ESET MAIL SECURITY FÜR MICROSOFT EXCHANGE SERVER Best Practices für ESET Mail Security für Exchange Microsoft Server 2000 / 2003 / 2008 / 2008 R2 / 2012 / 2012 R2
ESET MAIL SECURITY Copyright 2015 von ESET, spol. s r. o. ESET Mail Security wurde entwickelt von ESET, spol. s r. o. Nähere Informationen finden Sie unter www.eset.de. Alle Rechte vorbehalten. Kein Teil dieser Dokumentation darf ohne schriftliche Einwilligung des Verfassers reproduziert, in einem Abrufsystem gespeichert oder in irgendeiner Form oder auf irgendeine Weise weitergegeben werden, sei es elektronisch, mechanisch, durch Fotokopien, Aufnehmen, Scannen oder auf andere Art. ESET, spol. s r. o. behält sich das Recht vor, ohne vorherige Ankündigung an jedem der hier beschriebenen Software-Produkte Änderungen vorzunehmen. Weltweiter Support: www.eset.de/support Versionsstand 3/4/2015
Inhalt 1. Einleitung...4 2. Installationsvorbereitung...5 3. Grundkonfiguration...6 4. Erweiterte...7 Konfiguration (optional): 4.1 Umgang...7 mit Spam-E-Mails 4.2 Spam-Schutz-Feineinstellungen...9 5. Weitere...11 Informationen 5.1 Arbeitsweise...11 des Virenscanner-Moduls für Exchange 5.2 Analyse...11 des Spam-Logs 5.3 Einrichtung...12 von EMSX auf einem Terminalserver 5.4 Regeln...12 (spezielle Filterfunktionen) 5.5 FAQ...13 5.6 Troubleshooting...13 5.6.1 Diagnose aller eingehenden E-Mails des ESET Transport-Agents...13 5.6.2 EMSX...14 prüft eingehende E-Mails nicht auf Spam 5.6.3 Deinstallation / Upgrade auf neue Programmversion schlägt...15 fehl 5.6.4 Deregistrierung der ESET Transport-Agent schlägt während...15 Deinstallation / Upgrade fehl 5.6.5 Mails werden geblockt obwohl in EMSX kein entsprechender...15 Logeintrag vorhanden ist 5.6.6 E-Mails werden laut AntiSpam-Log wegen DNSBL geblockt...16 5.6.7 EMSX erhält keine Spam-Signaturen / Spamerkennung nimmt...16 nach einiger Zeit ab 5.6.8 Vorgenommene Änderungen im Transport-Agent Modul...16 werden nicht angewendet 5.6.9 Anzahl der Postfächer ist überschritten oder abgelaufen...17
1. Einleitung Dieses Dokument beschreibt die Installation und erklärt die grundlegenden Konfigurationen sowie Tipps und Tricks für ESET Mail Security für Exchange Server. Es richtet sich in erste Linie an Benutzer, die bisher noch keine oder wenig Erfahrungen mit ESET Mail Security für Exchange Server gesammelt haben. Die folgenden Bezeichnungen werden in diesem Dokument verwendet: 4 EMSX ESET Mail Security for Exchange SCL Spam Score Level (siehe Kapitel Spam-Schutz-Feineinstellungen ERA ESET Remote Administrator 9 )
2. Installationsvorbereitung EMSX ist ein vollständiges Antivirenprogramm mit Echtzeitdateischutz und E-Mail-Prüfung. Eine separate Installation von ESET File Security oder eines weiteren Antivirenprogramms ist nicht erforderlich. EMSX unterstützt Microsoft Exchange Server ab Version 5.5. Das Installationspaket für EMSX finden hier: http://www.eset.com/de/download/business/detail/family/50/?installer=offline Wenn Sie die Installationsdatei heruntergeladen haben, führen Sie diese aus und befolgen die Anweisungen des Installationsassistenten. Dieser führt Sie durch die Installation. 5
3. Grundkonfiguration Nachdem Sie EMSX erfolgreich installiert haben, starten Sie die Software, indem Sie auf das ESET-Symbol in der Taskleiste klicken. ESET empfiehlt grundsätzlich die in diesem Abschnitt folgenden Einstellungen. Öffnen Sie zunächst die erweiterten Einstellungen (Taste F5). Wählen Sie Server-Schutz > Spam-Schutz > Microsoft Exchange Server > Transport-Agent: Aktion für Spam-EMails und im Dropdownmenu Nachricht behalten. Diese Einstellung bewirkt, dass E-Mails, die als Spam erkannt werden, im Spam-Ordner des Nutzers abgelegt werden. Nehmen Sie diese Einstellung nicht vor, werden Spam-E-Mails direkt in das Quarantäne-Postfach