Como Construir uma Defesa Eficaz para Servidores de Email

Uma abordagem em múltiplas etapas para proteger sua comunicação por email

Ao falar sobre segurança relacionada a servidores de email, tende-se a limitar a questão às medidas de segurança aplicadas às mensagens, e ainda mais à proteção contra Antivirus e Antispam. No entanto, isso é apenas uma etapa no processo mais complexo de proteger seu servidor. Este artigo tem como objetivo identificar e explicar todas as camadas de segurança, altamente importantes ao escolher um determinado servidor de email e, consequentemente, ao configurá-lo e usá-lo.

1. Protegendo as conexões do servidor de email

Ao usar um servidor de email recém-instalado, os administradores devem primeiro garantir que utilizam conexões seguras. Existem duas possibilidades principais para proteger conexões: criptografia e regras semelhantes a firewall.

Métodos de codificação têm sido continuamente desenvolvidos à medida que a Internet se tornou o meio preferido para transferências de dados. Os métodos de criptografia mais comumente usados são SSL (Secure Sockets Layer) e TLS (Transport Layer Security). No entanto, o uso incorreto da criptografia muitas vezes leva a brechas de segurança. Exemplos comuns são páginas da web que contêm informações tanto seguras quanto não seguras ou comunicações que são seguras apenas após o login via uma página de login simples.

Regras semelhantes a firewall

impostas no nível do servidor são recomendadas para complementar um Firewall existente ou substituí-lo quando um não está disponível. Elas podem impor limitações tanto em conexões estabelecidas quanto no tráfego hospedado. Recomendamos criar regras de permitir/negar tanto globalmente (aplicadas a todos os protocolos e ouvintes) quanto especificamente para cada ouvinte, a fim de prevenir ataques como DOS (Negação de Serviço).

2. Protegendo os protocolos do servidor de email

Após proteger a primeira etapa de uma transferência de email, a próxima ação a ser tomada seria proteger os protocolos.

Os passos recomendados são usar múltiplos ouvintes para cada interface e correlacioná-los com certas regras de permitir e negar. Além disso, limitar o número de erros de conexão e autenticação, o número máximo de comandos ou definir um tempo limite para suas sessões pode ajudar a proteger seu servidor de novos ataques de DOS.

Para aprimorar ainda mais a segurança do protocolo, recomendamos regras de controle de cliente, baseadas no endereço do remetente ou do destinatário e certas limitações quanto ao número e tamanho das mensagens de email.

A autenticação também é altamente importante no nível do protocolo. Ao implementar vários métodos de autenticação, seja simples (plain, login, CRAM-MD5) ou complexos (GSSAPI, Kerberos), o servidor de email melhora a segurança da comunicação e está melhor equipado contra ataques e acessos não autorizados.

Outras soluções eficientes em nível de protocolo são garantir que seu servidor de email seja compatível com RFC e prevenir looping de email (um método muito simples seria definir um número máximo de cabeçalhos “Received” por email).

3. Protegendo os parâmetros de controle de email

Além de usar diferentes aplicações Antispam e Antivirus, há outras ações que você deve ter em mente onde a segurança baseada em controle de email é concernente. Uma opção muito útil seria usar

listas cinzas.

A lista cinza é basicamente um pedido para que o email seja reenviado, após rejeitar temporariamente o email. O servidor salva em uma lista o IP do remetente e o destinatário e retorna um erro temporário. Todos os servidores válidos então reenviarão os emails, ao contrário de scripts de spam. No entanto, observe que muitos servidores não conseguem diferenciar neste momento entre um erro temporário e um permanente.

Controle de host

é outra maneira fácil de garantir que apenas emails válidos sejam processados pelo seu servidor de email. Dois métodos bem conhecidos são

SPF (Sender Policy Framework) e

listas negras baseadas em DNS. Os registros SPF são detalhes públicos publicados por domínios dentro de servidores DNS. Geralmente, eles apontam e confirmam os endereços reais dos domínios. Ao usar verificações SPF, você pode prevenir com sucesso spam e emails de retrocesso.

