HowTo: Konfiguration Spam-Filter und Gebrauch des Webinterface Securepoint Security Systems Version 2007nx Release 3
Inhalt 1 Konfiguration des Spam-Filters mit dem Securepoint Security Managers... 3 2 Spam Filter Konfigurations Oberfläche... 4 2.1 Allgemein... 4 2.2 Bayes Filter... 6 2.3 Regular Expressions... 7 2.4 Friends... 8 3 Verlauf einer E-Mail durch den Spam Filter... 9 4 Das Spam Filter Webinterface...10 4.1 Voraussetzungen...10 4.2 Zugang zum Spam Filter Webinterface...12 4.3 Das Webinterface in der Übersicht...13 4.4 Spalten der Tabelle...14 4.5 Aktionen im Ham Ordner...15 4.6 Aktionen im Spam Bereich...16 4.7 Aktionen im Deleted Bereich...17 4.8 Der Statistics Bereich...18 2
1 Konfiguration des Spam-Filters mit dem Securepoint Security Managers Die integrierte Securepoint Anti-Spam-Lösung filtert unerwünschte E-Mails (Spam) aus und setzt hierzu eine Kombination aus verschiedenen Verfahren ein, um eine möglichst hohe Erkennungsrate zu erzielen. Der Securepoint Spam-Filter untersucht jede E-Mail anhand von verschiedenen Kriterien und klassifiziert sie ab einer bestimmten Bewertung als Spam. Hierbei sind z.b. offensichtlich ungültige Absender, bekannte Spam-Textpassagen, HTML-Inhalt, in die Zukunft datierte Absendedaten... nur einige hier genannte Bewertungskriterien. Selbstlernender Spam-Filter Mit dem Bayes Filter erkennt das System selbstständig, mit einer Trefferquote von meist über 95%, Spam-E-Mails. Vom System fehlerhaft einsortierte E-Mails kann der Spam- Administrator nachsortieren, denn so lernt der Securepoint Spam-Filter während des Betriebs. Hierdurch wird die Trefferquote stetig erhöht. Diese Methode ist anderen konventionellen Verfahren mit Blacklists deutlich überlegen. Gleichzeitig wird schon so eine Virus-Vorerkennung durchgeführt. Noch bevor ein Virus- Pattern-Update verfügbar ist, ist die Wahrscheinlichkeit sehr hoch, dass der Securepoint Spam-Filter einen Mail-Virus erkennt und erst gar nicht zum Postfach durchlässt. Weitere Verfahren Relay Blocking Lists: In diesen Listen werden Hosts gelistet, die Spam versenden. Befindet sich die Server-IP des Mailsenders in diesen Listen, so wird die Mail abgelehnt. Die folgenden Listen werden verwendet. Sie befinden sich im Template /etc/mail/sendmail.mc bl.spamcop.net dialups.mail-abuse.org dnsbl.sorbs.net cn-kr.blackholes.us Relaying: Hier werden nur entsprechende E-Mails mit der angegebene Domain akzeptiert. E-Mail-Validierung: Auf der Firewall können Sie eine Validierung auf die entsprechende Email-Adresse vornehmen, dies kann über folgende Listen geschehen: ActiveDirectory Adressliste 3
2 Spam Filter Konfigurations Oberfläche Zum Spam Filter gelangen Sie über die Schaltfläche Applikationen und wählen dann die Registerkarte Spam Filter. Oder Sie wählen direkt über die Menüleiste Applikationen und in der Liste Spam Filter. Die Einstellungen teilen sich auf in Allgemein, Bayes Filter, Regular Expressions und Friends. 2.1 Allgemein Abb. 1 Spam Filter - allgemeine Einstellungen und Greylisting Bereich Mail-Einstellungen Feld Behalte E-Mails nicht länger als E-Mail-Body für Spam- Administrator sichtbar Spam-E-Mails für SMTP nur markieren nicht blocken Bedeutung Anzahl der Tage, die die E-Mails in der Datenbank gehalten werden. Der Spam-Administrator kann den Inhalt der E-Mail einsehen. Dies dient zur besseren Beurteilung von Spam-E-Mails. Hinweis: Beachten Sie die jeweiligen Datenschutzbestimmungen. Kann als Spam erkannte E-Mails entweder als solche kennzeichnen und weiterleiten oder diese Blocken. 4
