Securitate IT

Cum sa va protejati eficient serverul de email

Cand vorbim despre securitatea unui server de mail, subiectul tinde sa fie limitat la masurile de siguranta aplicate mesajelor email, si chiar mai mult, la protectia antivirus si antispam. Acestea reprezinta insa numai un stadiu dintr-un proces mult mai complex de securizare a unui server de mail.

Scopul acestui articol este de a identifica si de a explica fiecare nivel de securitate, acestea fiind de o maxima importanta in alegerea, folosirea si configurarea unui astfel de server.

Am ales o abordare pe etape a procedurii de securizare a serverului email, fiecare etapa axandu-se pe unul dintre nivelurile de securitate pe care le consideram importante: nivelul conexiunii, nivelul protocoalelor de comunicatii, cel al parametrilor de control al mesajelor email (incluzand aplicatiile antivirus si antispam), si nivelul configurarii si gestionarii (cel mai afectat de erorile umane).

Sectiunile de mai jos descriu masurile de securitate adaptate fiecarui nivel mentionat mai sus.

1. Securizarea conexiunilor utilizate de serverul de mail

Cand folosesc un server de mail nou instalat, administratorii trebuie mai intai sa se asigure ca folosesc conexiuni securizate. Exista doua posibilitati principale de securizare a conexiunilor: criptarea si regulile de tip firewall.

Internetul a devenit canalul preferat de transfer al datelor, fapt ce a dus la o dezvoltare permanenta a metodelor de criptare. Cele mai folosite metode de criptare sunt SSL (Secure Sockets Layer) si TLS (Transport Layer Security). Cu toate acestea, pot aparea brese de securitate cauzate de folosirea incorecta a criptarii. Cele mai intalnite exemple sunt paginile Web ce contin atat informatii securizate, cat si nesecurizate, sau comunicarile securizate numai dupa autentificarea utilizatorilor printr-o pagina nesecurizata.

Regulile de tip firewall cu efecte la nivel de server sunt recomandate ca metoda de securizare aditionala, atunci cand se foloseste un firewall, sau pentru a inlocui o astfel de aplicatie. Aceste reguli pot impune limitari atat conexiunilor stabilite, cat si traficului gazduit de server. Recomandam crearea unor reguli de accept sau refuz al conexiunilor, atat la nivel global (reguli ce se aplica pe toate protocoalele si pe toti listener-ii), cat si la nivel individual, pentru fiecare listener, cu scopul de a preveni atacuri de tipul DOS (Denial of service).

2. Securizarea la nivelul protocoalelor de comunicatii

Dupa securizarea primei etape a unui transfer de mesaje email, urmatoarea actiune recomandata este securizarea la nivel de protocol.

Pasii de urmat sunt folosirea mai multor listener-i pentru fiecare interfata si corelarea acestora cu reguli de accept sau de refuz. De asemenea, limitarea numarului de conexiuni si de erori de autentificare, a numarului maxim de comenzi sau setarea unui interval limita de inactivitate pentru sesiunile curente pot ajuta si ele la prevenirea atacurilor DOS.

Pentru a extinde securitatea la nivel de protocol, va recomandam si regulile de control al clientilor. Aceste reguli se bazeaza pe adresa expeditorului sau destinatarului, in functie de acestea impunandu-se diferite limitari ce privesc numarul si dimensiunea mesajelor email.

Autentificarea are la randul sau o mare importanta la nivel de protocol. Prin implementarea mai multor metode de autentificare, fie simple (plain, login, CRAM-MD5), fie complexe (GSSAPI, Kerberos), se asigura o securitate ridicata a comunicatiilor prin server, marindu-se capacitatea acestuia de a impiedica accesul unor clienti neautorizati si de a face fata atacurilor.

Alte solutii eficiente la nivel de protocol sunt implementarea normelor RFC relevante si prevenirea fenomenului de „looping”. O metoda simpla de prevenire a acestui fenomen este specificarea unui numar maxim de anteturi „Received” (antet adaugat de un server la mesaj in momentul primirii unui acestuia) pe care le poate contine un mesaj email procesat de server.

3. Securizarea parametrilor de control al mesajelor email

Pe langa folosirea diferitelor aplicatii antivirus si antispam, exista si alte metode de control ce nu trebuie scapate din vedere cand este vorba de securizarea mesajelor email. O optiune la indemana ar fi listele gri (gray lists). O astfel de lista se bazeaza pe o cerere de retrimitere a mesajului, dupa o respingere temporara a acestuia. Serverul salveaza intr-o lista IP-ul de la care a fost trimis mesajul si destinatarul acestuia si afiseaza o eroare temporara. Toate serverele valide vor retrimite mesajul respins, lucru care nu se va intampla daca mesajul a fost trimis cu un script de distributie a mesajelor nesolicitate (spam). Totusi, trebuie tinut cont si de faptul ca exista multe servere de mail care nu pot face diferenta intre erorile temporare si cele permanente.

Controlul gazdelor este o alta metoda facila de a va asigura ca serverul dumneavoastra proceseaza numai mesajele valide. Doua dintre cele mai cunoscute metode sunt SPF (Sender Policy Framework) si listele negre DNS (DNS based black hole lists). inregistrarile SPF reprezinta informatii furnizate de domenii si publicate pe serverele DNS. De obicei, aceste inregistrari fac referinta la si confirma adresele reale ale domeniilor. Prin verificarile SPF, puteti preveni mesajele nesolicitate (spam) si fenomenul de „spoofing”.

