Sophos UTM kann so konfiguriert werden, dass es unerwünschte Spam-E-Mails entdeckt und Spam-Übermittlungen von bekannten oder verdächtigten Spam-Versendern identifiziert. Die Konfigurationsoptionen auf der Registerkarte Antispam ermöglichen die Konfiguration von SMTP-Sicherheitsfunktionen, die darauf ausgelegt sind, Ihr Netzwerk vor dem Empfang von unerwünschten kommerziellen E-Mails zu schützen.
Hinweis – Ausgehende E-Mails werden gescannt, wenn das Auswahlkästchen Relay-Nachrichten (ausgehend) scannen auf der Registerkarte Relaying markiert ist.
Hinweis – Einige der Funktionen auf dieser Registerkarte stehen mit dem BasicGuard-Abonnement nicht zur Verfügung.
Spam-Erkennung während SMTP-Übermittlung
Sie haben die Möglichkeit, Spam bereits zum Zeitpunkt der SMTP
-Übermittlung abzulehnen. Wählen Sie eine der folgenden Einstellungen für die Option Während SMTP-Übermittlung ablehnen:
- Aus: Spam-Erkennung ist ausgeschaltet und es werden keine E-Mails aufgrund von Spamverdacht abgelehnt.
- Bestätigten Spam: Nur bestätigter Spam wird abgelehnt.
- Spam: Alle E-Mails, die das System für Spam hält, werden abgelehnt. Beachten Sie, dass hierbei die Rate der Fehlfunde (engl. false positives) steigen kann, da möglicherweise auch E-Mails wie beispielsweise Newsletter als Spam betrachtet werden.
E-Mails, die nicht während der SMTP-Übermittlung abgelehnt werden, werden entsprechend Ihrer Einstellungen im Bereich Spamfilter unten behandelt.
Im Profilmodus: Diese Einstellung kann nicht für einzelne Profile geändert werden. Nachrichten mit mehr als einem Empfänger lassen diese Funktion aus, wenn bei einem der Empfängerprofile der Spam-Scan ausgeschaltet ist. Das bedeutet, dass es sinnvoll ist, die reguläre Einstellung zur Spam-Erkennung entweder auf Spam oder Bestätigten Spam eingestellt zu lassen.
RBLs (Echtzeit-Blackhole-Listen)
Echtzeit-Blackhole-Listen (Realtime Blackhole Lists, RBL) sind eine Methode, mit der Websites eine Liste von IP-Adressen bekannt geben, die mit Spam-Versand in Verbindung gebracht werden.
Empfohlene RBLs verwenden: Die Wahl dieser Option sorgt dafür, dass externe Datenbanken nach bekannten Spam-Versendern (sogenannten Echtzeit-Blackhole-Listen) abgefragt werden. Nachrichten, die von einer Domäne gesendet werden, die in einer oder mehrerer dieser Listen aufgeführt ist, können einfach abgelehnt werden. Es sind einige Dienste dieser Art im Internet verfügbar. Diese Funktion ist eine enorme Hilfe bei der Reduzierung des Spam-Aufkommens.
Standardmäßig werden die folgenden RBLs abgefragt:
- Commtouch IP Reputation (cyren.org)
- cbl.abuseat.org
Hinweis – Die RBLs, die von Sophos UTM abgefragt werden, können sich ohne Ankündigung ändern. Sophos übernimmt keine Gewähr für den Inhalt dieser Datenbanken.
Sie können zusätzliche RBL-Sites hinzufügen, um die Antispam-Fähigkeiten von Sophos UTM zu verbessern. Klicken Sie dazu auf das Plussymbol im Feld Extra-RBL-Zonen. Geben Sie die RBL-Zone in das angezeigte Textfeld ein.
Klicken Sie auf Übernehmen, um Ihre Einstellungen zu speichern.