umgeleitet. Der Nutzer hat so keine Möglichkeit, zu prüfen, ob es sich tatsächlich um Spam handelt. Belassen Sie unter Update den Update Server auf Automatisch auswählen und tragen die EAV-Nummer und das Passwort der Exchange Lizenz ein. Updates für ESMX sollten nicht über einen Update-Mirror geladen werden, da diese keine Aktualisierungen für die Spam-Erkennungsengine beinhalten. Unter Allgemein > Lizenzen fügen Sie bitte ausschließlich die MailSecurity.lic Lizenzdatei ein. Im Normalfall muss die Lizenzdatei nur erneuert werden, wenn die Lizenz verlängert oder vergrößert wird. Ohne die Lizenzdatei sind Ihre Postfächer nicht geschützt. Hinweis: Andere ERA-Lizenzdateien (ERA-MailSecurity.lic, ERA-Endpoint.lic), sind ausschließlich für den ESET Remote Administrator bestimmt. Unter Allgemein > Remote Administration geben Sie bei Serveradresse die IP oder den Hostnamen des ERA-Servers an. So können Sie EMSX genau wie die anderen ESET-Produkte in Ihrem Netzwerk zentral vom ERA aus bedienen und verwalten. Wurde ESMX via Push-Installation installiert, ist dieser Wert bereits gesetzt. Tipp: Um das Zeitintervall bei der Verbindung mit dem Server zu verkürzen, tragen Sie bei Intervall für Verbindungsaufnahme zum Server (min.) 2 oder 1 ein. 6
4. Erweiterte Konfiguration (optional): 4.1 Umgang mit Spam-E-Mails Nach Abschluss der Standardinstallation ist die Konfiguration des Spam-Filters üblicherweise der letzte notwendige Schritt. Öffnen Sie hierzu die erweiterten Einstellungen (Taste F5) und wählen Sie Server-Schutz > Spam Schutz > Microsoft Exchange Server > Transport-Agent. Dort gibt es drei Optionen - Nachricht behalten (empfohlen) Bei Wahl dieser Option werden Spam-E-Mails zugestellt, und werden im Normalfall in den Outlook-Ordner Junk-E-Mail einsortiert. Der Nutzer kann so manuell prüfen, ob es sich tatsächlich um Spam handelt. (Die Option Spam-Score in den Header geprüfter Nachrichten schreiben sollte aktiv bleiben.) - Nachricht in Quarantäne verschieben Mit dieser Option werden als Spam klassifizierte E-Mails in ein Quarantäne-Postfach oder einen Quarantäne-Ordner verschoben. Der Administrator hat dann die Aufgabe, die Spam-E-Mails zentral zu verwalten. Gehen Sie anschließend in die erweiterten Einstellungen (Taste F5) und tragen Sie unter Server-Schutz > Quarantäne für Nachrichten die E-Mail-Adresse von dem Postfach oder mailaktivierten öffentlichen Ordner ein, an welches die eingehenden Spam-E-Mails weitergeleitet werden sollen. Achtung: Wenn Sie hier keine E-Mail-Adresse eintragen, werden E-Mails unwiderruflich gelöscht. Nur der Absender wird über die Unzustellbarkeit informiert. Möchten Sie alternativ die Exchange-Quarantäne verwenden, können Sie in der Exchange-Verwaltungsshell mit Set-ContentFilterConfig -QuarantineMailbox name@domain.com die Quarantäne in Exchange aktivieren und Nachricht in Quarantäne des E-Mail-Servers verschieben auswählen. 7
- Nachricht löschen. (nicht empfohlen) Wenn Sie diese Option wählen, werden als Spam-E-Mail klassifizierte E-Mails sofort gelöscht und weder dem Empfänger noch einem Administrator zur Prüfung vorgelegt. Trotz der sehr guten Quote, mit der Spam-E-Mails erkannt werden (99,9%), kann es zu Fehlerkennungen kommen. Aus diesem Grund wird davon abgeraten, diese Option zu wählen. Die Option Greylisting trägt dazu bei, ein hohes Spam-Aufkommen weiter zu reduzieren. Durch Greylisting werden alle eingehenden E-Mails zunächst abgelehnt. Der Provider wird mittels SMTP-Reject 451 4.7.1 Please try again later dazu aufgefordert, die E-Mail später noch einmal zuzustellen. Vorteil Die meisten Spam-Versender unternehmen keinen zweiten Zustellversuch. Die SpamE-Mails kommen so gar nicht erst bei dem Empfänger an. Nachteil Falsch konfigurierte Mail-Server beim Provider/ Mail-Relays und lokale