Comment bloquer ou mettre en quarantaine les e-mails provenant de pays spécifiques (Geo-Blocking)

Introduction

La cyberguerre est une réalité et les tensions géopolitiques en constante évolution façonnent et modifient le risque cyber pour les organisations et les États. L'escalade rapide de la guerre actuelle en Europe a conduit les CSIRT nationaux (Computer Security Incident Response Teams) à publier des directives visant à atténuer les risques liés à d'éventuelles cyberattaques contre les entreprises, les institutions, les infrastructures et les systèmes de communication. Ce document traite de l'atténuation des risques en bloquant les e-mails en fonction de la localisation géographique de l'hôte à l'origine de l'envoi ou par lequel ils ont été relayés.

L'e-mail comme vecteur d'attaque et le Geo-Blocking

L'utilisation la plus courante de l'e-mail comme vecteur d'attaque se fait par le biais de campagnes de phishing et de malware. L'e-mail est le canal de communication le plus utilisé entre les organisations, la plupart des violations de données commencent par un e-mail et les campagnes ciblées sont un outil d'attaque assez courant utilisé par des acteurs étatiques et des cybercriminels à motivation politique. Le Geo-Blocking est l'un des outils qui peuvent être utilisés pour minimiser la surface d'attaque en ce qui concerne les attaques provenant de pays spécifiques. Les attaquants peuvent bien sûr faire transiter leurs attaques par différents pays, mais cela nécessite des étapes supplémentaires et augmente les chances que les attaques soient détectées. Même si le Geo-Blocking n'est pas une solution miracle, il peut constituer une des mesures d'atténuation rationnelles à mettre en œuvre lorsque la situation géopolitique augmente les probabilités d'attaques provenant de certaines zones géographiques. Chaque organisation a ses propres besoins. Certaines organisations sont exposées à des communications fréquentes avec certains pays, d'autres non. Pour certaines organisations, bloquer le trafic provenant de certains pays est envisageable, pour d'autres non, et une approche plus élaborée est nécessaire. Ce document aide les clients de Libraesva ES à définir et à mettre en œuvre une stratégie de geo-blocking des e-mails adaptée à leurs besoins.

Choisir la stratégie : rejet ou mise en quarantaine

Il existe deux stratégies possibles : rejeter tous les e-mails provenant d'une origine spécifique ou les accepter et les mettre en quarantaine.

STRATÉGIE DE REJET

Le rejet des e-mails au niveau SMTP peut être effectué en abandonnant les connexions provenant d'adresses IP appartenant à un pays spécifique. C'est simple et efficace en termes d'utilisation des ressources, mais cela révèle des informations à l'attaquant potentiel : il saura immédiatement que vous adoptez ce type de mesure d'atténuation. Le rejet présente également un autre inconvénient : vous n'avez aucune visibilité sur le trafic e-mail rejeté, vous ne savez pas s'il y avait du trafic légitime parmi celui-ci et vous n'êtes pas informé des tentatives d'attaques ciblées. Enfin, le rejet d'un e-mail repose sur la géolocalisation de l'adresse IP qui établit la connexion, ce qui n'est pas optimal. L'e-mail peut avoir été relayé par un pays que vous ne bloquez pas, même s'il provient d'un pays que vous souhaiteriez bloquer.

STRATÉGIE DE MISE EN QUARANTAINE

La mise en quarantaine, en revanche, consiste à accepter et analyser tous les e-mails, mais à mettre silencieusement en quarantaine (sans livraison) les e-mails provenant d'origines spécifiques. Un avantage de la mise en quarantaine par rapport au rejet est qu'en acceptant ce trafic e-mail, vous ne divulguez aucune information à l'attaquant potentiel. En mettant en quarantaine, vous disposez également d'une visibilité complète sur le trafic bloqué et vous pouvez analyser les échantillons d'e-mails pour détecter les tentatives d'attaque et étudier les outils techniques et les stratégies utilisés par les attaquants (nos analystes sont toujours disponibles pour vous aider dans cette tâche). De plus, la stratégie de mise en quarantaine peut être définie non seulement sur le dernier saut (le relais final qui tente de livrer l'e-mail), mais aussi sur n'importe lequel des sauts intermédiaires. Vous pouvez également décider de bloquer les e-mails ayant pour origine (premier saut) ou ayant été relayés par (saut intermédiaire) un pays spécifique. Enfin, avec une stratégie de mise en quarantaine, vous êtes libre de définir des exceptions et, par exemple, de bloquer les e-mails provenant d'un pays entier à l'exception de ceux provenant de quelques organisations spécifiques avec lesquelles vous entretenez des relations. Ceci étant dit, nous recommandons généralement une stratégie de mise en quarantaine. Ce n'est que dans des circonstances très particulières qu'une stratégie de rejet peut être envisagée. Notre équipe de support technique est disponible pour vous aider dans cette décision.

