So blockieren oder isolieren Sie E-Mails aus bestimmten Ländern (Geo-Blocking)

Einführung

Cyberkrieg ist Realität, und sich ständig weiterentwickelnde geopolitische Spannungen prägen und verändern das Cyberrisiko für Organisationen und Staaten. Die schnelle Eskalation des aktuellen Krieges in Europa hat die nationalen CSIRTs (Computer Security Incident Response Teams) dazu veranlasst, Richtlinien zur Minderung von Risiken im Zusammenhang mit potenziellen Cyberangriffen auf Unternehmen, Institutionen, Infrastrukturen und Kommunikationssysteme herauszugeben. Dieses Dokument befasst sich mit der Risikominderung durch das Blockieren von E-Mails basierend auf dem geografischen Standort des Hosts, von dem sie stammen oder über den sie weitergeleitet wurden.

E-Mail als Angriffsvektor und Geo-Blocking

Die häufigste Verwendung von E-Mail als Angriffsvektor erfolgt durch Phishing- und Malware-Kampagnen. E-Mail ist der am häufigsten genutzte Kommunikationskanal zwischen Organisationen, die meisten Sicherheitsverletzungen beginnen mit einer E-Mail, und gezielte Kampagnen sind ein durchaus gängiges Angriffsmittel, das von staatlichen Akteuren und politisch motivierten Cyberkriminellen eingesetzt wird. Geo-Blocking ist eines der Werkzeuge, die verwendet werden können, um die Angriffsfläche in Bezug auf Angriffe zu minimieren, die aus bestimmten Ländern stammen. Angreifer können ihre Angriffe natürlich über verschiedene Länder umleiten, aber dies erfordert zusätzliche Schritte und erhöht die Wahrscheinlichkeit, dass die Angriffe entdeckt werden. Auch wenn Geo-Blocking kein Allheilmittel ist, kann es eine der sinnvollen Minderungsmaßnahmen sein, die umgesetzt werden sollten, wenn die geopolitische Situation die Wahrscheinlichkeit von Angriffen aus bestimmten geografischen Gebieten erhöht. Jede Organisation hat ihre eigenen Bedürfnisse. Manche Organisationen stehen in häufigem Kontakt mit bestimmten Ländern, andere hingegen nicht. Für manche Organisationen ist das Blockieren des Datenverkehrs aus bestimmten Ländern durchführbar, für andere nicht, und es ist ein differenzierterer Ansatz erforderlich. Dieses Dokument hilft Libraesva ES-Kunden bei der Definition und Umsetzung einer E-Mail-Geo-Blocking-Strategie, die ihren Bedürfnissen entspricht.

Wahl der Strategie: Ablehnen vs. Quarantäne

Es gibt zwei mögliche Strategien: das Ablehnen aller E-Mails aus einer bestimmten Herkunft oder deren Annahme mit anschließender Quarantäne.

ABLEHNUNGSSTRATEGIE

Das Ablehnen von E-Mails auf SMTP-Ebene kann durch das Verwerfen von Verbindungen von IP-Adressen erfolgen, die zu einem bestimmten Land gehören. Dies ist einfach und effizient hinsichtlich der Ressourcennutzung, gibt jedoch Informationen an den potenziellen Angreifer preis: Er wird sofort erkennen, dass Sie diese Art von Minderungsmaßnahme anwenden. Das Ablehnen hat noch einen weiteren Nachteil: Sie haben keinen Einblick darüber, welcher E-Mail-Verkehr abgelehnt wurde, Sie wissen nicht, ob sich darunter legitimer Verkehr befand, und Sie erkennen keine gezielten Angriffsversuche. Schließlich stützt sich das Ablehnen einer E-Mail auf den geografischen Standort der verbindenden IP-Adresse, was suboptimal ist. Die E-Mail könnte über ein Land weitergeleitet worden sein, das Sie nicht blockieren, obwohl sie ursprünglich aus einem Land stammt, das Sie blockieren möchten.

QUARANTÄNESTRATEGIE

Die Quarantäne hingegen beinhaltet die Annahme und Analyse aller E-Mails, wobei E-Mails aus bestimmten Herkünften still in Quarantäne gestellt (nicht zugestellt) werden. Ein Vorteil der Quarantäne gegenüber dem Ablehnen besteht darin, dass Sie durch die Annahme dieses E-Mail-Verkehrs keine Informationen an den potenziellen Angreifer preisgeben. Durch die Quarantäne haben Sie außerdem vollständige Einsicht in den blockierten Verkehr und können die E-Mail-Beispiele analysieren, um Angriffsversuche zu erkennen und die technischen Werkzeuge und Strategien der Angreifer zu untersuchen (unsere Analysten stehen Ihnen bei dieser Aufgabe jederzeit zur Verfügung). Zudem kann die Quarantänestrategie nicht nur auf den letzten Hop (das letzte Relay, das versucht, die E-Mail zuzustellen) angewendet werden, sondern auch auf jeden der zwischengeschalteten Hops. Sie können auch entscheiden, E-Mails zu blockieren, die aus einem bestimmten Land stammen (erster Hop) oder über dieses weitergeleitet wurden (zwischengeschalteter Hop). Schließlich sind Sie mit einer Quarantänestrategie frei, Ausnahmen zu definieren und beispielsweise E-Mails aus einem ganzen Land zu blockieren, mit Ausnahme derjenigen, die von einigen wenigen bestimmten Organisationen stammen, mit denen Sie Beziehungen unterhalten. Aus all diesen Gründen empfehlen wir grundsätzlich eine Quarantänestrategie. Nur unter ganz besonderen Umständen kann eine Ablehnungsstrategie in Betracht gezogen werden. Unser technisches Support-Team steht Ihnen bei dieser Entscheidung gerne zur Verfügung.

