Central Exchange : Anti-Spam

Estrutura de Anti-Spam no Exchange Server 2003 Service Pack 2 – Parte III

vslopes — Mon, 17 Jul 2006 21:55:00 GMT

Neste artigo, vamos conhecer o último nível de proteção anti-spam do Exchange 2003 Service Pack 2.

Filtro de Conteúdo

Depois que a mensagem passa pelo filtros de conexão e de protocolo, a próxima camada de defesa é o filtro de conteúdo, onde o conteúdo da mensagem será analisado.

1. Exchange Intelligent Message Filter

O Intelligent Message Filter, mais conhecido como IMF, é um filtro de conteúdo desenvolvido especialmente para o Exchange. O IMF é baseado em uma tecnologia patenteada pela Microsoft chamada Microsoft SmartScreen®. O SmartScreen é utilizado também pelo MSN, Hotmail e pelo Outlook 2003.

Diferente de outras tecnologias, o IMF utiliza uma amostragem estatística contendo exemplos de mensagens de SPAM para determinar se a mensagem é SPAM ou não. Adicionalmente, mensagens legitimas são incluídas nesta amostragem, reduzindo a possibilidade de erros. Como o IMF reconhece as características dos dois tipos de mensagens, legitima e SPAM, a precisão do IMF é aumentada.

O IMF deve ser instalado em servidores Exchange que aceitam mensagens da Internet. Quando um usuário externo envia uma mensagem para um Exchange com IMF habilitado, o conteúdo desta mensagem é analisado e uma pontuação é estampada no cabeçalho da mensagem indicando a probabilidade da mensagem ser SPAM.

A pontuação varia de 1 a 9. Esta informação fica armazenada em uma propriedade de mensagem chamada ‘SPAM Confidence Level’ (SCL). Esta propriedade é mantida na mensagem mesmo quando ela passa outros servidores Exchange dentro da organização.

Depois que o IMF estampa o SCL na mensagem, a mesma será avaliada por duas configurações definidas pelo administrador, conforme explicado à seguir:

Gateway blocking configuration: Block messages with an SCL rating greater than or equal to:

Se o SCL da mensagem for igual ou maior que o valor configurado aqui, uma das seguintes ações será tomada contra a mensagem:

Archive (arquivar a mensagem)
Delete (apagar a mensagem)
No action (nenhuma ação será tomada)
Reject (recusar a mensagem)

Store junk e-mail configuration: Move messages with an SCL rating greater than.

Se o SCL da mensagem for maior que o valor configurado aqui, a mensagem será entregue ao usuário, porém a mesma será colocada na pasta “Lixo Eletrônico” (a menos que o usuário tenha adicionado este remetente na lista de “remetentes seguros” do Outlook).

1.1 IMF Custom Weighting

O IMF possui uma funcionalidade denominada “Custom Weighting”, que permite aos administradores customizar o comportamento do IMF, baseado em frases encontradas no corpo da mensagem, no assunto ou em ambos.

Para implementar esta funcionalidade, é preciso criar um arquivo chamado MSExchange.UceContentFilter.xml e salvá-lo dentro do mesmo diretório onde os arquivos MSExchange.UceContentFilter.dll e .DAT se encontram. Tipicamente estes arquivos estarão no diretório “C:\Program Files\Exchsrvr\bin\MSCFV2”.

O arquivo MSExchange.UceContentFilter.xml define frases as quais o IMF dará maior ou menor ênfase. Isso permite a customização do funcionamento do IMF de forma a permitir ou negar mensagens baseado em frases, que de outra forma, receberiam um SCL diferente pelo IMF.

O IMF carrega o arquivo .XML durante a sua inicialização, e entende mudanças realizadas no arquivo sem que seja necessário reinicializar o serviço de SMTP no Exchange.

Exemplo de um MSExchange.UceContentFilter.xml:

<?xml version="1.0" encoding="UTF-16"?>

</CustomWeightEntries>

Durante o processamento da mensagem, o IMF lê o arquivo XML e então busca dentro da mensagem por uma string/palavra/frase que esteja listado na customização. Se algo for encontrado, o SCL da mensagem será ajustado de acordo com o “modificador” especificado.

