Inhaltsfilterung für ausgehenden E-Mail Verkehr

[Postamt]

Guten Tag NSP-Community,
uns ist aufgefallen, dass eine Inhaltsfilterung (Gesperrte Anhänge) lediglich für eingehenden E-Mail Verkehr greift, jedoch nicht für den ausgehenden E-Mail Verkehr.
Der Inhaltsfilter selbst ist aktuell so konfiguriert, dass er sowohl bei vertrauenswürdigen E-Mails als auch nicht vertrauenswürdigen E-Mails den nicht gewünschten Anhang entfernt.
In den Regeln für den E-Mail Verkehr ist die Inhaltsfilterung eingeschaltet und auch das Level-of-Trust-System.
Des Weiteren wurde sowohl bei den Unternehmensbenutzern, als auch bei den Partnern der entsprechende Inhaltsfilter hinterlegt (eingehend und ausgehend). (Fürs Troubleshooting haben wir es überall hinterlegt, der Meinung nach "irgendwas muss ja greifen").
In den Logs ist auch zu erkennen, dass er die hinterlegte Inhaltsfilterung erhält (der Inhaltsfilter heißt hier "Bad Attachment")

Aber der Anhang wird seltsamerweise nicht entfernt.

Bei einer eingehenden E-Mail erkennt man gut, dass der Inhaltsfilter auf den Anhang angewendet wird, jedoch nur bei eingehenden E-Mails.
Bei ausgehenden E-Mails führt er dies so nicht durch.


In der Dokumentation unter https://docs.nospamproxy.com/Server...nt/content-filter/content-filter-creating.htm steht, dass man eine Aktion für ausgehende E-Mails konfigurieren muss, aber nicht wie dies funktioniert.


Ich meine mich auch zu erinnern, dass die Inhaltsfilterung in der Vergangenheit auch für ausgehende E-Mails angewendet wurde und die entsprechende Anhänge entfernt oder die E-Mail abgelehnt hat.
Jedoch seit irgendeiner Version von NSP nicht mehr.

Habt ihr eventuell eine Idee, welche Schritte aktuell notwendig sind, damit er die Inhaltsfilterung richtig anwendet?

Mit freundlichen Grüßen
Kevin

 

[Postamt]

Moin zusammen,

hat jemand eventuell eine Lösung für die "Aktivierung" bzw. Anwendung der Inhaltsfilterung für den ausgehenden E-Mail Verkehr?
Da die NSP-Dokumentation scheinbar nicht vollständig ist und dieses Thema nur anspoilert, anstatt die Lösung zu nennen.

Die Inhaltsfilterung ist definitiv in den Regeln aktiviert und auch den Unternehmensbenutzer und auch Partnern zugeordnet.
Diese wird jedoch nur bei eingehenden E-Mails angewendet.

Wodurch das Potential entsteht, dass ein NSP-Nutzer schadhafte Dateien an externe verschickt, bei z.B. Virusbefall etc.

Mit freundlichen Grüßen
Kevin

 

[Fabian]

Hallo Kevin,

eben den Gegentest mit der aktuellsten Version 15.4 gemacht und es funktioniert:

Testprotokoll:

- Inhaltsfilter via AD-Gruppe auf meinen User mit der Anweisung MS Office 97-2003 zu entfernen
- E-Mail via Outlook Web App aufgegeben, sodass das Add-In nicht reinfunkt
- Der Anhang wurde entfernt

Inhaltsfilter bei meinem Userobject:
1. MS Office 97 - 2003 entfernen
2. Rest erlauben

Inhaltsfilter:
Unternehmensbenuter: Testfilter wie oben beschrieben
Partner (global) "Erlaube jeden Anhang"

Somit findet die Filterung nur auf Seiten des Unternehmensusers beim Versand statt.