Implementierung der Quarantänestrategie in Libraesva ES

Libraesva ESG lokalisiert geografisch alle Relays, die an der Zustellung jeder E-Mail beteiligt sind. Diese sind in den „Received:“-Headern aufgeführt. Einige dieser Header können von Angreifern gefälscht werden, andere jedoch nicht. Zum Beispiel kann der letzte Hop niemals gefälscht werden, ebenso wenig wie die Header in einer E-Mail, die über Drittanbieterdienste (große E-Mail-Anbieter oder E-Mail-Zustellplattformen) weitergeleitet wurde. Über eine „Custom Spam Policy“ können Sie die Liste der Länder definieren, die Sie blockieren möchten. Beginnen wir mit einem Beispiel: das Blockieren aller E-Mails, die aus Russland oder Weißrussland stammen oder über diese Länder weitergeleitet wurden. Gehen Sie in ESG 5.x zu: Admin area -> Content Analysis -> Antispam settings -> Custom spam policies Klicken Sie auf „new“ und geben Sie eine Regel wie diese ein: Im Feld „Apply to all“ können Sie eine Empfängerdomäne auswählen, wenn Sie die Regel nur auf E-Mails anwenden möchten, die an eine bestimmte Domäne zugestellt werden. Das Feld „Pattern match“ enthält einen regulären Ausdruck mit den zweistelligen Ländercodes der Länder, die Sie blockieren möchten. Eine Liste aller Ländercodes finden Sie hier. Wenn Sie nicht wissen, was ein regulärer Ausdruck ist, kopieren Sie einfach das Muster und ändern Sie es, indem Sie innerhalb der Klammern die durch „|“ getrennte Liste der Ländercodes eingeben. Das Muster /(RU|BY)/i führt die Prüfung auf allen Hops durch, dem ersten, den zwischengeschalteten und dem letzten. Jeder Hop, der in Russland oder Weißrussland liegt, löst diese Regel aus. Wenn Sie die Prüfung auf den ersten Hop beschränken möchten (den Host, von dem die E-Mail ursprünglich stammt), können Sie das Muster ändern in/(RU|BY)$/i Wenn Sie die Prüfung auf den letzten Hop beschränken möchten (den Host, der die E-Mail an ESG zugestellt hat), können Sie das Muster ändern in/^(RU|BY)/i ×Für Technikinteressierte: Dieser reguläre Ausdruck wird auf eine Zeichenkette angewendet, die eine Liste zweistelliger Ländercodes in umgekehrter Reihenfolge der E-Mail-Hops enthält. Zum Beispiel führt eine E-Mail, die in Italien entstanden ist und einen zweiten Hop in den Vereinigten Staaten hat, zu Folgendem: „US IT“ Das Feld „Rule score“ ist der Wert, der der Nachricht hinzugefügt wird, wenn die Regel ausgelöst wird. Der Standardwert für die Quarantäne einer E-Mail ist 4. Mit einem sehr hohen Wert wie im Beispiel ist gewährleistet, dass die E-Mail nicht zugestellt wird und auch aus dem Quarantänebericht ausgeblendet wird (standardmäßig werden Nachrichten mit einem Wert über 25 aus den Quarantäneberichten ausgeblendet). Das bedeutet, dass die Empfänger diese Nachrichten nicht einmal in ihrem Quarantänebericht sehen. Sie können gerne einen niedrigeren Wert verwenden oder den Schwellenwert für die Sichtbarkeit im Quarantänebericht ändern, wenn Sie möchten, dass diese Nachrichten im Quarantänebericht aufgeführt werden.

AUSNAHMEN

Das Konfigurieren von Ausnahmen ist einfach. Die einfachste Ausnahme ist eine Whitelist. Angenommen, Sie möchten E-Mails von bestimmten Domänen zulassen, die sich in einem von Ihnen blockierten Land befinden, können Sie eine Whitelist mit der Domäne im From-Feld anlegen. Wir empfehlen sicherzustellen, dass die Absenderdomäne angemessen durch SPF oder (noch besser) DMARC geschützt ist.

Implementierung der Ablehnungsstrategie in Libraesva ES

Dies kann durch die Verwendung einer geografischen RBL erfolgen. Hier die Anleitung: Gehen Sie in ESG 5.x zu Admin area -> Mail transport -> Relay configuration -> RBL filtering Klicken Sie auf „New“ und geben Sie einen Eintrag wie den folgenden ein: Das obige Beispiel lehnt E-Mails ab, die aus Russland stammen. Um ein weiteres Land zu blockieren, geben Sie einfach einen neuen Eintrag ein und ersetzen Sie den zweistelligen Ländercode am Anfang der „RBL Address“ durch den Ländercode Ihrer Wahl. Um beispielsweise Weißrussland zu blockieren, geben Sie im Feld „RBL Address“ Folgendes ein: by.country.spam-eating monkey.net=127.0.0.2 Eine Liste aller Ländercodes finden Sie hier. ×Diese Konfiguration lehnt die E-Mail ab. Die Ablehnung ist endgültig (SMTP-Code 5XX), und der Absender erhält eine Unzustellbarkeitsbenachrichtigung.