Quando si parla di sicurezza relativa al server di posta, si tende a limitare il problema alle misure di sicurezza applicate ai messaggi e ancora di più alla protezione antivirus e antispam. Questa è tuttavia solo una fase del processo più complesso di protezione del server.Questo articolo mira a identificare e spiegare tutti i livelli di sicurezza, molto importante quando si sceglie un determinato server di posta e di conseguenza quando lo si configura e lo si usa.
Abbiamo scelto un approccio a più fasi per la procedura di protezione del server di posta, in cui ogni fase si rivolge a uno dei livelli di sicurezza che consideriamo rilevanti: strato correlato alla connessione, sicurezza del protocollo, parametri di controllo della posta elettronica(incluse le applicazioni antivirus e antispam) e livello di configurazione e gestione(molto probabilmente interessato da errori umani).
Come creare un semplice Mail Server [Windows 10]
http://www.axigen.com/mail-server-img/mail-server-securty-overview.jpg
Le sezioni seguenti descrivono le misure di sicurezza adattate a ciascun livello di sicurezza:
1. Protezione delle connessioni del server di posta
Quando si utilizza un server di posta appena installato, gli amministratori devono innanzitutto assicurarsi che utilizzino connessioni protette. Esistono due possibilità principali per proteggere le connessioni: crittografia e regole simili al firewall.
I metodi di codifica sono stati continuamente sviluppati poiché Internet è diventato il mezzo preferito per i trasferimenti di dati. I metodi di crittografia più comunemente usati sono SSL (Secure Sockets Layer) e TLS (Transport Layer Security). Tuttavia, l';uso scorretto della crittografia spesso porta a violazioni della sicurezza. Esempi più comuni sono le pagine Web contenenti sia le informazioni protette che non protette o le comunicazioni protette solo dopo il login tramite una semplice pagina di accesso.
Si consigliano regole simili a firewall applicate a livello di server per eseguire il backup di un firewall esistente o sostituirlo quando non è disponibile. Possono imporre limiti sia sulle connessioni stabilite che sul traffico ospitato. Raccomandiamo di creare le regole allow / deny sia a livello globale (applicato a tutti i protocolli e listener) che specificamente per ciascun listener al fine di prevenire attacchi come DOS (Denial of service).
2. Protezione dei protocolli del server di posta
Dopo aver assicurato la prima fase di un trasferimento di posta elettronica, la prossima azione da intraprendere sarebbe proteggere i protocolli.
I passaggi consigliati consistono nell';utilizzare più listener per ogni interfaccia e correlarli con determinate regole di autorizzazione e rifiuto. Inoltre, limitando il numero di errori di connessione e autenticazione, il numero massimo di comandi o l';impostazione di un timeout per le sessioni può aiutare a proteggere il server da ulteriori attacchi DOS.
Per migliorare ulteriormente la sicurezza del protocollo, raccomandiamo le regole di controllo client, basate sull';indirizzo del mittente o del destinatario e alcune limitazioni relative al numero e alla dimensione dei messaggi e-mail.
Anche l';autenticazione è molto importante a livello di protocollo. Implementando diversi metodi di autenticazione, semplici (semplici, login, CRAM-MD5) o complessi (GSSAPI, Kerberos), il server di posta migliora la sicurezza delle comunicazioni ed è meglio equipaggiato contro attacchi e accessi non autorizzati.
Altre soluzioni efficienti a livello di protocollo assicurano che il server di posta sia conforme a RFC e prevenga il loop di posta elettronica (un metodo molto semplice sarebbe impostare un numero massimo di intestazioni :Ricevute: per email).
3. Protezione dei parametri di controllo della posta elettronica
Oltre all';utilizzo di diverse applicazioni antispam e antivirus, ci sono ulteriori azioni da tenere a mente in merito alla sicurezza basata sul controllo e-mail. Un';opzione molto utile sarebbe l';uso di liste grigie. La lista grigia è fondamentalmente una richiesta per l';invio dell';email, dopo aver temporaneamente respinto l';e-mail. Il server salva in un elenco l';IP del mittente e il destinatario e restituisce un errore temporaneo. Tutti i server validi invieranno di nuovo le e-mail, a differenza degli script di spamming. Si noti tuttavia che molti server non possono distinguere in questo momento tra un errore temporaneo e un errore permanente.
Il controllo dell';host è un altro modo semplice per garantire che solo le e-mail valide vengano ulteriormente elaborate dal tuo server di posta elettronica. Due metodi ben noti sono SPF (Sender Policy Framework) e elenchi di black hole basati su DNS. I record SPF sono dettagli pubblici pubblicati da domini all';interno dei server DNS. Solitamente indicano e confermano gli indirizzi reali dei domini. Utilizzando i controlli SPF, puoi prevenire con successo spam e email back-scatter.