Bereich Greylisting Beim Greylisting wird eine E-Mail von unbekannten Absendern beim ersten Empfang vom Server abgewiesen. Der SMTP-Client wird dann versuchen, die E-Mail nochmals zu versenden. Dies geschieht bei Massenversendungen meist nicht. Außerdem kann eine Whitelist geführt werden, die angibt, von welchen IP-Adressen E-Mails angenommen werden und somit das Greylisting umgehen. Die Whitelist betrifft nur das Greylisting und ist nicht zu verwechseln mit der Friendsliste. Ist das Greylisting aktiviert, prüft die Firewall nach dem Sender Policy Framework (SPF), ob eigehende E-Mails von gültigen E-Mailservern verschickt worden sind, soweit die Domain SPF Einträge hinterlegt hat. Feld Bedeutung Greylisting aktiviert Schaltet das Greylisting-Verfahren ein. Auto Whitelisting Führung einer dynamischen Liste von erfolgreich zugestellten E- Mails, die dann für die Anzahl der angegebenen Tage von dem Greylisting ausgenommen werden. Greylisting Verzögerung Zeitintervall in dem der Server eine Neuversendung erwartet. Whitelist IP-Adressen, von denen Mails empfangen werden dürfen. Löschen / Neu Löschen oder Hinzufügen von IP-Adressen zur statischen Whitelist. 5
2.2 Bayes Filter Der Bayes-Filter prüft anhand von klassifizierten/bewerteten Wörtern, ob die E-Mail eine Spam- oder Ham-E-Mail ist. Damit dieser Filter möglichst viel Spam identifiziert, muss der Filter über die Weboberfläche trainiert werden, indem E-Mails als Ham oder Spam klassifiziert werden. Durch dieses Klassifizieren lernt der Filter, welche Wörter eine Spam- oder Ham-E-Mail signalisieren. Abb. 2 Spam Filter - Bayes Filter Einstellungen Feld Anzahl der zu prüfenden Wörter Schwellenwert für Spam-Mail Faktor um Nicht-Spam abzugrenzen Anzahl der relevanten Wörter in einer E-Mail Minimale Wort-Größe (Buchstabenanzahl) Vorgabewerte Bedeutung Diese Anzahl von Wörtern wird in der E-Mail untersucht und daraus wird dann der Schwellenwert berechnet. Aus den untersuchten Wörtern wird ein Wert berechnet, der zwischen 1-99 liegt. Eine 1 bedeutet eine hohe Ham- Wahrscheinlichkeit. Eine 99 eine hohe Spam-Wahrscheinlichkeit. Der Wert, um das Ganze voneinander abzugrenzen, sollte etwa in der Mitte liegen. Multiplikator für die Wörter, die in der Ham- Datenbank stehen. Kommt im Bezug zum Ham wesentlich mehr Spam herein, so sollte dieser Wert auf 1 gestellt werden. Wie oft ein Wort in einer Mail vorgekommen sein muss, damit es in der Berechnung berücksichtigt wird. Anzahl der Buchstaben, die ein Wort haben muss, damit es bei der Berechnung berücksichtigt wird. Zurücksetzen der Werte auf Standardwerte. 6
2.3 Regular Expressions Reguläre Ausdrücke werden benutzt, um eine Menge von Wörtern oder Wortketten zu beschreiben, ohne alle Wörter einzeln zu benennen. Der Filter sucht in dem ausgewählten Bereich der E-Mail nach Wörtern, auf denen der angegebene reguläre Ausdruck passt und klassifiziert die E-Mail bei Übereinstimmung als Spam. Abb. 3 Spam Filter - Regular Expressions angeben 7
2.4 Friends In diesem Bereich können Sie E-Mails von der Spam-Behandlung mit dem Bayes Filter ausnehmen. Diese werden aber trotzdem auf Viren untersucht soweit die Virenuntersuchung aktiviert ist. Sie können auch eine Liste importieren, in der die erwünschten Absender aufgelistet sind. Abb. 4 Spam Filetr - Friendslist füllen Sie können auf vier verschiedene Arten erwünschte E-Mail definieren. Art Absender Empfänger IP-Adresse Mailserver Hostname erwünschte E-Mail vom Absender mit dieser E-Mail-Adresse für den Empfänger mit dieser E-Mail-Adresse von dieser IP-Adresse von diesem Mailserver bzw. Host 8
3 Verlauf einer E-Mail durch den Spam Filter MAIL Relay-Blocking-Listen in Blocking-Liste enthalten geblockt E-Mail-Validierung keine gültige Empfänger-Adresse Relaying Whitelist nicht in der Whitelist enthalten Greylisting Spam Milter nach wiederholter Zustellung in der Friendslist enthalten Friendslist Regular Expressions regulärer Ausdruck trifft zu Bayes-Filter Ham Virus gefunden Spam Virenprüfung Block Anhangprüfung unzulässiger Anhang Zustellen Abb. 5 E-Mail Abarbeitung 9