As listas negras podem ser públicas (gratuitas) ou privadas e geralmente contêm endereços IP de servidores de retransmissão abertos, proxies abertos e ISPs sem filtragem de spam. Seu servidor precisa ser configurado para solicitar essas listas e não aceitar conexões iniciadas por endereços IP incluídos nelas. Se um de seus servidores for listado erroneamente, para ser removido de tal lista, você pode precisar preencher um formulário online, contatar os administradores da lista ou, em situações mais severas, mudar seu IP.

Um método de autenticação mais complexo é

DKIM (Domain Keys Identified Mail Signature).

Implementado pelo Yahoo e suportado pelo Google, Cisco, Sendmail, PGP, o DKIM tem chances consideráveis de se tornar o método padrão de autenticação. O cabeçalho do email contém uma assinatura criptografada e é, por sua vez, criptografado, apontando para uma chave criptografada, publicada em servidores DNS pelo domínio remetente. O servidor que processa o email usará essa chave para decodificar o corpo do email. Se a decriptação for bem-sucedida, então o email é válido.

Regras de retransmissão podem às vezes fazer a diferença entre um servidor seguro e um não seguro. Nossa primeira recomendação é nunca aceitar retransmissão aberta, pois isso pode facilmente fazer com que você seja listado como spam. Portanto, você deve implementar algumas regras de retransmissão, baseadas no endereço do remetente/endereço do destinatário, ou retransmitir apenas para usuários autenticados. Ao selecionar seu servidor de email, você deve garantir que ele tenha os seguintes recursos: permite criar regras de retransmissão, a autenticação de domínio é configurável, a interface de envio é personalizável, suporta SSL/TSL e diferentes métodos e extensões de autenticação.

4. Configuração e administração seguras

A configuração e a administração não são comumente consideradas como uma camada de segurança. No entanto, os recursos de configurabilidade oferecidos pelo servidor e a configuração real feita pelo usuário desempenham um papel fundamental na segurança do seu MTA. Primeiramente, o administrador deve se familiarizar com a solução, todos os seus recursos e todas as suas falhas, se houver. O

arquivo executável do servidor

precisa suportar programação sem vazamentos de memória, derrubando privilégios de root (apenas em sistemas Unices), e bloqueando todos os pedidos de acesso, exceto aqueles para arquivos públicos.

O acesso ao

arquivo de configuração deve ser concedido apenas ao administrador. Além disso, o arquivo deve sempre ser muito específico, fácil de entender e modificar, enquanto todos os valores padrão devem ser seguros. Por exemplo, um valor padrão que permita retransmissão aberta representaria uma falha de segurança significativa.

Módulos de administração alternativos

(interface web, interface de linha de comando) devem ser fornecidos para modificar a configuração do servidor. Também é altamente importante que todas as conexões a esses módulos sejam feitas através de SSL. Para garantir que você acesse esses módulos de forma segura, recomendamos usar um servidor de email com

servidor HTTP proprietário e

linguagem de script baseada em HTML.

Nossa recomendação de segurança mais completa é implementar um

sistema de “smart-hosting”.

Tal sistema consiste em vários servidores de email instalados em diferentes máquinas, cada um realizando uma tarefa específica. O servidor que oferece a melhor conexão e segurança de protocolo deve estar focado na proteção do firewall. O segundo deve executar parâmetros de controle de email (incluindo aplicações Antispam e Antivirus). O terceiro deve estar principalmente focado na gestão de domínios. No entanto, o smart hosting pode exigir mais recursos de hardware e software do que os disponíveis em seu sistema.

Smart Hosting

Conclusões

O aspecto mais importante que você deve ter em mente é que não existe segurança à prova de falhas; portanto, uma proteção ótima deve substituir a perfeição. Em cada camada de segurança, existem possíveis falhas e brechas. A solução é escolher a melhor configuração possível e adaptá-la às necessidades e topologia da sua rede.

Para mais informações, comentários e perguntas, sinta-se à vontade para visitar o

site da AXIGEN

ou enviar uma mensagem para nossa equipe de suporte (

[email protected] ).