Annahme gefährlicher E-Mails durch Level-of-Trust

[MatthiasUe]

Hallo zusammen,

heute gab es bei uns einen sicherheitsrelevanten Vorfall im Zusammenhang mit dem NoSpamProxy, den ich gerne schildern und zur Diskussion stellen möchte.

Was ist passiert?
Ein E-Mail-Konto eines Partners wurde kompromittiert. Von dort aus wurden E-Mails mit vermeintlichen SharePoint-Freigaben an uns versendet. Sowohl 32Guards als auch der zusätzlich eingesetzte SpamAssassin haben die Nachricht korrekt erkannt – insgesamt wurde ein SCL-Wert von 5 vergeben.

Da es sich aber um einen langjährigen Partner mit hoher Kommunikationsfrequenz handelt, war der Level of Trust (LoT) entsprechend hoch. Das führte leider dazu, dass der NoSpamProxy alle E-Mails trotz des hohen SCLs angenommen hat.

Warum ist das problematisch?
Das ist natürlich hochgradig gefährlich – vermutlich auch nicht im Sinne des ursprünglichen Konzepts von LoT. Dass LoT effektiv zur Reduzierung von False Positives beiträgt, steht außer Frage. Aber in Fällen wie diesem – kompromittierter, "vertrauenswürdiger" Absender – ist die Mechanik schlicht kontraproduktiv.

Ich glaube, der ursprüngliche Gedanke hinter LoT war eher, harmlosen Spam von etablierten Kommunikationspartnern zu filtern – aber nicht gefährliche E-Mails, die über einen gehackten Absender hereinkommen, blind durchzuwinken.

Fragen an euch:
- Habt ihr ähnliche Erfahrungen gemacht?
- Wie habt ihr NoSpamProxy konfiguriert, um solche Fälle zu verhindern?
- Gibt es Best Practices, wie man den Einfluss des LoT in solchen Situationen sinnvoll begrenzen kann?

Meine Gedanken / mögliche Verbesserungen:
- Eine Option im Filter wie: "Ignoriere den LoT-Score, wenn der SCL einen bestimmten Schwellenwert überschreitet"
- Möglichkeit, den maximal möglichen LoT-Score global zu begrenzen (z. B. auf 30 statt 100)
- Den Gewichtungsfaktor für 32Guards deutlich erhöhen (derzeit bei uns auf 1), um dem mehr Durchschlagskraft zu geben

Ich bin gespannt auf eure Meinungen und Erfahrungen.

PS: Wir nutzen NSP On-Premise.

Viele Grüße
Matthias

 

[JanJäschke]

Guten Morgen Matthias,

könntest du dazu einen (gern auch geschwärzten) Messagetrack bereitstellen?
Mich würden die genauen Bewertungen nämlich interessieren.
Der Gedanke hinter Level of Trust ist zusätzlich auch, temporäre/unbeabsichtigte oder ungewollte Reputationsprobleme beim Partner zu korrigieren. Dein Szenario ist natürlich ein negativer Nebeneffekt wir mal schauen könnten was wir besser machen können.
Bei Aktionen wie dem Malware-Scanner wird LoT ja gänzlich umgangen um genau solche Fälle zu vermeiden.

Bin gespannt was z.B. der ein oder andere hier dazu sagt und wie die Nachricht verarbeitet wurde

Gruß
Jan

 

[Sören]

Was mich interessieren würde: war URL Safeguard aktiv und konnte der noch eingreifen beim Klicken des Users?

Zuletzt hatten wir das gesehen als Hafnium um sich Griff und Reply Chain Attacken gefahren wurden.

Eine Empfehlung wie man besser damit umgehen könnte, kann ich nicht bieten.

 

[MatthiasUe]

Guten Morgen Jan,
guten Morgen Sören,

es war ja gestern schon ein bisschen später und eigentlich bin ich auch im Urlaub, daher hatte ich mir den Screenshot vom Filter nur flüchtig angeschaut und muss ein paar Dinge richtig Stellen: SpamAssassin hat leider nichts gesehen, der Reputationsfilter hat einen 1 SCL vergeben.

Laut Anzeige soll das LoT-System 2 Minuspunkte vergeben haben, weiter oben steht dann aber -10 SCL. Das kann man auch im MessageTrack sehen. Den habe ich dir per PN geschickt, Jan.

Das die Aktionen immer das letzte Wort haben finde ich auch richtig und gut. Leider wissen die Angreifer ja aber auch das heutzutage viele Mailgateways genau diese Anhänge scannen und ggf. dadurch die E-Mail auch abgelehnt wird. Also werden nur noch html E-Mails geschickt mit einem Link wo man dann doch bitte die Datei herunterladen soll.

Der URL Safeguard ist leider nicht aktiv, wir hatten ihn an aber leider war der Gegenwind dermaßen stark das wir ihn wieder ausschalten mussten.

Viele Grüße
Matthias

 

[MatthiasUe]

Moin Jan,

konntest du dir die Messagetrack Datei schon anschauen?

Es würde mich freuen wenn noch andere ihre Erfahrungen teilen könnten, gerne auch wenn man dieses Phänomen noch nicht beobachten konnte. Ich finde schon das es sich hier um ein wichtiges Thema handelt wenn solche E-Mails angenommen werden.

Viele Grüße
Matthias