Администрирование и нововведения

Принцип обработки писем в KSMG во многом схож с работой классического межсетевого экрана. Письмо, пришедшее на шлюз, обрабатывается правилами последовательно, в соответствии с их приоритетом — строго сверху вниз. Главным критерием для срабатывания того или иного правила является пара «отправитель-получатель». В качестве этих параметров администратор может указывать как точные почтовые адреса конкретных сотрудников, так и целые доменные маски или группы пользователей из Active Directory/ALD Pro. Если отправитель или получатель входящего сообщения не соответствует заданным в правиле условиям, шлюз просто пропускает эту строку и переходит к следующей по списку. В самом низу списка правил всегда находится глобальное правило по умолчанию, которое применяется ко всем письмам, не подошедшим ни под один из верхних фильтров.

Помимо правила по умолчанию, в системе изначально присутствуют еще два предопределенных правила — AllowList (белый список) и DenyList (черный список). Письма, попавшие в белый список, пропускаются без проверки, а в чёрном списке блокируются без проверки. 

Покажем на примере и создадим правило для всех входящих писем.
В «Информация о правиле» мы можем задать название, описание, а также выбрать режим работы правила:

• Использовать параметры модулей
• Пропускать без проверки
• Отклонять без проверки
• Удалять без проверки

«Отправители и получатели» — то где задаём критерий применения правила. Чтобы правило применялось, обязательно нужно иметь хотя бы одну пару отправитель-получатель.

В отправителях мы указываем адрес «*», а в получателях адрес «*@tssolution.ru». Это означает, что правило будет применяться к письмам, направленным от любого отправителя ко всем получателям с адресом в домене @tssolution.ru.

Если же бы мы хотели, чтобы правило применялось к письмам, отправленным от нашего домена, то в отправителях мы бы указали «*@tssolution.ru», а в получателях «*».

Из общего хранилища администратор может просмотреть письмо и его свойства, скачать его, отправить письмо с повторной или без проверки.

Настроить общее хранилище и параметры отправки сообщения из «Хранилища» можно в «Параметры» -> «Общие» -> «Хранилище».

На основной вкладке «События почтового трафика» находятся записи об обработках писем с информацией из заголовков, отработавшем правиле и результатам проверки модулей. Также присутствуют фильтры для нахождения нужных событий, к примеру, можно поставить фильтр, чтобы отображались события только с конкретного узла.

Нажав на событие, можно просмотреть подробности обработки. Какое правило какой вердикт выдало, просмотреть вложения, MIME-части, ссылки. Также можно посмотреть подробности срабатывания контентной фильтрации, что будет показано далее в статье в подглаве про контентную фильтрацию.

В «События приложения» хранятся события об обновлении баз, синхронизации LDAP, аудита, проверки целостности и т.п.

«События аудита» — сюда записываются события аудита в виде syslog-сообщений в стандартном или CEF формате. Записываются там следующие события:

• Изменение параметров правила;
• Изменение параметров словаря;
• Изменение параметров раздела Параметры → Защита;
• Операции с сообщением в общем Хранилище;
• Попытка аутентификации;

→ Если запись событий аудита отключена в параметрах приложения, события аутентификации все равно записываются в виде syslog-сообщений стандартного формата с категорией authpriv (10);

• Изменение параметров учетной записи пользователя;

А также с версии KSMG 3.1:

• Смена пароля учетной записи;

→ Если при смене пароля пользователь ввел неверный старый пароль, такое событие записывается как неудачная попытка аутентификации;
→ Если пользователю не удалось сменить пароль по другой причине, такие события не записываются в журнал событий аудита;

• Изменение параметров роли;
• Изменение параметров обработки сообщений;
• Изменение параметров MTA.

В «Узлы» -> «Основное» отображена основная информация о состоянии узлов, а при нажатии на узел можно просмотреть подробную информацию о нём.

Для добавления нового узла в кластер необходимо, чтобы порты для кластерного взаимодействия совпадали (по умолчанию 9045), и чтобы интерфейсы для кластерного взаимодействия находились в одной подсети.

После развертывания нового узла, в веб-интерфейсе управляющего узла открываем «Узлы» -> «Добавить узел», вводим IP-адрес на интерфейсе для кластерного взаимодействия и «Далее». При успешном соединении у нас появится уведомление о проверке узла.