POPKonnektoren könnten den Wert 451 4.7.1 falsch auswerten und die E-Mail verwerfen. Mit Hilfe von drei Schwellenwerten lässt sich das Verhalten genau anpassen. - Der erste Wert (Zeitlimit für Abweisen des ersten Zustellversuchs (Min.) Standardwert 10) gibt an, ab wann (in Minuten) ein nächster Zustellversuch zugelassen wird. Dieser Wert ist auch die Mindestverzögerung, mit der E-Mails beim Empfänger eintreffen. - Der zweite Wert (Ablauf nicht verifizierter Verbindungen nach (Stunden) Standardwert 6) gibt an, wie lange (in Stunden) ein absendender Server Zeit hat, einen nächsten Zustellversuch zu unternehmen. - Der dritte Wert (Ablauf verifizierter Verbindungen nach (Tagen) Standardwert 36) gibt an, wie viele Tage ein verifizierter Server in der Liste der verifizierter Server verbleibt, ohne eine erneute E-Mail zu senden. Nach Ablauf dieser Zeit, muss der absendende Server die Greylisting-Prüfung erneut durchlaufen. 8
4.2 Spam-Schutz-Feineinstellungen In diesem Abschnitt stellen wir einige speziellere Einstellungsmöglichkeiten des Spam-Schutzes vor. In den erweiterten Einstellungen (Taste F5) gehen Sie zu Server-Schutz > Spam-Schutz > Spam-Schutz-Engine > Einstellungen Die Abbildung zeigt auf der linken Seite die gesetzten Werte im Konfigurationseditor des ERA. Auf der rechten Seite sehen Sie die Werte direkt in den erweiterten Einstellungen von ESMX. Im Folgenden werden einige Einstellungen im Detail erklärt: 1. Whitelist Filterung > Zugelassene Absender: Hier können Mailadressen und Domains (z.b. eset.de ) angegeben werden, Platzhalter wie * sind nicht erlaubt. Mehrere Adressen können nacheinander (durch Kommas getrennt) eingetragen werden. 2. Blacklist Filterung > Gesperrte Absender: Hier können E-Mailadressen und Domains (z.b. eset.de ) angegeben werden, Platzhalter wie * sind nicht erlaubt. Mehrere Adressen können nacheinander (durch Kommas getrennt) eingetragen werden. 3. Whitelist für IP-Adressen Filterung > Zugelassene IP-Adressen: Tragen Sie hier Ihre Druck- und Faxserver ein, wenn diese Geräte auch EMails versenden. Diese E-Mails erhalten dann einen sehr kleinen SCL. Tipp: Möchten Sie bestimmte Mailserver vom Greylisting ausgrenzen, können Sie deren IP-Adresse hier eintragen (nur IP Adresse ist möglich). 4. Ignorierte IP-Adressen Filterung > Ignorierte IP-Adressen: E-Mails von diesen IP-Adressen werden nicht geprüft und erhalten somit auch keinen SCL. Dies kann sinnvoll sein, um Ressourcen zu sparen. 5. Blacklist für IP-Adressen Filterung > Gesperrte IP-Adressen: E-Mails von diesen Adressen erhalten einen sehr hohen SCL. Tragen Sie hier Adressen ein, von denen Spam verschickt wird oder die Sie als fingierte Absenderadressen einstufen. 6. Whitelist für Domains/IPs im Body Filterung > Zugelassene Domäne: Wenn diese Domains/IP-Adressen im Textkörper einer E-Mail vorkommen, erhalten diese E-Mails einen geringen SCL. 9
Beispiel: Sie versenden Angebote (inkl. Ihrer Domain in der Signatur) an verschiedene Kunden und wollen sicherstellen, dass deren Antworten nicht geblockt werden. 7. Blacklist für Domains/IPs im Body Filterung > Gesperrte Domänen: Wenn diese Domains/IP-Adressen im Textkörper einer E-Mail vorkommen, erhalten diese E-Mails einen hohen SCL. Beispiel: Sie bekommen Spam-E-Mails von verschiedenen Adressen, die aber immer im Text auf die gleiche Webseite verweisen. 8. DNSBL Bei DNSBL handelt es sich um die DN S-based Blackhole List. Die in einer E-Mail enthaltenen Domains werden mit der Blackhole List abgeglichen und bei einem Treffer mit dem angegebenen SCL 99 (Standardwert) versehen. Der Wert Maximale Anzahl der über DNSBL verifizierten IP-Adressen (Standardwert 4) ist der Grenzwert, ab dem keine weiteren verlinkten Domains geprüft werden. 