Por exemplo, se a mensagem receber um SCL inicial de 4, e possuir a frase “Compre agora, o SCL será ajustado em mais 1 ponto. O valor final será SCL = 5.

Se você especificar MAX ou MIN no modificador para uma frase ou palavra específica, quando a mesma for encontrada em uma mensagem, o IMF irá mover o SCL para o valor máximo (9), ou mínimo (0).

Especificação dos campos do arquivo MSExchange.UceContentFilter.xml:

Type= BODY – busca da frase ou palavra no corpo da mensagem

Type= SUBJECT - Busca da frase ou palavra no assunto da mensagem

Type= BOTH – busca da frase ou palavra no corpo e assunto da mensagem

CHANGE – modificador que indica o ajuste a ser realizado no SCL da mensagem. Se você utilizar MAX, o SCL será ajustado para o valor máximo 9. Se você utilizar MIN, o SCL será ajustado para 0. Valores negativos decrementam o SCL, e valores positivos incrementam o SCL.

Na Microsoft, 38% da mensagens que passam o filtro de conexão e o filtro de protocolo são bloqueadas pelo IMF.

2. Lixo Eletrônico no Outlook 2003 e Outlook Web Access

Depois que a mensagem passar a linha de defesa baseada no servidor, o cliente Outlook 2003 pode atuar nas mensagens com o SCL maior ou igual a configuração especificada para armazenar lixo eletrônico no IMF. As mensagens que excederem a configuração especificada no servidor serão enviadas a pasta Lixo Eletrônico do cliente.

O Outlook 2003 e OWA permite ao usuário criar uma lista de remetentes seguros – esta lista contem endereços de e-mail de usuários os quais o clientes sempre irá aceitar mensagens. Também é possível criar uma lista de usuários bloqueados, ou seja, remetentes os quais o usuário não deseja receber mensagens.

Independente do SCL da mensagem, o Exchange sempre irá respeitar as listas criadas por usuários. Mensagens de usuários pertencentes a lista bloqueada serão sempre entregues a pasta lixo eletrônico, e mensagens de usuários permitidos serão sempre entregues na Caixa de Entrada.

Versões anteriores do Outlook não suportam as listas de usuários bloqueados ou permitidos. Qualquer mensagem estampada como SPAM é entregue diretamente na caixa postal do usuário, no folder Caixa de Entrada. Neste caso, o usuário pode definir as listas pelo Outlook Web Access.

Se você quiser conhecer mais sobre o IMF:

Microsoft Exchange Server Intelligent Message Filter v2 Operations Guide:

http://www.microsoft.com/downloads/details.aspx?familyid=B1218D8C-E8B3-48FB-9208-6F75707870C2&displaylang=en

Spam Confidence Level:

http://msdn.microsoft.com/library/default.asp?url=/library/en-us/e2k3/e2k3/ast_spam_confidence_level.asp

Fonte utilizada: http://www.microsoft.com/exchange/evaluation/features/antispam_framework.mspx

Viviane Lopes

Estrutura de Anti-Spam no Exchange Server 2003 Service Pack 2 – Parte II

vslopes — Fri, 07 Jul 2006 22:17:00 GMT

Neste artigo, vamos conhecer um pouco mais sobre o filtro de protocolo do Exchange 2003 Service Pack 2.

Filtro de Protocolo

Depois que a mensagem passa pelo filtro de conexão, a próxima camada de defesa é o filtro de protocolo SMTP. A conversa SMTP entre os servidores é analisada para verificar se o remetente e destinatário são permitidos, e para determinar o domínio SMTP do servidor remetente.

O filtro de protocolo pode ser configurado de duas formas:

1.1 Bloqueio do destinatário e remetente

Uma das formas de reduzir o número de mensagens de spam é definir remetentes ou domínios individuais dos quais você deseja recusar mensagens. O bloqueio de remetente permite que você especifique um endereço de e-mail individual ou domínios inteiros. Adicionalmente você pode configurar o filtro para recusar mensagens com remetente em branco.

