Comment construire une défense efficace pour un serveur de messagerie

Une approche en plusieurs étapes pour sécuriser votre communication par e-mail

Lorsqu’on parle de sécurité liée aux serveurs de messagerie, on a tendance à limiter la question aux mesures de sécurité appliquées aux messages, et encore plus à la protection Antivirus et Antispam. Cependant, cela n’est qu’une étape dans le processus plus complexe de sécurisation de votre serveur. Cet article vise à identifier et expliquer toutes les couches de sécurité, très importantes lors du choix d’un certain serveur de messagerie et par conséquent lors de sa configuration et de son utilisation.

1. Sécuriser les connexions du serveur de messagerie

Lors de l’utilisation d’un serveur de messagerie nouvellement installé, les administrateurs doivent d’abord s’assurer qu’ils utilisent des connexions sécurisées. Il existe deux principales possibilités pour sécuriser les connexions : chiffrement et règles de type pare-feu.

Les méthodes de codage ont été continuellement développées à mesure qu’Internet est devenu le moyen privilégié pour les transferts de données. Les méthodes de chiffrement les plus couramment utilisées sont SSL (Secure Sockets Layer) et TLS (Transport Layer Security). Cependant, une utilisation incorrecte du chiffrement conduit souvent à des violations de sécurité. Les exemples les plus courants sont les pages web contenant à la fois des informations sécurisées et non sécurisées ou des communications sécurisées uniquement après connexion via une page de connexion simple.

Règles de type pare-feu

imposées au niveau du serveur sont recommandées pour soutenir un pare-feu existant ou le remplacer lorsqu’il n’est pas disponible. Elles peuvent imposer des limitations tant sur les connexions établies que sur le trafic hébergé. Nous recommandons de créer des règles d’autorisation/refus à la fois globalement (appliquées à tous les protocoles et auditeurs) et spécifiquement pour chaque auditeur afin de prévenir des attaques telles que les DOS (Déni de service).

2. Sécuriser les protocoles du serveur de messagerie

Après avoir sécurisé la première étape d’un transfert d’e-mail, l’action suivante à entreprendre serait de sécuriser les protocoles.

Les étapes recommandées sont d’utiliser plusieurs auditeurs pour chaque interface et de les corréler avec certaines règles d’autorisation et de refus. De plus, limiter le nombre d’erreurs de connexion et d’authentification, le nombre maximum de commandes ou définir un délai d’expiration pour vos sessions peut aider à protéger votre serveur contre d’autres attaques DOS.

Pour renforcer davantage la sécurité des protocoles, nous recommandons des règles de contrôle client, basées sur l’adresse de l’expéditeur ou du destinataire et certaines limitations concernant le nombre et la taille des messages électroniques.

L’authentification est également très importante au niveau des protocoles. En mettant en œuvre plusieurs méthodes d’authentification, qu’elles soient simples (plain, login, CRAM-MD5) ou complexes (GSSAPI, Kerberos), le serveur de messagerie améliore la sécurité des communications et est mieux équipé contre les attaques et les accès non autorisés.

D’autres solutions efficaces au niveau des protocoles consistent à s’assurer que votre serveur de messagerie est conforme aux RFC et à prévenir les boucles d’e-mail (une méthode très simple consisterait à définir un nombre maximum d’en-têtes “Received” par e-mail).

3. Sécuriser les paramètres de contrôle des e-mails

En plus d’utiliser différentes applications Antispam et Antivirus, il existe d’autres actions à garder à l’esprit en ce qui concerne la sécurité basée sur le contrôle des e-mails. Une option très pratique serait d’utiliser des listes grises. La liste grise est essentiellement une demande de renvoi de l’e-mail, après avoir temporairement rejeté l’e-mail. Le serveur enregistre dans une liste l’IP de l’expéditeur et le destinataire et renvoie une erreur temporaire. Tous les serveurs valides renverront alors les e-mails, contrairement aux scripts de spam. Veuillez noter cependant que de nombreux serveurs ne peuvent pas différencier à ce moment entre une erreur temporaire et une erreur permanente.

Contrôle des hôtes

est une autre façon simple de s’assurer que seuls des e-mails valides sont traités par votre serveur de messagerie. Deux méthodes bien connues sont SPF (Sender Policy Framework) et listes noires basées sur DNS. Les enregistrements SPF sont des détails publics publiés par des domaines au sein des serveurs DNS. En général, ils pointent vers et confirment les vraies adresses des domaines. En utilisant des vérifications SPF, vous pouvez prévenir avec succès les e-mails de spam et de rebond.

