проходящей через этот сервер, то есть только для корпоративных писем, а не для проверки почты, поступающей из внешних почтовых служб (gmail и т. Д.).

Answer 2

Если вы хотите блокировать электронную почту, единственным надежным способом является развертывание прокси-сервера уровня приложения (в отличие от прокси-сервера TCP или IP) для использования SMTP во внешнем мире. Если вы заблокируете электронную почту на более низком уровне абстракции, MTA (агент передачи почты) будет просто повторить попытку, и он не может повторить попытку на том же почтовом сервере, в зависимости от того, как настроена почта. STMP содержит код ответа «постоянный отказ», который позволяет вам выполнять поведение.

Поиск «открытого прокси-сервера smtp с открытым исходным кодом» приводит к появлению нескольких мест для следующего.

Answer 3

Одним из наиболее эффективных способов решения этой проблемы является для создания/настройки собственного решения для почтового сервера/хостинга, а также чтобы организация указывала вам свои записи mx. Таким образом, вы полностью контролируете электронные письма, и вы можете сканировать почту по мере их поступления, шифровать ее, чтобы ее можно было просматривать только по программному обеспечению организации, до конечного пункта назначения и т. Д.

То, что нужно посмотреть для почтовых истоков, писем с html или «картинками» и, конечно, внешних ссылок. Существуют полезные решения, такие как Modoba и hMailServer, которые могут помочь в создании пользовательского интерфейса.

Если вы не хотите, чтобы электронные письма организации проходили через ваш сервер, вы определенно будете искать API-интерфейсы электронной почты. Вы можете сделать это с помощью Admin SDK для приложений Google, но я не уверен в других почтовых серверах. Для антивирусной части это сложная проблема, потому что организации также хотят, чтобы их электронная почта быстро. Не стесняйтесь contact me, если вы открыты для альтернативных решений по этому вопросу.