analiza ruchu SMTP

Analiza ruchu SMTP to badanie natężenia i charakterystyki połączeń obsługiwanych przez serwer pocztowy.

Co obejmuje analiza ruchu SMTP

Analiza ruchu SMTP polega na obserwacji połączeń i komunikatów wymienianych podczas dostarczania poczty elektronicznej. Protokół SMTP opisuje komunikację między klientem a serwerem oraz między serwerami przekazującymi wiadomość. W praktyce bada się między innymi liczbę połączeń w określonym czasie, adresy źródłowe i docelowe, wykorzystywane porty, czas trwania sesji, liczbę zaakceptowanych oraz odrzuconych wiadomości, a także kody odpowiedzi zwracane przez serwer.

Ważnym elementem jest odtworzenie przebiegu sesji. Typowa komunikacja obejmuje powitanie serwera kodem 220, przedstawienie klienta za pomocą EHLO lub HELO, negocjację dostępnych rozszerzeń, polecenia MAIL FROM i RCPT TO, przekazanie treści przez DATA oraz zakończenie sesji komendą QUIT. Odpowiedzi z grup 2xx oznaczają pomyślne wykonanie operacji, kody 4xx wskazują na błąd przejściowy, a kody 5xx na trwałe odrzucenie żądania. Sama liczba wiadomości nie wystarcza do oceny sytuacji, ponieważ gwałtowny wzrost odpowiedzi 4xx może wskazywać na przeciążenie albo ograniczanie tempa połączeń.

Porty, role klientów i przebieg sesji

Interpretacja wyników wymaga rozróżnienia roli danego połączenia. Port 25 jest standardowo używany do przekazywania poczty między serwerami SMTP, natomiast port 587 służy do przesyłania wiadomości przez klientów korzystających z usługi submission, zgodnie z RFC 6409. Port 465 jest używany do SMTP z szyfrowaniem TLS ustanawianym od początku sesji, określanym jako implicit TLS. Nie należy utożsamiać każdego ruchu na tych portach z tym samym rodzajem komunikacji, ponieważ obserwowane wartości mogą wynikać z różnych konfiguracji serwera i klientów.

Podczas analizy zapisuje się kolejność komend, kody odpowiedzi i odstępy czasowe między operacjami. Można wtedy wykryć powtarzające się próby logowania, połączenia kończone przed wysłaniem treści, dużą liczbę odbiorców przypadających na jednego nadawcę albo wielokrotne ponawianie tej samej wiadomości. Przy połączeniach szyfrowanych treść sesji nie jest zwykle dostępna w zwykłym przechwyconym pakiecie, dlatego analizuje się metadane transportowe, informacje z logów oraz zdarzenia zarejestrowane przed i po negocjacji TLS. Mechanizm STARTTLS został opisany w RFC 3207 i pozwala przejść z połączenia jawnego do szyfrowanego w ramach trwającej sesji.

Co można wywnioskować z kodów i statystyk SMTP

Kody odpowiedzi SMTP pomagają oddzielić problemy adresowe od problemów transportowych. Odpowiedź 550 często oznacza trwałe odrzucenie polecenia, na przykład z powodu nieistniejącego odbiorcy lub decyzji polityki serwera, ale dokładne znaczenie zależy od dodatkowego tekstu odpowiedzi i konfiguracji konkretnego systemu. Odpowiedzi 421 oraz inne kody 4xx mogą sygnalizować czasową niedostępność, przekroczenie limitu lub mechanizm greylistingu. Analiza powinna obejmować także rozszerzone kody statusu zdefiniowane w RFC 3463, ponieważ dostarczają bardziej szczegółowej klasyfikacji błędu.

Przydatne wskaźniki obejmują odsetek sesji zakończonych sukcesem, średni czas odpowiedzi, liczbę komend przypadających na połączenie, rozkład błędów według domen oraz liczbę ponowień dostarczenia. Nienaturalnie duża liczba poleceń RCPT TO w jednej sesji może wskazywać na masową wysyłkę, a wiele sesji z pojedynczym nieudanym odbiorcą może być charakterystyczne dla prób rozpoznawania poprawnych adresów. Z kolei opóźnienie między przyjęciem wiadomości a jej przekazaniem do następnego serwera może wynikać z kolejki dostarczania, ograniczeń DNS, odrzucenia przez serwer zdalny albo problemu z połączeniem sieciowym. Dołączanie informacji o żądaniu potwierdzenia dostarczenia wymaga rozszerzenia DSN opisanego w RFC 3461; nie jest ono automatycznie obecne w każdej sesji SMTP.

Diagnostyka na podstawie logów i przechwyconego ruchu

Rzetelna diagnostyka wymaga zestawienia kilku źródeł danych: logów serwera SMTP, statystyk systemowych, informacji o kolejkach wiadomości oraz przechwyconych nagłówków lub pakietów, jeżeli jest to dopuszczalne w danym środowisku. Czas w każdym źródle powinien być zsynchronizowany, ponieważ bez poprawnych znaczników czasu trudno powiązać konkretną sesję z wpisem w kolejce lub błędem DNS. W logach warto korelować identyfikator wiadomości, adres klienta, nazwę hosta, wynik uwierzytelnienia, kod odpowiedzi oraz etap, na którym transmisja została przerwana.

W przypadku komputera użytkownika analiza ruchu SMTP może pomóc ustalić, czy program pocztowy prawidłowo łączy się z określonym portem, wykonuje negocjację TLS i otrzymuje odpowiedź od serwera. Powtarzające się błędy uwierzytelnienia, niezgodny tryb szyfrowania, błędna nazwa hosta lub blokada połączeń wychodzących mogą powodować brak wysyłania wiadomości mimo poprawnego działania samej aplikacji. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, a w ramach diagnostyki komputera można sprawdzić konfigurację klienta pocztowego, stan połączenia sieciowego oraz lokalne przyczyny nieudanych sesji SMTP.