Come Costruire una Difesa Efficace per il Server di Posta

Un approccio multi-fase per proteggere la tua comunicazione email

Quando si parla di sicurezza relativa ai server di posta, si tende a limitare la questione alle misure di sicurezza applicate ai messaggi, e ancor di più alla protezione Antivirus e Antispam. Tuttavia, questa è solo una fase nel processo più complesso di protezione del tuo server. Questo articolo mira a identificare e spiegare tutti i livelli di sicurezza, altamente importanti quando si sceglie un certo server di posta e di conseguenza quando lo si configura e utilizza.

1. Proteggere le connessioni del server di posta

Quando si utilizza un server di posta appena installato, gli amministratori dovrebbero prima assicurarsi di utilizzare connessioni sicure. Ci sono due principali possibilità per proteggere le connessioni: crittografia e regole simili a firewall.

I metodi di codifica sono stati continuamente sviluppati man mano che Internet è diventato il mezzo preferito per i trasferimenti di dati. I metodi di crittografia più comunemente usati sono SSL (Secure Sockets Layer) e TLS (Transport Layer Security). Tuttavia, un uso errato della crittografia porta spesso a violazioni della sicurezza. Gli esempi più comuni sono le pagine web che contengono sia informazioni protette che non protette o comunicazioni protette solo dopo il login tramite una pagina di login semplice.

Regole simili a firewall

imposte a livello di server sono raccomandate per supportare un firewall esistente o sostituirlo quando non è disponibile. Possono imporre limitazioni sia sulle connessioni stabilite che sul traffico ospitato. Raccomandiamo di creare regole di autorizzazione/negazione sia a livello globale (applicate a tutti i protocolli e ascoltatori) che specificamente per ogni ascoltatore al fine di prevenire attacchi come DOS (Denial of service).

2. Proteggere i protocolli del server di posta

Dopo aver protetto la prima fase di un trasferimento email, la prossima azione da intraprendere sarebbe quella di proteggere i protocolli.

I passaggi raccomandati sono utilizzare ascoltatori multipli per ogni interfaccia e correlare questi con determinate regole di autorizzazione e negazione. Inoltre, limitare il numero di errori di connessione e autenticazione, il numero massimo di comandi o impostare un timeout per le tue sessioni può aiutare a proteggere il tuo server da ulteriori attacchi DOS.

Per migliorare ulteriormente la sicurezza dei protocolli, raccomandiamo regole di controllo client, basate sull’indirizzo del mittente o del destinatario e su determinate limitazioni riguardanti il numero e la dimensione dei messaggi email.

L’autenticazione è anche molto importante a livello di protocollo. Implementando diversi metodi di autenticazione, sia semplici (plain, login, CRAM-MD5), sia complessi (GSSAPI, Kerberos), il server di posta migliora la sicurezza della comunicazione ed è meglio attrezzato contro attacchi e accessi non autorizzati.

Altre soluzioni efficienti a livello di protocollo sono assicurarsi che il tuo server di posta sia RFC compliant e prevenire email looping (un metodo molto semplice sarebbe impostare un numero massimo di intestazioni “Received” per email).

3. Proteggere i parametri di controllo email

Oltre a utilizzare diverse applicazioni Antispam e Antivirus, ci sono ulteriori azioni da tenere a mente per quanto riguarda la sicurezza basata sul controllo delle email. Un’opzione molto utile sarebbe utilizzare gray lists. La gray listing è fondamentalmente una richiesta di far rinviare l’email, dopo aver rifiutato temporaneamente l’email. Il server salva in un elenco l’IP del mittente e il destinatario e restituisce un errore temporaneo. Tutti i server validi rinvieranno quindi le email, a differenza degli script di spam. Si prega di notare, tuttavia, che molti server non possono differenziare in questo momento tra un errore temporaneo e uno permanente.

Controllo host

è un altro modo semplice per garantire che solo le email valide siano ulteriormente elaborate dal tuo server di posta. Due metodi ben noti sono SPF (Sender Policy Framework) e DNS based black hole lists. I record SPF sono dettagli pubblici pubblicati dai domini all’interno dei server DNS. Di solito puntano e confermano i veri indirizzi dei domini. Utilizzando i controlli SPF, puoi prevenire con successo spam e email di back-scatter.