Spamfilter
Sophos UTM bietet eine heuristische Prüfung von E-Mails auf Spam-Eigenschaften. Sie benutzt dafür SMTP-Envelope-Informationen (envelope = Umschlag) und eine interne Datenbank mit heuristischen Tests und Eigenschaften. Die Spamfilter-Option bewertet Nachrichten basierend auf ihrem Inhalt und SMTP-Envelope-Informationen. Höhere Werte deuten auf eine höhere Spam-Wahrscheinlichkeit hin.
Mit den folgenden beiden Optionen können Sie festlegen, was mit Nachrichten geschehen soll, denen ein gewisser Spam-Wert zugewiesen wurde. So wird sichergestellt, dass potenzielle Spam-E-Mails vom Gateway anders behandelt werden.
- Spam-Aktion: Hier können Sie festlegen, was mit Nachrichten geschieht, die als möglicher Spam eingestuft wurden. Beachten Sie, dass es Fehlfunde geben kann, z.B. Newsletter, und daher durch Verwerfen E-Mails verloren gehen können.
- Aktion bei bestätigtem Spam: Hier können Sie festlegen, was mit Nachrichten geschieht, die sicher Spam sind.
Sie können zwischen verschiedenen Aktionen für diese beiden Arten von Spam wählen:
- Aus: Es werden keine Nachrichten als Spam markiert oder ausgefiltert.
- Warnen: Es werden keine Nachrichten herausgefiltert. Stattdessen wird bei eingehenden Nachrichten eine Spam-Markierung („Flag“) zum Header der Nachricht hinzugefügt und der Betreff der Nachricht erhält eine Spam-Kennzeichnung. Auf ausgehende Nachrichten wird keine Aktion angewendet.
- Quarantäne: Die Nachrichten werden blockiert und in die E-Mail-Quarantäne verschoben. Nachrichten in Quarantäne können entweder über das Benutzerportal oder den täglichen Quarantänebericht eingesehen werden.
- Verwerfen: Eingehende Nachrichten werden angenommen und sofort gelöscht. Ausgehende Nachrichten werden nie verworfen, um unbeabsichtigten E-Mail-Verlust zu verhindern. Stattdessen werden sie in die Quarantäne verschoben.
Spam-Kennzeichnung: Mit dieser Option können Sie eine Kennzeichnung für Spam-Nachrichten festlegen, d.h., dass eine Zeichenkette zur Betreffzeile der Nachricht hinzugefügt wird, die es einfach macht, Spam-Nachrichten schnell als solche zu erkennen. Standardmäßig wird die Zeichenkette *SPAM* benutzt, um Nachrichten als Spam zu kennzeichnen.
Absender-Blacklist
Der Envelope-Absender eingehender SMTP-Sitzungen wird mit den Adressen auf dieser Blacklist (Negativliste) verglichen. Wenn der Envelope-Absender auf der Blacklist gefunden wird, wird die Nachricht während der Übermittlung zurückgewiesen. Einstellungen im Feld Während Übermittlung ablehnen haben keinen Einfluss auf diese Funktion.
Um ein neues Adressmuster zur Blacklist hinzuzufügen, klicken Sie auf das Plussymbol im Feld Adressmuster auf Blacklist, geben Sie eine (oder einen Teil einer) Adresse ein und klicken Sie Übernehmen. Sie können einen Asterisk (*) als Platzhalter verwenden, z.B. *@abbeybnknational.com. Ein Platzhalter funktioniert nicht im Domänen- oder TLD-Teil einer Adresse.
Tipp – End-Benutzer können im Benutzerportal ihre eigenen Black- und Whitelisten anlegen.
Ausdruckfilter
Der Ausdruckfilter prüft den Inhalt von Nachrichten, die den SMTP-Proxy passieren, auf bestimmte Ausdrücke. Verdächtige E-Mails werden blockiert. Ausdrücke können in Form von Perl Compatible Regular Expressions (Perl-kompatiblen regulären Ausdrücken) eingegeben werden. Einfache Zeichenfolgen wie „Online Dating“ werden ohne Berücksichtigung der Groß-/Kleinschreibung interpretiert. Klicken Sie auf Übernehmen, um Ihre Einstellungen zu speichern.
