Sophos Email: uitzonderingen voor inkomende Allow/Block-lijsten veilig beheren

Inbound Allow/Block bepaalt welke afzenders Sophos Email voor inkomende berichten toestaat of blokkeert. De beheerderslijst geldt voor alle beveiligde mailboxen; een persoonlijke lijst geldt alleen voor de betreffende gebruiker. Bij een conflict heeft Admin list voorrang.

Snelle, veilige werkwijze: exporteer eerst de bestaande lijst via Global Settings > Protection and Remediation > Allow and Block > Email > Inbound Allow/Block. Voeg vervolgens de meest specifieke afzenderwaarde toe aan Admin list, schakel Enforce Message Authentication in voor een Allow-vermelding, documenteer reden en eigenaar en test met een overeenkomend en een niet-overeenkomend bericht. Brede domeinen, wildcards en netwerken vervangen geen onderzoek naar een fout-positieve detectie.

Belangrijk: een Allow-vermelding schakelt niet alle beveiliging uit. Voor een overeenkomende, voldoende geauthenticeerde afzender slaat Sophos alleen de hieronder genoemde controles over; malwarescanning blijft actief. Zonder verplichte authenticatie kan een vervalst bericht dat een toegestaan adres gebruikt de beschreven controles omzeilen en de inbox bereiken. De Time of Click URL Allow List is een afzonderlijke functie en wordt hier niet beheerd.

Bereik en overeenkomsten begrijpen

De lijsten gelden uitsluitend voor inkomende berichten. Bij adressen en domeinen vergelijkt Sophos zowel de afzender van de SMTP-envelope als het adres in de zichtbare From-header. Een overeenkomst met een van beide activeert de ingestelde Allow- of Block-actie. Controleer daarom beide waarden in de onbewerkte headers of berichtdetails.

De beheerderslijst ondersteunt:

afzonderlijke e-mailadressen zoals billing@example.com;
domeinen zoals example.com;
IP-adressen zoals het documentatieadres 192.0.2.25;
IPv4-netwerken met prefixen van /16 tot en met /32, bijvoorbeeld 192.0.2.0/24;
wildcards aan het begin, midden of einde van een adres of domein, zoals *.example.com, name*@example.com, name@example*.com of *.example;
wildcards voor volledige TLD’s, met *.example als veilige documentatievorm in plaats van een productie-TLD.

End user list ondersteunt alleen e-mailadressen en domeinen, geen IP-adressen of wildcards. De gedocumenteerde bovengrens voor alle lijsten is 100.000 vermeldingen. Per gebruiker kunnen maximaal 500 vermeldingen aan de Allow- of Block-lijst worden toegevoegd; vermeldingen vanuit Smart Banners kunnen deze gebruikerslimiet overschrijden.

Een bericht van een geblokkeerde afzender of client-IP wordt zonder verdere scan geweigerd. Berichten van adressen op een Block-lijst worden normaal tijdens SMTP afgewezen, voordat de mailserver ze accepteert. Bij meerdere ontvangers met verschillende persoonlijke blokkeerinstellingen wordt het bericht daarentegen eerst geaccepteerd en daarna alleen geblokkeerd voor de ontvangers die de afzender hebben geblokkeerd. SMTP-acceptatie betekent in dit geval niet dat het bericht bij de blokkerende ontvanger is afgeleverd. De concrete test volgt hieronder.

De wijziging voorbereiden en beperken

Leg vooraf vast: ticket, zakelijke reden, eigenaar en verloop- of controledatum; exact lijsttype (Admin list of End user list); actie en meest specifieke waarde; betrokken gebruikers; actuele export met aantal vermeldingen; en testafzender, testontvanger en verwachte resultaten voor overeenkomende en niet-overeenkomende tests.

De hier geraadpleegde Sophos-documentatie onderbouwt geen automatische vervaldatum per vermelding. Plan daarom een controle in het wijzigingssysteem en verwijder een uitzondering zodra de reden vervalt. De beschrijving vermeldt kort reden en ticket, zonder vertrouwelijke gegevens.

