Корпоративная электронная почта: контроль, защита, надежность

10 сентябрь, 2002 - 23:00Александр Черников
Электронная почта стала сегодня технологией, во многом критичной для работы современного предприятия. По данным Radacati Group, в 2000 г. только простои почтовых систем обходились американским компаниям в среднем в $197 в год на каждого пользователя.
С возрастанием роли электронной почты увеличиваются и потребности в управлении ею -- эта задача в настоящее время актуальна, как никогда. Администраторам почтовых систем приходится постоянно бороться со спамом, вирусами и хакерскими атаками. Тем большее значение приобретает эффективная корпоративная система управления электронной почтой -- надежная, с высокой пропускной способностью, оснащенная средствами контроля и отсева нежелательных сообщений.

По разным оценкам, от 27 до 40% входящего почтового трафика организаций составляет спам. При среднем размере письма 17 КВ и получении примерно 30 сообщений в день совершенно излишний трафик организации, где электронную почту получают 500 человек, превышает 16 GB за год. Кроме этого, тысячи ненужных и иногда содержащих вирусы сообщений попадают в почтовые архивы пользователей, занимая дисковое пространство и замедляя работу системы. Компании несут убытки в десятки и сотни тысяч долларов из-за того, что сотрудники вынуждены тратить служебное время на удаление спама, либо они приходят на час раньше, чтобы разобрать пришедшую почту. Прогноз на будущее мрачен. К 2006 г. каждый абонент будет получать спама в два раза больше, чем сейчас, -- до 1500 непрошенных сообщений в год.

Успешной борьбе со спамом препятствует и то, что противодействующие организации никак не договорятся о единой тактике. Сегодня любой желающий может выложить на своем сайте список тех, кого он считает спамерами. Но при этом возникает целый ряд вопросов. По каким признакам тот или иной IP-адрес попадает в черные списки? Как составитель может доказать, что этот хост "спамит"? Могут ли ему предъявить судебный иск компании, ложно обвиненные в рассылке спама? Могут ли адреса удаляться из списков и какова процедура этого действия? Большие возможности открываются и для политической цензуры.

Пока эти вопросы не решены, наиболее приемлемым вариантом для корпоративных пользователей оказывается организация собственных систем обработки почтовых потоков.

В корпоративных системах почта обычно фильтруется либо непосредственно на почтовом сервере, либо между ним и маршрутизатором Internet. В результате конечные пользователи уже не могут быть уверены, что все письма, адресованные им, будут доставлены по назначению.

Некоторые компании поэтому идут на то, чтобы переложить ответственность за принимаемую почту на своих служащих. При этом письма заведомо не теряются, сохраняется конфиденциальность переписки, но существенно повышается вероятность инфицирования компьютеров конечных пользователей и увеличивается время обработки корреспонденции. Кроме этого, компании обходится дороже установка индивидуальных фильтров и обновление списков фильтрации на каждом компьютере, чем единое серверное решение.

Иногда применяется и третий вариант -- обращение к услугам независимой компании с тем, чтобы она взяла на себя отсеивание спама.


Средства фильтрации почтовых серверов

Для организации почтовых служб могут использоваться платформы Windows NT, Unix, Sun Solaris, Free BSD и другие, на которых работают самые разнообразные почтовые серверы (Mail Transfer Agent -- MTA) -- Postfix, Qmail, Exim, Mdaemon, Novell Group Wise, Netscape Mail Server и т. д. Некоторые из них применяются на нескольких различных платформах, другие -- только на одной.

Крупные организации часто для своих нужд имеют два почтовых сервера -- для внутреннего документооборота и для обмена корреспонденцией с "внешним миром". Внутренний сервер обычно работает под управлением Windows 2000 с Exchange 2000 или Lotus Notes/Domino. Внешний во многих случаях использует комбинацию Linux и Sendmail.

Поэтому, несмотря на многообразие вариантов, мы остановимся на описании возможностей борьбы со спамом, предусмотренных в трех популярных МТА -- Sendmail (не-Windows-платформа), MS Exchange и Lotus Notes/Domino (Windows), а также на некоторых других продуктах и дополнительных решениях, расширяющих эти возможности.


Sendmail

Известно, что почта, содержащая спам, либо адресуется определенному хосту, либо проходит через него транзитом (relaying, или ретрансляция). Начиная с версии 8.9 (сейчас доступна уже версия 8.12.6) эта возможность в Sendmail по умолчанию отключена. Изменяя настройки (для этого предназначено несколько отличающихся по содержанию функций -- feature), разрешают ретрансляцию избранным доменам.