4 Das Spam Filter Webinterface Der Spam-Administrator kann sich im Spam Filter Webinterface anzeigen lassen, welche E- Mails als Ham und welche Mails als Spam klassifiziert wurden. Es kann auch überprüft werden, ob E-Mails fälschlicherweise als Spam deklariert worden sind und diese dann als Ham kennzeichnen und nochmals zu verschicken. Wichtig ist auch nicht erkannte Spam E-Mails aus dem Ham Bereich in den Spam Ordner zu schieben, um die Lernfunktion des Spam Filters zu trainieren. 4.1 Voraussetzungen Das Webinterface ist nur verfügbar, wenn der Webserver aktiviert ist. Überprüfen Sie den Status des Webservers, indem Sie im Security Manager auf das Icon Applikationen klicken und auf die Registerkarte Dienste Status wechseln. Ist hier der Dienst SERVICE_WEBSERVER mit einem X gekennzeichnet, dann ist der Dienst nicht aktiv. Aktivieren Sie den Dienst mit einem Doppelklick auf das X oder mit einem Rechtsklick auf das X und dem Kontextmenüeintrag Dienst starten. Abb. 6 Webserver Status überprüfen und ggf. den Dienst starten 10
Das Spam Filter Webinterface ist nur aus dem internen Netz zugänglich. Wenn das Webinterface auch aus anderen Netzen verfügbar sein soll, muss hierfür eine Regel angelegt werden. Klicken Sie im Security Manger auf das Icon Firewall. Auf der Registerkarte Portfilter sind die Firewall-Regeln aufgelistet. Klicken Sie auf das Icon Neu und erstellen Sie eine Regel für den Zugriff auf das Webinterface aus anderen Netzen. Der freizugebene Dienst liegt in der Dienstgruppe administration. Abb. 7 Spam Filter Webinterface für ein anderes als das interne Netz freigeben Weiterhin ist der Zugang nur für Benutzer freigegeben, die über die Gruppenmitgliedschaft Spam Filter Administrator verfügen. Klicken Sie im Security Manger auf das Icon Authentifizierung. Um einen neuen Benutzer anzulegen, klicken Sie auf das Icon Neu. Möchten Sie einem bestehenden Nutzer die Gruppenmitgliedschaft zuweisen, markieren Sie den entsprechenden Nutzer und klicken auf das Icon Bearbeiten. Aktivieren Sie auf der Registerkarte Gruppenmitgliedschaft die Checkbox Spam- Filter Administrator. Abb. 8 SpamFilter Administrator Mitgliedschaft zuweisen 11
4.2 Zugang zum Spam Filter Webinterface Das Spam Filter Interface erreicht man über einem Webbrowser unter der Adresse: https://interne_ip_der_firewall:11115/spamfilter/ Bsp.: https://192.168.4.1:11115/spamfilter/ Bei der ersten Verbindung werden Sie gefragt, ob Sie dem Zertifikat vertrauen wollen. Bestätigen Sie diese Anfrage. Melden Sie sich anschließend mit Ihrem Login-Namen und Ihrem Kennwort an. Abb. 9 Anmeldung im Mozilla Firefox Abb. 10 Anmeldung im MS Internet Explorer 12
4.3 Das Webinterface in der Übersicht Die Mails werden immer zeitlich geordnet (die neuste zuerst) angezeigt. Man kann aber mit mehreren Funktionen die Anzeige verändern. 1 2 3 4 6 Abb. 11 Bereiche des Webinterfaces 5 Bereich Beschreibung 1 Filter Im Filterbereich, kann die Liste nach Absender, Empfänger, Betreff, Land, mit Virus, gesendet, nicht gesendet gefiltert werden. Für einige Kriterien wird ein Muster benötigt, dafür steht ein Eingabefeld zur Verfügung. Die Filterung wird nach dem Betätigen des Search Buttons ausgeführt. Mit dem Button Reset kann die Auswahl zurückgesetzt werden. 2 Zeilen Standardmäßig werden pro Seite 10 Einträge angezeigt. Sie können die Einträge pro Seite zwischen 10 und 200 varriieren. Tragen Sie die gewünschte Anzahl ein und klicken auf Apply. 3 Ordner Die Anzeige ist in verschiedene Bereiche gegliedert: Ham für erkannte erwünschte E-Mails. Spam für erkannte unerwünschte E-Mails. Deleted für gelöschte E-Mails (durch den Administrator). Statisticts zeigt eine Statistik der Ham- und Spam-E-Mails in Abhängigkeit des Herkunftslandes an. Durch Klicken auf die Registerkarten gelangen Sie in die verschiedenen Ansichten. 4 Aktion Man kann für markierte E-Mails (Häkchen in der ersten Spalte) eine Aktion auswählen (verschieben, löschen, neu versenden). Mit der Checkbox all data on this page kann man auch alle Einträge der Seite auswählen bzw. abwählen. 13
