Как построить эффективную защиту почтового сервера

Многоуровневый подход к обеспечению безопасности вашей электронной почты

Когда речь идет о безопасности, связанной с почтовыми серверами, обычно ограничиваются мерами безопасности, применяемыми к сообщениям, и даже больше - защитой от вирусов и спама. Однако это всего лишь один этап в более сложном процессе обеспечения безопасности вашего сервера. Эта статья направлена на выявление и объяснение всех слоев безопасности, которые имеют большое значение при выборе определенного почтового сервера и, следовательно, при его настройке и использовании.

1. Обеспечение безопасности соединений почтового сервера

При использовании вновь установленного почтового сервера администраторам следует сначала убедиться, что они используют безопасные соединения. Существует две основные возможности для обеспечения безопасности соединений: шифрование и правила, подобные правилам брандмауэра.

Методы кодирования постоянно развивались по мере того, как Интернет стал предпочтительным средством для передачи данных. Наиболее часто используемыми методами шифрования являются SSL (Secure Sockets Layer) и TLS (Transport Layer Security). Однако неправильное использование шифрования часто приводит к нарушениям безопасности. Наиболее распространенные примеры - это веб-страницы, содержащие как защищенную, так и незащищенную информацию, или коммуникации, защищенные только после входа через обычную страницу входа.

Правила, подобные правилам брандмауэра

, применяемые на уровне сервера, рекомендуется использовать для поддержки существующего брандмауэра или замены его, когда он недоступен. Они могут накладывать ограничения как на установленные соединения, так и на хостируемый трафик. Мы рекомендуем создавать правила разрешения/запрета как глобально (применяемые ко всем протоколам и слушателям), так и специально для каждого слушателя, чтобы предотвратить атаки, такие как DOS (отказ в обслуживании).

2. Обеспечение безопасности протоколов почтового сервера

После обеспечения безопасности первого этапа передачи электронной почты следующим шагом будет обеспечение безопасности протоколов.

Рекомендуемые шаги: использовать несколько слушателей для каждого интерфейса и соотнести их с определенными правилами разрешения и запрета. Также ограничение количества ошибок соединения и аутентификации, максимальное количество команд или установка тайм-аута для ваших сессий могут помочь защитить ваш сервер от дальнейших атак DOS.

Для дальнейшего повышения безопасности протоколов мы рекомендуем правила контроля клиентов, основанные на адресе отправителя или получателя и определенных ограничениях по количеству и размеру электронных сообщений.

Аутентификация также имеет большое значение на уровне протокола. Реализуя несколько методов аутентификации, либо простых (plain, login, CRAM-MD5), либо сложных (GSSAPI, Kerberos), почтовый сервер повышает безопасность коммуникации и лучше защищен от атак и несанкционированного доступа.

Другие эффективные решения на уровне протокола включают в себя обеспечение соответствия вашего почтового сервера RFC и предотвращение зацикливания электронной почты (очень простой метод - установить максимальное количество заголовков “Received” на одно электронное сообщение).

3. Обеспечение безопасности параметров контроля электронной почты

Помимо использования различных приложений для борьбы со спамом и вирусами, есть дополнительные действия, которые следует учитывать, когда речь идет о безопасности, основанной на контроле электронной почты. Одним из очень удобных вариантов будет использование серых списков. Серый список - это, по сути, запрос на повторную отправку электронной почты после временного отклонения письма. Сервер сохраняет в списке IP-адрес отправителя и получателя и возвращает временную ошибку. Все действительные серверы затем повторно отправят электронные письма, в отличие от спам-скриптов. Однако обратите внимание, что многие серверы в настоящее время не могут различить временную и постоянную ошибку.

Контроль хоста

• это еще один простой способ гарантировать, что только действительные электронные письма будут обрабатываться вашим почтовым сервером. Два известных метода - это SPF (Sender Policy Framework) и черные списки на основе DNS. SPF-записи - это публичные данные, публикуемые доменами на DNS-серверах. Обычно они указывают и подтверждают реальные адреса доменов. Используя проверки SPF, вы можете успешно предотвратить спам и обратные письма.