De beheerderslijst configureren

Klik in Sophos Fusion (voorheen Sophos Central) op Global Settings.
Open Protection and Remediation > Allow and Block > Email > Inbound Allow/Block.
Selecteer Admin list en klik op Add.
Selecteer Allow of Block en voer exact één adres, domein, IP-adres, ondersteund CIDR-netwerk of wildcardwaarde in.
Voeg een Description met reden en ticket toe, zonder vertrouwelijke gegevens en maximaal 250 tekens lang.
Schakel voor Allow-vermeldingen Enforce Message Authentication in. Schakel deze optie niet uit om mislukte afzenderauthenticatie te omzeilen.
Sla de vermelding op en zoek deze op. Advanced Search filtert op Allow/Block, Message Authentication en afzenderadres of -domein.

Gebruik Override duplicates alleen nadat u de bestaande vermelding hebt vergeleken; Sophos gebruikt daarna de nieuwste keuze. U kunt de beschrijving van meerdere beheerdersvermeldingen tegelijk wijzigen en Message Authentication voor meerdere Allow-vermeldingen inschakelen, maar combineer daarbij niet ongemerkt verschillende redenen of eigenaren.

De instellingen per vermelding onder Enforce Message Authentication weerspiegelen de authenticatieopties uit User Settings. Per Allow-vermelding kunt u afzonderlijke opties behouden of overschrijven, waaronder SPF-controles en envelopedomeinen. Vergelijk en documenteer ook die waarden, niet alleen de hoofdschakelaar. Globale spoofingbeveiliging vervangt de schakelaar per vermelding niet: als Enforce Message Authentication voor een Allow-vermelding van de beheerder uitstaat, kan een vervalste afzender die vermelding misbruiken, ook als de globale optie aanstaat.

Controles die een geauthenticeerde Allow-overeenkomst overslaat

Bij een Allow-vermelding van de beheerder met verplichte authenticatie moet ten minste één van DMARC, SPF of DKIM slagen. De ingeschakelde optie Prevention of spoofing of allowed address en de instellingen per vermelding bepalen de precieze beoordeling; een DMARC-fout bij een beleid anders dan p=none kan de authenticatie bijvoorbeeld laten mislukken. Een willekeurige SPF-pass is daarom op zichzelf geen afdoende bewijs. Bij een succesvol geauthenticeerde Allow-overeenkomst slaat Sophos over:

Header anomalies;
Impersonation protection;
Anti-spam;
BATV (Bounce Address Tag Validation);
Country of origin;
Language;
Data control.

Een succesvol geauthenticeerde Allow-overeenkomst voor een gebruiker slaat alleen Impersonation protection, Anti-spam, Country of origin en Language over. Het volgende onderdeel bespreekt de tegenstrijdige beschrijvingen van gebruikersauthenticatie. Malwarescanning blijft in beide gevallen actief. De handleiding voor malware-, bijlage- en URL-beveiliging legt uit welke inhouds- en URL-controles onafhankelijk hiervan gelden.

Allow voor gebruikers: tegenstrijdige authenticatiebeschrijvingen

De huidige beschrijvingen van Inbound Allow/Block en de verwerking van Allow-lijsten stellen dat Allow-vermeldingen van gebruikers altijd Message Authentication afdwingen. User Settings beschrijft Prevention of spoofing of allowed address daarentegen als een optie die moet worden ingeschakeld voor de daar toegelichte gebruikersauthenticatie. Volgens die beschrijving staat de optie voor bestaande klanten standaard uit en is deze mogelijk nog niet in elke tenant beschikbaar. Deze beschrijvingen sluiten niet eenduidig op elkaar aan. Ze bewijzen noch een betrouwbare authenticatiebypass wanneer de optie uitstaat, noch bescherming in elke tenant onafhankelijk van die optie. De tegenstrijdigheid over authenticatie blijft onopgelost.

Houd bestaande beveiligingscontroles actief en plan, als Prevention of spoofing of allowed address beschikbaar is, de inschakeling met een gecontroleerde validatie van legitieme verzendroutes. Als de optie ontbreekt of het effect onduidelijk is, baseer dan geen nieuwe Allow-uitzondering voor een gebruiker op verondersteld authenticatiegedrag. Stel de tenantstatus vast met berichtdetails waaruit gevoelige gegevens zijn verwijderd en met de actuele instellingen. Schakel Enforce Message Authentication, spoofingbeveiliging of andere controles niet uit als workaround.

