|
|
|
|
SMTP-Firewalls entschärfen gefährliche Mails
Fünf Sicherheitsprodukte für Mail-Server im Vergleich
COMPUTERWOCHE Nr. 28 vom 13.07.2001 Seite 16-17
Zwar lassen sich neuere Mail-Server so einstellen, dass sie den Empfang von Spam verhindern oder Nachrichten auf Viren prüfen. Trotzdem erweist sich E-Mail als das Einfallstor für schädliche Programme und unerwünschte Botschaften. SMTP-Firewalls sollen dieses Medium sicherer und komfortabler machen.
Von Michael Pietroforte*
Immer mehr Unternehmen sichern ihre Netze durch aufwändige Firewall-Systeme gegen Angriffe aus dem Internet ab. Dabei können jedoch E-Mails zumeist ohne jegliche Überprüfung passieren. Diesen Umstand machen sich Virenprogrammierer, Hacker, Spammer oder sogar eigene Mitarbeiter mit unlauteren Absichten zu Nutze. SMTP-Filtersysteme sollen diese Lücke schließen und bieten darüber hinaus eine Reihe weiterer nützlicher Features wie die optimale Bandbreitennutzung, die automatische Ver- und Entschlüsselung oder die Archivierung von E-Mails.
Über eine einheitliche Bezeichnung sind sich die Hersteller dieser Programme noch nicht einig. Manche nennen sie einfach Mail-Relays oder SMTP-Proxies, andere bevorzugen SMTP-Firewalls oder SMTP-Filter. Den in diesem Beitrag untersuchten fünf Systemen (siehe "Anbieterübersicht" auf Seite 17) wird keiner dieser Begriffe ganz gerecht, da die an den E-Mails angewendeten Operationen weit über bloße Relaying- oder Filterfunktionen hinausgehen.
An der Nahtstelle
Ähnlich wie HTTP- oder FTP-Proxy-Systeme werden solche für SMTP zwischen Internet und Intranet geschaltet. Als Clients fungieren entweder die Mail-Frontends der Endanwender, meist jedoch die Mail-Server des Unternehmens. Sie sind so konfiguriert, dass jede ausgehende E-Mail zunächst an den SMTP-Proxy geleitet wird, der sie nach einer Überprüfung und gegebenenfalls nach der Ausführung einiger Operationen dann an das Empfängersystem übermittelt. Ebenso gelangen eingehende Mails auf den Mail-Proxy, bevor sie dieser auf die Mail-Server im Firmennetz verteilt. Falls nur ein Mail-Server zu versorgen ist, muss der Administrator im Domain Name Server (DNS) lediglich den SMTP-Proxy als Mail-System eintragen. Befinden sich mehrere Mail-Server hinter dem Mail-Gateway, können Verwalter über die Vergabe von Prioritäten für die MX-Records im DNS und über einen entsprechend konfigurierten TCP-Filter dafür sorgen, dass jede eingehende E-Mail über das Mail-Gateway läuft.
Denkbar ist auch eine Installation des Proxys auf dem Rechner des Mail-Systems, was jedoch nur dann möglich ist, wenn der SMTP-Port des Mail-Servers konfigurierbar ist, da der Port 25 dann für den Mail-Proxy reserviert werden muss. Davon ist aber aus Sicherheitsgründen abzuraten, denn Applikations-Server sind gegenüber Angriffen natürlich verwundbarer als dedizierte Firewall-Systeme. Zu bedenken ist dabei auch, dass die Filteroperationen je nach Datenaufkommen einiges an Rechenleistung schlucken, insbesondere die Virensuche.
Während einige Hersteller von Antivirensystemen inzwischen ihre Produkte für Mail-Server um rudimentäre SMTP-Filter ergänzen, gehen die Anbieter von Mail-Proxies den umgekehrten Weg. Die Integration der Virenprüfer von Fremdherstellern ist hier die Regel, meist können sogar mehrere solche Programme hintereinandergeschaltet werden. Dies bietet gerade bei den sich sehr schnell verbreitenden Mail-Viren zusätzlichen Schutz. Die Antiviren-Tools sind nicht im Lieferumfang der Proxies enthalten. Geeignet sind nur jene Virenscanner, die derartige externe Aufrufe zulassen. Zudem klappt das Zusammenspiel mit dem SMTP-Proxy nicht immer mühelos. Ein Knackpunkt ist das korrekte Interpretieren von Rückmeldungen der Scan-Engine, um auf einen Virenfund adäquat reagieren zu können.
Content-Filter
Wie die meisten Antivirensysteme können auch SMTP-Proxies bestimmte Typen von Dateianhängen herausfiltern und bieten so auch einen Schutz gegen brandneue Viren oder Trojaner. Als nützlich kann sich diese Funktion auch erweisen, wenn der Empfang von unerwünschten Attachments wie Computerspielen oder Videos verhindert werden soll. Dies kann freilich nur dann funktionieren, wenn die Erkennung nicht nur auf der Dateinamenerweiterung basiert, sondern auf einer Untersuchung des Datei-Headers. Der Grund: Eine bloße Umbenennung der Datei könnte den Filter leicht austricksen.