9. Score Jede E-Mail erhält durch den Spamfilter von EMSX einen SCL (Spam Score Level) zwischen 0 und 99 (im Header als X-ESET-AS: SCORE=64 SCL gekennzeichnet). Als Spam klassifizierte E-Mails können in den Junk-Mail Ordner des Nutzers, in ein Quarantäne-Postfach verschoben oder gelöscht werden. Folgende Standardwerte sind unter Nachrichten-Kategorisierung in EMSX gesetzt: o Spam-Grenzwert: 90 E-Mails die diesen (oder einen höheren) Wert erhalten, werden als Spam klassifiziert und im Spam-Log rot angezeigt. E-Mails mit einem SCL unter 90 werden von EMSX als gutartig eingestuft. Je niedriger Sie diesen Wert ansetzen, desto mehr E-Mails werden als Spam eingestuft. o Grenzwert für Zweifelsfälle: 50 E-Mails, die einen Wert zwischen 50 und 90 erhalten, sind wahrscheinlich Spam. Diese Einstufung hat keinen Einfluss auf die Behandlung solcher E-Mails. o Grenzwert für legitime Nachrichten: 10 E-Mails, die einen Wert zwischen 10 und 50 erhalten, sind wahrscheinlich kein Spam. Diese E-Mails werden nicht im Spam-Log angezeigt. E-Mails deren Wert kleiner als 10 ist, werden als unbedenklich eingestuft. 10.Regionaleinstellungen Hier können Sie festlegen, welche Sprachen in Ihrem E-Mail-Verkehr üblicherweise nicht verwendet werden. Wenn Sie z.b. viele Spam-E-Mails mit chinesischem Zeichensatz erhalten, aber keine Firmenkontakte in China haben, können sie den chinesischen Zeichensatz oder dieses Land blockieren. 11.Methoden (Templates) Hier können Sie leicht angepasste Werte für EMSX aus vorbereiteten Templates auswählen, wie z.b. die Optimierung bei zu hoher CPU-Auslastung. Tipp: Bevor Sie die beschriebenen Werte ändern, schauen Sie immer zunächst unter Tools à Log-Dateien à SpamSchutz nach, wie bestimmte E-Mails bewertet wurden und aus welchen Grund dies geschah. Befindet sich eine E-Mail fälschlicherweise in Outlook im Junk-E-Mail Ordner, hat im Log aber einen schwarzen Eintrag (SCL < 90), so liegt die Ursache vermutlich nicht an EMSX sondern am eingebauten Spam-Filter von Exchange. Achtung: Denken Sie immer daran, nach Änderungen in den erweiterten Einstellungen (Taste F5) unter ServerSchutz > Spam-Schutz > Spam-Schutz-Engine auf Einstellungen für Spam-Schutz neu laden zu klicken, damit die geänderten Einstellungen auch umgehend angewendet werden. Achtung: Positiv-, Negativ- und Ausnahmelisten, die im Hauptfenster von EMSX unter Einstellungen > Spam-Schutz oder in einer ESET Endpoint Security gepflegt werden, haben keinen Einfluss auf die EMSX Exchange Spam Filterung. 10
5. Weitere Informationen 5.1 Arbeitsweise des Virenscanner-Moduls für Exchange EMSX prüft eingehende E-Mails, die per SMTP über den Transport-Agent zugestellt werden, auf Viren und Spam. Über die VSAPI (Virus Scanning Application Programming Interface) kann EMSX auch direkt in der Datenbank auf Viren (jedoch nicht auf Spam) prüfen. Damit ist es auch möglich, nachträglich Viren in E-Mails zu identifizieren, die zum Zeitpunkt des Empfangs noch nicht erkannt wurden. Achtung: Ab Exchange 2013 gibt es keine VSAPI mehr von Microsoft. Es können daher nur eingehende E-Mails durch den Transport-Agent geprüft werden. Achtung: Sollten Sie POP3-Konnektoren oder andere Plug-Ins verwenden, welche die E-Mails am Transport-Agent vorbei direkt in den Exchange Store leiten, kann EMSX diese E-Mails nicht auf Spam prüfen. 5.2 Analyse des Spam-Logs Im Spam-Log von ESMX (Standardeinstellung) wird jede E-Mail gelistet, die einen SCL von mindestens 50 erhalten hat. Das Log können Sie im Hauptfenster unter Tools > Log-Dateien > Spam-Schutz (Dropdownbox) einsehen. Als Spam klassifizierte E-Mails werden rot dargestellt. Zu jeder E-Mail können Sie sich per Doppelklick Details anzeigen lassen. Die Bestimmung des SCL basiert auf mehreren Bewertungsverfahren, welche sich ebenfalls per Doppelklick anzeigen lassen. Hier haben u.a. der Grad der Verschleierung (z.b. fingierte Absender) und der DNSBL (Absender ist auf einer Blackhole List) Einfluss. (Wenn Sie den DNSBL-Wert z.b. von 4 auf 8 setzen, steigt die Wahrscheinlichkeit, dass eine weitere E-Mail dieser Art als Spam klassifiziert wird, da nun mehr Domains in der E-Mail in die Überprüfung einbezogen werden.) Es gibt keine generelle Vorgehensweise bei der Spam-Behandlung. Diese ist abhängig von der jeweiligen Domain und dem eingehenden Spam-Aufkommen. 11