Проверка писем, поступающих непосредственно в адрес хоста, основана на использовании внутренних и внешних баз данных доступа. С той же версии 8.9 Sendmail отказывает, например, в приеме почты, если параметр MAIL FROM: содержит неверное доменное имя. Обычно вручную создается база данных о тех, кому отказано в доступе. При этом указываются полные адреса электронной почты ([email protected]), только их доменная часть (cyberspammer.com) или подсеть (92.168.212.*). Существует и постоянно обновляется рекомендуемая внешняя база данных -- Realtime Blackhole List, содержащая сведения о спамерах. При получении сообщения Sendmail может обращаться к ней в реальном масштабе времени, проверяя, нет ли адреса отправителя в "черных списках".

Реже используются средства этого почтового сервера, позволяющие включить в правила разрешения или отказа отдельные части адресов и доменов. Допускается также отклонять почту на основе содержания заголовков писем. Конечно, при этом администратор сам отвечает за установленные им правила фильтрации.

Одним из лучших дополнительных антиспамовых средств для Sendmail считается корпоративное решение Brightmail Anti-Spam. Ожидается, что следующие версии популярного почтового сервера будут поставляться уже вместе с этим продуктом.


Microsoft Exchange

Основное внимание разработчики этого продукта уделили вопросам политики доступа пользователей и защите информации -- сертификации и шифрованию. Возможности же MS Exchange Server в области защиты от спама относительно невелики.

При настройке SMTP Virtual Server иногда запрещают или ограничивают ретрансляцию. Дополнительные возможности предоставляются для хостов, успешно прошедших аутентификацию. По умолчанию сервер запрещает транзит почты и принимает входящий трафик только от доменов, которые администратор почтовой системы включил в список. Однако полностью отключить ретрансляцию в большинстве случаев нельзя, поскольку ее функции используют некоторые приложения (POP- и IMAP-клиенты, формы Web-сервера и др.).

Microsoft также рекомендует применять дополнительное ПО (например, NetIQ's AppManager Suite) для обнаружения симптомов почтовых атак. Для MS Exchange Server вообще существует большое количество программ других разработчиков, которые расширяют его возможности по мониторингу и обработке потоков электронной почты.

Типичный продукт этого класса -- ScanMail for MS Exchange, обеспечивающий сканирование входящих и исходящих сообщений до их попадания в почтовые ящики конечных пользователей. Основная задача ScanMail -- защита от вирусов по протоколам SMTP, HTTP, MAPI, IMAP4, POP3, IFS и NTTP. Та же технология используется и для борьбы со спамом, подозрительными апплетами и вложенными объектами. Фильтры содержимого блокируют сообщения с неэтичной и ненужной информацией, в результате чего они вообще не попадают на сервер Exchange, облегчая его работу.


IBM Lotus Notes/Domino

По сравнению с другими разработчиками IBM Lotus придает гораздо большее значение фильтрации спама в своих продуктах. Так, предусмотрено несколько групп правил обработки корреспонденции в зависимости от того, откуда пришло письмо -- с почтового адреса или Web-сайта, а также основанных на использовании слов, находящихся в строке Subject или в теле письма.

Настройка фильтров выполняется либо из клиента Lotus Notes, либо из обычного Web-броузера, однако база данных писем в любом случае размещается на сервере Domino. Условия фильтрования можно создать едва ли не для всех элементов письма и их комбинаций -- Sender, Subject, Body, Importance, To, CC, To or CC, Body or Subject, Internet Domain, Size и других. По результатам проверки назначают различные действия -- Move to folder, Copy to folder, Change importance, Delete и т. д. Еще одна возможность -- обработка по заданным правилам некоторых писем (например, с мегабайтовыми вложениями) прямо на сервере.

Имеет собственные противоспамовые средства и сервер Domino. Здесь задаются установки, основанные на именах доменов, направляющих нежелательные письма (этим также часто пользуются, чтобы запретить служащим доступ ко внешней почте). Специальный механизм Inbound Connection Controls может отказывать в приеме почты при ее первичной обработке на уровне сервера. Наконец, как и описанные выше МТА, Lotus Domino способен управлять ретрансляцией, используя Inbound Relay Controls.

