Sophos Email: bezpieczne zarządzanie wyjątkami Allow/Block dla poczty przychodzącej

Funkcja Inbound Allow/Block określa, których nadawców Sophos Email dopuszcza lub blokuje w poczcie przychodzącej. Lista administratora obowiązuje globalnie dla wszystkich chronionych skrzynek, a osobiste listy użytkowników — tylko dla danego użytkownika. W razie konfliktu pierwszeństwo ma Admin list.

Bezpieczna ścieżka skrócona: w Global Settings > Protection and Remediation > Allow and Block > Email > Inbound Allow/Block najpierw wyeksportuj istniejącą listę. Następnie dodaj do Admin list możliwie najwęższą wartość nadawcy, dla wpisu Allow włącz Enforce Message Authentication, udokumentuj powód i właściciela oraz sprawdź wiadomością pasującą i niepasującą. Szerokie domeny, symbole wieloznaczne i sieci nie zastępują analizy fałszywego alarmu.

Ważne: wpis Allow nie wyłącza całej ochrony. Dla pasującego, odpowiednio uwierzytelnionego nadawcy Sophos pomija wyłącznie kontrole wymienione niżej; skanowanie pod kątem złośliwego oprogramowania pozostaje aktywne. Bez wymuszonego uwierzytelniania sfałszowana wiadomość używająca dozwolonego adresu może ominąć udokumentowane kontrole i trafić do skrzynki odbiorczej. Lista dozwolonych adresów URL funkcji Time of Click jest odrębną funkcją i nie jest tu zarządzana.

Zakres i zasady dopasowania

Listy dotyczą wyłącznie wiadomości przychodzących. Dla adresów i domen Sophos porównuje zarówno nadawcę koperty SMTP, jak i adres w widocznym nagłówku From. Dopasowanie dowolnego z nich uruchamia skonfigurowaną akcję Allow lub Block. Przed utworzeniem wyjątku sprawdź zatem obie wartości w surowych nagłówkach albo szczegółach wiadomości.

Lista administratora obsługuje:

pojedyncze adresy e-mail, np. billing@example.com;
domeny, np. example.com;
adresy IP, np. dokumentacyjny 192.0.2.25;
sieci IPv4 z prefiksami od /16 do /32, np. 192.0.2.0/24;
symbole wieloznaczne na początku, w środku lub na końcu adresu bądź domeny, np. *.example.com, name*@example.com, name@example*.com lub *.example;
symbole wieloznaczne dla całych domen najwyższego poziomu; *.example jest tu bezpiecznym przykładem dokumentacyjnym zamiast rzeczywistej TLD.

Lista użytkownika obsługuje natomiast tylko adresy e-mail i domeny, bez adresów IP i symboli wieloznacznych. Udokumentowany limit wszystkich list wynosi 100 000 wpisów. Do listy Allow lub Block jednego użytkownika można dodać maksymalnie 500 wpisów; wpisy dodane z poziomu Smart Banners mogą przekroczyć ten limit użytkownika.

Wiadomość od zablokowanego nadawcy lub z zablokowanego adresu IP klienta jest odrzucana bez dalszego skanowania. Wiadomości z adresów na liście Block są zwykle odrzucane podczas SMTP, zanim serwer pocztowy je przyjmie. Jeśli jednak wiadomość ma wielu odbiorców z różnymi osobistymi ustawieniami blokowania, najpierw jest przyjmowana, a następnie blokowana tylko dla tych, którzy zablokowali nadawcę. W tym przypadku przyjęcie przez SMTP nie oznacza dostarczenia do odbiorcy blokującego nadawcę. Konkretny test opisano poniżej.

Przygotowanie i zawężenie zmiany

Przed każdą zmianą zapisz:

numer zgłoszenia, uzasadnienie biznesowe, właściciela oraz termin wygaśnięcia lub przeglądu;
dokładny typ listy: Admin list albo End user list;
akcję Allow lub Block oraz możliwie najwęższą wartość;
użytkowników objętych regułą na liście użytkownika końcowego;
aktualny eksport jako kopię zapasową oraz liczbę wpisów;
nadawcę i odbiorcę testowego oraz oczekiwane wyniki dopasowania i braku dopasowania.