Beispiel: Der folgende Auszug eines E-Mail-Headers zeigt die von ESMX vorgenommene Bewertung einer typischen EMail: X-ESETResult: clean, is OK Es wurde kein Virus gefunden. X-ESETId: 564648239644FFAD050011 Die E-Mail wurde von EMSX analysiert. X-ESET-AS: SCORE=64 Die E-Mail hat den SCL 64 erhalten. 5.3 Einrichtung von EMSX auf einem Terminalserver In der Standardeinstellung werden HTTP- und POP3-Streams von EMSX nicht geprüft. Da aber auf einem Terminalserver meistens die HTTP-Prüfung erwünscht ist, aktivieren Sie diese wie folgt: Öffnen Sie die erweiterten Einstellungen (Taste F5), wählen Sie Computer-Schutz > Viren- und Spyware-Schutz > Prüfen von Anwendungsprotokollen und aktivieren Sie dort die Punkte Prüfen von anwendungsspezifischen Protokollen aktivieren und Prüfen von anwendungsspezifischen Protokollen automatisch starten. Hinweis für 2008 Server: Bitte installieren Sie unbedingt den Microsoft Hotfix KB 2664888, um einen Fehler in der Windows Filtering Platform zu beheben, auf die wir aufsetzen. Grundsätzlich empfehlen wir, die Antispamfunktion des E-Mail-Client-Schutzes, welche über das Outlook-Addin bereitgestellt wird, zu deaktivieren. Wenn Sie auf dem Windows Server mit EMSX die Microsoft Terminalserver Funktion aktiviert haben und dort im Outlook POP3 Postfächer betreiben, sollten Sie die POP3-Prüfung aktiv lassen. In allen anderen Fällen empfehlen wir, die POP3-Prüfung zu deaktivieren, um eine unnötige Prüfung zu vermeiden. Öffnen Sie dazu die erweiterten Einstellungen (Taste F5) und wählen Sie Computer-Schutz > Viren- und SpywareSchutz > E-Mail-Client-Schutz > E-Mail-Clients. Deaktivieren Sie dort die folgenden Punkte: - Eingehende E-Mails - Ausgehende E-Mails - E-Mails, die zum Lesen geöffnet werden Die sekundäre Spam-Prüfung durch das Outlook-AddIn sollte ebenfalls ausgeschaltet werden. Wählen Sie hierzu in den erweiterten Eigenschaften (Taste F5) den Punkt Computer-Schutz > Spam-Schutz und deaktivieren Sie SpamSchutz aktivieren. Außerdem deaktivieren Sie unter Computer-Schutz > Spam-Schutz > E-Mail-Client-Schutz die folgenden Punkte: - Viren- und Spyware-Schutz für E-Mail-Schutz aktivieren - E-Mail-Spam-Schutz automatisch starten. 5.4 Regeln (spezielle Filterfunktionen) Wenn Sie E-Mails nach bestimmten Kriterien filtern möchten und Black- bzw. Whitelisting nicht ausreichen, können Sie weitere Regeln verwenden. Diese Regeln ermöglichen die Auswahl spezieller Kriterien und lassen sich in den erweiterten Einstellungen (Taste F5) unter Server-Schutz > Microsoft Exchange-Server > Regeln erstellen. Beispiel: Ein Fax-to-Mail-Verteiler versendet E-Mails mit Betreff [Fax], die nie als Spam erkannt werden sollen. Um diese Anforderung umzusetzen, gehen Sie wie folgt vor: Sie erstellen eine Regel, indem Sie auf Hinzufügen klicken, dann Nach Betreff auswählen und anschließend auf Weiter klicken. Geben Sie zunächst den Absender der E-Mails an (Absenderadresse des Faxes) und klicken Sie wieder auf Weiter. Geben Sie im nächsten Schritt die Bedingung ein, mit welcher der Betreff geprüft werden soll (hier: [Fax] ) und klicken Sie wiederum auf Weiter. Im nächsten Schritt wählen Sie Keine Aktion, aktivieren aber Mit Viren- und Spyware-Schutz prüfen. Somit wird eine Fax-to-Mail Nachricht nicht als Spam klassifiziert, aber trotzdem auf Viren geprüft. 12