Querverweis – Detaillierte Informationen zur Verwendung von regulären Ausdrücken im Ausdruckfilter finden Sie in der Sophos-Knowledgebase.
Erweiterte Antispam-Funktionen
Dieser Abschnitt enthält weitere Optionen, die die Antispam-Fähigkeiten von Sophos UTM verbessern.
Ungültige HELO/fehlende RDNS ablehnen: Wählen Sie diese Option, wenn Sie Hosts blehnen wollen, die ungültige HELO-Einträge senden oder bei denen RDNS-Einträge fehlen. Wenn Sie Hosts von dieser Prüfung ausnehmen wollen, benutzen Sie die entsprechende Option auf der Registerkarte Ausnahmen.
Strikte RDNS-Prüfung durchführen: Wählen Sie diese Option, wenn Sie zusätzlich E-Mails von Hosts mit ungültigen RDNS-Einträgen ablehnen wollen. Ein RDNS-Eintrag ist ungültig, wenn der gefundene Hostname sich nicht zurück zur ursprünglichen IP-Adresse auflösen lässt.
Greylisting verwenden: Greylisting (dt. Verwendung grauer Listen) bedeutet, dass E-Mails für einen gewissen Zeitraum abgelehnt werden. Ein Mailserver, der Greylisting verwendet, speichert üblicherweise die folgenden Informationen von allen eingehenden Nachrichten:
- Absenderadresse
- IP-Adresse des Hosts, der die Nachricht verschickt hat
- Empfängeradresse
- Betreff der Nachricht
Diese Daten werden mit der internen Datenbank des SMTP-Proxy verglichen. Wenn die Daten noch nicht vorhanden sind, wird ein Eintrag in die Datenbank geschrieben, zusammen mit einem speziellen Zeitstempel, der die Daten beschreibt. Dieser Datensatz bewirkt, dass die E-Mail für einen Zeitraum von fünf Minuten abgelehnt wird. Nach diesem Zeitraum ist der Datensatz dem Proxy bekannt und die Nachricht wird beim nächsten Zustellversuch akzeptiert. Beachten Sie, dass der Datensatz nach einer Woche verfällt, wenn er innerhalb dieses Zeitraums nicht aktualisiert wird.
Greylisting nutzt die Tatsache, dass die meisten Versender von Spam-Mails Software verwenden, die nach der „Fire-and-Forget“-Methode arbeiten: Versuche die E-Mail zuzustellen und wenn es nicht klappt, vergiss es! Das heißt, dass die Versender solcher Spam-Mails nicht wie RFC-konforme Mailserver versuchen, die Mail bei einem vorübergehenden Fehlschlag nochmals zu versenden. Da in der RFC-Spezifikation vorgesehen ist, dass die E-Mail-Zustellung vorübergehend fehlschlagen kann, geht Greylisting davon aus, dass ein legitimer Server es noch einmal versuchen wird und der Zielhost dann die E-Mails annimmt.
BATV verwenden: BATV (Bounce Address Tag Validation) ist ein Entwurf des Standardisierungsgremiums Internet Engineering Task Force (IETF), bei dem der Versuch unternommen wird, die legitime Benutzung von E-Mail-Adressen von unautorisierter Benutzung zu unterscheiden. BATV bietet eine Methode, den Envelope-Sender von ausgehenden Mails zu signieren, indem ein einfacher geteilter Schlüssel hinzugefügt wird, der einen Hash der Adresse und zeitvariante Informationen sowie einige zufällige Daten codiert. Prinzipiell wird es dazu benutzt, Ablehnungsnachrichten (engl. bounce messages) abzuweisen, die nicht von Ihnen versendet wurden. Durch BATV können Sie nun herausfinden, ob Ablehnungsnachrichten, die Sie erhalten, wirklich durch eine von Ihnen versendete Mail ausgelöst wurden oder nicht durch einen Spam-Versender, der eine E-Mail mit Ihrer Adresse gefälscht hat. Wenn eine Ablehnungsnachricht eintrifft und die E-Mail ist nicht nach BATV signiert, wird der SMTP-Proxy die Nachricht nicht annehmen. Beachten Sie, dass die BATV-Signatur nach sieben Tagen abläuft. Um den Schlüssel (auch BATV-Secret genannt) zu ändern, der für die Verschlüsselung des Hashes der Envelope-Adresse MAIL FROM verwendet wird, gehen Sie zur Registerkarte Email Protection > SMTP > Erweitert.
