Настройка защиты от спама на Exchange 2013, 2016 – Поставщики RBL

В этой статье мы рассмотрим, как настроить фильтры RBL на Exchange 2016 и 2013. Давайте вспомним, что такое RBL. RBL (Realtime Blackhole List) — сервис, хранящий базу данных, содержащую список IP-адресов почтовых серверов, помеченных как спамеры. Доступ к RBL чаще всего осуществляется по протоколу DNS, поэтому эти службы также называются DNSBL (черные списки DNS).

При получении электронного письма от неизвестного отправителя почтовый сервер может автоматически проверять эти списки и блокировать электронную почту с IP-адресов, перечисленных в базе данных сервиса RBL. Если адрес отправителя совпадает со значением в одном из списков RBL, ваш сервер Exchange возвращает сообщение об ошибке SMTP 550 5.x.x в качестве ответа на команду RCPT TO, и отправитель получит сообщение Non отчет о доставке (NDR).

В Exchange 2013 и 2016 агент фильтрации подключений отвечает за блокировку подключений на основе списков IP-адресов. Агент Фильтрация подключений включает в себя:

• Черные списки IP - черный список IP-адресов, с которых нельзя принимать электронную почту (заблокированные отправители);

• Списки разрешенных IP - белый список IP-адресов (разрешенных отправителей);

• Поставщики RBL - список провайдеров RBL.

Первые два списка являются статическими и настраиваются администратором Exchange вручную. Список провайдеров RBL содержит список сторонних сервисов RBL, которые необходимо проверять при получении сообщения электронной почты.

В Exchange 2013/2010 фильтрацию спама можно было включить с помощью сценария Install-AntispamAgents.ps1. Оба агента фильтрации (фильтрация соединений и фильтрация содержимого) установлены на одном сервере с ролью транспорта-концентратора. В Exchange 2013 роль транспорта разделена на два компонента: Внешний транспорт и Внутренний транспорт, а функция фильтрации спама разделена на две части. Сервер переднего плана выполняет фильтрацию подключений, а внутренний сервер — фильтрацию содержимого (включая фильтр IMF — интеллектуальный фильтр сообщений Exchange и агент обнаружения вирусов — агент вредоносных программ).

В Exchange 2013, если роли CAS и Mailbox установлены на одном сервере, сценарий Install-AntispamAgents.ps1 устанавливает только агент фильтрации содержимого. Это означает, что фильтрация RBL будет недоступна.

Чтобы установить агент фильтрации подключений, используйте командлет Install-TransportAgent :

Install-TransportAgent -Name "Connection Filtering Agent" -TransportService FrontEnd -TransportAgentFactory "Microsoft.Exchange.Transport.Agent.ConnectionFiltering.ConnectionFilteringAgentFactory" -AssemblyPath "C:\Program Files\Microsoft\Exchange Server\V15\TransportRoles\agents\Hygiene\Microsoft.Exchange.Transport.Agent.Hygiene.dll"

Все роли (кроме Edge Transport) объединены в Exchange 2016, поэтому, если у вас нет выделенного сервера с ролью Edge Transport, вам придется установить антиспам-агенты с помощью сценария install-AntispamAgents.ps1 на всех серверах. Затем для службы Exchange Transport нужно указать адреса внутренних SMTP-серверов, которые следует игнорировать при проверке на спам:

Set-TransportConfig -InternalSMTPServers @{Add="192.168.1.25","192.168.101.25"}

После установки агента необходимо включить его и перезапустить службу Front End Transport:

Enable-TransportAgent -TransportService FrontEnd -Identity "Connection Filtering Agent"
Restart-Service MSExchangeFrontEndTransport

Чтобы убедиться, что агент фильтрации подключений установлен и работает, выполните следующие действия:

Get-TransportAgent -TransportService FrontEnd

Далее вам необходимо указать список поставщиков RBL, которые будут использоваться.

