Cómo construir una defensa efectiva para el servidor de correo

Un enfoque de múltiples etapas para asegurar tu comunicación por correo electrónico

Cuando se habla de seguridad relacionada con servidores de correo, uno tiende a limitar el tema a las medidas de seguridad aplicadas a los mensajes, y aún más a la protección Antivirus y Antispam. Sin embargo, esto es solo una etapa en el proceso más complejo de asegurar tu servidor. Este artículo tiene como objetivo identificar y explicar todas las capas de seguridad, altamente importantes al elegir un cierto servidor de correo y, en consecuencia, al configurarlo y utilizarlo.

1. Asegurando las conexiones del servidor de correo

Al utilizar un servidor de correo recién instalado, los administradores deben asegurarse primero de que utilizan conexiones seguras. Hay dos posibilidades principales para asegurar las conexiones: cifrado y reglas similares a un firewall.

Los métodos de codificación se han desarrollado continuamente a medida que Internet se ha convertido en el medio preferido para las transferencias de datos. Los métodos de cifrado más comúnmente utilizados son SSL (Capa de Sockets Seguros) y TLS (Seguridad de la Capa de Transporte). Sin embargo, el uso incorrecto del cifrado a menudo conduce a brechas de seguridad. Los ejemplos más comunes son las páginas web que contienen tanto información asegurada como no asegurada o comunicaciones aseguradas solo después de iniciar sesión a través de una página de inicio de sesión simple.

Reglas similares a un firewall

impuestas a nivel de servidor se recomiendan para respaldar un firewall existente o reemplazarlo cuando no hay uno disponible. Pueden imponer limitaciones tanto en las conexiones establecidas como en el tráfico alojado. Recomendamos crear reglas de permitir/negar tanto a nivel global (aplicadas a todos los protocolos y oyentes) como específicamente para cada oyente con el fin de prevenir ataques como DOS (Denegación de servicio).

2. Asegurando los protocolos del servidor de correo

Después de asegurar la primera etapa de una transferencia de correo electrónico, la siguiente acción a tomar sería asegurar los protocolos.

Los pasos recomendados son utilizar múltiples oyentes para cada interfaz y correlacionarlos con ciertas reglas de permitir y negar. Además, limitar el número de errores de conexión y autenticación, el número máximo de comandos o establecer un tiempo de espera para tus sesiones puede ayudar a proteger tu servidor de futuros ataques DOS.

Para mejorar aún más la seguridad del protocolo, recomendamos reglas de control de clientes, basadas en la dirección del remitente o del receptor y ciertas limitaciones respecto al número y tamaño de los mensajes de correo electrónico.

La autenticación también es muy importante a nivel de protocolo. Al implementar varios métodos de autenticación, ya sean simples (plano, inicio de sesión, CRAM-MD5) o complejos (GSSAPI, Kerberos), el servidor de correo mejora la seguridad de la comunicación y está mejor equipado contra ataques y accesos no autorizados.

Otras soluciones eficientes a nivel de protocolo son asegurarse de que tu servidor de correo sea compatible con RFC y prevenir bucles de correo electrónico (un método muy simple sería establecer un número máximo de encabezados “Recibidos” por correo electrónico).

3. Asegurando los parámetros de control del correo electrónico

Aparte de utilizar diferentes aplicaciones Antispam y Antivirus, hay más acciones que debes tener en cuenta donde la seguridad basada en el control del correo electrónico está concernida. Una opción muy útil sería utilizar

listas grises

. La lista gris es básicamente una solicitud para que el correo electrónico sea reenviado, después de rechazar temporalmente el correo electrónico. El servidor guarda en una lista la IP del remitente y el destinatario y devuelve un error temporal. Todos los servidores válidos volverán a enviar los correos electrónicos, a diferencia de los scripts de spam. Sin embargo, ten en cuenta que muchos servidores no pueden diferenciar en este momento entre un error temporal y un error permanente.

Control de host

es otra forma fácil de asegurar que solo los correos electrónicos válidos sean procesados por tu servidor de correo. Dos métodos bien conocidos son

SPF (Marco de Políticas del Remitente)

y

listas negras basadas en DNS

. Los registros SPF son detalles públicos publicados por dominios dentro de los servidores DNS. Generalmente apuntan y confirman las direcciones reales de los dominios. Al utilizar verificaciones SPF, puedes prevenir con éxito correos electrónicos de spam y retrocesos.