Sophos nie udostępnia udokumentowanego automatycznego terminu wygaśnięcia wpisu. Wygaśnięcie musi więc być procesem operacyjnym: zaplanuj wyjątki w systemie zmian, regularnie je przeglądaj i usuwaj, gdy przestają być potrzebne. Opis powinien krótko podawać powód i zgłoszenie, bez danych poufnych.

Konfiguracja listy administratora

W Sophos Fusion (dawniej Sophos Central) kliknij Global Settings.
Otwórz Protection and Remediation > Allow and Block > Email > Inbound Allow/Block.
Wybierz Admin list i kliknij Add.
Wybierz Allow albo Block i wprowadź dokładnie jeden adres, domenę, adres IP, obsługiwaną sieć CIDR lub potrzebną wartość z symbolem wieloznacznym.
Dodaj krótki Description z powodem i numerem zgłoszenia. Opis może mieć najwyżej 250 znaków.
Dla wpisów Allow włącz Enforce Message Authentication. Nie wyłączaj tej opcji, aby obejść nieudane uwierzytelnienie nadawcy.
Zapisz wpis i odszukaj go na liście. Advanced Search filtruje według Allow/Block, Message Authentication oraz adresu lub domeny nadawcy.

Jeśli ta sama wartość już istnieje, użyj Override duplicates dopiero po porównaniu istniejącego wpisu. Sophos zastosuje ostatnio wybrane ustawienie. Można wspólnie zmienić opis wielu zaznaczonych wpisów administratora, a dla zaznaczonych wpisów Allow również włączyć Message Authentication. Zmiana zbiorcza nie może jednak niejawnie łączyć wpisów o różnych powodach lub właścicielach.

Ustawienia poszczególnych wpisów w Enforce Message Authentication odpowiadają opcjom uwierzytelniania w User Settings. Dla każdego wpisu Allow można zachować lub zastąpić pojedyncze opcje, w tym kontrole SPF i domeny koperty. Porównaj i udokumentuj także te wartości, nie tylko stan głównego przełącznika. Globalna ochrona przed podszywaniem nie zastępuje przełącznika wpisu: jeśli Enforce Message Authentication jest wyłączone dla administracyjnego wpisu Allow, sfałszowany nadawca może wykorzystać ten wpis nawet przy włączonej opcji globalnej.

Kontrole pomijane przy uwierzytelnionym dopasowaniu Allow

Dla administracyjnego wpisu Allow z wymuszonym uwierzytelnianiem musi przejść co najmniej jedna kontrola: DMARC, SPF lub DKIM. Włączona opcja Prevention of spoofing of allowed address i ustawienia wpisu określają szczegółową ocenę; w szczególności niepowodzenie DMARC przy polityce innej niż p=none może spowodować nieudane uwierzytelnienie. Dowolny wynik SPF pass nie jest więc sam w sobie wystarczającym dowodem. Przy poprawnie uwierzytelnionym dopasowaniu Allow Sophos pomija:

Header anomalies;
Impersonation protection;
Anti-spam;
BATV (Bounce Address Tag Validation);
Country of origin;
Language;
Data control.

Poprawnie uwierzytelnione dopasowanie wpisu Allow użytkownika pomija tylko Impersonation protection, Anti-spam, Country of origin i Language. Następna sekcja wyjaśnia sprzeczne opisy uwierzytelniania użytkowników. W obu przypadkach skanowanie złośliwego oprogramowania pozostaje aktywne. Niezależne kontrole treści i adresów URL opisuje poradnik ochrony przed złośliwym oprogramowaniem, załącznikami i adresami URL.

