Image One

Sender Reputation With Exchange Server 2007 SP1

Image OneExchange 2007 là một sản phẩm Mail Server với tính năng Anti Spam được xây dựng sẵn khá mạnh mẽ, Exchange 2007 sử dụng các bộ lọc Mail (Filtering Agent) được tính hợp sẵn trên Edge Transport Server để kiểm tra tính hợp lệ của một E-Mail trước khi đưa vào Mailbox Server một cách chặt chẽ. Ngoài những bộ lọc thông dụng như IP Block/Allow List, IP Block/Allow List Provider, Sender Filtering, Content Filtering … là những bộ lọc tương đối thông dụng và được trình bày khá nhiều trong các chương trình học, sách vở và các diễn đàn tin học, Sender Reputation là một chức năng mới của Exchange 2007 nhằm ngăn chặn việc nhận các Spam E-Mail được gửi bằng các hình thức không chính qui, những hình thức này thường được Spammer sử dụng như thông qua HTTP Proxy, SOCK hay HTTP POST…, Sender Reputation thật sự hữu hiệu để ngăn chặn các E-Mail nặc danh, giả mạo hay lặp đi lặp lại nhiều lần Trong bài biết này, tôi sẽ trình bày sơ lược về nguyên tắc hoạt động của Sender Reputation và minh họa cách tấn công bằng Spam Mail cũng như cách phòng chống bằng cách cấu hình Sender Reputation

II. Nguyên tắc hoạt động của Sender Reputation:

Đầu tiên, tôi xin giải thích khái niệm SCL (Spam Confidence Level), có thể tạm hiểu SCL là 1 con số mô tả mức độ Spam của 1 E-Mail. Khi Edge Transport Server nhận được 1 E-Mail và chức năng Content Filtering được Enable, Exchange sẽ gán cho E-Mail này 1 số SCL (số này có giá trị từ 0 đến 9), nếu SLC là 0 có nghĩa rằng E-Mail hoàn toàn hợp lệ, nếu SCL=9 có nghĩa E-Mail này là Spam E-Mail. Nếu SCL mang giá trị khác 0 và 9 thì tùy mức độ lớn nhỏ của SCL để Exchange xác định mức độ Spam của E-Mail. Exchange 2007 thường xuyên cập nhật thông tin (sử dụng AntiSpam Update Service) từ hàng triệu Spam E-Mail mà Hotmail đã nhận, qua đó gán SCL cho E-Mail tùy thuộc vào nội dung của E-Mail này. Tóm lại, nếu SCL càng cao thì mức độ Spam của E-Mail càng cao và ngược lại

Bây giờ tôi xin giải thích nguyên lý hoạt động của Sender Reputation (tạm dịch là “Danh tiếng của người gửi”). Đây là 1 chức năng mặc định được Enable trên Edge Transport Server, chức năng này sẽ chặn E-Mail dựa trên đặc thù của người gửi bằng cách gán cho người gửi 1 thông số gọi là Sender Reputation Leval Block Threshold (SRL). Việc gán SRL cho người gửi được thực hiện theo thứ tự gồm 4 bước như sau:

Bước 1: Phân tích câu lệnh HELO/EHLO của người gửi:
Sender Reputation Agent phân tích các lệnh HELO và EHLO mà người gửi thiết lập tới Edge Transport Server và xác định người gửi này có đáng tin tưởng hay không. Một Spammer tiêu biểu thường có các câu lệnh HELO và EHLO khác nhau trong cùng 1 thời điểm và thường xuyên cung cấp những IP khác với IP thật của họ. Hơn nữa Spammer cũng hay dùng Domain name của chính người nhận để gửi Mail.

Bước 2: Phân giải ngược IP của người gửi:
Sender Reputation sẽ thực hiện việc phân giải ngược địa chỉ IP của người gửi, nếu việc phân giải trả về tên Domain thật thì có nghĩa là người gửi này đáng tin tưởng, ngược lại thì không

Bước 3: Phân tích SCL của các E-Mail mà người gửi này đã gửi trước đây:
Tùy thuộc vào SLC cao hay thấp, Sender Reputation sẽ oánh giá mức độ đáng tin cây của người gửi

Bước 4: Sender Reputation Agent sẽ thực hiện kiểm tra IP người gửi bằng 1 Open Proxy:

Nếu kết nối được trả về cho Edge Transport Server là 1 Open Proxy Port hay Protocol (SOCKS 4 and 5,Wingate,Telnet, Cisco, HTTP CONNECT, and HTTP POST) thì Server gửi coi như là 1 Open Proxy và nó là 1 hiểm họa tiềm tàng và số Sender Reputation Leval Block Threshold (SRL) của người gửi sẽ được chỉnh cho hợp lý. Quá trình test proxy dùng các port 1080, 1081, 23, 6588, 3128 và 80. Tùy thuộc vào kết quả kiểm tra, Sender Reputation sẽ gán cho người gửi 1 số SRL cũng nằm từ 0-9 (cũng giống như việc gán số SCL). Nếu người gửi nào được gán số 9 thì đó chắc chắn là Spammer. Và nếu vượt ngưỡng (do ta qui định) thì IP của người gửi này sẽ tự động được đưa vào IP Block List trong vòng 24 giờ (ta có thể tùy ý qui định thời gian này). Sau 24 giờ thì Sender Reputation sẽ xóa IP người gửi ra khỏi danh sách IP Block List.