O filtro de destinatário permite que você bloqueie mensagens enviadas para um destinatário em particular, ou que você filtre mensagens para usuários que não estão listados no Active Directory.

Uma ressalva ao filtrar mensagens para usuários que não estejam listados no Active Directory é que a sua organização pode se tornar vulnerável a um ataque SMTP denominado ‘directory harvest attack (DHA)’. Neste tipo de situação, as respostas ao comando RCPT TO: do servidor Exchange são pesquisadas para determinar se o endereço de e-mail de um usuário é válido ou não.

Se o recipiente for válido, o Exchange irá responder 250. 2.1.5.
Se o recipiente for inválido, o Exchange irá responder 550 5.1.1 User Unknown.

Desta forma, um ‘spammer’ pode escrever um script com um dicionário de nomes para construir endereços de e-mail de um domínio em particular. O script irá informar todos os endereços de e-mail que retornaram 250. 2.1.5 (o usuário existe e é válido) para o comando RCPT TO: e descartar todos os endereços de e-mail cuja resposta foi 550 5.1.1 User unknown (usuário inexistente).

A fonte geradora de mensagens do tipo spam então utiliza os endereços adquiridos através do ataque explicado anteriormente para enviar mensagens aos usuários.

Este tipo de ataque pode ser mitigado através de um método conhecido como ‘Tarpitting’. O SMTP do Windows 2003 Service Pack 1 possui uma forma de inserir um atraso nas respostas aos comandos SMTP. O servidor que está realizado o ataque não espera muito tempo pela resposta e a conexão é encerrada.

Mais informações sobre Tarpitting no Windows 2003:

SMTP tar pit feature for Microsoft Windows Server 2003
http://go.microsoft.com/fwlink/?LinkId=3052&kbid=842851

1.1 Sender ID

Sender ID é uma das grandes novidades do Exchange 2003 Service Pack 2. Sender ID é uma tecnologia que verifica se o servidor SMTP que está tentando enviar a mensagem é um servidor aprovado pelo domínio especificado no endereço SMTP do remetente.

Muitas mensagens de SPAM são falsificadas, de forma que a mensagem parece vir de um endereço SMTP legítimo. O usuário é “enganado”, pois ele pensa que a mensagem é de uma fonte legítima, como um banco, um prestador de serviço, etc, mas a mensagem na realidade é falsa, pois o endereço de e-mail foi plagiado. Este tipo de plágio é extremamente perigoso, pois o usuário pode informar dados importantes como conta bancária, endereço, etc,

Sender ID tenta basicamente eliminar ou reduzir este tipo de falsificação.

Para que o Sender ID funcione corretamente, é necessário a presença de duas partes.

01 – Um registro de DNS conhecido como “sender policy framework” ou SPF. O registro SPF define quais servidores estão autorizados a enviar mensagens de remetentes vindos do seu domínio SMTP.

02 – A segunda parte é um servidor SMTP, como o Exchange 2003 Service Pack 2, que suporta a tecnologia de Sender ID.

O registro SPF é adicionado a zona DNS para que outras organizações com o Sender ID possam verificar que mensagens de remetentes utilizando o seu domínio são realmente de servidores autorizados para tal.

O processo funciona da seguinte forma:

‘Spoofing’

1. Uma mensagem chega ao servidor Exchange, vinda do servidor SMTP fabrikam.com. O endereço de e-mail do remetente é susanf@nwtraders.com

2. O servidor Exchange faz uma query DNS para o registro SPF do domínio nwtraders.com.

3. Como nenhum registro SPF é encontrado, a mensagem passa pelo filtro do Sender ID.

Northwind Traders então adiciona um registro SPF na zona DNS nwtraders.com:

1. Uma mensagem chega ao servidor Exchange, vinda do servidor SMTP fabrikam.com. O endereço de e-mail do remetente é susanf@nwtraders.com

2. O servidor Exchange faz uma query DNS para o registro SPF do domínio nwtraders.com.

3. O endereço IP do servidor que está tentando enviar a mensagem (208.217.184.82) não está na lista de endereços IPs permitidos a enviar mensagens em nome de nwtraders.com. O registro SPF especifica que somente o servidor (131.107.76.156) pode fazer isso. Neste caso, a mensagem é recusada ou enviada a pasta de lixo eletrônico do usuário (depende da configuração do Sender ID).