5.5 FAQ Ist der E-Mail-Client-Schutz für Viren- und Spam-Schutz erforderlich? Die Optionen E-Mail-Client-Schutz unter Einstellungen sind nur notwendig, wenn Sie im Exchange z.b. einen Terminalserver aufgesetzt haben, da nur in diesem Fall Outlook lokal verwendet wird (siehe dazu Kapitel Einrichtung von EMSX auf einem Terminalserver 12 ). Die Optionen im Hauptfenster von EMSX unter Einstellungen > Spam-Schutz > E-Mail-Schutz betreffen nur das Outlook-AddIn auf dem Server und haben keinen Einfluss auf die Exchange-Filter. Lassen sich E-Mail-Adressen vom Endpoint aus der globalen White- bzw. Blacklist hinzufügen? Nein, Sie können E-Mail-Adressen nur direkt in EMSX (oder per Policy mit Hilfe des ERA) in die global gültigen Listen eintragen. Einstellungen, die für das gesamte Netzwerk gelten sollen, können nur zentral vom Administrator vorgenommen werden. Werden ausgehende E-Mails ebenfalls geprüft? Nein, ausgehenden E-Mails werden nicht geprüft, da der Transport-Agent nur den eingehenden SMTP-Traffic prüfen kann. Was ist der Unterschied zwischen gesperrten Absender-Adressen und gesperrten Domänen? Unter Zugelassene Absender und Gesperrte Absender können Sie sowohl Absender-Adressen als auch Domains in Form einer White- bzw. Blacklist pflegen. E-Mails von diesen Absendern werden dann entsprechend klassifiziert. Zugelassene Domänen und Gesperrte Domänen hingegen filtern nach einer Domain die im Nachrichtentext auftritt. Versenden Sie z.b. ein größeres Mailing und erwarten, dass Nutzer auf diese E-Mails antworten, tragen Sie Ihre Domain, die in der Signatur auftaucht mit ein. Die Antwortmail wird so nicht als Spam erkannt. Die Konfiguration hierfür nehmen Sie in den erweiterten Einstellungen (Taste F5) unter Server-Schutz > SpamSchutz > Spam-Schutz-Engine > Einstellungen > Filterung vor. 5.6 Troubleshooting 5.6.1 Diagnose aller eingehenden E-Mails des ESET Transport-Agents Falls Sie unsicher sind, inwiefern EMSX Einfluss auf Ihren E-Mail-Empfang hat oder Sie den Eindruck haben, dass die Prüfung oder Klassifizierung fehlerhaft ist, können Sie wie folgt eine erweiterte Analyse vornehmen: Zunächst ist es sinnvoll, sämtliche E-Mails zu protokollieren, indem Sie den SCL, ab dem eine Mail in das Log aufgenommen wird, von 50 auf 1 setzen. Öffnen Sie dazu die erweiterten Einstellungen (Taste F5), wählen Sie ServerSchutz > Spam-Schutz > Spam-Schutz-Engine und klicken sie dort auf Einstellungen. Setzen Sie anschließend den Punkt Score > Score-Wert ab dem eine Nachricht als "wahrscheinlich SPAM" oder wahrscheinlich sauber eingestuft wird auf 1. (Standardmäßig werden im Spam-Log (Tools > Log-Dateien à Spam-Schutz) nur E-Mails protokolliert, die einen SCL von 50 oder höher besitzen.) Anschließend werden im Spam-Log alle eingegangen E-Mails angezeigt und Sie können eine genaue Analyse vornehmen (siehe dazu auch Kapitel Analyse des Spam-Logs 11 ). Um zu kontrollieren, ob EMSX E-Mails auf Spam und Viren prüft, können Sie in der Exchange PowerShell mit GetTransportAgent sicherstellen, dass die beiden Einträge ESET Filteragent und ESET Filteragent für Virenschutz an erster Stelle mit Enabled True eingetragen sind. 13
5.6.2 EMSX prüft eingehende E-Mails nicht auf Spam Sie können die Funktionalität des Spam-Filters von ESMX wie folgt überprüfen: - Suchen Sie im E-Mail-Header nach der Zeichenfolge X-ESET-AS: SCORE=?? (?? Steht hier für den SCL zwischen 0-99). - Im Hauptfenster von EMSX finden Sie unter Schutzstatus > Statistiken > Dropdown: E-Mail-Server Spam-Schutz eine Statistik zu allen geprüften E-Mails. Einige POP3-Connectoren sind nicht zu EMSX kompatibel. Sollten Sie also E-Mails nur via POP3-Connector abrufen, kann nicht sichergestellt werden, dass die E-Mails auch durch den Transport-Agent geprüft werden, da ein POP3Connector den Transport-Agent