Bạn cần lưu ý rằng 1 người gửi mà Sender Reputation chưa từng phân tích thì số SRL sẽ là 0, khi người gửi này đã gửi và Server từ 20 E-Mail trở lên thì Sender Reputation mới bắt đầu thực hiện việc phân tích và gán số SRL cho người gửi.

Do đó khi cấu hình Sender Reputation, bạn sẽ quyết định chặn thư của người gửi phụ thuộc vào SRL của họ. Nếu bạn qui định mức SRL quá cao, bạn sẽ có thể nhận nhiều Spam E-Mail và nếu qui định mức SRL quá thấp, bạn có thể vô tình chặn Mail của “người tốt”

III. Minh họa tấn công và phòng chống:

Mô hình bài lab bao gồm 2 máy:
- PC01: Exchange 2007 Server đảm nhận các vai trò: Hub Transport, Mailbox Server và Client access Server (IP 192.168.7.12)
- PC02: Sử dụng Hệ Điều hành Windows tùy ý (IP 192.168.7.10), Spam Email sẽ gửi từ máy này sang máy Exchange Server

Do Hub Transport không tích hợp sẵn chức năng Anti Spam, bạn cần cài đặt chức năng này

1. Cài đặt tính năng Anti Spam (Thực hiện trên PC01):

- Chuyển vào thư mục chứa Script, Copy đường dẫn “C:Program FilesMicrosoftExchange ServerScripts

http://nam.nhatnghe.vn/senderReputation/picture001.png

- Mở Exchange Management Shell, dán đường dẫn đã copy vào và sau đó dùng lệnh “install-AntispamAgents.ps1” để thực hiện cài đặt

http://nam.nhatnghe.vn/senderReputation/picture002.png

- Vào StartRun, gõ services.msc. Chuột phải vào service Microsoft Exchange Transport, chọn Restart

http://nam.nhatnghe.vn/senderReputation/picture003.png

2. Giả lập tấn công từ máy Spam Mail (Thực hiện trên PC02):

- Trên PC02, Copy đoạn Script sau đây vào 1 File Text và lưu với tên SPAMMAIL.VBS. Chạy File này, bạn sẽ gửi liên tục 10 lá Mail vào hộp thư của Administrator trên Exchange Server

http://nam.nhatnghe.vn/senderReputation/Script001.png

- Trên PC01, bạn có thể dùng lệnh Get-AgentLog để xem số SCL của các E-Mail vừa nhận

http://nam.nhatnghe.vn/senderReputation/picture004.png

Bạn kiểm tra Exchange Server đã nhận 10 lá Mail.

3. Cấu hình Sender Reputation để chặn mail:

- Gõ lệnh “Get-AntispamUpdates” để kiểm tra trạng thái cập nhật IP người gửi

http://nam.nhatnghe.vn/senderReputation/picture005.png

- Mở Exchange Management Console, bung mục Server Configuration, chọn Hub Transport. Màn hình ở giữa, chuột phải vào tên PC, chọn Disable Anti Spam Update

http://nam.nhatnghe.vn/senderReputation/picture006.png

- Sau đó bạn Enable lại dịch vụ này với các thông số theo hình bên dưới:

http://nam.nhatnghe.vn/senderReputation/picture007.png
- Giữ nguyên các tùy chọn như mặc định, sau đó nhấn Enable

http://nam.nhatnghe.vn/senderReputation/picture008.png

- Nhấn Finish để hoàn tất.

http://nam.nhatnghe.vn/senderReputation/picture010.png

- Tiếp tục dùng lệnh “Get-AntispamUpdates” để kiểm tra, lúc này IPReputationUpdatesEnableTrue

http://nam.nhatnghe.vn/senderReputation/picture011.png

- Sau đó, bạn lần lượt restart lại 2 services: Microsoft Exchange TransportMicrosoft Exchange Transport Log Search

http://nam.nhatnghe.vn/senderReputation/picture012.png

http://nam.nhatnghe.vn/senderReputation/picture013.png

- Quay lại Exchange Management Console, bung mục Organization Configuration. Ở màn hình giữa, chuột phải vào Sender Reputation, chọn Properties

- Cấu hình Sender Reputation, ví dụ này tôi sẽ chặn thư của những người gửi có SRL từ 2 trở lên và Block IP trong 1 giờ

http://nam.nhatnghe.vn/senderReputation/picture015.png

- Từ máy Spam Mail, bạn thực hiện gửi khoảng 100 lá Mail vào Server

http://nam.nhatnghe.vn/senderReputation/picture014.png

- Gửi đến khi bạn nhận thông báo chặn thư từ Server

http://nam.nhatnghe.vn/senderReputation/Client.jpg

- Lúc này trên Server, quan sát thấy IP người gửi đã tự động thêm vào danh sách IP Block List

http://nam.nhatnghe.vn/senderReputation/t1.png

http://nam.nhatnghe.vn/senderReputation/t2.png

- Đánh lệnh Get-AgentLog, ta nhận thấy Exchange đã chặn thư từ người gửi teo@bayba.com

http://nam.nhatnghe.vn/senderReputation/t3.png

Comments

comments

Leave a Reply

Your email address will not be published. Required fields are marked *

You may use these HTML tags and attributes: <a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <strike> <strong>