filtr załączników

Filtr załączników to reguła klasyfikująca wiadomości na podstawie obecności lub typu dołączonych plików.

Jak działa filtr załączników w wiadomościach

Filtr załączników to reguła przetwarzająca wiadomość e-mail na podstawie informacji o dołączonych plikach. Może sprawdzać samą obecność załącznika, jego nazwę, rozszerzenie, deklarowany typ MIME, rozmiar albo liczbę plików dołączonych do jednej wiadomości. Przykładowo reguła może rozpoznać plik o nazwie „faktura.pdf”, załącznik z rozszerzeniem „.zip” lub wiadomość zawierającą więcej niż jeden plik. Wynik działania filtra może skutkować przeniesieniem wiadomości do innego folderu, oznaczeniem jej etykietą, przekazaniem do dalszej analizy albo odrzuceniem przez bramę pocztową.

Wiadomości wieloczęściowe wykorzystują format MIME, w którym załącznik jest opisany między innymi przez nagłówki Content-Type, Content-Disposition i opcjonalnie filename. Deklarowany typ, na przykład application/pdf albo image/jpeg, nie musi jednak odpowiadać rzeczywistej zawartości pliku. Z tego powodu bardziej dokładne filtry analizują również sygnaturę pliku, czyli charakterystyczne bajty znajdujące się zwykle na jego początku. Dla pliku PDF typowym początkiem jest tekstowa sygnatura %PDF-, natomiast plik ZIP rozpoczyna się od bajtów oznaczanych często jako PK. Sama nazwa załącznika nie jest więc wystarczającą podstawą do pewnej klasyfikacji.

Rozszerzenia, typy MIME i zawartość pliku

Najprostszy filtr porównuje rozszerzenie nazwy z ustaloną listą. Może przepuszczać dokumenty .pdf, .docx i .xlsx, a kierować do kwarantanny pliki wykonywalne, takie jak .exe, .msi, .scr czy .bat. Takie reguły powinny uwzględniać również podwójne rozszerzenia, na przykład faktura.pdf.exe, oraz nazwy zawierające dodatkowe kropki, spacje lub znaki Unicode. Odczyt rozszerzenia musi być wykonany zgodnie z zasadami konkretnego programu, ponieważ różne aplikacje mogą inaczej traktować wielkość liter, końcowe spacje albo nieprawidłowo zakodowane nazwy.

Dokumenty biurowe w formatach .docx, .xlsx i .pptx są pakietami ZIP zawierającymi uporządkowane pliki XML. Sam fakt, że załącznik ma rozszerzenie dokumentu, nie oznacza jednak, że jest nieszkodliwy. Filtr może wykrywać makra w starszych formatach, takich jak .docm lub .xlsm, a także sprawdzać, czy archiwum zawiera nietypowe pliki wykonywalne lub skrypty. W przypadku archiwów ZIP przydatna jest kontrola zagnieżdżonych elementów, ponieważ plik wykonywalny może zostać ukryty w archiwum i nie będzie widoczny przy analizie wyłącznie nazwy zewnętrznego załącznika. Skuteczna klasyfikacja wymaga również ustalenia, co ma się stać z archiwum zaszyfrowanym hasłem, którego zawartości filtr nie może odczytać.

Filtr może dodatkowo sprawdzać rozmiar załącznika, sumę kontrolną, liczbę elementów w archiwum oraz zgodność deklarowanego typu MIME z rozpoznanym formatem. Nie należy utożsamiać filtrowania załączników ze skanowaniem antywirusowym. Reguła filtrująca odpowiada przede wszystkim na pytanie, czy wiadomość spełnia określone warunki techniczne, natomiast skaner analizuje plik pod kątem znanych wzorców złośliwego kodu i innych oznak zagrożenia. Oba mechanizmy mogą działać równolegle, ale ich wyniki powinny być przechowywane i interpretowane oddzielnie.