Voor de gedocumenteerde controle met Prevention of spoofing of allowed address ingeschakeld mag een toegestaan adres controles alleen overslaan als de authenticatie volgens de volgende beoordeling slaagt. Zo niet, dan negeert Sophos de Allow-status en voert het alle scans uit:

Een DMARC-pass is voldoende. Als DMARC faalt bij een afzenderbeleid anders dan p=none, mislukt de Allow-authenticatie in deze testconfiguratie met de optie ingeschakeld.
Bij p=none, of wanneer DMARC niet uitvoerbaar is, bepalen SPF en DKIM de uitkomst.
SPF controleert het envelopedomein van het bericht.
DKIM moet slagen voor het domein in de Allow-vermelding.
SPF check for non-aligned address kan een SPF-pass accepteren, ook als het envelopedomein van het afzenderadres niet is uitgelijnd met het toegestane adres. Sophos raadt dit af: een vervalst header-from-adres kan dan overeenkomen met een door de gebruiker toegestaan adres en het spoofingrisico vergroten.
SPF check for envelope domain zorgt dat Sophos voor elk door de gebruiker toegestaan headeradres het envelopedomein leest, zodat SPF op het envelopedomein van het bericht wordt toegepast. Gebruik dit alleen wanneer de noodzaak van deze uitzonderlijke niet-uitgelijnde SPF-werkwijze aantoonbaar is onderbouwd.

Dit niet-uitgelijnde uitzonderingspad verbreedt het vertrouwen en is geen standaardoplossing. Corrigeer eerst SPF, DKIM of DMARC bij de legitieme verzendservice. Zie de handleiding voor afzenderauthenticatie.

Gebruikerslijsten beheren

User Settings kan niet worden geconfigureerd in de EMS-modus. Buiten deze modus kunnen gebruikers hun lijst beheren in Sophos Central Self Service Portal als Release/Delete en Allow/Block List zijn ingeschakeld onder Global Settings > Products and Services > Email > User Settings. Er gelden twee beveiligingsafhankelijkheden:

Als End-user message settings aanstaat en de koppelingen Allow sender en Block sender op Smart Banners zijn geconfigureerd, moet Allow/Block List aan blijven.
Als End-user message settings uitstaat en Release/Delete of Allow/Block List wordt uitgezet, omzeilt Sophos de bestaande Allow/Block-lijsten van gebruikers.

De beheerder kan dezelfde lijsten centraal bekijken en wijzigen:

Open Global Settings > Protection and Remediation > Allow and Block > Email > Inbound Allow/Block.
Selecteer End user list en klik op Add.
Wijs de vermelding aan de juiste gebruiker toe, kies Allow of Block en gebruik alleen een e-mailadres of domein.
Sla op en controleer de vermelding met Advanced Search op actie, afzender of gebruiker.

Ook hier vervangt Override duplicates een identieke waarde door de nieuwste keuze. Controleer eerst de globale beheerderslijst, omdat die voorrang heeft op een tegenstrijdige gebruikersvermelding. Zie de handleiding voor quarantaine-selfservice.

Meerdere ontvangers correct testen

Bij een bericht aan meerdere ontvangers kunnen persoonlijke lijsten voor dezelfde afzender verschillen. Als alleen person1@example.com de afzender heeft geblokkeerd, ontvangt person2@example.com het bericht nog steeds; alleen voor person1@example.com wordt het geblokkeerd. Een normale blokkering leidt tot afwijzing vóór SMTP-acceptatie. In het gemengde geval met meerdere ontvangers wordt het bericht eerst geaccepteerd en vervolgens per ontvanger geblokkeerd. Succesvolle SMTP-acceptatie bewijst dus niet dat het bericht bij de blokkerende ontvanger is afgeleverd.

Gebruik voor een gecontroleerde pilot twee eigen testmailboxen en een eigen testafzender; vervang de voorbeeldadressen door deze geautoriseerde waarden. Controleer vooraf de globale Admin list op vermeldingen die voorrang hebben en de gebruikerslijstrechten uit het vorige onderdeel. De pilot vereist dat gebruikerslijsten daadwerkelijk worden toegepast. Vooral wanneer End-user message settings uitstaat, kan het uitschakelen van Release/Delete of Allow/Block List bestaande gebruikerslijsten omzeilen; dit is geen workaround voor een onverwacht testresultaat.

