Come bloccare o mettere in quarantena le email provenienti da paesi specifici (Geo-Blocking)

Introduzione

La cyber-guerra è una realtà e le tensioni geopolitiche in continua evoluzione plasmano e modificano il rischio informatico per organizzazioni e stati. La rapida escalation dell'attuale guerra in Europa ha portato i CSIRT nazionali (Computer Security Incident Response Team) a emettere linee guida per mitigare i rischi legati a potenziali attacchi informatici contro aziende, istituzioni, infrastrutture e sistemi di comunicazione. Questo documento tratta della mitigazione dei rischi bloccando le email in base alla posizione geografica dell'host da cui hanno avuto origine o attraverso cui sono state inoltrate.

L'email come vettore di attacco e il Geo-Blocking

L'uso più comune dell'email come vettore di attacco avviene tramite campagne di phishing e malware. L'email è il canale di comunicazione più utilizzato tra le organizzazioni, la maggior parte delle violazioni inizia con un'email e le campagne mirate sono uno strumento di attacco piuttosto comune utilizzato da attori statali e criminali informatici con motivazioni politiche. Il Geo-Blocking è uno degli strumenti che possono essere utilizzati per minimizzare la superficie di attacco rispetto agli attacchi originati da paesi specifici. Gli attaccanti possono, ovviamente, instradare gli attacchi attraverso paesi diversi, ma questo comporta passaggi aggiuntivi e aumenta le probabilità che gli attacchi vengano rilevati. Anche se il Geo-Blocking non è una soluzione infallibile, può essere una delle misure di mitigazione razionali da implementare quando la situazione geopolitica aumenta le probabilità di attacchi da determinate aree geografiche. Ogni organizzazione ha le proprie esigenze. Alcune organizzazioni sono esposte a comunicazioni frequenti con alcuni paesi, altre no. Per alcune organizzazioni bloccare il traffico proveniente da alcuni paesi è fattibile, per altre no e serve un approccio più elaborato. Questo documento aiuta i clienti Libraesva ES a definire e implementare una strategia di geo-blocking delle email adatta alle loro esigenze.

Scegliere la strategia: rifiuto vs quarantena

Esistono due possibili strategie: rifiutare tutte le email provenienti da un'origine specifica oppure accettarle e metterle in quarantena.

STRATEGIA DI RIFIUTO

Il rifiuto delle email a livello SMTP può essere effettuato interrompendo le connessioni provenienti da indirizzi IP appartenenti a un paese specifico. È semplice ed efficace in termini di utilizzo delle risorse, ma rivela informazioni al potenziale attaccante: quest'ultimo saprà immediatamente che stai adottando questo tipo di misura di mitigazione. Il rifiuto ha anche un altro svantaggio: non hai visibilità su quale traffico email sia stato rifiutato, non sai se tra questo ci fosse traffico legittimo e non sei a conoscenza dei tentativi di attacco mirati. Infine: il rifiuto di un'email si basa sulla geo-localizzazione dell'indirizzo IP di connessione e questo non è ottimale. L'email potrebbe essere stata inoltrata attraverso un paese che non stai bloccando, anche se ha avuto origine in un paese che vorresti bloccare.

STRATEGIA DI QUARANTENA

La quarantena, invece, prevede l'accettazione e l'analisi di tutte le email, ma la messa in quarantena silenziosa (senza consegna) delle email provenienti da origini specifiche. Un vantaggio della quarantena rispetto al rifiuto è che, accettando tale traffico email, non riveli alcuna informazione al potenziale attaccante. Con la quarantena hai anche piena visibilità sul traffico bloccato e puoi analizzare i campioni di email per rilevare tentativi di attacco e indagare sugli strumenti tecnici e sulle strategie utilizzate dagli attaccanti (i nostri analisti sono sempre disponibili per aiutarti in questo compito). Inoltre, la strategia di quarantena può essere definita non solo sull'ultimo hop (l'ultimo relay che tenta di consegnare l'email) ma anche su qualsiasi hop intermedio. Puoi anche decidere di bloccare le email che hanno avuto origine (primo hop) o che sono state inoltrate (hop intermedio) attraverso un paese specifico. Infine, con una strategia di quarantena, sei libero di definire eccezioni e, ad esempio, bloccare le email provenienti da un intero paese tranne quelle originate da alcune organizzazioni specifiche con cui intrattieni rapporti. Detto questo, generalmente suggeriamo una strategia di quarantena. Solo in circostanze molto particolari può essere valutata una strategia di rifiuto. Il nostro team di supporto tecnico è disponibile per aiutarti in questa decisione.