Allow użytkownika: sprzeczne opisy uwierzytelniania

Aktualne opisy Inbound Allow/Block i przetwarzania list Allow stwierdzają, że wpisy Allow użytkowników zawsze wymuszają Message Authentication. Natomiast User Settings przedstawia Prevention of spoofing of allowed address jako opcję, którą trzeba włączyć dla opisanego tam uwierzytelniania Allow użytkowników. Podaje, że dla istniejących klientów jest ona domyślnie wyłączona i może jeszcze nie być dostępna we wszystkich tenantach. Opisy te nie są jednoznacznie spójne. Nie dowodzą ani niezawodnego obejścia uwierzytelniania przy wyłączonej opcji, ani potwierdzonej ochrony we wszystkich tenantach niezależnie od niej. Konflikt dotyczący uwierzytelniania pozostaje nierozstrzygnięty.

W eksploatacji pozostaw istniejące zabezpieczenia aktywne i, jeśli Prevention of spoofing of allowed address jest dostępna, zaplanuj jej włączenie z kontrolowaną weryfikacją legalnych ścieżek wysyłania. Jeśli opcji brakuje lub jej działanie jest niejasne, nie opieraj nowego wyjątku Allow użytkownika na domniemanej logice uwierzytelniania. Wyjaśnij stan tenantu na podstawie szczegółów wiadomości pozbawionych danych wrażliwych i aktualnych ustawień. Nie wyłączaj Enforce Message Authentication, ochrony przed podszywaniem ani innych kontroli jako sposobu obejścia problemu.

Dla udokumentowanej kontroli z włączoną opcją Prevention of spoofing of allowed address dozwolony adres może pomijać kontrole tylko wtedy, gdy uwierzytelnienie przejdzie poniższą ocenę. W przeciwnym razie Sophos ignoruje status Allow i wykonuje wszystkie skany:

Wynik DMARC pass wystarcza. Jeśli DMARC zawiedzie przy polityce nadawcy innej niż p=none, uwierzytelnienie Allow nie powiedzie się w tej konfiguracji testowej z włączoną opcją.
Przy p=none albo gdy nie można wykonać DMARC, o wyniku decydują SPF i DKIM.
SPF sprawdza domenę koperty wiadomości.
DKIM musi przejść dla domeny podanej we wpisie Allow.
SPF check for non-aligned address może zaakceptować wynik SPF pass, nawet gdy domena koperty adresu nadawcy nie jest wyrównana z dozwolonym adresem. Sophos nie zaleca tej opcji: sfałszowany adres header-from może wówczas pasować do adresu dozwolonego przez użytkownika i zwiększyć ryzyko podszywania.
SPF check for envelope domain powoduje, że Sophos odczytuje domenę koperty dla każdego adresu nagłówkowego dozwolonego przez użytkownika, aby zastosować SPF do domeny koperty wiadomości. Używaj tej opcji wyłącznie wtedy, gdy wymagany jest ten wyjątkowy, niewyrównany proces SPF.

Ta niewyrównana ścieżka wyjątku poszerza zaufanie i nie jest rozwiązaniem domyślnym. Najpierw popraw SPF, DKIM lub DMARC w legalnej usłudze wysyłającej. Zależności i kontrolę wyników opisuje poradnik uwierzytelniania nadawcy.

Zarządzanie listami użytkowników

User Settings nie można konfigurować w trybie EMS. Poza tym trybem użytkownicy mogą prowadzić własną listę w Sophos Central Self Service Portal, jeśli w Global Settings > Products and Services > Email > User Settings odpowiednio włączono Release/Delete i Allow/Block List. Obowiązują dwie zależności bezpieczeństwa:

Jeśli End-user message settings jest włączone, a na Smart Banners skonfigurowano łącza Allow sender i Block sender, opcja Allow/Block List musi pozostać włączona.
Jeśli End-user message settings jest wyłączone i wyłączono Release/Delete albo Allow/Block List, Sophos pomija istniejące listy Allow/Block użytkowników.

Administrator może centralnie wyświetlać i zmieniać te same listy:

Otwórz Global Settings > Protection and Remediation > Allow and Block > Email > Inbound Allow/Block.
Wybierz End user list i kliknij Add.
Przypisz wpis właściwemu użytkownikowi, wybierz Allow lub Block i użyj wyłącznie adresu e-mail albo domeny.
Zapisz wpis i sprawdź go za pomocą Advanced Search według akcji, nadawcy lub użytkownika.

