bugaboo

Просьба уточнить по возможностям Brightmail gateway

В этой теме 8 сообщений

Добрый день.

Прочитал документацию на Brightmail gateway 8 и возникло несколько вопросов:

1. Правильно ли я понимаю, что при составлении фильтров используются либо получатели, либо отправители. Но нельзя при составлении фильтра использовать и получателей и отправителей одновременно:

"Symantec Brightmail Gateway performs actions on an email or IM based on the

verdict applied to the message and the groups that include the message recipient

or sender as a member, as follows:

■ For inbound email filtering, the groups that impact message filtering are those

groups that include the message recipient.

■ For outbound email filtering, the groups that impact message filtering are

those groups that include the message sender."

2. Не совсем ясен порядок дествий (и возможных действий) в случае применения нескольких политик к сообщению:

"When more than one content compliance policy applies to a message, some of the

actions specified may not take place.

■ The order of policies on the Email Content Compliance Policies page determines

content compliance policy priority. Higher priority content compliance policies

appear higher up in the list.

■ Actions specified for the highest priority content compliance policy that applies

to a message are triggered according to the rules for combining actions.

See “Limits on combining actions” on page 515.

■ For the other content compliance policies that apply to the message, the only

actions that can happen are the Send notification and Create an incident

(without holding for review) actions."

Правильно ли я понимаю, что будет применено действие, описанное в первой политике, а от остальных сработают только "Send notification and Create an incident (without holding for review) actions"?

Поясню, есть желание использовать Content Policy как дополнительный спам-фильтр: политики проверяют различные заголовки (с помощью regexp-ов) и проставляют (увеличивают) некоторое значение определенному заголовку (например, X-SPAM-Possible). А последняя политика проверяет значение этого заголовка и, если его значение выше некоторого порога, либо удалет письмо, либо отправляет в спам-карантин, либо помечает, чтобы Exchange переложил его в Junk-папку.

Как понимаю в данном случае это не возможно?

3. Правильно ли я понимаю, что brightmail не имеет встроенных возможностей по кластеризации\построению массивов (http://service1.symantec.com/support/ent-gate.nsf/854fa02b4f5013678825731a007d06af/b8b79673ef7a76a28825734c00828d6c?OpenDocument)?

Хотелось бы иметь возможность иметь несколько шлюзов (будут ли они работать через round-robin DNS или другим способом сейчас не так важно) с единой конфигурацией (политики, white\black листы и т.п.)

Спасибо!

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Добрый день,

1. Правильно ли я понимаю, что при составлении фильтров используются либо получатели, либо отправители. Но нельзя при составлении фильтра использовать и получателей и отправителей одновременно:

"Symantec Brightmail Gateway performs actions on an email or IM based on the

verdict applied to the message and the groups that include the message recipient

or sender as a member, as follows:

■ For inbound email filtering, the groups that impact message filtering are those

groups that include the message recipient.

■ For outbound email filtering, the groups that impact message filtering are

those groups that include the message sender."

Если вкратце ответить на Ваш вопрос, нет, нельзя сочитать в одном условии и отправителя и получателя. Это настраивается в разных закладках.

Те фильтры, на которые вы сослались, применяются для того, чтобы определить, что делать с письмом после вынесения ему вердикта. Порядок действий определяется группой получателя (для входящих писем) и группой отправителя (для исходящих).

Например: для входящих писем нельзя указать пропустить письмо, если в нем содержится подозрительный объект, но отправитель входит в доверенный домен. Но можно указать пропустить его, если получатель входит в определенную группу (например IT).

С другой стороны, в закладке Репутаций, можно указать "доверенных отправителей", письма которых и к которым не будут проверяться на содержание (Compliance). Проверка на вирусы и спам будет проходить в любом случае.

2. Не совсем ясен порядок дествий (и возможных действий) в случае применения нескольких политик к сообщению:

Поясню, есть желание использовать Content Policy как дополнительный спам-фильтр: политики проверяют различные заголовки (с помощью regexp-ов) и проставляют (увеличивают) некоторое значение определенному заголовку (например, X-SPAM-Possible). А последняя политика проверяет значение этого заголовка и, если его значение выше некоторого порога, либо удалет письмо, либо отправляет в спам-карантин, либо помечает, чтобы Exchange переложил его в Junk-папку.

Как понимаю в данном случае это не возможно?

Да, вы правильно понимаете. После применения первой политики, письмо пройдёт дальше. И дальнейшие политики могут, например, отправить копию письма в карантин, но по первой политике оно уже всё равно уйдёт.

3. Правильно ли я понимаю, что brightmail не имеет встроенных возможностей по кластеризации\построению массивов (http://service1.symantec.com/support/ent-gate.nsf/854fa02b4f5013678825731a007d06af/b8b79673ef7a76a28825734c00828d6c?OpenDocument)?

Хотелось бы иметь возможность иметь несколько шлюзов (будут ли они работать через round-robin DNS или другим способом сейчас не так важно) с единой конфигурацией (политики, white\black листы и т.п.)