Messagetrace:


Der Anhang wurde entfernt:




Regel:



E-Mail kommt wie folgt im Postfach von gmail an:


Hast du ggf. die Inhaltsfilterung in der ausgehenden Regel deaktiviert?
Im Zweifle ist weniger mehr, versuche einmal es wie in meinem Beispiel nachzubauen.

LG
Fabian

 

[Postamt]

Moin Fabian,

vielen Dank für das Testen.
Wir haben es genau so umgesetzt wie bei dir, jedoch mit einem weiteren Zusatz "S/MIME-Signierung".
Die Inhaltsfilterung ist und war definitiv aktiv.

Habe Testweise auch über die Outlook Web App eine E-Mail verschickt und siehe da, der Anhang wird entfernt.
In folge dessen, habe ich in Outlook meine SMIME-Signierung für die E-Mail entfernt und siehe da, der Anhang wird ebenfalls entfernt.
Für den Gegentest die S/MIME Signierung wieder aktiviert, Ergebnis: Anhang wird nicht entfernt.

Somit hängt es mit einer S/MIME Signierten E-Mail zusammen, dass der Anhang nicht durch die Inhaltsfilterung entfernt wird.
Von extern nach intern mit S/MIME Signierung kann ich aktuell leider nicht testen.
Ich hoffe jedoch, dass der Anhang auch bei eingehenden E-Mails mit S/MIME Signierung geprüft und entfernt wird, was ich jedoch aktuell irgendwie bezweifle.

Mit freundlichen Grüßen
Kevin Knebel

 

[Sören]

Somit hängt es mit einer S/MIME Signierten E-Mail zusammen, dass der Anhang nicht durch die Inhaltsfilterung entfernt wird.

Interessant aber auch irgendwie logisch... würden wir den Anhang entfernen, würden wir auch die Signatur zerstören, dass kann ja keiner wollen.

Ich hoffe jedoch, dass der Anhang auch bei eingehenden E-Mails mit S/MIME Signierung geprüft und entfernt wird, was ich jedoch aktuell irgendwie bezweifle.

kann ich mal testen, aber hier wäre das selbe Problem ... zumindest dann wenn NSP die Signatur nicht entfernt

 

[Sören]

Update ist auch so:

Bleibt die Signatur dran, bleibt auch der Anhang dran

Wird die Signatur entfernt, wird auch der Anhang bearbeitet

 

[Postamt]

Update ist auch so:

Bleibt die Signatur dran, bleibt auch der Anhang dran

Wird die Signatur entfernt, wird auch der Anhang bearbeitet

Dass bei Entfernung des nicht gewünschten Anhangs auch die Signatur zerstört wird, klingt plausibel.
Jedoch sollte eine White- oder Blacklist einen höheren Stellenwert als die Authentizität und Integrität einer E-Mail haben.

Also ich möchte lieber das die Signatur zerstört wird und z.B. ein .vbs-Skript aus dem Anhang der E-Mail entfernt wird, bevor der Mitarbeiter dieses aufgrund nicht wissend ausführt und schaden anrichtet.

Es ist vermutlich auch nur eine Frage der Zeit, bis Scammer es hinbekommen, dass deren E-Mails ebenfalls mit S/MIME Signierung verschickt werden und die S/MIME Prüfroutine von NSP umgehen oder entsprechend valide sind.

LG
Kevin

 

[Sören]

Jedoch sollte eine White- oder Blacklist einen höheren Stellenwert als die Authentizität und Integrität einer E-Mail haben.

ja, das Verhalten ist auch nicht gewünscht und ein Bug wurde identifiziert und ist gefixt, muss nur noch ausgerollt werden

 

[Postamt]

Moin Sören,

perfekt, vielen Dank für die schnelle Umsetzung.
Wir warten dann gespannt auf das Update.

Viele Grüße
Kevin

 

[Sören]

Wir warten dann gespannt auf das Update.

den Fix konnte ich testen, wann wir das ausliefern kann ich nicht beantworten

Es wird enthalten sein ab oder höher als : 15.5.0.976