umgehen kann und die E-Mails direkt in die Exchange-Datenbank ablegt. (In diesem Fall wird von ESET kein Support angeboten.) Sind Sie auf einen POP3-Connector angewiesen, können Sie mit folgenden Konfigurationsschritten versuchen, die Funktionalität wiederherzustellen (ESET empfiehlt jedoch immer, die Mailzustellung per MX-Record ausführen zu lassen): 1. Öffnen Sie die erweiterten Einstellungen (Taste F5) und entfernen Sie den Haken bei Server-Schutz > SpamSchutz > Microsoft Exchange Server > Transport-Agent > Spam-Schutz mit Exchange Server-Positivlisten automatisch umgehen. Setzen Sie außerdem den Haken bei Server-Schutz > Spam-Schutz > Microsoft Exchange Server > Transport-Agent > Markieren der SMTP-Sitzung zur Umgehung des Spam-Schutzes zulassen. 2. In einer exportierten Exchange Konfigurations-XML-Datei (Hauptfenster > Einstellungen > Einstellungen importieren/exportieren) gehen Sie zu der Zeichenkette NODE NAME="AgentASScanSecureZone" VALUE="1" TYPE="DWORD" /> und setzen den Wert von 0 auf 1. Importieren Sie die Konfiguration (XML-Datei) anschließend wieder. Alternativ fügen Sie folgende Zeilen in eine neue XML-Datei ein, um diese Konfiguration dann per ERA oder direkt in EMSX zu importieren. <?xml version="1.0" encoding="utf-8"?> <ESET> <SECTION ID="1000404"> <SETTINGS> <PLUGINS> <PLUGIN ID="1004101"> <PROFILES> <NODE NAME="@My profile" TYPE="SUBNODE"> <NODE NAME="AgentASScanSecureZone" VALUE="1" TYPE="DWORD" /> </NODE> </PROFILES> </PLUGIN> </PLUGINS> </SETTINGS> </SECTION> </ESET> Dies hat zur Folge, dass auch Absender aus vertrauenswürdigen Zonen geprüft werden. 14
5.6.3 Deinstallation / Upgrade auf neue Programmversion schlägt fehl Sollten ein Upgrade oder die Standarddeinstallation per Startmenü fehlschlagen, können Sie aus der Knowledgebase von ESET den manuellen Uninstaller herunterladen: http://kb.eset.de/esetkb/index?page=content&id=soln2289 Wir empfehlen, den Exchange-Server im abgesicherten Modus zu starten und dann den Uninstaller auszuführen. Sollte dies nicht möglich sein, entfernen Sie den Selbstschutz von ESMX unter Server-Schutz > Viren- und SpywareSchutz in den erweiterten Einstellungen (Taste F5). Nach Neustart des Servers führen Sie den ESET-Uninstaller in der Eingabeaufforderung (cmd) mit Administratorrechten mit dem Parameter /nosafemode aus. Lässt sich der Selbstschutz nicht deaktivieren, ist ein Start im abgesicherten/dsrm Modus notwendig. Um sicher zu gehen, dass alle problematischen Dateien entfernt wurden, führen Sie den Uninstaller so oft erneut aus, bis die Meldung " N o supported AV Products installed!" erscheint. 5.6.4 Deregistrierung der ESET Transport-Agent schlägt während Deinstallation / Upgrade fehl Wenn Exchange die Deregistrierung der Transport-Agent von ESET nicht ausgeführt hat und der Microsoft Exchange Transport Dienst sich nicht starten lässt, müssen diese manuell entfernt werden. Lesen Sie hierzu folgenden Eintrag in unserer KB: http://kb.eset.de/esetkb/index?page=content&id=soln3026 Geben Sie in der Exchange Shell folgende Kommandos ein: - Uninstall-TransportAgent "ESET Filteragent" - Uninstall-TransportAgent "ESET Filteragent für Virenschutz" Bestätigen Sie anschließend die Kontrollabfrage. Alternativ öffnen Sie folgende Datei: C:\Program Files\Microsoft\Exchange Server\% Versionsnummer des Exchange% \TransportRoles\Shared\agents.config Entfernen Sie in dieser Datei die Zeilen die mit '<agent name="eset Filteragent"' beginnen: <agent name="eset Filteragent" basetype="microsoft.exchange.data.transport.smtp.smtpreceiveagent" classfactory="xmonagent.xmonsmtpagentfactory" assemblypath="c:\program Files\ESET\ESET Mail Security \XmonAgent.dll" enabled="true" /> <agent name="eset Filteragent für