Documenteer de oorspronkelijke persoonlijke vermeldingen. Blokkeer de testafzender alleen voor de eerste testontvanger; de tweede mag geen overeenkomstige blokkering hebben.
Verstuur in één verzendactie een nieuw, onschadelijk bericht aan beide ontvangers. Controleer elke ontvangeractie afzonderlijk in Message History en bekijk de testmailboxen: verwacht bij de eerste blokkering zonder aflevering en bij de tweede aflevering, tenzij een andere controle het bericht tegenhoudt.
Als SMTP-toegang expliciet is geautoriseerd, bewaar dan ook het log van deze verzendactie en onderscheid acceptatie van afwijzing. Controleer dat beide ontvangers tot dezelfde SMTP-transactie behoren; afzonderlijke transacties tonen het gemengde geval niet aan. Vergelijk het resultaat met een afzonderlijke test met één ontvanger naar de blokkerende testmailbox, waarbij de normale afwijzing vóór acceptatie wordt verwacht. Leid geen SMTP-code of verwerkingsfase af uit alleen een afleverstatus.
Herstel na de pilot de eerder gedocumenteerde persoonlijke vermeldingen en controleer ze opnieuw. Stop bij een onverwacht resultaat de wijziging en controleer beheerdersprioriteit, gebruikerstoewijzing, overeenkomsten en rechten in plaats van een bredere Allow-regel te maken.

Een SMTP-test met één ontvanger dekt het gemengde geval niet. Zonder geautoriseerde SMTP-toegang kunt u de ontvangerresultaten controleren, maar de SMTP-fase niet als zelfstandig aangetoond documenteren.

CSV veilig exporteren en importeren

Exporteer vóór een massa-import de lijst als back-up en vergelijkingsbasis. Het exportbestand bevat extra kolommen en is niet ongewijzigd geschikt als importbestand. Download de actuele Sophos Fusion-sjabloon, volg exact de indeling en kolommen en verzin geen kolomnamen.

Open het juiste tabblad Admin list of End user list en bewaar de export ongewijzigd.
Kies Add > Import allow/block list en download de sjablonen.
Maak het CSV-bestand en controleer per regel actie, waarde, Description en, indien van toepassing, gebruiker.
Controleer in het importvoorbeeld Allow- en Block-vermeldingen, speciale tekens, domeinen en gebruikers.
Importeer eerst een klein pilotbestand; zoek en test de vermeldingen voordat u verdergaat.

Waarschuwing: Replace existing list with this import verwijdert bij het toevoegen van het CSV-bestand permanent alle actuele vermeldingen uit de betrokken lijst. Gebruik dit alleen voor een goedgekeurde volledige vervanging, met geverifieerde back-up en geslaagde pilot; nooit voor een aanvulling.

Een volledige vervanging beveiligen en terugdraaien

Vóór een volledige vervanging moet een aangewezen goedkeurder het exacte lijsttabblad, de ongewijzigde volledige back-up met het vastgelegde aantal rijen, het voorbereide herstelbestand, het pilotresultaat en het onderhoudsvenster goedkeuren. De pilot gebruikt dezelfde actuele Sophos-sjabloon in een niet-productietenant of een afzonderlijke gecontroleerde testlijst. Voer nooit een gedeeltelijk pilotbestand met Replace existing list with this import uit op de productielijst.

Als na de vervanging vermeldingen ontbreken of onjuist zijn, stopt u alle verdere imports en herstelt u de lijst niet rij voor rij. Na goedkeuring van het incident of de wijziging zet u de eerder geëxporteerde, bekende goede volledige lijst om in een nieuw bestand volgens de actuele Sophos-sjabloon; bewaar de oorspronkelijke export ongewijzigd. Vergelijk vóór de import het aantal rijen en representatieve Allow- en Block-vermeldingen, plus gebruikerstoewijzingen voor gebruikerslijsten en steekproeven aan het begin en einde. Importeer dit volledige herstelbestand daarna op het juiste tabblad en in een gecontroleerd venster met Replace existing list with this import. Vereis ten slotte dat het aantal vermeldingen gelijk is aan het aantal vóór de wijziging, bevestig dezelfde steekproeven en herhaal tests voor overeenkomst, geen overeenkomst en authenticatie om het bekende goede herstel te bewijzen. Houd de wijziging bij elk verschil gestopt en escaleer; malwarescanning en alle andere beveiligingscontroles blijven actief.

Afzonderlijke limieten: maximaal 500.000 vermeldingen in de gemaakte importlijst, 500 per gebruiker, 1 MB per CSV-bestand en 250 tekens per Description; langere tekst wordt afgekapt. Splits grote bestanden. Als spreadsheetsoftware scheidingstekens, begintekens of tekencodering wijzigt, annuleer dan, bouw het bestand opnieuw op vanuit de ongewijzigde Sophos-sjabloon en controleer het voorbeeld. Raad de codering niet en bewerk de back-up niet.

