郵件服務(wù)器安全性：潛在漏洞和保護(hù)方法

作者：walker 2020-07-28 10:46:43

本文將討論電子郵件服務(wù)器的安全性。這里介紹的安全措施將使您能夠大大提高電子郵件服務(wù)器的保護(hù)級別，并防止任何攻擊。

1.簡介

1.1服務(wù)器安全性的挑戰(zhàn)

隨著信息技術(shù)的不斷發(fā)展，網(wǎng)絡(luò)安全的作用越來越大。無法想象沒有網(wǎng)絡(luò)通信的世界會(huì)變成什么樣子，現(xiàn)代世界幾乎所有價(jià)值數(shù)據(jù)都以各種形式存儲(chǔ)在服務(wù)器上，所以說整個(gè)系統(tǒng)的穩(wěn)定性取決于服務(wù)器。這就是為什么服務(wù)器成為攻擊目標(biāo)的原因。

1.2電子郵件服務(wù)器安全性

電子郵件服務(wù)器的安全性尤為重要，因?yàn)殡娮余]件是最流行的通信和開展業(yè)務(wù)方式之一。尤其對于企業(yè)而言，丟失機(jī)密信息可能會(huì)導(dǎo)致巨大的財(cái)務(wù)損失。穩(wěn)定的運(yùn)行服務(wù)器很重要，因?yàn)檫@樣可以保障用戶可以隨時(shí)訪問。而當(dāng)服務(wù)器不穩(wěn)定時(shí)，則可能導(dǎo)致客戶流失。

1.3軟件保護(hù)的標(biāo)準(zhǔn)方法

為了避免數(shù)據(jù)丟失、穩(wěn)定性和其他問題，我們需要遵循有關(guān)如何設(shè)置電子郵件服務(wù)器和監(jiān)視其安全性的常規(guī)建議，以便檢測并立即修復(fù)任何漏洞。這是本文的主題。我們將展示一些安全措施的示例，如果您不遵守這些措施，可能會(huì)引起各種問題。我們還將討論某些電子郵件服務(wù)器的某些功能及其漏洞示例，以及有關(guān)測試的一般建議。

2.潛在漏洞

每個(gè)系統(tǒng)都有漏洞，因此每個(gè)系統(tǒng)都有網(wǎng)絡(luò)安全漏洞的風(fēng)險(xiǎn)。當(dāng)然，處理所有這些問題是不可能的，但是我們可以大大減少他們的數(shù)量。為此，在設(shè)置電子郵件服務(wù)器安全性時(shí)，我們需要遵循最佳實(shí)踐。當(dāng)您不遵循這些最佳做法時(shí)，將可能出現(xiàn)下文中的一些問題。

2.1未經(jīng)授權(quán)訪問數(shù)據(jù)

一種普遍的攻擊類型是，犯罪者試圖繞過身份驗(yàn)證過程以獲取數(shù)據(jù)訪問權(quán)限。

為避免這種情況，您需要做的第一件事就是對用于訪問服務(wù)器的密碼建立嚴(yán)格的要求。這樣至少可以防止通過蠻力破解密碼，這是繞過身份驗(yàn)證的通用方法。其他問題都取決于服務(wù)器類型。因?yàn)椴煌愋偷姆?wù)器使用不同的操作系統(tǒng)、接口等。

保護(hù)服務(wù)器免遭破解的另一種方法是SMTP身份驗(yàn)證。我們將在涵蓋性能和穩(wěn)定性的各種問題的小節(jié)中更詳細(xì)地介紹這一點(diǎn)。

2.2數(shù)據(jù)泄露威脅

個(gè)人數(shù)據(jù)是黑客的主要目標(biāo)之一。通過互聯(lián)網(wǎng)發(fā)送電子郵件時(shí)，它將通過不受保護(hù)的通信渠道，所以密碼、用戶名和消息本身可以被截獲。為了防止這種情況，您需要加密傳入和傳出郵件。SMTP，POP3和IMAP協(xié)議應(yīng)使用SSL / TLS加密。

2.3垃圾郵件

垃圾郵件是電子郵件的較大問題之一。

從服務(wù)器安全的角度來看，我們可以將垃圾郵件的威脅分為兩類：

向您的客戶發(fā)送垃圾郵件
向其他客戶端發(fā)送垃圾郵件(在這種情況下，服務(wù)器充當(dāng)公開回復(fù)。)

為了防止這種威脅，您需要使用內(nèi)容過濾器。把它們安裝在郵件服務(wù)器或代理應(yīng)用程序上，以保護(hù)對服務(wù)器的訪問(例如在防火墻，郵件服務(wù)器的代理組件等上)。除了內(nèi)容過濾器之外，您還可以使用垃圾郵件服務(wù)器的黑名單：例如，基于DNS的黑名單(DNSBL)，垃圾郵件URI RBL SURBL和垃圾郵件發(fā)件人IP地址的本地黑名單。