Implementare la strategia di quarantena su Libraesva ES

Libraesva ESG geo-localizza tutti i relay coinvolti nella consegna di ciascuna email. Questi sono elencati negli header “Received:”. Alcuni di questi header possono essere falsificati dagli attaccanti, ma altri no. Ad esempio, l'ultimo hop non può mai essere falsificato, e anche gli header in un'email inoltrata tramite servizi di terze parti (i principali provider di posta elettronica o le piattaforme di delivery email) non possono essere falsificati. Tramite una “Custom Spam Policy” puoi definire l'elenco dei paesi che vuoi bloccare. Iniziamo con un esempio: bloccare tutte le email originate o instradate attraverso Russia o Bielorussia. Su ESG 5.x vai su: Admin area -> Content Analysis -> Antispam settings -> Custom spam policies Clicca su “new” e inserisci una regola come questa: Nel campo “Apply to all” puoi scegliere un dominio destinatario se vuoi applicare la regola solo alle email consegnate a un dominio. Il campo “Pattern match” contiene un'espressione regolare che include i codici paese di due lettere dei paesi che vuoi bloccare. Puoi trovare un elenco di tutti i codici paese qui. Se non sai cosa sia un'espressione regolare, copia semplicemente il pattern e modificalo inserendo, all'interno delle parentesi, l'elenco dei codici paese separati da “|”; Il pattern /(RU|BY)/i esegue il controllo su tutti gli hop, primo, intermedio e finale. Qualsiasi hop che si trova in Russia o Bielorussia attiverà questa regola. Se vuoi limitare il controllo al primo hop (l'host che ha originato per primo l'email) puoi modificare il pattern in/(RU|BY)$/i Se vuoi limitare il controllo all'ultimo hop (l'host che ha consegnato l'email a ESG) puoi modificare il pattern in/^(RU|BY)/i ×Per i più tecnici: questa regexp viene applicata a una stringa contenente un elenco di codici paese di due lettere ordinati in ordine inverso rispetto agli hop dell'email. Ad esempio, un'email originata in Italia e con un secondo hop negli Stati Uniti risulterà in: “US IT” Il campo “Rule score” è il punteggio che verrà aggiunto al messaggio quando la regola si attiva. Il punteggio predefinito per mettere in quarantena un'email è 4. Con un punteggio molto alto come quello nell'esempio, hai la garanzia che l'email non verrà consegnata e sarà anche nascosta dal report di quarantena (per impostazione predefinita i messaggi con punteggi superiori a 25 sono nascosti dai report di quarantena). Questo significa che i destinatari non vedranno nemmeno questi messaggi nel loro report di quarantena. Sentiti libero di usare un punteggio più basso o di modificare la soglia di visibilità del report di quarantena se vuoi che questi messaggi vengano elencati nel report di quarantena.

ECCEZIONI

Configurare le eccezioni è semplice. L'eccezione più semplice è una whitelist. Supponendo che tu voglia consentire l'ingresso di email da alcuni domini situati in un paese che stai bloccando, puoi inserire una whitelist con il dominio nel campo From. Ti suggeriamo di assicurarti che il dominio di origine sia adeguatamente protetto con SPF o (ancora meglio) DMARC.

Implementare la strategia di rifiuto in Libraesva ES

Questo può essere fatto utilizzando una RBL geografica. Ecco le istruzioni: Su ESG 5.x vai su Admin area -> Mail transport -> Relay configuration -> RBL filtering Clicca su “New” e inserisci una voce come la seguente: L'esempio sopra rifiuta le email originate dalla Russia. Per bloccare un altro paese basta inserire una nuova voce e sostituire il codice paese di due lettere all'inizio del “RBL Address” con il codice paese di tua scelta. Ad esempio, per bloccare la Bielorussia inserisci nel campo “RBL Address” quanto segue: by.country.spam-eating monkey.net=127.0.0.2 Puoi trovare un elenco di tutti i codici paese qui. ×Questa configurazione rifiuterà l'email. Il rifiuto è definitivo (codice SMTP 5XX) e il mittente riceverà una notifica di mancato recapito.