Het resultaat valideren

Voer na een individuele wijziging of elke import een kleine, gedocumenteerde test uit:

Overeenkomst: Een nieuw bericht met een exact overeenkomende envelope-afzender of From-header moet het verwachte Allow- of Block-effect tonen.
Geen overeenkomst: Een vergelijkbaar adres of naburig domein buiten de vermelding moet de normale controles doorlopen. Vooral bij wildcards en CIDR laat dit zien of het bereik te breed is.
Authenticatie slaagt: Controleer een legitieme afzender met een gedocumenteerd authenticatieresultaat tegen de daadwerkelijk ingeschakelde globale opties en opties per vermelding. Houd Enforce Message Authentication aan voor Allow-vermeldingen van de beheerder; gebruik voor een gecontroleerde Allow-test voor een gebruiker de beschikbare en ingeschakelde optie Prevention of spoofing of allowed address. Alleen de per geval gedocumenteerde controles mogen worden overgeslagen; malwarescanning blijft actief. Eén SPF-pass bewijst bij een strengere DMARC-beoordeling geen succesvolle Allow-overeenkomst.
Authenticatie mislukt: In deze beveiligde testconfiguratie mag een gecontroleerd bericht waarop alle drie de controles falen niet van de Allow-status profiteren en moet het alle scans doorlopen. Controleer ook een DMARC-fout bij een beleid anders dan p=none als dat deel uitmaakt van de geautoriseerde test. Zonder verifieerbare testconfiguratie voor gebruikers-Allow blijft de validatie open; schakel geen beveiligingscontrole uit om aflevering af te dwingen.
Block en meerdere ontvangers: Test bij persoonlijke Block-lijsten in hetzelfde bericht een getroffen en een niet-getroffen pilotontvanger en documenteer beide acties afzonderlijk. Controleer aanvullend SMTP-acceptatie of -afwijzing alleen met geautoriseerde toegang, niet op basis van aflevering alleen.
CSV: Vergelijk aantal, actie, waarde, Description en gebruikerstoewijzing met het bronbestand en de back-up. Controleer ook steekproeven aan het begin en einde van de lijst.

Noteer in Message History tijd, envelope-afzender, From, client-IP, ontvanger, authenticatie en actie. Aflevering alleen bewijst geen Allow-overeenkomst: het bericht kan ook de normale scans hebben doorstaan.

Problemen oplossen en uitzonderingen onderhouden

Allow werkt niet: vergelijk de envelope-afzender en From met de vermelding en controleer daarna beheerdersprioriteit, opties per vermelding en DMARC/SPF/DKIM. Normaal scannen is bedoeld wanneer verplichte authenticatie mislukt. Documenteer bij een onduidelijk effect van gebruikers-Allow ook de daadwerkelijke status van spoofingbeveiliging; omzeil de beschreven tegenstrijdigheid tussen bronnen niet door beveiligingscontroles uit te schakelen.
Block raakt slechts enkele ontvangers: controleer gebruikers en het geval met meerdere ontvangers; de beheerdersregel heeft voorrang.
Wildcard of CIDR komt onjuist overeen: controleer syntaxis en prefix; alleen /16–/32 is gedocumenteerd en gebruikerslijsten ondersteunen geen IP/CIDR of wildcards. Verwijder de brede vermelding tijdens het onderzoek.
Import ontbreekt of is onjuist: controleer tabblad, bestandsgrootte, gebruikerslimiet, sjabloon, extra kolommen, afgekorte beschrijvingen en zichtbare codering. Probeer niet opnieuw met Replace existing list with this import totdat de oorzaak bekend en de back-up geverifieerd is.
Legitieme e-mail blijft geblokkeerd: vergelijk lijsten, envelope, From en IP, daarna authenticatie en Message History. Maak niet als snelkoppeling een bredere Allow-vermelding.

Vergelijk minstens elk kwartaal en bij een nieuwe eigenaar de lijst, het ticket en de zakelijke noodzaak. Verwijder na goedkeuring verlopen, eigenaarloze, dubbele of te brede uitzonderingen en herhaal de tests. Blijft de oorzaak onbekend, draai de vermelding dan terug en escaleer met bericht-ID, tijdstip, export, betreffende regel en authenticatieresultaten, zonder vertrouwelijke berichten of volledige productielijsten bekend te maken.