Reguły sortowania i skutki błędnej klasyfikacji

W kliencie pocztowym filtr może działać po odebraniu wiadomości i wykonywać działania lokalne, na przykład przenosić wiadomości z plikami PDF do folderu „Dokumenty”. W systemie pocztowym reguła może zostać zastosowana wcześniej, zanim wiadomość trafi do programu użytkownika. Kolejność reguł ma znaczenie: jedna reguła może przenieść wiadomość, druga zmienić jej oznaczenie, a trzecia zakończyć dalsze przetwarzanie. Jeżeli dostępna jest opcja „nie przetwarzaj kolejnych reguł”, jej użycie może sprawić, że późniejsze warunki nigdy się nie wykonają.

Warunki powinny być możliwie precyzyjne. Reguła „jeśli wiadomość ma załącznik, przenieś ją do folderu” obejmuje także zdjęcia, podpisane dokumenty, pliki tekstowe i automatyczne powiadomienia, więc może powodować dużą liczbę fałszywych trafień. Bezpieczniejsze jest rozdzielenie warunków na kilka klas: typ dokumentu, rozszerzenie, zakres rozmiaru i nadawcę. Należy też uważać na reguły oparte na nazwie, ponieważ nadawca może zmienić nazwę pliku bez zmiany jego zawartości. Z kolei filtr oparty wyłącznie na typie MIME może zostać wprowadzony w błąd przez niepoprawnie ustawiony lub celowo zmodyfikowany nagłówek.

Skutkiem błędnej klasyfikacji może być ukrycie oczekiwanej wiadomości w innym folderze, opóźnienie dostarczenia albo odrzucenie załącznika. Dlatego przy projektowaniu reguł warto określić działanie domyślne dla nieznanych typów plików, sposób rejestrowania decyzji oraz możliwość ręcznego odzyskania wiadomości z kwarantanny. Po zmianie reguły należy sprawdzić kilka rzeczywistych przypadków: wiadomość bez załącznika, pojedynczy dokument, kilka plików, archiwum, plik z wielokrotnym rozszerzeniem i załącznik o rozmiarze przekraczającym ustalony limit. Taki test pozwala wykryć błędy logiczne, których nie widać przy sprawdzeniu tylko jednego przykładu.

Filtr załączników a diagnostyka komputera

Problemy przypisywane filtrowi załączników często wynikają z konfiguracji programu pocztowego, a nie z uszkodzenia laptopa. Podczas diagnostyki należy ustalić, czy wiadomość została odebrana, w którym folderze się znajduje, jakie nagłówki ma załącznik oraz która reguła wykonała działanie. Warto porównać zachowanie kilku wiadomości o podobnej treści, ale z różnymi plikami. Jeżeli problem dotyczy tylko jednego rozszerzenia, przyczyną może być konkretna reguła. Jeżeli znika każdy załącznik, trzeba sprawdzić ustawienia automatycznego przenoszenia, kwarantannę, limit rozmiaru skrzynki oraz konfigurację programu antywirusowego.

Podczas sprawdzania pliku nie należy otwierać nieznanego załącznika tylko po to, aby potwierdzić jego typ. Bezpieczniejsza jest analiza nazwy, rozmiaru, nagłówków wiadomości i informacji wyświetlanych przez zaufany program pocztowy. Jeżeli filtr blokuje plik potrzebny do pracy, można tymczasowo utworzyć węższą regułę dla konkretnego formatu, folderu lub nadawcy, a następnie ponownie przeprowadzić test. Trzeba zachować ostrożność przy wyłączaniu ochrony, ponieważ usunięcie filtra bez ustalenia przyczyny może spowodować, że wszystkie załączniki będą trafiały bezpośrednio do skrzynki odbiorczej.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, a w ramach diagnostyki może również sprawdzić konfigurację klienta pocztowego, działanie reguł sortujących oraz konflikty z programami ochronnymi. Prawidłowa ocena wymaga rozdzielenia problemu sprzętowego od ustawień aplikacji: awaria dysku lub pamięci może powodować błędy programu, ale sama reguła filtrowania jest przede wszystkim elementem konfiguracji poczty. Po zakończeniu sprawdzenia użytkownik powinien otrzymać jasną informację, jaki warunek uruchomił filtr i jakie działanie zostało wykonane wobec wiadomości.