Die Aktion wird erst ausgeführt, wenn der Button Execute gedrückt wird. 5 Seitennavigation Mit dem Eingabe Feld und dem Execute Button auf der linken Seite können Sie direkt zu der angegeben Seite springen. Mit den Schaltflächen in der Mitte können Sie mit den Doppelpfeilen vor und zurück blättern. Mit den Skip-Pfeilen springen Sie zur ersten bzw. letzten Seite. 6 Löschen Mit dem Button Delete all werden alle Einträge des Bereichs gelöscht und in den Deleted Ordner verschoben. Im Deleted Ordner werden die E-Mails unwiderruflich gelöscht. 4.4 Spalten der Tabelle Bezeichnung erste Spalte ID Type Date Bay CNTR Virus Sender Recipient Subject Action Delete Beschreibung Durch Klicken in das Kästchen werden E-Mails markiert. Schon markierte E-Mails werden durch nochmaliges Anklicken abgewählt. Fortlaufende Nummer der E-Mails. Ein Klick auf diese Nummer zeigt Details zu dieser E-Mail in einem extra Fenster (siehe Abb. 9). Typ der E-Mail. Datum und Zeit der E-Mail. Wahrscheinlichkeit dass es sich um Spam handelt. Berechnet durch den Bayes Filter. Herkunftsland der E-Mail. Zeigt an, ob die E-Mail mit einem Virus behaftet ist. Absender der E-Mail. Empfänger der E-Mail. Betreff der E-Mail. Aktionen, die mit der E-Mail vorgenommen werden können. Betrifft nur die jeweilige Mail. Löscht die E-Mail und verschiebt sie in den Deleted Ordner bzw. löscht sie unwiderruflich wenn die Aktion im Deleted Ordner ausgeführt wird. Abb. 12 Details einer E-Mail 14
4.5 Aktionen im Ham Ordner In den Spalten Action und Delete können folgende Aktionen ausgeführt werden: Versendet die E-Mail nochmals. Verschiebt die E-Mail in den Spam Ordner. Verschiebt die Mail in den Deleted Ordner. Mit markierten E-Mails können folgende Aktionen vorgenommen werden: Resend (only SMTP) Classify as spam and delete Classify as spam Versendet die E-Mail erneut. Kennzeichnet die E-Mail als Spam und verschiebt Sie in den Deleted Ordner. Kennzeichnet die E-Mail als Spam. Abb. 13 Webinterface - Ham Bereich 15
4.6 Aktionen im Spam Bereich In den Spalten Action und Delete können folgende Aktionen ausgeführt werden: Verschiebt die E-Mail in den Ham Ordner. Verschiebt die E-Mail in den Deleted Ordner. Mit markierten E-Mails können folgende Aktionen vorgenommen werden: Classify as ham Classify as ham and resend (only SMTP) Delete Kennzeichnet die E-Mail als Ham. Kennzeichnet die E-Mail als Ham und versendet sie erneut. Verschiebt die E-Mail in den Deleted Ordner. Abb. 14 Webinterface - Spam Bereich 16
4.7 Aktionen im Deleted Bereich In den Spalten Action und Delete können folgende Aktionen ausgeführt werden: Stellt die E-Mails wieder her und verschiebt sie in den jeweiligen Ordner. Löscht die E-Mail unwiderruflich. Mit markierten E-Mails können folgende Aktionen vorgenommen werden: Restore Irrevocable delete Stellt die E-Mails wieder her und verschiebt sie in den jeweiligen Ordner. Löscht die E-Mail unwiderruflich. Abb. 15 Webinterface - Deleted Bereich 17
4.8 Der Statistics Bereich Hier wird angezeigt aus welchen Ländern die meisten Spam-E-Mails und die meisten Ham- E-Mails empfangen wurden. Außerdem wird angezeigt aus welchen Land E-Mails, die mit einem Virus infiziert waren, empfangen wurden. Im Bereich Period können Sie die Statistik für gewählte Zeitintervalle generieren lassen. Das kleinste Zeitintervall ist ein Tag. Die Generierung wird mit der Schaltfläche Execute gestartet. Mit der Schaltfläche Reset wird das Zeitintervall zurückgesetzt. Abb. 16 Webinterface - Statistics Bereich 18