Узлы в кластере работают одновременно, распределение трафика между ними осуществляется сторонними средствами, такими как балансировщик или несколько MX записей в DNS с приоритетами. А маршрутизация дальше по нескольким почтовым серверам обеспечивается также по приоритетам MX-записей или вручную настраивается в настройках MTA, что описано в подглаве «Настройка MTA».

Нажав на узел, можно просмотреть информацию о нём.

В кластере может быть только один управляющий узел. Назначить другому подчиненному узлу роль управляющего узла можно:

• В веб-консоли «Узлы» -> «Основное» выбрать подчинённый узел и «Перейти к управлению узлом».
• Ввести адрес узла в адресной строке браузера, используется в случае выхода из строя управляющего узла.

Покажу на примере, как переназначить «Подчинённый узел» на «Управляющий» в случае выхода из строя последнего.

Есть «Управляющий узел» на 10.0.1.210 и «Подчинённый» на 10.0.1.231. Управляющий узел вышел из строя.

Вводим в адресной строке браузера адрес подчинённого узла 10.0.1.231.
В новом окне браузера откроется страница авторизации, вводим учётные данные администратора в кластере (локальная учётная запись администратора, которую задавали при установке подчинённого узла, не подойдёт) и выбираем «Изменить роль на Управляющий узел».

В версии 3.1 KSMG появилась возможность указать заголовки, которые будут удаляться из всех сообщений перед обработкой правилами KSMG. 

Продолжая прошлый пример, бухгалтерская программа или почтовый клиент автоматически вшивает служебный заголовок с ID документа X-1C-Document-ID, а мы не хотим, чтобы этот заголовок уходил с письмом во внешнюю сеть, а также хотим удалять этот заголовок из внешних писем для предотвращения подделки писем от бухгалтерии.

Заходим в «Параметры» -> «Общие» -> «Обработка сообщений» -> «Удаляемые заголовки» и там добавляем заголовок «X-1C-Document-ID».

В итоге из всех сообщений, входящих и исходящих, будут удаляться заголовки X-1C-Document-ID перед обработкой любым из правил.

Контентная фильтрация

Предназначен для проверки содержимого сообщений на соответствие с настроенными критериями/шаблонами. Модуль может фильтровать по:

• По размеру сообщения.
• По размеру MIME-части сообщения.
• По имени вложения.
• По типу вложения — KSMG позволяет определять истинный формат и тип вложения, независимо от его расширения, в том числе внутри архивов и составных объектов.
• По теме сообщения.
• По телу сообщения.
• По отправителю.
• По получателю.
• По получателю копии сообщения.
• По заголовкам верхнего уровня MIME-структуры сообщения.

Например, мы хотим удалять из получаемых писем все исполняемые файлы.

Переходим в настройку модуля контентной фильтрации в правиле и создаём новое выражение.

Выбираем действие, которое будет совершаться при срабатывании, в примере это «Удалить вложение».

Выбираем логику для срабатывания условий:

• И — если сработают все условия
• Или — если сработает одно из условий

И создаём условие для срабатывания.

И для разных атрибутов можно указать свои условия, к примеру, для тела и темы можно использовать маски, выражения и словари. В случае примера выбираем по типу вложения и выбираем тип «Исполняемые файлы». Также включаем расширенную проверку, чтобы исполняемые файлы искались в архивах и составных объектах, что также включает, к примеру, документы Excel.

После этого, из письма, прошедшего через это правило, будет удаляться исполняемый файл во вложении или составной объект/архив, имеющий исполняемый файл.

Для демонстрации было отправлено письмо с исполняемым файлом. События обработки можно посмотреть в «События и журналы». Нажав на событие, срабатывание можно увидеть подробности, и пролистав ниже мы увидим вердикты каждого из компонентов.

Нажав на «Подробнее» у модуля контентной фильтрации мы видим атрибуты, для которых сработало условие.