Virenschutz" basetype="microsoft.exchange.data.transport.routing.routingagent" classfactory="xmonagent.xmonagentfactory" assemblypath="c:\program Files\ESET\ESET Mail Security \XmonAgent.dll" enabled="true" /> 5.6.5 Mails werden geblockt obwohl in EMSX kein entsprechender Logeintrag vorhanden ist Sofern der SCL für wahrscheinlich Spam testweise auf 1 gesetzt wurde (siehe Kapitel Diagnose aller eingehenden E-Mails des ESET Transport-Agents 13 ) und trotzdem E-Mails geblockt/gelöscht werden und keine Einträge im Log (in EMSX unter Tools > Log-Dateien) erscheinen, liegt dies vermutlich an der globalen integrierten Prüfung von Exchange. Exchange kann E-Mails in der Organisation ab einem SCL von 5 (abhängig von der Exchange-Version) als Spam bewerten. Um diesen Wert auf das Maximum (9) zu erhöhen und Fehlbewertungen zu reduzieren, geben Sie in der Exchange-Verwaltungsshell folgenden Befehl ein: - Set-OrganizationConfig -SCLJunkThreshold 9 Um den bestehenden SCL zu überprüfen, geben Sie folgenden Befehl ein: - Get-OrganizationConfig Format-List SCLJunkThreshold (Siehe auch: http://technet.microsoft.com/de-de/library/bb123559.aspx) Deaktivieren Sie die Inhaltsfilterung des Servers durch folgende Eingabe in der Exchange- Verwaltungsshell: - Set-ContentFilterConfig -Enabled $false 15
Eine Überprüfung des aktuellen Status können Sie mit folgendem Befehl vornehmen: - Get-ContentFilterConfig Format-List Enabled Um Fehlerkennungen seitens Exchange auszuschließen, können sie alle integrierten Spam-Filter von Exchange deaktivieren. Normalerweise sind die Spam-Filter in der Exchange-Verwaltungskonsole unter Organistionskonfiguration > Hub-Transport > Antispam zu finden. 5.6.6 E-Mails werden laut AntiSpam-Log wegen DNSBL geblockt ESET verwendet zur Spam-Analyse u.a. Dienstleistungen von Mailshell. Sie können unter http://www50.mailshell.com/ live_feed/livefeed_lookup.php überprüfen, ob die betroffene Domain von Mailshell geblockt wird und ggf. die Fehlerkennung auf dieser Seite melden. Tipp: Um zu überprüfen, ob eine Domain oder IP-Adresse auf einem DNSBL-Server gelistet ist, besuchen Sie z.b. die folgende Website: http://multirbl.valli.org/lookup/ 5.6.7 EMSX erhält keine Spam-Signaturen / Spamerkennung nimmt nach einiger Zeit ab Stellen Sie sicher, dass im Hauptfenster von EMSX im Bereich Update die EAV-Nummer und das Passwort zu Ihrer EMSX-Lizenz eingetragen sind und der Update-Server auf Automatisch gestellt ist. Mit der EAV-Nummer aus einer Endpoint Lizenz oder mit Updates von einem ERA-Mirror werden nur Virensignaturen, jedoch keine Spam-Signaturen bereitgestellt. Parallel zu den Virensignaturen erhält EMSX auch die neuesten Spam-Schutz-Regeln. Sie müssen also ESMX nicht weiter pflegen, durch Mailshell erhalten Sie immer die neuesten Spam-Informationen automatisch. 5.6.8 Vorgenommene Änderungen im Transport-Agent Modul werden nicht angewendet Vorgenommene Änderungen müssen immer übernommen werden. Öffnen Sie dazu die erweiterten Einstellungen (Taste F5) unter klicken Sie unter Server-Schutz > Spam-Schutz > Spam-Schutz-Engine auf Einstellungen für Spam-Schutz neu laden. 16
5.6.9 Anzahl der Postfächer ist überschritten oder abgelaufen In unserer Knowledgebase unter http://kb.eset.de/esetkb/index?page=content&id=soln2425 können Sie einen Counter herunterladen, der Ihnen die Anzahl der Postfächer und damit die benötigte Lizenzgröße Ihrer EMSX berechnet und anzeigt. Es ist nicht möglich, einzelne Postfächer auszugrenzen. Sollte die Lizenz längere Zeit abgelaufen oder überschritten sein und Sie haben die Verlängerung über die Lizenzdatei MailSecurity.lic installiert, müssen Sie den Transport-Agent wieder in den erweiterten Einstellungen der EMSX aktivieren. Bei einer Verlängerung wird im Normalfall nur die Datei MailSecurity.lic erneuert und die EAV-Nummer und das Passwort bleiben unverändert. 17