Através da implementação do Sender ID você pode reduzir drasticamente o número de mensagens falsificadas (spoofed) de domínios que possuam o registro SPF.

Para habilitar o Sender ID, basta ir na guia “Sender ID” em propriedades de “Message Delivery”:

Na Microsoft, 59% das mensagens que possam do filtro de conexão são bloqueadas pelo filtro de protocolo.

Para ler a primeira parte deste artigo, clique aqui.

Fonte utilizada: http://www.microsoft.com/exchange/evaluation/features/antispam_framework.mspx

Viviane Lopes

Estrutura de Anti-Spam no Exchange Server 2003 Service Pack 2 – Parte I

vslopes — Fri, 19 May 2006 23:46:00 GMT

O Exchange Server 2003 Service Pack 2 utiliza diversos métodos para reduzir o volume de mensagens não solicitadas, popularmente conhecidas como ‘Spam’.

Nesta série de artigos apresentaremos uma visão geral dos métodos disponíveis no Exchange Server 2003 SP2 para controlar Spam e como este métodos trabalham juntos para reduzir o número total de mensagens indesejadas que chegam na caixa postal dos usuários.

O Exchange Server 2003 fornece proteção contra spam em três níveis diferentes:

§ Filtro de Conexão (Connection Filtering) - analisa o servidor de SMTP que está realizando a conexão.

§ Filtro de Protocolo (Protocol Filtering) – analisa o remetente e destinatário da mensagem.

§ Filtro de Conteúdo (Content Filtering) – analisa o conteúdo da mensagem.

Veja o exemplo à seguir:

Neste artigo, vamos conhecer mais sobre o Filtro de Conexão.

1 - Filtro de Conexão

A proteção oferecida pelo filtro de conexão é considerada a mais eficiente contra Spam, porque este tipo de filtro impede que a mensagem entre na organização Exchange. O filtro de conexão trabalha analisando cada tentativa de conexão SMTP entrante. Se o servidor que está tentando enviar a mensagem é identificado como uma fonte conhecida de spam, ou como um servidor que tipicamente não envia mensagens SMTP, então a conexão pode ser recusada, eliminando a necessidade de continuar o processamento da mensagem.

O Exchange 2003 Server possui dois tipos de Filtros de Conexão:

1.1 - Filtro de Conexão por endereço IP

Você pode definir se deseja recusar conexões SMTP baseado no endereço IP do servidor remoto. Este método de proteção é simples de ser configurado, porém a lista de endereços IP deve ser administrada manualmente.

Para incluir endereços IP na lista de bloqueio, basta ir no ‘Exchange System Manager’, propriedades de ‘Message Delivery’, e na guia ‘Connection Filtering’ selecionar ‘Deny’, como indicado na imagem abaixo:

Se incluirmos o endereço IP 10.0.0.200 na lista de endereços negados, qualquer tentativa de envio de mensagens provenientes deste endereço IP irá falhar com o erro:

550 5.7.0 Access Denied

Também é possível especificar endereços IP que são permitidos para conexões SMTP. Se você deseja receber mensagens de um servidor que foi identificado como origem de spam, basta você incluir o endereço IP na lista de “Accept”.

1.2 – Listas de bloqueio em tempo real (Real-Time Block lists)

Listas de bloqueio em tempo real são bancos de dados contendo endereços IPs de servidores já conhecidos como fonte de spam, open-relays, ou endereços IPs que fazem parte de um escopo que não deve incluir um servidor SMTP, por exemplo, um endereço IP fornecido por um provedor de Internet à um cliente de acesso discado.

Diversas empresas fazem a manutenção destes bancos de dados, coletando os endereços IPs que se encaixam nos perfis citados acima. Existem provedores RBL gratuitos, e também provedores RBL pagos.

O processo de filtro por RBL funciona da seguinte forma:

1 – Um servidor SMTP faz uma conexão ao servidor Exchange na porta TCP 25.