Дополнительное средство борьбы с непрошенной почтой, рекомендуемое Lotus, -- AntiSpamFilter agent от Iris Sandbox, который обрабатывает письма, еще не поступившие на компьютер конечного пользователя.


Symantec Mail-Gear

Этот продукт включен в наш обзор как современное мультиплатформенное корпоративное решение несколько иного типа. Встроенный сервер электронной почты поддерживает популярные программы для работы с электронной почтой, такие, как Microsoft Outlook, Eudora и Netscape mail, а Web-клиент системы Mail-Gear позволяет работать с ней и удаленно управлять системой с любого компьютера с помощью стандартного Web-броузера.

Как и другие антиспамовые решения, Mail-Gear сканирует входящий и исходящий потоки электронной почты по признакам наличия нежелательной информации, блокирует известные почтовые адреса, с которых отсылается спам, а также находит такие письма по ключевым словам или фразам.

Администратору Mail-Gear предоставляет возможность разрешать или запрещать пользователям работать с конкретными почтовыми адресами или доменами, а также позволяет назначать различные списки слов и фраз для отдельных служащих и групп. Уникальная способность Mail-Gear -- создание наборов списков, определяющих, куда почта может быть отправлена и от кого получена. Кроме этого, идентифицируются и блокируются большие файлы нежелательных типов (такие, как звук или видео).

К дополнительным особенностям продукта относятся аутентификация пользователей и блокировка исходящих анонимных и подделанных почтовых сообщений. Планирование доступа к электронной почте позволяет, например, разрешить доступ только к необходимым адресам или только в рабочие часы. Функция AutoLock автоматически блокирует доступ для тех пользователей, которые нарушают политику передачи сообщений. Кроме этого, Mail-Gear постоянно отслеживает все почтовые транзакции, включая архивирование данных, и имеет полный набор средств для подготовки отчетов.


Дополнительные решения

Создание корпоративной системы управления электронной почтой -- дело не простое. В крупной организации почтовых серверов может быть несколько. Часто они территориально разнесены, используют платформы и ПО разных разработчиков. Даже лучшие почтовые системы дают сбои, теряя при этом непрочитанную почту. Пользователи время от времени по ошибке удаляют важные письма. Почтовые послания, содержащие вирусы, в некоторых случаях достигают 1% от общего почтового трафика. Третья часть спама вызывает ошибки при обработке таких писем почтовыми серверами.

Тем не менее около трети администраторов почтовых систем ничего не делают для предотвращения проблем до тех пор, пока они не происходят. Причиной этого является не только и не столько их халатность, сколько отсутствие соответствующего качественного и полнофункционального инструментария.

Известны многочисленные частные решения для анализа трафика или его сплошного сканирования, фильтрации контента, блокирования спама, генерирования предупреждений об опасности, поддержки определенных политик, баланса загрузки почтовых серверов и т. д. Однако решений, объединяющих все необходимые инструменты и работающих на разных платформах с разными почтовыми системами, не так много. Считается, что качественному антиспамовому продукту должны быть присущи следующие основные свойства:
  • интероперабельность (способность к взаимодействию) -- система управления легко встраивается в существующую инфраструктуру предприятия, способна работать в гетерогенной среде и обладает возможностями масштабирования;
  • минимальное воздействие -- система не должна добавлять никаких новых рисков, явных или скрытых требований дополнительных ресурсов;
  • средства наблюдения -- вся информация о состоянии системы и о том, как она используется, должна быть под рукой у администратора;
  • защита -- система должна уметь обнаруживать угрозы в реальном времени и самостоятельно ликвидировать их без вмешательства администратора; это касается и вирусной угрозы и попыток хакерских атак;
  • надежность -- цель работы системы управления -- повысить степень готовности ресурса и смягчить воздействие отказов, определенным образом обрабатывая аварийные ситуации;
  • приемлемая окупаемость -- чтобы получить одобрение лиц, дающих согласие на инвестиции, система должна иметь минимально возможную стоимость.
Active eMail Server

Корпоративная электронная почта контроль, защита, надежность
Рис. 1. Решение класса Postini -- внешний сервер идентификации, обработки и мониторинга корпоративного SMTP-трафика
Примером комплексного дополнительного решения может служить ПО, разработанное компанией Postini. Продукт располагается между каналом Internet и внутренней сетью организации. Он не заменяет собой основной почтовый сервер и не вносит никаких изменений в хранилище сообщений (рис. 1).