Черные списки могут быть либо публичными (бесплатными), либо частными и обычно содержат IP-адреса открытых релейных серверов, открытых прокси и провайдеров, не фильтрующих спам. Ваш сервер должен быть настроен так, чтобы запрашивать такие списки и не принимать соединения, инициированные IP-адресами, включенными в них. Если один из ваших серверов ошибочно попадает в такой список, для его удаления вам может понадобиться заполнить онлайн-форму, связаться с администраторами списка или, в более серьезных ситуациях, изменить ваш IP.

Более сложным методом аутентификации является DKIM (Domain Keys Identified Mail Signature). Реализованный Yahoo и поддерживаемый Google, Cisco, Sendmail, PGP, DKIM имеет значительные шансы стать стандартным методом аутентификации. Заголовок электронной почты содержит зашифрованную подпись и, в свою очередь, зашифрован, указывая на зашифрованный ключ, опубликованный на DNS-серверах отправляющего домена. Сервер, обрабатывающий электронную почту, будет использовать этот ключ для декодирования тела письма. Если расшифровка успешна, то электронное письмо действительно.

Правила реле

иногда могут стать решающим фактором между защищенным и незащищенным сервером. Наша первая рекомендация - никогда не принимать открытое реле, так как это может легко привести к вашему внесению в черный список. Поэтому вам следует реализовать несколько правил реле, основанных на адресе отправителя/адресе получателя, или реле только для аутентифицированных пользователей. При выборе почтового сервера вы должны убедиться, что он имеет следующие функции: позволяет создавать правила реле, конфигурируемая аутентификация домена, настраиваемый интерфейс отправки, поддерживает SSL/TSL и различные методы аутентификации и расширения.

4. Безопасная конфигурация и администрирование

Конфигурация и администрирование обычно не рассматриваются как слой безопасности. Однако функции конфигурируемости, предлагаемые сервером, и фактическая конфигурация, выполненная пользователем, играют ключевую роль в обеспечении безопасности вашего MTA. Во-первых, администратору следует ознакомиться с решением, всеми его функциями и всеми его недостатками, если таковые имеются. Исполняемый файл сервера должен поддерживать программирование без утечек памяти, сбрасывать привилегии root (только на системах Unices) и блокировать все запросы на доступ, кроме тех, что касаются публичных файлов.

Доступ к конфигурационному файлу должен предоставляться только администратору. Более того, файл всегда должен быть очень специфичным, легко понимаемым и модифицируемым, при этом все значения по умолчанию должны быть безопасными. Например, значение по умолчанию, позволяющее открытое реле, будет представлять собой серьезный недостаток безопасности.

Альтернативные модули администрирования (веб-интерфейс, интерфейс командной строки) должны быть предоставлены для изменения конфигурации сервера. Также очень важно, чтобы все соединения с этими модулями осуществлялись через SSL. Чтобы убедиться, что вы безопасно получаете доступ к этим модулям, мы рекомендуем использовать почтовый сервер с проприетарным HTTP-сервером и языком сценариев на основе HTML.

Наше самое полное рекомендация по безопасности - это реализация системы “умного хостинга”. Такая система состоит из нескольких почтовых серверов, установленных на разных машинах, каждый из которых выполняет определенную задачу. Сервер, предлагающий наилучшее соединение и безопасность протокола, должен сосредоточиться на защите брандмауэра. Второй должен управлять параметрами контроля электронной почты (включая приложения для борьбы со спамом и вирусами). Третий должен быть в основном сосредоточен на управлении доменом. Однако умный хостинг может потребовать больше аппаратных и программных ресурсов, чем те, которые доступны в вашей системе.

Умный хостинг

Заключение

Самый важный аспект, который следует помнить, заключается в том, что нет абсолютно надежной безопасности; поэтому оптимальная защита должна заменить совершенство. На каждом уровне безопасности возможны недостатки и нарушения. Решение заключается в выборе наилучшей конфигурации и ее адаптации к потребностям и топологии вашей сети.

Для получения дополнительной информации, комментариев и вопросов, пожалуйста, не стесняйтесь посетить сайт AXIGEN или написать в нашу службу поддержки ( [email protected] ).