為了防止Open Relay，您需要正確配置電子郵件服務(wù)器的Mail Relay參數(shù)。

在測試反垃圾郵件保護(hù)時(shí)，我們分析了內(nèi)容過濾器的有效性。

2.4惡意軟件的威脅

服務(wù)器和電子郵件客戶端都容易受到惡意軟件的攻擊。當(dāng)電子郵件服務(wù)器被感染時(shí)，整個(gè)系統(tǒng)的穩(wěn)定性將受到損害。個(gè)人數(shù)據(jù)的完整性和隱私受到威脅。惡意軟件在電子郵件客戶端中傳播的主要原因是附件被感染。

防范惡意軟件涉及內(nèi)置工具和第三方防病毒軟件。

2.5 DoS威脅

DoS攻擊可能對郵件服務(wù)器造成的損害是很夸張的。這會(huì)導(dǎo)致無法接收和發(fā)送電子郵件，再加上花費(fèi)時(shí)間來恢復(fù)服務(wù)。最終，整個(gè)公司的聲譽(yù)受損。

為防止此類威脅，您至少需要限制與SMTP服務(wù)器的可能連接數(shù)。為了解決SMTP安全問題，請研究限制一段時(shí)間內(nèi)的連接總數(shù)以及同時(shí)進(jìn)行的連接。

2.6服務(wù)器性能和穩(wěn)定性

當(dāng)我們看到“服務(wù)器”和“性能”這兩個(gè)詞時(shí)，我們立即想到負(fù)載平衡。

如果您的服務(wù)器受到攻擊并停止工作，您需要有一個(gè)B計(jì)劃。在這種情況下，我們經(jīng)常使用備用服務(wù)器。特別是對于電子郵件服務(wù)器，這是通過為每個(gè)域具有兩個(gè)MX記錄來完成的。

電子郵件服務(wù)器還可以選擇使用SMTP身份驗(yàn)證。如果已啟用，則向服務(wù)器發(fā)送電子郵件，您需要提供其他用戶名和密碼。

啟用SMTP身份驗(yàn)證非常重要。它使您可以保護(hù)服務(wù)器免受包含大量發(fā)送請求的攻擊，從而確保服務(wù)器連續(xù)穩(wěn)定的運(yùn)行。

配置郵件中繼也非常重要。您可以指定服務(wù)器可以從哪個(gè)IP地址發(fā)送郵件。可以防止發(fā)送大量消息來破壞服務(wù)器的穩(wěn)定性。從客戶端發(fā)送的電子郵件的另一個(gè)過濾器是反向DNS。它用于將IP地址與域名和主機(jī)名進(jìn)行比較。它還可以保護(hù)服務(wù)器免受惡意郵件的侵害。

2.7忽略優(yōu)秀做法和其他問題

最佳實(shí)踐之一是不要在服務(wù)器上存儲(chǔ)不必要的內(nèi)容。您需要仔細(xì)考慮犯罪者是否可以使用服務(wù)器上安裝的其他軟件。檢查每個(gè)打開的網(wǎng)絡(luò)端口，以確保它們是必要的(如果不需要，請立即將其關(guān)閉)并受到保護(hù)的(例如，檢查是否需要通過端口發(fā)送數(shù)據(jù)的授權(quán))。

您還需要更新服務(wù)器上的所有軟件。盡管開發(fā)人員和測試人員做出了最大的努力，但是沒有軟件是100%無錯(cuò)誤的。有很多軟件漏洞很容易被惡意黑客利用。當(dāng)檢測到新的漏洞或漏洞利用時(shí)，軟件供應(yīng)商通常會(huì)在幾天內(nèi)發(fā)布修復(fù)程序。如果服務(wù)器未及時(shí)收到此更新，則攻擊者將可能利用此漏洞來興風(fēng)作浪。

當(dāng)然，不應(yīng)該忽略人為因素。服務(wù)器正常運(yùn)行不應(yīng)該只依靠一個(gè)人。

3.檢測和漏洞分析

首先，有必要設(shè)計(jì)用于監(jiān)視郵件服務(wù)器安全性的方法。許多公司提供網(wǎng)絡(luò)安全審核。在許多情況下，容易查看可用的解決方案。但是在某些情況下，可能必須自己解決問題。而這個(gè)過程的困難程度將取決于手頭的工作。

接下來，我們將考慮一種折衷方案，在這種折衷方案中，我們將使用正確且比較靈活的方法。

3.1準(zhǔn)備必要的文件

首先，您需要確定需要檢查的內(nèi)容，原因和方式。這三個(gè)問題都很重要，因?yàn)槟枰M可能多地覆蓋審計(jì)范圍，而又不浪費(fèi)時(shí)間在不必要的細(xì)節(jié)上。

創(chuàng)建您認(rèn)為需要跟蹤和檢查漏洞的所有數(shù)據(jù)(用戶名，聯(lián)系人列表，附件等)和參數(shù)(性能，正常運(yùn)行時(shí)間等)的列表。此列表可以分為幾個(gè)具有不同職責(zé)區(qū)域(服務(wù)器，網(wǎng)絡(luò)，操作系統(tǒng))的清單。列表中的每個(gè)條目都應(yīng)根據(jù)潛在問題可能造成的影響進(jìn)行加權(quán)。
應(yīng)用兩種方法：