Mise en œuvre de la stratégie de mise en quarantaine sur Libraesva ES

Libraesva ESG géolocalise tous les relais impliqués dans la livraison de chaque e-mail. Ils sont répertoriés dans les en-têtes « Received: ». Certains de ces en-têtes peuvent être falsifiés par les attaquants, mais d'autres ne le peuvent pas. Par exemple, le dernier saut ne peut jamais être falsifié, et les en-têtes d'un e-mail relayé par des services tiers (grands fournisseurs de messagerie ou plateformes de livraison d'e-mails) ne peuvent pas non plus être falsifiés. Grâce à une « Custom Spam Policy », vous pouvez définir la liste des pays que vous souhaitez bloquer. Prenons un exemple : bloquer tous les e-mails provenant de ou acheminés via la Russie ou la Biélorussie. Sur ESG 5.x, allez dans : Admin area -> Content Analysis -> Antispam settings -> Custom spam policies Cliquez sur « new » et saisissez une règle comme celle-ci : Dans le champ « Apply to all », vous pouvez choisir un domaine destinataire si vous souhaitez appliquer la règle uniquement aux e-mails livrés à un domaine. Le champ « Pattern match » contient une expression régulière qui inclut les codes pays à deux lettres des pays que vous souhaitez bloquer. Vous pouvez trouver une liste de tous les codes pays ici. Si vous ne savez pas ce qu'est une expression régulière, copiez simplement le modèle et modifiez-le en saisissant, entre les crochets, la liste des codes pays séparés par « | » ; Le modèle /(RU|BY)/i effectue la vérification sur tous les sauts, premier, intermédiaire et final. Tout saut situé en Russie ou en Biélorussie déclenchera cette règle. Si vous souhaitez limiter la vérification au premier saut (l'hôte qui a émis l'e-mail à l'origine), vous pouvez modifier le modèle en/(RU|BY)$/i Si vous souhaitez limiter la vérification au dernier saut (l'hôte qui a livré l'e-mail à ESG), vous pouvez modifier le modèle en/^(RU|BY)/i ×Pour les plus techniques : cette expression régulière est appliquée à une chaîne contenant une liste de codes pays à deux lettres classés dans l'ordre inverse des sauts de l'e-mail. Par exemple, un e-mail émis en Italie et ayant un deuxième saut aux États-Unis donnera : « US IT » Le champ « Rule score » correspond au score qui sera ajouté au message lorsque la règle se déclenche. Le score par défaut pour la mise en quarantaine d'un e-mail est de 4. Avec un score très élevé comme celui de l'exemple, vous avez la garantie que l'e-mail ne sera pas livré et qu'il sera également masqué du rapport de quarantaine (par défaut, les messages avec un score supérieur à 25 sont masqués des rapports de quarantaine). Cela signifie que les destinataires ne verront même pas ces messages dans leur rapport de quarantaine. N'hésitez pas à utiliser un score plus bas ou à modifier le seuil de visibilité du rapport de quarantaine si vous souhaitez que ces messages soient répertoriés dans le rapport de quarantaine.

EXCEPTIONS

Configurer des exceptions est simple. L'exception la plus simple est une liste blanche. Si vous souhaitez autoriser les e-mails provenant de certains domaines situés dans un pays que vous bloquez, vous pouvez saisir une liste blanche avec le domaine dans le champ From. Nous vous recommandons de vous assurer que le domaine d'origine est correctement protégé par SPF ou (encore mieux) par DMARC.

Mise en œuvre de la stratégie de rejet dans Libraesva ES

Cela peut être fait en utilisant une RBL géographique. Voici les instructions : Sur ESG 5.x, allez dans Admin area -> Mail transport -> Relay configuration -> RBL filtering Cliquez sur « New » et saisissez une entrée comme la suivante : L'exemple ci-dessus rejette les e-mails provenant de Russie. Pour bloquer un autre pays, saisissez simplement une nouvelle entrée et remplacez le code pays à deux lettres au début de « RBL Address » par le code pays de votre choix. Par exemple, pour bloquer la Biélorussie, saisissez dans le champ « RBL Address » ce qui suit : by.country.spam-eating monkey.net=127.0.0.2 Vous pouvez trouver une liste de tous les codes pays ici. ×Cette configuration rejettera l'e-mail. Le rejet est définitif (code SMTP 5XX) et l'expéditeur recevra une notification de non-livraison.