Aber nicht nur ausführbarer Code stellt eine Gefahr für das Firmennetz dar, auch die Textinhalte von E-Mails können einem Unternehmen Schaden zufügen. Allen voran sind hier Spam-Mails zu nennen, die in immer größerer Zahl Mitarbeiter von ihrer Arbeit ablenken und oft mit anstößigen oder illegalen Reklamebotschaften ein nicht zu unterschätzendes Problem darstellen. SMTP-Filter versuchen über Schlüsselbegriffe im Mail-Text oder über Listen von IP-Adressen von bekannten SPAM-Servern, die unerwünschten Mails zu beseitigen. Letztere können entweder selbst gepflegt werden oder aber von Anti-Spam-Organisationen wie Mail Abuse Prevention System (Maps) oder Open Relay Behaviour-modification System (Orbs) bezogen werden. Auf Wunsch fragen sie beim Eintreffen einer Mail die frei zugänglichen DNS-Server dieser Organisationen ab und blockieren die Auslieferung bei positivem Bescheid.
Sicher lässt sich mit diesen Methoden nie ausschließen, dass versehentlich wichtige E-Mails herausgefiltert werden. Wichtig ist dabei, dass der Sender beziehungsweise der Post-Master und eventuell auch der Empfänger über die Abweisung einer E-Mail informiert werden. Ebenfalls sehr nützlich ist die Möglichkeit, verdächtige Mails zunächst in einem Quarantänebereich abzulegen, von wo sie der Post-Master nach einer Überprüfung dann gegebenenfalls an den Empfänger durchstellt.
Die Content-Filterung kann aber nicht nur gegen Spamming eingesetzt werden, sondern soll auch verhindern, dass Mitarbeiter durch die Verwendung von anstößigen Begriffen das Unternehmen in Misskredit bringen oder Firmeninterna per E-Mail an Konkurrenten weitergeben. Um hier einen halbwegs wirksamen Schutz zu bieten, können SMTP-Filter das Versenden verschlüsselter E-Mails unterbinden. Während "Mail Marshal" sowohl S/Mime- als auch PGP-codierte Mails erkennt, unterstützen "Mailwall" und "Mail Essentials" jeweils nur einen der beiden Verschlüsselungsstandards. Dies macht deutlich, dass ein automatisches Erkennen von codierten Daten nicht ohne weiteres möglich ist. Einen vollkommenen Schutz gegen firmeninterne Spione können SMTP-Filter sicher nicht bieten, allerdings ist es durchaus denkbar, dass damit ein ahnungsloser Mitarbeiter ertappt wird, der auf diese Weise Daten aus dem Firmennetz schmuggeln möchte.
Verschlüsselung
Natürlich kann die Verschlüsselung von E-Mails auch zum Vorteil des Unternehmens genutzt werden, nämlich dann, wenn Angestellte vertrauliche Daten an Partner über das öffentliche Internet verschicken. Der Umgang mit Verschlüsselungstechniken ist jedoch für viele Anwender noch zu umständlich. Mail Essentials und Mail Marshal können unerfahrenen Anwendern diese Arbeit abnehmen. Bei Mail Essentials werden die öffentlichen Schlüssel verschiedener Geschäftspartner direkt aus PGP eingelesen. Ohne weiteres Zutun des Senders wird dann jede E-Mail an die entsprechend konfigurierten Mail-Adressen verschlüsselt geschickt. Auch die automatische Decodierung von ankommenden E-Mails ist möglich. Allerdings lässt sich nur ein privater Schlüssel auf dem Gateway hinterlegen. Dabei handelt es sich nicht um einen geheimen Key einer Person, sondern um einen für das gesamte Unternehmen. Dieses Verfahren eignet sich also vor allem für den sicheren Mail-Transfer zwischen verschiedenen Standorten beziehungsweise Unternehmen, die regelmäßig miteinander in Kontakt stehen, und weniger für Einzelpersonen. Da ein öffentlicher Schlüssel auch einer gesamten Internet-Domain und damit allen Mail-Adressen eines Unternehmens zuzuordnen ist, hält sich der Konfigurationsaufwand in Grenzen. Voraussetzung ist, dass das Partnerunternehmen eine ähnliche Technik einsetzt.
PKI inklusive
"Mail Marshal Secure", eine Erweiterung für den Mail Marshal, geht hier über die Möglichkeiten von Mail Essentials hinaus. Die Software erlaubt den Aufbau einer auf S/Mime basierenden Public-Key-Infrastruktur. Per LDAP können Schlüssel von einem externen Zertifikats-Server abgefragt werden. So ist auch die automatische Decodierung für Einzelpersonen realisierbar. Außerdem unterstützt Mail Marshal Secure die elektronische Signierung und bietet damit eine Lösung für das Authentizitätsproblem von E-Mails.