1.使用先前創(chuàng)建的組件列表，搜索可用于檢查特定組件是否易受攻擊的工具和實(shí)用程序。應(yīng)為每個(gè)部件分配相應(yīng)的檢查方法。所有這些方法都將成為我們的測試或監(jiān)控對象。

2.使用潛在漏洞列表，擴(kuò)展對象列表以使用其他控件進(jìn)行監(jiān)視，從而使您可以檢查這些漏洞。如果某些條目重復(fù)出現(xiàn)，請標(biāo)記它們，但不要?jiǎng)h除它們。

檢查目標(biāo)，重量，以及每一個(gè)單獨(dú)的檢查覆蓋了多少，以便為其分配優(yōu)先級。在此階段，您可以從組件列表中刪除重復(fù)條目，但前提是刪除的組件完全被其他條目或條目組合覆蓋。否則，請保留重復(fù)的條目，但將其指定為較低的優(yōu)先級。

之后，我們需要決定每個(gè)條目是否值得運(yùn)行它所需的資源。我們需要估計(jì)購買軟件、培訓(xùn)員工和執(zhí)行檢查所需的時(shí)間和資金。如果您想調(diào)整費(fèi)用的合理性，則可以從列表中排除一些具有中優(yōu)先級和低優(yōu)先級的組件。但它們不應(yīng)該完全從列表中刪除;優(yōu)先級隨時(shí)可能改變。

創(chuàng)建控件列表時(shí)，最好使用NIST SP 800-45中的清單。

形成列表后，您可以確定工作范圍和必要的資源。根據(jù)細(xì)目分類，您還可以創(chuàng)建一個(gè)詳細(xì)的計(jì)劃，該計(jì)劃將覆蓋從頭到尾的所有過程。

3.2測試(搜索漏洞)

有了清單，該過程可以歸結(jié)為進(jìn)行本文“產(chǎn)品和實(shí)用程序”部分所涵蓋的檢查。列表的順序?qū)⑷Q于任務(wù)的優(yōu)先級。如果時(shí)間有限，則需要檢查高優(yōu)先級組件。如果沒有時(shí)間限制，那么根據(jù)更方便的方式組織檢查可以節(jié)省時(shí)間和金錢。

某些檢查可能會(huì)花費(fèi)比計(jì)劃更多的時(shí)間，在這種情況下，您應(yīng)該跳過它們并將它們單獨(dú)處理，并嘗試找到一種優(yōu)化過程的方法。

應(yīng)記錄服務(wù)器數(shù)據(jù)和設(shè)置受到破壞的所有事件。有些可以在以后忽略，但在當(dāng)前階段，重要的是不要花時(shí)間去調(diào)查細(xì)節(jié)，而是要確保在可用的時(shí)間內(nèi)檢查盡可能多的內(nèi)容。

3.3檢測到的問題的分析

分析可以歸結(jié)為根據(jù)公式“影響x可能性x風(fēng)險(xiǎn)敞口”來評估風(fēng)險(xiǎn)。每一個(gè)控制都可以從1到5分，其中5分表示這個(gè)問題不可忽視，而1表示解決該問題很可能需要付出更多的努力。

事件的影響取決于受損的組件。在某些情況下，它可能非常小(例如，服務(wù)器停止工作100毫秒)，有時(shí)可能非常大(數(shù)據(jù)庫丟失)。如果檢查表構(gòu)造正確，那么可以通過引用檢查表自動(dòng)填寫影響。
可能性取決于問題的可重復(fù)性。它的范圍從非常少見的(每年連續(xù)發(fā)送電子郵件時(shí)用完一次內(nèi)存)到穩(wěn)定的(通過開放的TCP端口接收2²UDP數(shù)據(jù)包時(shí)總是用盡內(nèi)存)。
暴露是指是否很難檢測到問題，以及問題是否會(huì)在服務(wù)器正常運(yùn)行過程中發(fā)生。暴露的范圍從不可能的(幾個(gè)不太可能的問題同時(shí)發(fā)生)到不可避免(單詞“password”用作管理員密碼，或服務(wù)器因收到1000封電子郵件而停機(jī))。

評估后，按風(fēng)險(xiǎn)降序(影響x可能性x暴露)對所有問題進(jìn)行排序。接下來，需要討論風(fēng)險(xiǎn)值大于8的事件。此討論有助于將事件分為漏洞(例如，數(shù)據(jù)丟失)、缺陷(由于擁有過多數(shù)據(jù)或垃圾郵件而失去忠誠度的威脅)和可以忽略的問題。然后需要為每個(gè)漏洞和缺陷分配優(yōu)先級。

3.4修復(fù)漏洞

通常，有三種方法可以修復(fù)漏洞：