integracja z systemem bezpieczeństwa

Integracja z systemem bezpieczeństwa umożliwia automatyczne reagowanie na zagrożenia wykryte w ruchu pocztowym.

Zakres integracji z systemem bezpieczeństwa

Integracja z systemem bezpieczeństwa oznacza połączenie mechanizmu analizującego ruch pocztowy z innym elementem ochrony środowiska informatycznego. Tym elementem może być brama pocztowa, zapora sieciowa, system wykrywania zagrożeń, platforma SIEM albo centralny moduł obsługi incydentów. Głównym celem jest przekazanie informacji o wykrytym zagrożeniu oraz uruchomienie wcześniej zdefiniowanej reakcji. Samo wykrycie wiadomości zawierającej złośliwy załącznik, podejrzany adres URL lub cechy typowe dla phishingu nie musi kończyć procesu. Wynik analizy może zostać wykorzystany do zablokowania wiadomości, przeniesienia jej do kwarantanny, oznaczenia nagłówkiem albo utworzenia zdarzenia w centralnym systemie monitorowania.

Zakres wymiany danych zależy od zastosowanego rozwiązania. System pocztowy może przekazywać do modułu bezpieczeństwa metadane wiadomości, takie jak adres nadawcy, adres odbiorcy, identyfikator wiadomości, wynik kontroli antyspamowej oraz skrót pliku. System bezpieczeństwa może natomiast zwracać decyzję, poziom ryzyka, przyczynę blokady i identyfikator reguły, która zadziałała. W praktyce ważne jest rozdzielenie danych potrzebnych do podjęcia decyzji od pełnej treści poczty. Nie każda integracja wymaga przekazywania całej wiadomości, a ograniczenie zakresu wymiany zmniejsza obciążenie połączenia i upraszcza kontrolę nad przepływem informacji.

Reakcja na zagrożenia w ruchu pocztowym

Automatyczna reakcja może następować na różnych etapach obsługi wiadomości. Kontrola przed dostarczeniem pozwala odrzucić połączenie lub wiadomość, gdy wynik analizy przekroczy ustalony próg ryzyka. Kontrola po przyjęciu wiadomości może skutkować umieszczeniem jej w kwarantannie, dodaniem ostrzeżenia do nagłówków albo przekazaniem do dodatkowej analizy. W przypadku wykrycia zagrożenia już po dostarczeniu wiadomości system może wyszukać jej kopie na podstawie identyfikatora, skrótu załącznika lub charakterystycznych nagłówków i podjąć działania naprawcze. Skuteczność takiej operacji zależy od tego, czy system pocztowy udostępnia odpowiedni interfejs oraz czy identyfikatory są zachowywane przez cały przepływ.

Reguły reakcji powinny uwzględniać rodzaj wykrytego zagrożenia. Inaczej traktuje się wiadomość z podejrzanym linkiem, inaczej załącznik rozpoznany jako złośliwe oprogramowanie, a jeszcze inaczej nietypową aktywność nadawcy. Możliwe jest zastosowanie trybu obserwacyjnego, w którym system zapisuje zdarzenie i dodaje oznaczenie, ale nie blokuje poczty. Taki tryb pomaga ocenić liczbę fałszywych alarmów przed włączeniem automatycznego odrzucania. Przy bardziej restrykcyjnych reakcjach potrzebne są także wyjątki dla zaufanych źródeł, kontrola zmian reguł oraz jednoznaczne zapisy wskazujące, dlaczego wiadomość została zatrzymana.

Interfejsy, uwierzytelnianie i rejestrowanie zdarzeń

Połączenie może wykorzystywać przekazywanie poczty przez bramę filtrującą, interfejs HTTP, webhook albo mechanizm wymiany komunikatów udostępniony przez konkretny system. Niezależnie od technologii należy ustalić format danych, sposób potwierdzania odbioru oraz zachowanie w razie błędu. Integracja synchroniczna może oczekiwać decyzji przed dostarczeniem wiadomości, natomiast integracja asynchroniczna najpierw przyjmuje zdarzenie i dopiero później przekazuje wynik analizy. Różnica ma znaczenie dla opóźnień, obsługi niedostępności usługi oraz ryzyka, że wiadomość zostanie dostarczona przed zakończeniem kontroli.

Uwierzytelnianie połączenia powinno umożliwiać rozpoznanie systemu wysyłającego i ograniczenie jego uprawnień. Stosuje się w tym celu między innymi certyfikaty klienta, podpisy komunikatów, tokeny dostępu lub kontrolę adresów sieciowych, zależnie od możliwości obu stron. Należy również sprawdzać ochronę przed ponownym wysłaniem tego samego zdarzenia. Przydatne są unikatowe identyfikatory, znaczniki czasu i mechanizmy idempotencji, dzięki którym wielokrotne przetworzenie jednego komunikatu nie powoduje wielokrotnego blokowania tej samej wiadomości.

Diagnostyka przerwanego przepływu decyzji

Problemy z integracją często wynikają nie z samego silnika analizy, lecz z przerwania przepływu między komponentami. W diagnostyce należy porównać czas przyjęcia wiadomości, moment wysłania zdarzenia, odpowiedź systemu bezpieczeństwa i faktyczne działanie po stronie pocztowej. Pomocne są identyfikatory korelacyjne zapisane w logach obu systemów. Jeżeli zdarzenie jest widoczne w systemie bezpieczeństwa, ale wiadomość nie trafia do kwarantanny, trzeba sprawdzić mapowanie decyzji, uprawnienia konta integracyjnego oraz zgodność identyfikatora wiadomości. Jeżeli zdarzenie nie dociera w ogóle, analizuje się połączenie, reguły routingu, certyfikaty, kolejki i błędy odpowiedzi interfejsu.

Warto rozdzielić awarię systemu ochrony od błędnej konfiguracji reakcji. Niedostępność usługi może powodować ponawianie komunikatów, przejście w tryb awaryjny albo zatrzymanie dostarczania, zależnie od przyjętej polityki. Błędny próg ryzyka lub nieprawidłowa reguła może natomiast działać prawidłowo technicznie, lecz podejmować niewłaściwe decyzje. Po zmianie konfiguracji należy wykonać kontrolowane testy wiadomości dozwolonych, podejrzanych i kierowanych do kwarantanny, a następnie sprawdzić zgodność logów z oczekiwanym przebiegiem. Dzięki temu można ustalić, czy integracja rzeczywiście przekazuje sygnał o zagrożeniu i czy system pocztowy wykonuje właściwą reakcję.