Las listas negras pueden ser públicas (gratuitas) o privadas y generalmente contienen direcciones IP de servidores de retransmisión abiertos, proxies abiertos e ISPs sin filtrado de spam. Tu servidor necesita estar configurado para solicitar tales listas y no aceptar conexiones iniciadas por direcciones IP incluidas en ellas. Si uno de tus servidores es listado erróneamente, para ser eliminado de tal lista, es posible que necesites llenar un formulario en línea, contactar a los administradores de la lista o, en situaciones más severas, cambiar tu IP.

Un método de autenticación más complejo es

DKIM (Firma de Correo Identificado por Claves de Dominio)

. Implementado por Yahoo y respaldado por Google, Cisco, Sendmail, PGP, DKIM tiene considerables posibilidades de convertirse en el método de autenticación estándar. El encabezado del correo electrónico contiene una firma encriptada y está a su vez encriptado, apuntando a una clave encriptada, publicada en los servidores DNS por el dominio remitente. El servidor que procesa el correo electrónico utilizará esta clave para decodificar el cuerpo del correo electrónico. Si la decriptación es exitosa, entonces el correo electrónico es válido.

Reglas de retransmisión

pueden a veces marcar la diferencia entre un servidor asegurado y uno no asegurado. Nuestra primera recomendación es nunca aceptar retransmisiones abiertas, ya que puede fácilmente llevarte a ser listado en negro. Por lo tanto, deberías implementar algunas reglas de retransmisión, basadas en la dirección del remitente/dirección del destinatario, o retransmitir solo para usuarios autenticados. Al seleccionar tu servidor de correo, debes asegurarte de que tenga las siguientes características: permite crear reglas de retransmisión, la autenticación de dominio es configurable, la interfaz de envío es personalizable, soporta SSL/TSL y diferentes métodos y extensiones de autenticación.

4. Configuración y administración seguras

La configuración y administración no se consideran comúnmente como una capa de seguridad. Sin embargo, las características de configurabilidad ofrecidas por el servidor y la configuración real realizada por el usuario juegan un papel clave en asegurar tu MTA. Primero, el administrador debe familiarizarse con la solución, todas sus características y todos sus defectos, si los hay. El

archivo ejecutable del servidor

necesita soportar programación sin fugas de memoria, eliminar privilegios de root (solo en sistemas Unices) y bloquear todas las solicitudes de acceso excepto aquellas para archivos públicos.

El acceso al

archivo de configuración

debe ser otorgado solo al administrador. Además, el archivo siempre debe ser muy específico, fácil de entender y modificar, mientras que todos los valores predeterminados deben ser seguros. Por ejemplo, un valor predeterminado que permita la retransmisión abierta representaría un defecto de seguridad importante.

Módulos de administración alternativos

(interfaz web, interfaz de línea de comandos) deben ser proporcionados para modificar la configuración del servidor. También es muy importante que todas las conexiones a estos módulos se realicen a través de SSL. Para asegurarte de que accedes de forma segura a estos módulos, recomendamos utilizar un servidor de correo con

servidor HTTP propietario

y

lenguaje de scripting basado en HTML

.

Nuestra recomendación de seguridad más completa es implementar un

sistema de “smart-hosting”

. Tal sistema consiste en varios servidores de correo instalados en diferentes máquinas, cada uno realizando una tarea específica. El servidor que ofrece la mejor conexión y seguridad de protocolo debe centrarse en la protección del firewall. El segundo debe ejecutar parámetros de control de correo electrónico (incluyendo aplicaciones Antispam y Antivirus). El tercero debe centrarse principalmente en la gestión de dominios. Sin embargo, el smart hosting puede requerir más recursos de hardware y software de los que están disponibles dentro de tu sistema.

Smart Hosting

Conclusiones

El aspecto más importante que debes tener en cuenta es que no existe una seguridad a prueba de fallos; por lo tanto, una protección óptima debe sustituir a la perfección. En cada capa de seguridad, hay posibles fallos y brechas. La solución es elegir la mejor configuración posible y adaptarla a las necesidades y topología de tu red.

Para más información, comentarios y preguntas, no dudes en visitar el

sitio de AXIGEN

o enviar un mensaje a nuestro equipo de soporte (

[email protected]

).