Mail-Spoofing, also das Fälschen von Absenderadressen, ist ein grundsätzliches Problem der E-Mail-Kommunikation. Da SMTP-Proxies über Protokollfunktionen verfügen, kann zumindest in Nachhinein nachgewiesen werden, ob eine E-Mail tatsächlich von einer bestimmten Person versandt wurde. Dabei sind die aufzeichenbaren Daten häufig detaillierter, als dies bei Mail-Servern üblich ist. So kann Mail Marshal unter anderem erfassen, ob die E-Mail Scriptcode enthielt, ob verschlüsselte beziehungsweise Passwort-geschützte Archivdateien angehängt waren oder ob bestimmte Schlüsselwörter im Mail-Text vorkamen. Außerdem protokollieren SMTP-Proxies auch die Operation, die sie an der E-Mail vorgenommen haben, zum Beispiel, ob und warum eine E-Mail blockiert wurde. Aber nicht nur die Speicherung der Protokolldaten ist möglich, auch die Mail-Inhalte selbst können archiviert werden. Dies erlaubt die Rekonstruktion von E-Mails, die auf dem Mail-Server längst gelöscht wurden.
Bandbreite besser nutzen
Die Möglichkeit, E-Mails auf dem SMTP-Proxy zu speichern, kann aber auch verwendet werden, um die verfügbare Bandbreite ökonomischer einzusetzen. Mailwall beispielsweise kann je nach Größe und Dateierweiterung der Anhänge eine E-Mail zunächst zwischenspeichern, um sie erst zu einem späteren Zeitpunkt weiterzuleiten. Dabei sind eine Reihe von Ausnahmen konfigurierbar. So können ausgewählte Sender, Empfänger oder Mails mit bestimmten Inhalten im Betreff ausgeklammert werden.
Während diese Art der Bandbreitenkontrolle die verfügbaren Kapazitäten lediglich besser nutzt, reduziert die automatische Komprimierung von Attachments tatsächlich die Netzlast. Da ja nicht unbedingt vorausgesetzt werden kann, dass der Empfänger auch über das entsprechende Dekomprimierungsprogramm verfügt, verwandelt Mail Essentials auf Wunsch Anhänge in ausführbare Dateien. Der Empfänger sollte dann aber seine Mails auf einem Windows-System öffnen.
Aufgaben dieser Art könnte der Anwender natürlich auch selbst per Hand erledigen. SMTP-Proxies sollen jedoch dem Benutzer die Arbeit vereinfachen, darüber hinaus aber auch bestimmte Unternehmensrichtlinien durchsetzen. In diese Kategorie gehört auch das automatische Anfügen einer Textsignatur. Die komplexeren Mail-Gateways wie Mail Mar-shal ermöglichen dabei die Definition mehrerer dieser Textsignaturen, die dann nach definierbaren Regeln automatisch der E-Mail angehängt werden. Denkbar wäre etwa, eine Mail, die an eine deutsche Domain geht, mit einer deutschsprachigen Signatur zu versehen, sonst aber mit einer englischsprachigen. Außerdem nutzt Mail Marshal diese Technik, um den Empfänger einer E-Mail auf Gefahren hinzuweisen, zum Beispiel, dass VB-Script-Code enthalten ist, oder aber, welche Operationen Mail Marshal ausgeführt hat, etwa dass ein Attachment entfernt werden musste, weil es gegen eine Filterregel verstieß.
Je komplexer das System in puncto Filter- und Manipulationsregeln ist, umso dringlicher wird die Option einer benutzerbasierten Konfiguration des SMTP-Proxy. So sollen vielleicht die Mitarbeiter der Systemverwaltung auch weiterhin ausführbare Dateien als Attachments erhalten dürfen, oder die Marketing-Abteilung möchte eine andere Standardtextsignatur verwenden als der Vertrieb. Sehr nützlich ist es dort, wenn auf die Benutzerdatenbank des Unternehmens zugegriffen werden kann. Mail Marshal und Mail Sweeper zeigen sich hier am flexibelsten und ermöglichen die Einbindung von Verzeichnisdiensten mit LDAP-Unterstützung.
Schutz vor Hackern
Gerade die Schwergewichte unter den SMTP-Proxies bieten häufig noch eine Reihe weiterer Funktionen, die sich in der einen oder anderen Umgebung als recht nützlich erweisen können. Dazu zählt zum Beispiel die Fähigkeit von Mail Marshal, die IP-Adressen der Firmen-Mail-Relays, welche die E-Mail bereits passiert hat, aus dem Header zu entfernen. Die IP-Adressen dieser Systeme stellen für Hacker ja eine äußerst interessante Information dar. Weitere Features sind beispielsweise die regelbasierte automatische Beantwortung von E-Mails (Autoresponder), der regelmäßige Download von E-Mails per POP 3 von einem Mail-Server, um sie dann per SMTP auf einen anderen weiterzuleiten, oder der Start externer Programme beim Eintreten definierter Ereignisse. Es empfiehlt sich daher, die Demoversionen der einzelnen Produkte aus dem Internet zu laden und genau zu prüfen.
Vergleichstabelle
*Michael Pietroforte ist freier Autor in München.
|
|
|
|
|
|
|
|
|
|
|
|
|
|