Także tutaj Override duplicates zastępuje istniejącą identyczną wartość najnowszym wyborem. Przed zmianą zawsze sprawdź globalną listę administratora, ponieważ ma ona pierwszeństwo przed sprzecznym wpisem użytkownika. Włączanie działań użytkownika i uprawnień kwarantanny opisuje samoobsługa kwarantanny.

Prawidłowe testowanie wielu odbiorców

Przy wiadomości do wielu odbiorców osobiste listy dla tego samego nadawcy mogą się różnić. Jeśli nadawcę zablokował tylko person1@example.com, użytkownik person2@example.com nadal otrzyma wiadomość; blokada dotyczy tylko person1@example.com. W zwykłym przypadku wiadomość jest odrzucana przed przyjęciem przez SMTP. W mieszanym przypadku wielu odbiorców jest najpierw przyjmowana, a następnie blokowana dla konkretnych odbiorców. Udane przyjęcie przez SMTP nie dowodzi więc dostarczenia do odbiorcy, który zablokował nadawcę.

Do kontrolowanego pilotażu użyj dwóch własnych skrzynek testowych i własnego nadawcy testowego; zastąp adresy przykładowe tymi zatwierdzonymi wartościami. Najpierw sprawdź globalną Admin list pod kątem wpisów mających pierwszeństwo oraz uprawnienia list użytkowników z poprzedniej sekcji. Pilotaż wymaga faktycznie stosowanych list użytkowników. W szczególności, jeśli End-user message settings jest wyłączone, wyłączenie Release/Delete lub Allow/Block List może spowodować pomijanie istniejących list; nie jest to sposób na nieoczekiwany wynik testu.

Udokumentuj pierwotne wpisy osobiste. Zablokuj nadawcę testowego tylko dla pierwszego odbiorcy; drugi nie może mieć odpowiadającej blokady.
Wyślij nową, nieszkodliwą wiadomość do obu odbiorców w jednej operacji wysyłania. Sprawdź każdą akcję osobno w Message History i skontroluj skrzynki: dla pierwszego oczekuj blokady bez dostarczenia, a dla drugiego dostarczenia, o ile inna kontrola nie zatrzyma wiadomości.
Jeśli dostęp SMTP został wyraźnie zatwierdzony, zachowaj także dziennik tej operacji i odróżnij przyjęcie od odrzucenia. Sprawdź, czy obaj odbiorcy należą do tej samej transakcji SMTP; oddzielne transakcje nie dowodzą przypadku mieszanego. Porównaj wynik z oddzielnym testem dla jednego odbiorcy, skierowanym do blokującej skrzynki, dla którego oczekuje się normalnego odrzucenia przed przyjęciem. Nie wyciągaj wniosków o kodzie SMTP ani etapie przetwarzania z samego statusu dostarczenia.
Po pilotażu przywróć udokumentowane wpisy osobiste i ponownie je sprawdź. Przy nieoczekiwanym wyniku zatrzymaj zmianę i sprawdź priorytet administratora, przypisanie użytkowników, dopasowanie i uprawnienia, zamiast tworzyć szerszą regułę Allow.

Test SMTP z jednym odbiorcą nie odtwarza przypadku mieszanego. Bez zatwierdzonego dostępu SMTP możesz sprawdzić wyniki odbiorców, ale nie możesz udokumentować etapu SMTP jako samodzielnie potwierdzonego.

Bezpieczny eksport i import CSV

Przed importem masowym wyeksportuj zaznaczone wpisy lub całą listę jako CSV. Eksport jest kopią zapasową i podstawą porównania. Zawiera dodatkowe kolumny, dlatego nie nadaje się bez zmian do importu. Pobierz aktualny szablon z Sophos Fusion, zachowaj dokładnie jego format i kolumny oraz usuń dodatkowe kolumny eksportu. Nie wymyślaj nazw kolumn.

