Антиспам Cisco Email Security Appliance

Антиспам Cisco Email Security Appliance (ESA)

Cisco Email Security Appliance (ESA) – программно-аппаратный комплекс, который предназначен для всестороннего контроля и защиты электронной почты.
Он разработан на базе масштабируемой и защищенной операционной системы AsyncOS с уникальной высокопроизводительной архитектурой.
Email-шлюз Cisco ESA позволяет не только защитить корпоративную почту от спама и вредоносного программного обеспечения (вирусов, червей, фишинга и т. д.), но и обеспечить ее целостность, конфиденциальность, маркировку и защиту от подмены.

Функции устройства:

Репутационные фильтры (Reputation Filters™) выполняют в режиме реального времени оценку почтовых угроз, а затем выявляют подозрительных отправителей электронной почты. Действия подозрительных отправителей могут быть ограничены или вовсе заблокированы, что способствует предотвращению вредоносного трафика от попадания в сеть. По этой технологии IP-адрес отправителя сверяется с базой данных SenderBase™, которая анализируется его по множеству факторов, после чего письму присваивается показатель репутации отправителя SBRS. Если данный IP-адрес числится в базе данных SenderBase™ как часто и много рассылающий спам, присвоенный показатель будет соответствовать весьма низкой репутации, и письмо будет скорее всего отвергнуто без скачивания, если же IP-адрес числится как легитимный, письмо будет пропущено в сеть с минимальной проверкой. Сомнительные письма будут приниматься, но подвергаться особо строгой проверке в следующем слое защиты - антиспаме. С помощью показателей репутации отправителя появляется возможность обеспечить значительно большую гибкость и точность, чем системам на основе простых “чёрных” и “белых” списков.
На этом этапе отсеивается более 80% нежелательных писем. Также, система позволяет снизить нагрузку на канал доступа в Интернет, поскольку при проверке отправителя по базе данных SenderBase™ загружаются только заголовки сообщений. Если сообщение отвергнуто - скачивания тела письма не происходит.

Антиспам (Anti-Spam™) использует технологию глубокого контекстного анализа сообщений (Context Adaptive Scanning Engine™, CASE) для оценки построения и содержимого каждого письма. По результатам анализа, проверки сообщения на признак спама, ему присваивается определённый показатель CASE (показатель подозрительности письма). Любые ссылки на веб-адреса, обнаруженные в тексте письма также проверяются по базе web-репутаций SenderBase™. Система Anti-Spam™ анализирует не только содержимое письма, но и особенности его составления, распознавая все способы обхода антиспам-фильтров. Приложенные к письму изображения распознаются и анализируются на содержание спама. Далее, после прохождения всех этапов анализа сообщения, учитывая присвоенный показатель CASE, ранее выставленный показатель репутации и другие факторы, в отношении письма принимается решение либо о его отсеивании, либо о доставке письма адресату внутри компании.

Антивирус. Система антивирусной защиты Email-шлюзов Cisco ESA использует двухуровневую проверку: первый уровень представлен технологией Virus Outbreak Filters™, а второй использует классический сигнатурный анализ.
Virus Outbreak Filters™ - специальная разработка, являет собой технологию упреждающего (превентивного) создания правил ранней фильтрации по наблюдаемым аномалиям мирового почтового трафика, благодаря сбору информации о более 25% мирового интернет-трафика системой SenderBase™. Технический центр Cisco Threat Operations Center (TOC) базы данных SenderBase™ обнаруживает различные аномалии мирового почтового трафика, например, массовое появление новых IP, ранее не известных как почтовые серверы, отправляющих большие объёмы почты со схожими или подозрительными вложениями, увеличение объёма сообщений с определённым размером, типом или именем вложения, и многие другие параметры.
При обнаружении таких аномалий, согласно их характеристикам автоматически создаётся правило распознания предполагаемого вредоносного трафика.
После утверждения правила техническими специалистами TOC, оно автоматически рассылается на все шлюзы Cisco ESA, после чего вся подозрительная почта с возможными новыми вирусами автоматически попадает в карантин, а системному администратору отправляется уведомление о возможной вирусной эпидемии.
Администраторы могут просмотреть содержимое карантина вручную и отсортировать легальные и подозрительные сообщения, исключив легальные из карантина.
Второй уровень антивирусной защиты состоит из классических антивирусных программ Sophos (стандартная поставка) и McAfee (заказывается дополнительно), которые способны обеспечить как классическое сигнатурное сканирование, так и эвристический анализ для распознания ранее неизвестных вирусов.

RSA Email Data Loss Prevention (D) – система предотвращения утечки данных для электронной почты. Принцип работы заключается в сканировании содержимого сообщений электронной почты и их вложений для выявления несанкционированной передачи конфиденциальной информации (например, персональных данных, номеров кредитных карт и т.п.) или корпоративной интеллектуальной собственности (например, внутренние или конфиденциальные документы).

Преимущества RSA Email DLP:

• Точное обнаружение утечки данных с низким уровнем ложных срабатываний;
• Интеграция возможностей DLP непосредственно в Cisco ESA;
• Простая реализация с множеством преднастроенных политик.

Аутентификация в службах каталогов. Email-шлюзы Cisco ESA включают высокопроизводительный клиент LDAP, благодаря которому адреса входящих сообщений могут проверятся в любой службе каталогов, например в MS Active Directory или Lotus Notes.

Шифрование взаимодействия между шлюзами (PXE Encryption). Email-шлюзы Cisco ESA поддерживают защищённую передачу сообщений между почтовыми шлюзами с помощью технологий SSL/TLS, что позволяет отправителю посылать письма зашифрованными, а получателю - расшифровывать их с помощью ранее полученных от отправителя реквизитов, делая перехват сообщений, проходящих в Интернете через множество узлов, практически невозможным.

Управление и отчетность. Администрирование устройства производится удаленно с использованием Web GUI, либо CLI через SSH. Устройство содержит внутренние средства журналирования и отчетности, систему оповещений через почту. Поддерживается централизованное управление, позволяющее управлять множеством устройств, объединенных в кластер, как одним. Есть возможность использования внешнего карантина.