Tengo una pregunta sobre nuestro servidor de Exchange: ¿Crees que es una buena idea rechazar los correos electrónicos externos entrantes que tienen nuestro propio dominio al final?
¿Te gusta el correo electrónico externo [email protected]?
¿Porque si fuera de un remitente real en nuestra empresa, el correo electrónico nunca vendría de afuera?
En caso afirmativo, ¿cuál es la mejor manera de hacer esto?
security
email-server
exchange-2013
Steffen Maier
fuente
fuente
Respuestas:
Sí, si sabe que el correo electrónico para su dominio solo debe provenir de su propio servidor, debe bloquear cualquier correo electrónico para ese dominio que se origine en un servidor diferente. Incluso si el cliente de correo electrónico del remitente se encuentra en otro host, debe iniciar sesión en su servidor (o en el servidor de correo electrónico que utilice) para enviar correos electrónicos.
Dando un paso más allá, puede configurar su servidor para verificar los registros SPF. Así es como muchos hosts evitan ese tipo de actividad de correo electrónico. Los registros SPF son un registro DNS, un registro TXT, que proporciona reglas sobre qué servidores pueden enviar correos electrónicos para su dominio. Cómo habilitar la verificación de registros SPF dependería de su servicio de correo electrónico y estaría más allá del alcance de lo que debe cubrir aquí. Afortunadamente, la mayoría de los entornos de alojamiento y software tendrán documentación para trabajar con registros SPF. Es posible que desee obtener más información sobre SPF en general. Aquí está el artículo de Wikipedia: https://en.wikipedia.org/wiki/Sender_Policy_Framework
fuente
Ya existe un estándar para hacerlo. Se llama DMARC . Lo implementa con la firma DKIM (que es una buena idea implementar de todos modos).
La descripción general de alto nivel es que firmas cada correo electrónico que deja tu dominio con un encabezado DKIM (lo cual es una buena práctica de todos modos). Luego configura DMARC para rechazar cada correo electrónico que llegue a su servidor de correo, desde un dominio que posee, que no esté firmado con un encabezado DKIM válido.
Esto significa que aún puede hacer que los servicios externos envíen correos electrónicos a su dominio (como el software de servicio de asistencia alojado, etc.), pero puede bloquear los intentos de phishing.
La otra gran cosa sobre DMARC es que recibe informes de fallas, por lo que puede administrar el manejo de excepciones según sea necesario.
El inconveniente es que debe asegurarse de tener todo resuelto de antemano o puede comenzar a soltar correos electrónicos legítimos.
fuente
Es probable que este bloqueo reduzca el correo basura y posiblemente dificulte la ingeniería social, pero también puede bloquear el correo legítimo. Los ejemplos incluyen servicios de reenvío de correo, listas de correo, usuarios con clientes de correo mal configurados, aplicaciones web que envían correo directamente desde el servidor web sin involucrar a su servidor de correo principal, etc.
Dkim puede mitigar esto hasta cierto punto al proporcionar una forma de identificar un mensaje que se envió desde su red, se pasó por una lista de correo o un reenviador y luego se recibió en su correo, pero no es una cura perfecta, algunas listas de correo romperán las firmas de dkim y aún tiene el problema de rastrear todos los puntos legítimos de origen de correo y asegurarse de que pasen por un firmante dkim.
Camine con cuidado, especialmente si implementa esto en un dominio existente.
fuente
Tal vez, pero hay algunos casos que debe considerar antes de realizar dicho cambio.
1) ¿Alguien en su empresa utiliza algún tipo de servicio externo (por ejemplo, Survey Monkey, Constant Contact, etc.) para enviar correos electrónicos que parecen ser "de" su dominio? Incluso si no lo están haciendo hoy, ¿podrían hacerlo en el futuro?
2) ¿Hay alguna dirección externa que reenvíe a sus usuarios? Por ejemplo, suponga que la cuenta de gmail "[email protected]" reenvía a "[email protected]", y su usuario "[email protected]" envía a "[email protected]". En ese caso, el mensaje llegará desde "fuera", pero con una dirección "@ mycompany.com" De:.
3) ¿Alguno de sus usuarios está suscrito a listas de distribución externas que conservan la dirección original "De:" en los mensajes a la lista? Por ejemplo, si Bob se suscribe a "[email protected]" y envía un mensaje, recibirá un mensaje entrante similar a: De: [email protected] Para: [email protected]. com Remitente:
Si su servidor mira ingenuamente el encabezado "De:" (en lugar de "Remitente:"), podría rechazar este mensaje porque lo está recibiendo desde afuera.
Debido a todo lo anterior, tener una política general de "... de un remitente real en nuestra empresa, el correo electrónico nunca vendría de afuera" no siempre es factible.
fuente
Puede hacer esto en PowerShell actualizando los permisos del conector de recepción para excluir a los usuarios anónimos del envío como remitente de dominio autorizado:
Sin embargo, el problema surge cuando tiene servidores de aplicaciones remotos que necesitan enviarle correos electrónicos de estado, ya que generalmente usan su nombre de dominio en su dirección De. Es posible crear un conector de recepción adicional para sus direcciones IP específicas para que no las excluya inadvertidamente.
fuente
GMail tiene una configuración en la que le permite enviar correos electrónicos con un dominio que no sea de GMail siempre que la dirección de correo electrónico se verifique por primera vez. Su decisión bloquearía esos correos electrónicos.
Si tiene o no usuarios que puedan usar esta función de GMail y si tiene sentido atenderlos depende en gran medida del comportamiento dentro de su empresa.
fuente
SPF no solucionará esto, ya que el sobre podría tener un pase de SPF adecuado (es decir, los spammers que usan un servidor comprometido) mientras falsificarán el correo electrónico dentro del sobre. Lo que necesita es un bloque en su propio mensaje de correo electrónico de dominio que tenga un servidor de correo electrónico originario en el sobre que no sea aceptable para usted.
fuente