Add-IPBlockListProvider-Namezen.spamhaus.org-LookupDomainzen.spamhaus.org-AnyMatch$true-Enabled$True

Чтобы изменить текст сообщения NDR, возвращаемого отправителю, выполните следующую команду:

Set-IPBlockListProviderzen.spamhaus.org-RejectionResponse"YourIPaddressislistedbySpamhausZen.Youcandeleteitonpagehttp://www.spamhaus.org/lookup/"

Вы можете добавить несколько поставщиков RBL одновременно, изучив их особенности и политику коммерческого использования.
Вы можете отобразить список используемых в настоящее время RBL следующим образом:

Get-IPBlockListProvider

Проверить наличие определенного IP-адреса в списке RBL можно с помощью следующей команды:

Test-IPBlockListProvider -Identity zen.spamhaus.org -IPAddress x.x.x.x

По умолчанию журналы агента фильтра подключений сохраняются в папке
C:\Program Files\Microsoft\Exchange Server\V15\TransportRoles\Logs\FrontEnd\AgentLog.

Получить информацию о том, какой из провайдеров RBL отклонил электронное письмо, можно, выполнив поиск по файлам *.log в этом каталоге. Чтобы найти файл журнала с указанным адресом электронной почты, откройте cmd с повышенными правами и выполните команды:

Cd “C:\Program Files\Microsoft\Exchange Server\V15\TransportRoles\Logs\FrontEnd\AgentLog”
find /c "spam@gmail.com" *.log | find ":" | find /v ": 0"

Затем откройте найденный файл *.log в любом текстовом редакторе. Найдите отклоненный адрес электронной почты, чтобы определить провайдера RBL, заблокировавшего электронное письмо, и время блокировки.

В этом примере показано, что электронное письмо от spam@gmail.com было отклонено на вашем сервере Exchange провайдером RBL zen.spamhaus.org.

spam@gmail.com,,user@active-directory.ru,1,Connection Filtering Agent,OnRcptCommand,RejectCommand,”550 5.7.1 Recipient not authorized, your IP has been found on a block list”,BlockLictProvider,zen.spamhaus.org,,,

После сбора первичной информации (это зависит от размера SMTP-трафика и обычно занимает до 2-3 дней) статистику RBL-фильтрации можно вывести с помощью командлета Get-AntispamTopRBLProviders.ps1:

.\get-AntispamTopRBLProviders.ps1 -location "C:\Program Files\Microsoft\Exchange Server\V15\TransportRoles\Logs\FrontEnd\AgentLog"

При первом использовании RBL-фильтрации необходимо внимательно проверять журналы фильтрации на предмет ложных срабатываний, чтобы не заблокировать письма от партнеров. Вы можете добавить такие доверенные адреса электронной почты или доменные имена в белый список Exchange, чтобы обойти фильтрацию спама:

Set-ContentFilterConfig -BypassedSenderDomains contoso1.com, contoso2.net,contoso3.co.uk

Или добавьте IP-адрес конкретного SMTP-сервера в доверенные:

IPAllowListEntry -IPAddress x.x.x.x

Кроме того, для получения статистики фильтрации электронной почты агентом фильтрации подключений можно использовать следующие предустановленные сценарии PowerShell:

get-AntispamFilteringReport.ps1
get-AntispamSCLHistogram.ps1
get-AntispamTopBlockedSenderDomains.ps1
get-AntispamTopBlockedSenderIPs.ps1
get-AntispamTopBlockedSenders.ps1
get-AntispamTopRBLProviders.ps1
get-AntispamTopRecipients.ps1

Чтобы отключить фильтрацию входящей электронной почты, вам необходимо отключить агент фильтрации подключений:

Disable-TransportAgent -TransportService FrontEnd -Identity “Connection Filtering Agent”

Списки RBL весьма эффективны для защиты от нежелательной электронной почты (спама), но в большинстве случаев их необходимо использовать в сочетании с другими методами защиты от спама, чтобы обеспечить надежную защиту от спама. Помимо RBL, вы можете вручную заблокировать определенные адреса электронной почты отправителя и домен в Exchange.