Конфигурация через round robin DNS возможна. На шлюзах будут стоять устройства имеющие роль "сканера", на которые можно применять одни и те же политики через управляющее устройство. Для одного домена может быть сколько угодно сканеров, но только один управляющий узел.

С уважением,

Просветов Олег

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Спасибо за быстрый ответ.

Если можно, я уточню вопросы.

Предоплагается использование решения для большого количества локальных доменов. При этом требования к строгости фильтрации и обращения с подозрительными письмами могут сильно отличаться для различных локальных доменов.

Правильно ли я понимаю, что по п.1 не получиться составить политики, в соответсвии с которыми для сообщения от некоторой группы отправителей (например, серверы публичных почтовых сервисов) для некоторой группы получателей (часть локальных доменов) фильтрация будет более жесткой, чем для основной группы доменов?

По п.2 прошу пардону, но прошу уточнить ;) То есть, если по первой политике установлено действие, например "Добавить хидер "X-Missing-Subject и пропустить"", а по второй "Добавить хидер Х-Forget-MUA-TheBAT и пропустить", то письмо придет без второго хидера? Цепочку правил составить не получиться?

По п.3 понял, спасибо!

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
По п.2 прошу пардону, но прошу уточнить То есть, если по первой политике установлено действие, например "Добавить хидер "X-Missing-Subject и пропустить"", а по второй "Добавить хидер Х-Forget-MUA-TheBAT и пропустить", то письмо придет без второго хидера? Цепочку правил составить не получиться?

Нет, для нескольких действий Modify выполняются все они, то есть будет что-то наподобие Modify+Modify+..., а вот если было Delete, то все остальные действия применяться не будут

Предоплагается использование решения для большого количества локальных доменов. При этом требования к строгости фильтрации и обращения с подозрительными письмами могут сильно отличаться для различных локальных доменов.

Правильно ли я понимаю, что по п.1 не получиться составить политики, в соответсвии с которыми для сообщения от некоторой группы отправителей (например, серверы публичных почтовых сервисов) для некоторой группы получателей (часть локальных доменов) фильтрация будет более жесткой, чем для основной группы доменов?

Вы можете делать различные политики для ваших пользователей, групп, доменов, однако политика для тех от кого вы получаете почту - всегда одна и может регулироваться через Sender Groups, одно исключение - при разворачивании Web Карантина, каждый пользователь может управлять своим Белым и Черным списком

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

еще раз спасибо.

"Нет, для нескольких действий Modify выполняются все они, то есть будет что-то наподобие Modify+Modify+..., а вот если было Delete, то все остальные действия применяться не будут"

ааа...ну это понятно и правильно, на мой взгляд ;) тогда еще вопрос, попадет ли проставленный в политике №1 хидер на анализ к политке №2? (Идея "накапливать" значение некоторого хидера по мере анализа письма цепочкой политик и получить на выходе суммарное значение, причем, в идеале, в сумму должно войти и значение проставленное brightmail-антиспамом)

"тех от кого вы получаете почту - всегда одна и может регулироваться через Sender Groups"

понял. запишем в wish list ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
"накапливать" значение некоторого хидера по мере анализа письма цепочкой политик и получить на выходе суммарное значение, причем, в идеале, в сумму должно войти и значение проставленное brightmail-антиспамом)

Сомневаюсь, скорее всего все анализируемые параметры принимаются за константы перед началом проверки. Нужно уточнить у разработчиков...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Предоплагается использование решения для большого количества локальных доменов. При этом требования к строгости фильтрации и обращения с подозрительными письмами могут сильно отличаться для различных локальных доменов.

Правильно ли я понимаю, что по п.1 не получиться составить политики, в соответсвии с которыми для сообщения от некоторой группы отправителей (например, серверы публичных почтовых сервисов) для некоторой группы получателей (часть локальных доменов) фильтрация будет более жесткой, чем для основной группы доменов?

"тех от кого вы получаете почту - всегда одна и может регулироваться через Sender Groups"

понял. запишем в wish list wink.gif

Да, действительно, именно так не получится. Единственный вариант здесь по разному обрабатывать подозрительные письма. Т.е., как вариант, письма, классифицированные, как точно спам/вирус удалять сразу, независимо от группы. А подозрительные письма, для одной группы пользователей пропускать/отправлять в карантин, для другой - их сразу удалять.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!


Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.


Войти с помощью Facebook Войти Войти с помощью Twitter
Anti-Malware.ru Вконтакте   Anti-Malware.ru в Facebook   Anti-Malware.ru в Twitter   Anti-Malware.ru в LinkedIn   RSS
  • Сообщения