Hinweis – Einige Mail-Transfer-Programme (Mail Transfer Agents, MTA) könnten E-Mails zurückweisen, deren Envelope-Absenderadresse mittels BATV verändert wurde. In diesem Fall müssen Sie für die betroffenen Absenderadressen, Empfängeradressen oder Domänen eine entsprechende Ausnahmeregel definieren.
SPF-Prüfung durchführen: SPF (Sender Policy Framework) ist ein System bei dem Domäneninhaber Informationen über ihre Mailserver für ausgehende Mails veröffentlichen können. Domänen benutzen öffentliche Einträge, um Anfragen nach verschiedenen Diensten (Web, E-Mail, usw.) an jene Hosts weiterzuleiten, die diese Dienste anbieten. Alle Domänen veröffentlichen MX-Einträge für E-Mail-bezogene Dienste, damit andere wissen, welche Hosts E-Mails für die Domäne entgegennehmen. SPF funktioniert durch Domänen, die zusätzlich eine Art „Rückwärts-MX“ veröffentlichen, um der Welt mitzuteilen, welche Hosts E-Mails von welcher Domäne versenden. Wenn der Empfänger eine Nachricht von einer bestimmten Domäne erhält, kann er diese Einträge überprüfen, um sicherzustellen, dass die E-Mail wirklich daher kommt, woher sie kommen soll.
Querverweis – Weitere Informationen erhalten Sie auf der Internetseite zu Sender Policy Framework.
Als zusätzliche Antispam-Funktion vergleicht der SMTP-Proxy stillschweigend jede Empfängeradresse, die er erhält, mit Ihrem Backend-Mailserver, bevor er die Mail für diese Adresse annimmt. E-Mails für ungültige Empfängeradressen werden nicht angenommen. Damit die Funktion greift, muss/müssen Ihr(e) Backend-Mailserver E-Mails von unbekannten Empfängern zur SMTP-Zeit ablehnen. Die Grundregel lautet: Wenn Ihr Backend-Server eine Nachricht ablehnt, lehnt sie der SMTP-Proxy ebenfalls ab.
Beachten Sie jedoch, dass die Empfängerüberprüfung nicht für vertrauenswürdige (authentifizierte) Hosts oder Relay-Hosts durchgeführt wird, da manche Benutzerprogramme (User Agents) ein Problem damit haben, wenn Empfänger während der SMTP-Übertragung abgelehnt werden. Gewöhnlich (der Backend-Mailserver lehnt unbekannte Empfänger während der SMTP-Übertragung ab) wird Sophos UTM E-Mails nur in den folgenden Fällen ablehnen (bounce):
- Wenn eine vertrauenswürdige Quelle oder ein Relay-Host eine Nachricht zu einem nicht verfügbaren Empfänger sendet.
- Wenn der Backend-Mailserver nicht erreichbar war, sodass Sophos UTM den Empfänger nicht verifizieren konnte.
Jedoch hindert Sophos UTM Ihre(n) Backend-Mailserver nicht daran, NDRs (non-delivery reports, Berichte über Nicht-Auslieferung) oder Ablehnungsnachrichten (bounces) zu versenden. Zudem speichert Sophos UTM Callout-Antworten des Mailservers zwischen: positive Antworten 24 Stunden lang und negative zwei Stunden.
Verwandte Themen