Lab Exchange 2007 Lab #5 LiveClub Hoa Sen www.liveclubhoasen.net ANTI SPAM I. GIỚI THIỆU: Exchange 2007 là một sản phẩm Mail Server với tính năng Anti Spam được xây dựng sẵn khá mạnh mẽ, Exchange 2007 sử dụng các bộ lọc Mail (Filtering Agent) được tính hợp sẵn trên Edge Transport Server để kiểm tra tính hợp lệ của một E-Mail trước khi đưa vào Mailbox Server một cách chặt chẽ. Ngoài những bộ lọc thông dụng như IP Block/Allow List, IP Block/Allow List Provider, Sender Filtering, Content Filtering là những bộ lọc tương đối thông dụng và được trình bày khá nhiều trong các chương trình học, sách vở và các diễn đàn tin học, Sender Reputation là một chức năng mới của Exchange 2007 nhằm ngăn chặn việc nhận các Spam E-Mail được gửi bằng các hình thức không chính qui, những hình thức này thường được Spammer sử dụng như thông qua HTTP Proxy, SOCK hay HTTP POST , Sender Reputation thật sự hữu hiệu để ngăn chặn các E- Mail nặc danh, giả mạo hay lặp đi lặp lại nhiều lần Trong bài biết này, tôi sẽ trình bày sơ lược về nguyên tắc hoạt động của Sender Reputation và minh họa cách tấn công bằng Spam Mail cũng như cách phòng chống bằng cách cấu hình Sender Reputation II. NGUYÊN TẮC HOẠT ĐỘNG: Đầu tiên, tôi xin giải thích khái niệm SCL (Spam Confidence Level), có thể tạm hiểu SCL là 1 con số mô tả mức độ Spam của 1 E-Mail. Khi Edge Transport Server nhận được 1 E-Mail và chức năng Content Filtering được Enable, Exchange sẽ gán cho E-Mail này 1 số SCL (số này có giá trị từ 0 đến 9), nếu SLC là 0 có nghĩa rằng E-Mail hoàn toàn hợp lệ, nếu SCL=9 có nghĩa E-Mail này là Spam E-Mail. Nếu SCL mang giá trị khác 0 và 9 thì tùy mức độ lớn nhỏ của SCL để Exchange xác Lab Exchange 2007 Lab #5 LiveClub Hoa Sen www.liveclubhoasen.net định mức độ Spam của E-Mail. Exchange 2007 thường xuyên cập nhật thông tin (sử dụng AntiSpam Update Service) từ hàng triệu Spam E-Mail mà Hotmail đã nhận, qua đó gán SCL cho E- Mail tùy thuộc vào nội dung của E-Mail này. Tóm lại, nếu SCL càng cao thì mức độ Spam của E- Mail càng cao và ngược lại Bây giờ tôi xin giải thích nguyên lý hoạt động của Sender Reputation (tạm dịch là “Danh tiếng của người gửi”). Đây là 1 chức năng mặc định được Enable trên Edge Transport Server, chức năng này sẽ chặn E-Mail dựa trên đặc thù của người gửi bằng cách gán cho người gửi 1 thông số gọi là Sender Reputation Leval Block Threshold (SRL). Việc gán SRL cho người gửi được thực hiện theo thứ tự gồm 4 bước như sau: Bước 1: Phân tích câu lệnh HELO/EHLO của người gửi: Sender Reputation Agent phân tích các lệnh HELO và EHLO mà người gửi thiết lập tới Edge Transport Server và xác định người gửi này có đáng tin tưởng hay không. Một Spammer tiêu biểu thường có các câu lệnh HELO và EHLO khác nhau trong cùng 1 thời điểm và thường xuyên cung cấp những IP khác với IP thật của họ. Hơn nữa Spammer cũng hay dùng Domain name của chính người nhận để gửi Mail. Bước 2: Phân giải ngược IP của người gửi: Sender Reputation sẽ thực hiện việc phân giải ngược địa chỉ IP của người gửi, nếu việc phân giải trả về tên Domain thật thì có nghĩa là người gửi này đáng tin tưởng, ngược lại thì không Bước 3: Phân tích SCL của các E-Mail mà người gửi này đã gửi trước đây. Tùy thuộc vào SLC cao hay thấp, Sender Reputation sẽ oánh giá mức độ đáng tin cây của người gửi Bước 4: Sender Reputation Agent sẽ thực hiện kiểm tra IP người gửi bằng 1 Open Proxy. Nếu kết nối được trả về cho Edge Transport Server là 1 Open Proxy Port hay Protocol (SOCKS 4 and Lab Exchange 2007 Lab #5 LiveClub Hoa Sen www.liveclubhoasen.net 5,Wingate,Telnet, Cisco, HTTP CONNECT, and HTTP POST) thì Server gửi coi như là 1 Open Proxy và nó là 1 hiểm họa tiềm tàng và số Sender Reputation Leval Block Threshold (SRL) của người gửi sẽ được chỉnh cho hợp lý. Quá trình test proxy dùng các port 1080, 1081, 23, 6588, 3128 và 80. Tùy thuộc vào kết quả kiểm tra, Sender Reputation sẽ gán cho người gửi 1 số SRL cũng nằm từ 0-9 (cũng giống như việc gán số SCL). Nếu người gửi nào được gán số 9 thì đó chắc chắn là Spammer. Và nếu vượt ngưỡng (do ta qui định) thì IP của người gửi này sẽ tự động được đưa vào IP Block List trong vòng 24 giờ (ta có thể tùy ý qui định thời gian này). Sau 24 giờ thì Sender Reputation sẽ xóa IP người gửi ra khỏi danh sách IP Block List. Bạn cần lưu ý rằng 1 người gửi mà Sender Reputation chưa từng phân tích thì số SRL sẽ là 0, khi người gửi này đã gửi và Server từ 20 E-Mail trở lên thì Sender Reputation mới bắt đầu thực hiện việc phân tích và gán số SRL cho người gửi. Do đó khi cấu hình Sender Reputation, bạn sẽ quyết định chặn thư của người gửi phụ thuộc vào SRL của họ. Nếu bạn qui định mức SRL quá cao, bạn sẽ có thể nhận nhiều Spam E-Mail và nếu qui định mức SRL quá thấp, bạn có thể vô tình chận Mail của “người tốt” III Cài đặt Mở giao diện Exchange Management Shell Chuyển đường dẫn đến thư mục C:\Program Files\Microsoft\Exchange Server\Scripts Gõ lệnh cài đặt Antispam cho Exchange ./install-AntispamAgents.ps1 . thì tùy mức độ lớn nhỏ của SCL để Exchange xác Lab Exchange 2007 Lab #5 LiveClub Hoa Sen www.liveclubhoasen.net định mức độ Spam của E-Mail. Exchange 2007 thường xuyên cập nhật thông tin. Lab Exchange 2007 Lab #5 LiveClub Hoa Sen www.liveclubhoasen.net ANTI SPAM I. GIỚI THIỆU: Exchange 2007 là một sản phẩm Mail Server với tính năng. được trả về cho Edge Transport Server là 1 Open Proxy Port hay Protocol (SOCKS 4 and Lab Exchange 2007 Lab #5 LiveClub Hoa Sen www.liveclubhoasen.net 5,Wingate,Telnet, Cisco, HTTP CONNECT,