Otwórz właściwą kartę Admin list albo End user list.
Wyeksportuj listę i zachowaj plik bez zmian jako kopię zapasową.
Wybierz Add > Import allow/block list i pobierz pliki szablonów.
Utwórz CSV zgodnie z szablonem. W każdym wierszu sprawdź akcję, wartość, Description, a dla list użytkowników także przypisanie użytkownika.
Przed zakończeniem skontroluj w podglądzie próbki Allow i Block, znaki specjalne, domeny oraz przypisania użytkowników.
Najpierw zaimportuj mały plik pilotażowy. Odszukaj i przetestuj nowe wpisy, zanim przetworzysz kolejne pliki.

Ostrzeżenie: wybranie Replace existing list with this import i dodanie pliku CSV trwale usuwa wszystkie bieżące wpisy z objętej importem listy. Używaj tej opcji tylko do zatwierdzonego pełnego zastąpienia, po sprawdzeniu kopii zapasowej i udanym pilotażu. Nie wybieraj jej podczas dodawania wpisów.

Zabezpieczenie i wycofanie pełnego zastąpienia

Przed pełnym zastąpieniem wskazana osoba zatwierdzająca musi zaakceptować dokładną kartę listy, niezmienioną pełną kopię z zapisaną liczbą wierszy, przygotowany plik odtworzeniowy, wynik pilotażu i okno serwisowe. Pilotaż musi używać tego samego aktualnego szablonu Sophos w środowisku nieprodukcyjnym albo na oddzielnej, kontrolowanej liście testowej. Nigdy nie uruchamiaj częściowego pliku pilotażowego na liście produkcyjnej z opcją Replace existing list with this import.

Jeżeli po zastąpieniu brakuje wpisów albo są one błędne, zatrzymaj wszystkie dalsze importy i nie poprawiaj listy wiersz po wierszu. Po zatwierdzeniu incydentu lub zmiany przekształć wcześniej wyeksportowaną, znaną jako prawidłowa pełną listę w nowy plik zgodny z aktualnym szablonem Sophos; zachowaj oryginalny eksport bez zmian. Przed importem porównaj liczbę wierszy i reprezentatywne wpisy Allow oraz Block, a w przypadku list użytkowników także przypisania użytkowników i próbki z początku i końca. Następnie na właściwej karcie i w kontrolowanym oknie zaimportuj pełny plik odtworzeniowy z opcją Replace existing list with this import. Na końcu wymagaj zgodności liczby wpisów z wartością sprzed zmiany, potwierdź te same próbki i powtórz testy dopasowania, braku dopasowania i uwierzytelniania, aby wykazać przywrócenie znanego prawidłowego stanu. W razie rozbieżności pozostaw zmianę zatrzymaną i eskaluj; skanowanie złośliwego oprogramowania i wszystkie pozostałe zabezpieczenia pozostają aktywne.

Należy oddzielnie przestrzegać następujących limitów importu:

najwyżej 500 000 wpisów na tworzonej liście importowej;
najwyżej 500 wpisów na użytkownika;
najwyżej 1 MB na plik CSV;
najwyżej 250 znaków na Description; dłuższy tekst jest obcinany podczas importu.

Większe pliki podziel i przesyłaj etapami. Arkusz kalkulacyjny może zmienić separatory, znaki początkowe lub kodowanie. Jeśli znaki diakrytyczne są uszkodzone albo kolumny przesunięte, przerwij import, ponownie utwórz plik z niezmienionego szablonu Sophos i sprawdź podgląd. Nie zgaduj kodowania ani nie edytuj kopii zapasowej.

Weryfikacja wyniku

Po pojedynczej zmianie i każdym imporcie wykonaj mały, udokumentowany test:

Dopasowanie: Nowa wiadomość z dokładnie pasującym nadawcą koperty lub nagłówkiem From musi wykazać oczekiwane działanie Allow albo Block.
Brak dopasowania: Podobny adres lub sąsiednia domena spoza wpisu musi przejść normalne kontrole. Zwłaszcza przy symbolach wieloznacznych i CIDR ujawnia to zbyt szeroki zakres.
Uwierzytelnienie udane: Sprawdź legalnego nadawcę z udokumentowanym wynikiem uwierzytelniania względem faktycznie włączonych opcji globalnych i ustawień wpisu. Dla administracyjnego Allow pozostaw Enforce Message Authentication aktywne; do kontrolowanego testu Allow użytkownika użyj dostępnej i włączonej opcji Prevention of spoofing of allowed address. Można pominąć wyłącznie kontrole udokumentowane dla danego przypadku; skanowanie złośliwego oprogramowania pozostaje aktywne. Sam wynik SPF pass nie dowodzi udanego dopasowania Allow przy bardziej rygorystycznej ocenie DMARC.
Uwierzytelnienie nieudane: W tym chronionym stanie testowym kontrolowana wiadomość, dla której zawiodą wszystkie trzy kontrole, nie może korzystać ze statusu Allow i musi przejść wszystkie skany. Sprawdź też niepowodzenie DMARC przy polityce innej niż p=none, jeśli ten przypadek jest częścią zatwierdzonego testu. Bez weryfikowalnej konfiguracji testowej Allow użytkownika jego odbiór pozostaje otwarty; nie wyłączaj zabezpieczeń, aby wymusić dostarczenie.
Block i wielu odbiorców: Dla osobistych list Block sprawdź w tej samej wiadomości odbiorcę objętego blokadą i nieobjętego nią; udokumentuj obie akcje oddzielnie. Przyjęcie lub odrzucenie SMTP sprawdzaj dodatkowo wyłącznie z zatwierdzonym dostępem, nie na podstawie samego dostarczenia.
CSV: Porównaj liczbę, akcję, wartość, Description i przypisanie użytkownika z plikiem źródłowym oraz kopią zapasową. Sprawdź też próbki z początku i końca listy.

W Message History zapisz czas, nadawcę koperty, widoczny From, adres IP klienta, odbiorcę, wyniki uwierzytelniania i akcję. Samo dostarczenie nie dowodzi dopasowania wpisu Allow; wiadomość mogła przejść zwykłą ścieżkę skanowania.

Rozwiązywanie problemów i utrzymanie wyjątków

Allow nie działa: porównaj nadawcę koperty i From z wpisem, a następnie sprawdź priorytet administratora, opcje wpisu i DMARC/SPF/DKIM. Normalne skanowanie jest zamierzone, gdy wymuszone uwierzytelnianie zawiedzie. Jeśli działanie Allow użytkownika jest niejasne, udokumentuj także faktyczny stan ochrony przed podszywaniem; nie obchodź opisanego konfliktu źródeł przez wyłączenie zabezpieczeń.
Block dotyczy tylko części odbiorców: sprawdź przypisania użytkowników i opisany przypadek wielu odbiorców. Sprzeczna reguła administratora ma pierwszeństwo.
Wildcard lub CIDR działa niewłaściwie: sprawdź składnię i prefiks. Udokumentowano tylko /16–/32; listy użytkowników nie obsługują IP/CIDR ani symboli wieloznacznych. Usuń szeroki wpis do czasu wyjaśnienia.
Brak importu lub błędny wynik: sprawdź kartę listy, rozmiar pliku, limit użytkownika, format szablonu, dodatkowe kolumny eksportu, obcięte opisy i widoczne kodowanie. Nie ponawiaj z Replace existing list with this import, dopóki nie ustalisz przyczyny i nie sprawdzisz kopii.
Prawidłowa wiadomość nadal jest blokowana: najpierw porównaj globalną listę administratora, listę osobistą, adres koperty/nagłówka i IP klienta. Potem przeanalizuj uwierzytelnianie i Message History; nie twórz w ramach skrótu drugiego, szerszego wpisu Allow.

Co najmniej raz na kwartał i przy każdej zmianie właściciela porównuj listę, zgłoszenie i potrzebę biznesową. Po zatwierdzeniu usuń wyjątki wygasłe, pozbawione właściciela, zduplikowane lub zbyt szerokie i ponów test dopasowania oraz braku dopasowania. Jeśli przyczyna pozostaje niejasna, wycofaj nowy wpis i eskaluj, podając identyfikator wiadomości, znacznik czasu, eksport listy, odpowiedni wiersz i wyniki uwierzytelniania — bez ujawniania poufnej treści wiadomości ani pełnych list produkcyjnych.