2 – O Servidor Exchange faz uma consulta DNS ao provedor RBL para verificar se o servidor SMTP que realizou a conexão está incluído na lista.

3 – Se o servidor SMTP não estiver incluído na lista, a conexão é permitida. Se o servidor SMTP estiver na lista RBL, então a conexão é cancelada.

A consulta DNS enviada ao provedor RBL é realizada utililizando o seguinte formato:

Se no exemplo acima, o endereço IP do servidor SMTP for 10.0.0.200, e o domínio SMTP do provedor RBL for contoso.com, a consulta realizada pelo servidor Exchange será:

200.0.0.10.contoso.com

O provedor RBL retorna uma das seguintes respostas:

§ ‘Host not found’ – o endereço IP solicitado não foi encontrado no banco de dados do provedor RBL.

§ ‘127.0.0.Status code’ – o endereço IP solicitado foi encontrado no banco de dados do provedor RBL. ‘Status code’ indica qual é o tipo de ofensa cometida por este servidor SMTP. O código pode variar entre provedores RBL, uma vez que não existe um padrão definido.

Você pode utilizar vários filtros de conexão para criar prioridades. Se você utilizar múltiplos servidores RBL, cada provedor será consultado seguindo a ordem em que eles aparecem na configuração do Exchange. Se uma resposta positiva for retornada, o Exchange não irá consultar nenhum provedor RBL adicional existente na lista.

Para configurar a listas RBL:

Na guia ‘Connection Filtering’, selecione ‘Add’ em ‘Block List Service Configuration’.

- ‘Display name’: nome para o filtro.

- ‘DNS Suffix of Provider’ – sufixo DNS fornecido pelo provedor RBL.

- ‘Custom Error Message to Return’ – você pode customizar a mensagem de erro que será mostrada ao servidor SMTP externo.

%0 – endereço IP do servidor SMTP externo

%1 – nome da regra do filtro de conexão

%2 – o provedor RBL

No exemplo acima, a mensagem de erro foi customizada para:

O endereço IP %0 foi rejeitado pelo provedor %2.

Em ‘Return Status Code’, você configurar como deseja configurar este filtro, de acordo com o ‘Status Code’ retornado pelo provedor RBL. O padrão é ‘Match Filter Rule to Any Return Code’.

Se o endereço IP 10.0.0.200 estiver presente no banco de dados do provedor RBL, qualquer tentativa de envio de mensagens provenientes deste endereço IP irá falhar com o erro:

550 5.7.1 Mensagem de erro customizada..

Na versões anteriores ao Service Pack 2, o filtro de conexão só está disponível se ‘firewalls’ ou servidores SMTP intermediários não existirem entre o servidor Exchange e o servidor SMTP externo. A razão é porque o filtro de conexão anterior ao Service Pack 2 considera somente o servidor realizando a conexão. Quando um servidor intermediário está posicionado entre o Exchange e o servidor SMTP externo, então apenas o endereço IP do servidor intermediário é analisado, o que praticamente inviabiliza o funcionamento do filtro de conexão.

Com a instalação do Exchange 2003 Service Pack 2, o servidor Exchange pode ser posicionado em qualquer lugar na organização – o filtro de conexão continua funcionando normalmente mesmo se houverem servidores intermediários, por exemplo, um servidor de antivírus, entre o servidor SMTP externo e o servidor Exchange. Isso é possível através da configuração dos endereços IPs ‘internos’ no Exchange System Manager. Desta forma, o endereço IP a ser analisado pelo RBL será efetivamente o endereço IP do servidor SMTP externo.

Na Microsoft, 25% das mensagens vindas da Internet são bloqueadas usando o filtro de conexão.

Nós próximos artigos, iremos explicar como funciona o Filtro de Protocolo e o Filtro de Conteúdo.

Se você deseja saber mais sobre o assunto, por favor verifique os seguintes links:

823866 How to configure connection filtering to use Realtime Block Lists (RBLs) and how to configure recipient filtering in Exchange 2003

http://support.microsoft.com/default.aspx?scid=kb;EN-US;823866

Fonte utilizada: http://www.microsoft.com/exchange/evaluation/features/antispam_framework.mspx

Viviane Lopes