Les listes noires peuvent être publiques (gratuites) ou privées et contiennent généralement des adresses IP de serveurs de relais ouverts, de proxies ouverts et de FAI sans filtrage de spam. Votre serveur doit être configuré de manière à demander de telles listes et à ne pas accepter les connexions initiées par des adresses IP incluses dans celles-ci. Si l’un de vos serveurs est listé par erreur, pour être retiré d’une telle liste, vous devrez peut-être remplir un formulaire en ligne, contacter les administrateurs de la liste ou, dans des situations plus graves, changer votre IP.

Une méthode d’authentification plus complexe est DKIM (Domain Keys Identified Mail Signature). Implémentée par Yahoo et supportée par Google, Cisco, Sendmail, PGP, DKIM a de fortes chances de devenir la méthode d’authentification standard. L’en-tête de l’e-mail contient une signature chiffrée et est à son tour chiffré, pointant vers une clé chiffrée, publiée sur les serveurs DNS par le domaine expéditeur. Le serveur traitant l’e-mail utilisera cette clé pour décoder le corps de l’e-mail. Si le déchiffrement réussit, alors l’e-mail est valide.

Règles de relais

peuvent parfois faire la différence entre un serveur sécurisé et un serveur non sécurisé. Notre première recommandation est de ne jamais accepter le relais ouvert, car cela peut facilement vous faire inscrire sur une liste noire. Par conséquent, vous devriez mettre en œuvre quelques règles de relais, basées sur l’adresse de l’expéditeur/l’adresse du destinataire, ou relayer uniquement pour les utilisateurs authentifiés. Lors du choix de votre serveur de messagerie, vous devez vous assurer qu’il dispose des fonctionnalités suivantes : il permet de créer des règles de relais, l’authentification de domaine est configurable, l’interface d’envoi est personnalisable, il prend en charge SSL/TSL et différentes méthodes d’authentification et extensions.

4. Configuration et administration sécurisées

La configuration et l’administration ne sont pas couramment considérées comme une couche de sécurité. Cependant, les fonctionnalités de configurabilité offertes par le serveur et la configuration réelle effectuée par l’utilisateur jouent un rôle clé dans la sécurisation de votre MTA. Tout d’abord, l’administrateur doit se familiariser avec la solution, toutes ses fonctionnalités et tous ses défauts, le cas échéant. Le fichier exécutable du serveur doit prendre en charge la programmation sans fuites de mémoire, abandonner les privilèges root (uniquement sur les systèmes Unices) et bloquer toutes les demandes d’accès sauf celles pour les fichiers publics.

L’accès au fichier de configuration doit être accordé uniquement à l’administrateur. De plus, le fichier doit toujours être très spécifique, facile à comprendre et à modifier, tandis que toutes les valeurs par défaut doivent être sécurisées. Par exemple, une valeur par défaut permettant un relais ouvert représenterait une faille de sécurité majeure.

Modules d’administration alternatifs (interface web, interface en ligne de commande) doivent être fournis pour modifier la configuration du serveur. Il est également très important que toutes les connexions à ces modules soient effectuées via SSL. Pour vous assurer d’accéder en toute sécurité à ces modules, nous recommandons d’utiliser un serveur de messagerie avec un serveur HTTP propriétaire et un langage de script basé sur HTML.

Notre recommandation de sécurité la plus complète est de mettre en œuvre un système de “smart-hosting”. Un tel système consiste en plusieurs serveurs de messagerie installés sur différentes machines, chacun effectuant une tâche spécifique. Le serveur offrant la meilleure connexion et sécurité des protocoles devrait se concentrer sur la protection du pare-feu. Le deuxième devrait exécuter des paramètres de contrôle des e-mails (y compris des applications Antispam et Antivirus). Le troisième devrait être principalement axé sur la gestion des domaines. Cependant, le smart hosting peut nécessiter plus de ressources matérielles et logicielles que celles disponibles dans votre système.

Smart Hosting

Conclusions

L’aspect le plus important à garder à l’esprit est qu’il n’existe pas de sécurité à toute épreuve ; par conséquent, une protection optimale devrait remplacer la perfection. À chaque couche de sécurité, il existe des failles et des violations possibles. La solution consiste à choisir la meilleure configuration possible et à l’adapter aux besoins et à la topologie de votre réseau.

Pour plus d’informations, commentaires et questions, n’hésitez pas à visiter le site

AXIGEN

ou à contacter notre équipe de support (

[email protected] ).