    • Wenderoy
      Обновляю: https://mega.nz/#!0FYBnRzT!Kh8GaRMVOzm99QJZX0NsDD51vDaFzPI-Vil02kw53rQ
    • Sergey22101979s
      Площадку надо свою делать и развивать её. А потом продавать места на ней. И не важно какую площадку - сайт, группу в соцсети, или что-то тому подобное.
    • homeobed
      На дому за копейки работать - дело нехитрое) Вот чтобы зарабатывать приличные деньги, на одних комментариях далеко не уедешь)
    • Mike
      Вышел McAfee VirusScan Enterprise 8.8.0 Patch 10  
    • Wenderoy
      Да, лучше удалить. Но это, разумеется, решает администрация... Я никакой не тролль, ANDYBOND прекрасно это понимает, просто именно с ним был разлад безо всякой причины, подробности приводить не буду, но теперь он старается как можно больше "навредить" мне. Собственно, вот отзывы про PS - https://www.mywot.com/ru/scorecard/provisionsecurity.ru Думаю, комментарии будут излишними. Есть очень много свидетелей, которых "примерная" администрация Provisionsecurity даже "поливала" нецензурной лексикой, у меня есть все скриншоты и т. д. И после всего этого надо подумать, а стоит ли верить таким людям? Это я в качестве отступления. Главное - то, что я устал здесь распинаться, тратя свое личное время, что идет только на руку уже упомянутым участниками форума. Все, что мне надо было доказать, я доказал, пользователи моего приложения знают и понимают мои цели и стремления, я ни от кого ничего не скрываю. Поэтому программу уже используют многие, а это значит, что дело поставлено на рельсы. Самое смешное, что на каждый мой аргумент, который я не поленился снабдить всей необходимой информацией в форме ссылок, скриншотов, записей, копий писем, сообщений лабораторий etc, в ответ мне летят одни и те же фразы: "мошенник", "вирусописатель", "тролль". Так кто же больше попадает под значение последнего слова? Просто упомяну еще пару вещей. Когда я объяснял, почему продукт детектит пустой файл, все равно меня никто не слышал. Каким же, интересно, образом мне следует растолковать это? Были приведены доказательства, что я часть баз собираю с ресурса VirusShare (благо, имеются очень хорошие источники самой разнообразной информации), где AVP в свое время почему-то пометил файл как Trojan... (где-то на предыдущих страницах все чрезвычайно подробно описано). Так вот, копируя MD5, в комплект попала и хеш-сумма пустого файла, вследствие чего как бы Вы его ни переименовывали, все рано будет сработка продукта (кстати, ее уже нет). Далее. Насчет "мошенник" и "вирусописатель". Если зимние переписки (не просто отчетов автоматического анализа лабораторий) с вирусным аналитиком McAfee ни о чем Вам не говорят, это, как говорится, не мои проблемы. Другие вендоры, да практически все (даже популярные Avast, Qihoo и др.) устанавливаются втихомолку вместе с другим ПО (DRP Solutions, различные дополнения для монетизации в пакеты дистрибутивов), но их Вы почему-то "вирусописателями"  не называете. И последнее. Насчет "мошенник". Я никого не принуждаю устанавливать KAR, каждый делает это добровольно. Лицензионное соглашение и Privacy Statment присутствуют на сайте, там все четко и ясно описано. На сервер высылаются исключительно анонимные отчеты, как и в любых других разработках аналогичного типа, не более того.  Kuranin Anti-Ransomware распространяется абсолютно бесплатно, никакой рекламы ни в продукте, ни даже на сайте, т. к. это мое хобби. Поэтому здесь не вижу ничего, связанного с мошенничеством. Это очень краткое обобщение, все мои подробные ночные отписки на однотипные бессмысленные сообщения можно посмотреть, листая предыдущие ни много ни мало двенадцать страниц. @VMS, радует, что еще есть адекватные люди, которые умеют слушать. Да, к сожалению, это не те времена, когда жизнь кипела в каждом уголке Anti-Malware и других подобных форумов. Обидно, что перевились разработчики-добровольцы, которые были очень активны в 2004-2014 годах. Сейчас в основном крупные компании все вытеснили, да есть те, кто просто сдался (Александр Калинин, его судьба мне не известна, но смею предположить, что он воплотил свое хобби в жизнь; Kerish, который, правда, стал чрезвычайно полезной утилитой Kerish Doctor, а ведь совсем немногие знают прошлое этого творения; ScreamAV, бесплатныq антивирус то ли из Индонезии, то ли с Филиппин; путем долгого анализа удалось выяснить, что создатели данного антивируса примкнули к проекту SmadAV;  SMK антивирус, когда-то известный в узких кругах; "Зоркий глаз" Петелина Александра;  AWS Core, приостановивший свое развитие и т. п.) Вообще обожаю древние сайты, особенно варианты на narod.ru и им подобные, пропахшие стариной и историей. Очень приятные ощущения, как будто бы открыл давно забытую, но вновь найденную на чердаке книгу с пожелтевшими от времени листами.  А еще очень много полезных ресурсов, которых уже нет, но они сохранились в "архиве". Все это "богатство" сложно отыскать, но зато там есть чрезвычайно много полезной информации... Вот, кстати, один из примеров: https://web.archive.org/web/20040905203536/http://www.winchanger.narod.ru:80/ Или https://web.archive.org/web/20070624081145/http://winchanger.whatis.ru:80/ Как бонус прилагаю собственную коллекцию малоизвестных продуктов любителей информационной безопасности, среди них, кстати, все вышеупомянутые образцы! https://mega.nz/#!tZBkkCKa!0WzfYt4A1zK4aCvVLtu3FLt7pfPIp7wWtyPIr9c-cbo Может, кому пригодится...