Listele negre pot fi publice (furnizate gratuit) sau private si contin de obicei adrese IP ale serverelor open-relay, ale proxy-urilor publice sau ale furnizorilor de servicii Internet care nu ofera nici o metoda de filtrare a mesajelor spam. Serverul trebuie sa fie configurat astfel incat sa interogheze acest tip de liste si sa nu accepte conexiuni initiate de adrese IP mentionate in liste. Daca unul dintre serverele dumneavoastra este inclus din greseala pe o astfel de lista, va trebui sa completati un formular online, sa contactati administratorii listei sau, in cazuri mai grave, sa va schimbati adresa IP.

O metoda complexa de autentificare este DKIM (Domain Keys Identified Mail Signature –Semnarea mesajelor email cu chei de domeniu). Implementata de Yahoo si sustinuta de Google, Cisco, Sendmail, PGP, metoda DKIM are mari sanse sa devina metoda standard de autentificare. Mesajul contine in antet o semnatura criptata si este la randul sau criptat. Semnatura respectiva face referinta o cheie criptata, publicata pe serverele DNS de catre domeniul expeditorului. Serverul ce proceseaza mesajul email va folosi aceasta cheie pentru a decoda corpul mesajului. Daca se reuseste decriptarea mesajului, atunci acesta este valid.

Regulile de transfer (relay rules) fac de multe ori diferenta intre un server de mail securizat si unul nesecurizat. Prima noastra recomandare este sa nu acceptati niciodata transferul fara restrictii (open-relay), deoarece acesta poate duce extrem de usor la inregistrarea dumneavoastra pe o lista neagra. Din acest motiv trebuie sa implementati cateva reguli de transfer in functie de adresa expeditorului/adresa destinatarului sau sa faceti transferul doar pe baza de autentificare. Cand alegeti un anumit server de mail, trebuie sa va asigurati ca are urmatoarele functionalitati: permite crearea regulilor de transfer, se poate configura autentificarea domeniilor, interfata de trimitere poate fi personalizata, permite folosirea SSL/TSL, a diferitelor metode si extensii de autentificare.

4. Securitatea la nivel de configurare si administrare

De cele mai multe ori, configurarea si administrarea nu sunt privite ca masuri de securitate. Cu toate acestea, posibilitatile de configurare oferite de server si configurarea efectiva realizata de utilizator joaca un rol important in securizarea unui MTA. in primul rand, administratorul trebuie sa ajunga sa cunoasca foarte bine solutia, functiile oferite de aceasta, precum si toate defectele cunoscute, daca exista vreunul. Fisierul executabil al serverului trebuie sa permita programarea fara pierderi de memorie, renuntarea la privilegiile de administrator (in cazul sistemelor Unix), si blocarea tuturor cererilor de acces (in afara de cele la fisierele publice).

Accesul la fisierul de configurare ar trebui permis numai administratorilor. in plus, acest fisier trebuie sa fie intotdeauna foarte clar, usor de inteles si de modificat, iar toate valorile implicite trebuie sa fie securizate. De exemplu, o valoare implicita ce permite transferul fara restrictii (open-relay) ar reprezenta o bresa majora de securitate.

Pentru configurarea serverului este necesara oferirea de module aditionale de administrare (interfata Web, interfata de linie de comanda). Este in egala masura important ca toate conexiunile cu aceste module sa fie stabilite utilizand SSL. Pentru a va asigura ca aceste module sunt accesate printr-un canal securizat, va recomandam folosirea unui server de mail cu server HTTP si limbaj de scripting HTML proprietare.

insa recomandarea noastra cea mai complexa in ceea ce priveste securitatea este implementarea unui sistem de tip „smart hosting”. Un astfel de sistem este compus din mai multe servere de mail instalate pe masini diferite, fiecare indeplinind o functie specifica. Serverul ce ofera securitate optima la nivel de conexiune si de protocol ar trebui sa se indeplineasca in principal functionalitatile de firewall. Un al doilea server ar trebui sa preia functiile de control al mesajelor email (incluzand aplicatiile antivirus si antispam). Cel de-al treilea server folosit ar trebui sa fie dedicat gestionarii domeniilor existente. Pentru un sistem de tip „smart hosting” pot fi insa necesare resurse hardware si software importante.

Concluzie

Cel mai important aspect ce trebuie retinut este ca, desi nu exista securitate perfecta, se poate obtine un nivel optim protectie. La fiecare nivel de securitate, pot interveni brese si defecte. Solutia este sa alegeti cea mai buna configuratie posibila si sa o adaptati cerintelor si topologiei retelei dumneavoastra.

Alin Dobre, Coordonatorul echipei de suport AXIGEN

Sursa:Chip

Citeaza articolul pe site-ul tau | Vizualizari: 4895 | Imprimare | E-mail

Comenteaza articolul

Te rog posteaza un comentariu legat de acest subiect. Nu folositi limbaje licentioase. Comentariile care au in continutul lor trivialitati vor fi sterse! In cazul in care gresiti codul de securitate apasati refresh pentru generarea unui cod nou.
Nume:
Adresa email:
Adresa website:
Titlu:
Comentariu:
Cod:*