Le liste nere possono essere pubbliche (gratuite) o private e di solito contengono indirizzi IP di server open-relay, proxy aperti e ISP senza filtro anti-spam. È necessario impostare il server in modo tale da richiedere tali elenchi e non accettare le connessioni avviate dagli indirizzi IP inclusi in essi. Se uno dei tuoi server viene erroneamente elencato, per essere rimosso da tale elenco, potresti dover compilare un modulo online, contattare gli amministratori dell';elenco o, in situazioni più gravi, modificare l';IP..
Un metodo di autenticazione più complesso è DKIM (Domain Keys Identified Mail Signature). Implementato da Yahoo e supportato da Google, Cisco, Sendmail, PGP, DKIM ha notevoli possibilità di diventare il metodo di autenticazione standard. L';intestazione dell';e-mail contiene una firma crittografata ed è a sua volta crittografata, che punta a una chiave crittografata, pubblicata sui server DNS dal dominio di invio. Il server che elabora l';e-mail utilizzerà questa chiave per decodificare il corpo dell';email. Se la decrittografia ha esito positivo, l';e-mail è valida.
Le regole del relè a volte possono fare la differenza tra un server sicuro e uno non protetto. La nostra prima raccomandazione è di non accettare mai l';inoltro aperto, in quanto può facilmente ottenere liste nere. Pertanto è necessario implementare alcune regole di inoltro, basate su indirizzo mittente / indirizzo destinatario o relay solo per utenti autenticati. Quando selezioni il tuo server di posta, assicurati che abbia le seguenti caratteristiche: consente di creare regole di inoltro, l';autenticazione del dominio è configurabile, l';interfaccia di invio è personalizzabile, supporta SSL / TSL e diversi metodi di autenticazione ed estensioni.
4. Configurazione e amministrazione sicure
La configurazione e l';amministrazione non sono comunemente considerate come un livello di sicurezza. Tuttavia, le funzionalità di configurabilità offerte dal server e la configurazione effettiva eseguita dall';utente svolgono un ruolo chiave nella protezione del MTA. In primo luogo, l';amministratore dovrebbe conoscere la soluzione, tutte le sue caratteristiche e tutti i suoi difetti, se presenti. Il file eseguibile del server deve supportare la programmazione senza perdite di memoria, eliminando i privilegi di root (solo sui sistemi Unices) e bloccando tutte le richieste di accesso tranne quelle per i file pubblici.
L';accesso al file di configurazione dovrebbe essere concesso solo all';amministratore. Inoltre, il file dovrebbe sempre essere molto specifico, facile da capire e da modificare, mentre tutti i valori predefiniti dovrebbero essere sicuri. Ad esempio, un valore predefinito che consente il relè aperto rappresenterebbe un grave difetto di sicurezza.
Dovrebbero essere forniti moduli di amministrazione alternativi (interfaccia web, interfaccia a riga di comando) per modificare la configurazione del server. È inoltre molto importante che tutte le connessioni a questi moduli siano effettuate tramite SSL. Per assicurarti di accedere in modo sicuro a questi moduli, ti consigliamo di utilizzare un server di posta con server HTTP proprietario e linguaggio di scripting basato su HTML.
La nostra raccomandazione sulla sicurezza più completa è l';implementazione di un sistema di :hosting intelligente:. Tale sistema è costituito da diversi server di posta installati su macchine diverse, ognuno dei quali esegue un';attività specifica. Il server che offre la migliore connessione e sicurezza del protocollo dovrebbe essere focalizzato sulla protezione del firewall. Il secondo dovrebbe eseguire i parametri di controllo della posta elettronica (incluse le applicazioni Antispam e Antivirus). Il terzo dovrebbe essere principalmente incentrato sulla gestione dei domini. Tuttavia, l';hosting intelligente potrebbe richiedere più risorse hardware e software rispetto a quelle disponibili nel sistema.
http://www.axigen.com/mail-server-img/smart-hosting.jpg
conclusioni
L';aspetto più importante da tenere a mente è che non esiste una sicurezza completa; quindi una protezione ottimale dovrebbe sostituire la perfezione. A ogni livello di sicurezza, ci sono possibili difetti e violazioni. La soluzione è scegliere la migliore configurazione possibile e adattarla alle esigenze e alla topologia della rete.
Se hai ulteriori domande o commenti sul contenuto di questo articolo, non esitare a inviare un';email al team di supporto AXIGEN.