Le liste nere possono essere pubbliche (gratuite) o private e di solito contengono indirizzi IP di server open-relay, proxy aperti e ISP senza filtraggio dello spam. Il tuo server deve essere configurato in modo da richiedere tali liste e non accettare connessioni avviate da indirizzi IP inclusi in esse. Se uno dei tuoi server viene erroneamente elencato, per essere rimosso da tale lista, potresti dover compilare un modulo online, contattare gli amministratori della lista o, in situazioni più gravi, cambiare il tuo IP.

Un metodo di autenticazione più complesso è DKIM (Domain Keys Identified Mail Signature). Implementato da Yahoo e supportato da Google, Cisco, Sendmail, PGP, DKIM ha buone possibilità di diventare il metodo di autenticazione standard. L’intestazione dell’email contiene una firma crittografata ed è a sua volta crittografata, puntando a una chiave crittografata, pubblicata sui server DNS dal dominio mittente. Il server che elabora l’email utilizzerà questa chiave per decodificare il corpo dell’email. Se la decrittazione ha successo, allora l’email è valida.

Regole di relay

possono talvolta fare la differenza tra un server protetto e uno non protetto. La nostra prima raccomandazione è di non accettare mai il relay aperto, poiché può facilmente portarti a essere inserito in una lista nera. Pertanto, dovresti implementare alcune regole di relay, basate sull’indirizzo del mittente/destinatario, o relay solo per utenti autenticati. Quando selezioni il tuo server di posta, dovresti assicurarti che abbia le seguenti caratteristiche: consente di creare regole di relay, l’autenticazione del dominio è configurabile, l’interfaccia di invio è personalizzabile, supporta SSL/TSL e diversi metodi di autenticazione e estensioni.

4. Configurazione e amministrazione sicure

La configurazione e l’amministrazione non sono comunemente considerate un livello di sicurezza. Tuttavia, le funzionalità di configurabilità offerte dal server e la configurazione effettiva effettuata dall’utente giocano un ruolo chiave nella protezione del tuo MTA. Innanzitutto, l’amministratore dovrebbe familiarizzare con la soluzione, tutte le sue funzionalità e tutti i suoi difetti, se presenti. Il file eseguibile del server deve supportare la programmazione senza perdite di memoria, la riduzione dei privilegi di root (solo su sistemi Unices) e il blocco di tutte le richieste di accesso tranne quelle per file pubblici.

L’accesso al file di configurazione dovrebbe essere concesso solo all’amministratore. Inoltre, il file dovrebbe sempre essere molto specifico, facile da comprendere e modificare, mentre tutti i valori predefiniti dovrebbero essere sicuri. Ad esempio, un valore predefinito che consente il relay aperto rappresenterebbe un grave difetto di sicurezza.

Moduli di amministrazione alternativi (interfaccia web, interfaccia a riga di comando) dovrebbero essere forniti per modificare la configurazione del server. È anche molto importante che tutte le connessioni a questi moduli siano effettuate tramite SSL. Per assicurarti di accedere in modo sicuro a questi moduli, ti raccomandiamo di utilizzare un server di posta con server HTTP proprietario e linguaggio di scripting basato su HTML.

La nostra raccomandazione di sicurezza più completa è implementare un sistema di “smart-hosting”. Un tale sistema consiste in diversi server di posta installati su macchine diverse, ciascuno dei quali svolge un compito specifico. Il server che offre la migliore sicurezza di connessione e protocollo dovrebbe concentrarsi sulla protezione del firewall. Il secondo dovrebbe gestire i parametri di controllo delle email (inclusi le applicazioni Antispam e Antivirus). Il terzo dovrebbe essere principalmente focalizzato sulla gestione del dominio. Tuttavia, lo smart hosting potrebbe richiedere più risorse hardware e software di quelle disponibili nel tuo sistema.

Smart Hosting

Conclusioni

L’aspetto più importante da tenere a mente è che non esiste una sicurezza a prova di errore; pertanto, una protezione ottimale dovrebbe sostituire la perfezione. A ciascun livello di sicurezza, ci sono possibili difetti e violazioni. La soluzione è scegliere la configurazione migliore possibile e adattarla alle esigenze e alla topologia della tua rete.

Per ulteriori informazioni, commenti e domande, ti preghiamo di visitare il sito AXIGEN o di contattare il nostro team di supporto (email protected).