Обезвреживание содержимого (Content Disarm & Reconstruction)

Новый модуль, добавленный в версии KSMG 3.0, доступен только с расширенной лицензией KSMS Plus. Удаляет потенциально опасное содержимое:

• В офисных документах DOCX, XLSX, DOC, XLS удаляет макросы, внешние ссылки на данные, эксплоиты для уязвимостей, запросы Power Query, активные элементы форм, внедрённые OLE-объекты и конвертирует документ в PDF;
• В файлах TXT и HTML удаляются гиперссылки, JavaScript, скрытые iframe и ссылки в QR-кодах, сам формат файла остаётся неизменным.

После добавления расширенной лицензии  надо в глобальных параметрах KSMG включить компонент CDR. Заходим в «Параметры» -> «Общие» -> «Защита» -> «Обезвреживание содержимого».

CDR может работать в двух режимах:

• Обезвреживать только особо подозрительные объекты — KSMG будет обезвреживать DOCX и XLSX только если по результатам проверки в них были найдены вредоносное ПО, ссылки, макросы или OLE-объекты;
• Обезвреживать все объекты выбранных в правиле типов.

Затем в настройках правила можно включить модуль CDR, выбрать типы обезвреживаемых объектов, действия при ошибке и превышении лимита времени ожидания/размера сообщения.

Улучшенная проверка составных объектов

В версии 3.0 был улучшен функционал проверки зашифрованных вложений. Включить его можно в глобальных параметрах Антивируса «Параметры» -> «Общие» -> «Защита» -> «Антивирус».

При включенной опции KSMG будет искать пароль от документа или архива в теле сообщения. При успешной расшифровке антивирус проверит вложения и поступит с письмом как с незашифрованным. А в случае если пароль подобрать не удалось, то применится действие для зашифрованных вложений в модуле «Антивирус» в правиле (по умолчанию — пропустить).

В расширенной лицензии KSMS Plus появляется новый функционал, связанный с проверкой таких объектов. При отправке письма с зашифрованным вложением из хранилища на повторную проверку, можно ввести пароль для архива для последующей расшифровки с проверкой. Это работает как с отправкой из глобального, так и персонального хранилища.

Включить эту опцию для отправки из глобального архива можно в «Параметры» -> «Общие» -> «Хранилище», а для отправки из персонального хранилища в «Параметры» -> «Персональные учётные записи».

Приведу пример. Администратор настроил интеграцию с AD, включил персональные хранилища и разрешил отправку сообщений с повторной проверкой из них. В правиле для входящих писем, в настройках антивируса, настроил удаление зашифрованных вложений с сохранением копии письма в хранилище.

Пользователю Administrator приходит письмо с зашифрованным архивом, а пароль от него отправитель отправляет через другой канал связи. Антивирус не находит в теле письма пароль для расшифровки, по правилам удаляет вложение и помещает его в хранилище. Administrator заходит в личное хранилище по SSO и находит там письмо с архивом, отправляет его на проверку, вводит пароль для расшифровки, письмо проходит повторную проверку антивирусом и KATA и после успешной проверки доставляется в почтовый ящик с вложением.

Расширенная эвристика Анти-спама

В версии KSMG 3.1 была расширена эвристика анти-спам анализа. Она анализирует текстовое содержание, структуры и типичные фразы и классифицирует сообщение по категориям рассылки.

Настройка расширенной эвристики доступна только в расширенной лицензии KSMS Plus и найти её можно в настройках модуля «Анти-спам» для правила. Здесь можно точно настроить, как будет реагировать анти-спам на определённую категорию рассылки.
На момент написания статьи категорию рассылки надо указывать текстом и просмотреть их список можно в документации https://support.kaspersky.ru/ksmg/3.1va/322 126 .

Обнаружение ИИ писем

В последнее время злоумышленники начали применять искусственный интеллект для своих атак. За счёт этого усилились фишинговые атаки, особенно атаки на компрометацию корпоративной почты (BEC-атаки).  Например, быстро сгенерированное ИИ письмо может убедить сотрудника перевести деньги на посторонний счёт вместо счета подрядчика.

Возвращаясь к прошлой теме расширенных эвристик антиспама — с расширенной лицензией KSMG сможет распознавать письма, написанные с помощью ИИ и настроить их блокировку. Модуль может распознавать ИИ письма на:

• Английском;
• Русском;
• Немецком;
• Французском;
• Итальянском;
• Испанском;
• Португальском;
• Турецком языках.