Приложение обрабатывает SMTP-трафик на уровне сессии и не требует какой-либо интеграции с самим почтовым сервером. При этом обнаруживаются почтовые атаки, спам и вирусы. Выполняется также сбор детальной статистической информации, позволяющей анализировать почтовый трафик компании.

Active eMail Server работает следующим образом. Монитор трафика выбирает основную информацию из входящих писем и дает их статистику в реальном времени. Менеджер действий интерпретирует полученные данные, определяя возможные угрозы, и выполняет необходимые действия. Средство управления трафиком блокирует IP-адреса, нарушающие правила связи, и отказывает в дальнейших попытках установки контактов с ними. Менеджер доставки не пропускает подозрительные письма в ящик адресата. Система подкачки задает очередность обработки и передачи сообщений. Предупреждения генерируются при идентификации определенных состояний системы или действий по отношению к ней.

Аналогичным образом сервер может обрабатывать исходящий SMTP-трафик как во внутренней сети предприятия, так и выходящий в Internet. Использование этого ПО, по данным Postini, в среднем снижает затраты на администрирование системы на 35%, от простоев -- на 45%, от почтовых вирусов и спама -- на 95%. Это почти вдвое (на 47%) сокращает общие расходы предприятия на обслуживание своей почтовой системы.


Спам-аутсорсинг

Компании, которые специализируются в области борьбы со спамом, хорошо знают большинство приемов и уловок спамеров. Поэтому в среднем уровень очистки потока почты у них выше, чем могут достичь администраторы обычных компаний, а процент отсева нужных деловых писем -- меньше. Они быстро обнаруживают новые приемы спамеров и проводят нейтрализующие мероприятия.

Обычно отсеивается 90--95% нежелательной корреспонденции, однако во многих случаях жесткость отбора намеренно снижается. Аутсорсеры предпочитают пропустить несколько лишних ненужных писем, чем отсеять важное сообщение. Иногда подозрительные письма только помечаются специальными значками и все доставляются адресату, облегчая ему задачу сортировки. Некоторые компании применяют почтовые прокси-серверы. Они могут отсеивать нечетко идентифицированные письма и направлять их администратору для принятия окончательного решения.

Технические средства аутсорсеров не слишком отличаются от обычного ПО, предназначенного для борьбы со спамом. Основная привлекательность таких компаний заключается в наличии у них опыта борьбы со спамом и в более профессиональном отношении к нему.

Корпоративная электронная почта контроль, защита, надежность
Рис. 2. Спам-аутсорсинг -- обеспечение безопасности почтового обмена с помощью специализированной компании-провайдера
Самыми известными компаниями в области спам-аутсорсинга являются Big Fish Communications (решение Spam Shark), BrightMail, EasyLink Services (MailWatch), MessageLabs и некоторые другие. Кроме этого, они часто оказывают и сопутствующие услуги -- от антивирусного контроля до передачи EDI-сообщений.

Этот сервис, разумеется, платный. Чтобы воспользоваться услугами подобного рода, придется подключиться к одной из компаний как к провайдеру, поскольку весь Internet-трафик клиента должен проходить через соответствующие фильтры.Типичная схема обработки почтовых потоков с помощью внешнего сервиса приведена на рис. 2.


Заключение

По мере того как компании все больше полагаются на корпоративную систему электронной почты не только как на каналы коммуникаций, но и как на репозиторий корпоративных знаний, средства управления работой почтовых систем будут становиться все значимее.

Эта статья не претендует на полное и подробное описание всех существующих методов и средств противодействия спаму в компаниях. Нашей задачей было дать представление о возможностях современных продуктов и подходах, используемых на практике.

Основной проблемой, которую придется решить почтовым администраторам, является разделение обязанностей и ответственности между собой, конечным пользователем и аутсорсером (при его наличии).

Вторая задача -- выбор собственно почтового сервера. Нельзя сказать, что основной критерий при этом -- наличие у него мощных средств борьбы со спамом. Главное, чтобы он надежно работал и справлялся с почтовыми потоками организации.

Только после этого следует заняться выбором и настройкой антиспамовых средств. Неплохим вариантом, на наш взгляд, представляется решение класса Postini, работающее независимо от почтового сервера (возможно, на отдельном компьютере) и обеспечивающее мощные и гибкие средства борьбы со спамом наряду с мониторингом почтового трафика и средствами повышения надежности почтового обмена.