MailScanner

MailScanner to otwarte narzędzie skanujące pocztę pod kątem wirusów i spamu, współpracujące z serwerami MTA.

MailScanner jako filtr pośredniczący między MTA a dostarczeniem wiadomości

MailScanner jest otwartym oprogramowaniem do filtrowania poczty elektronicznej, napisanym w języku Perl. Nie jest samodzielnym serwerem SMTP ani zamiennikiem programu MTA, takiego jak Sendmail, Exim czy Postfix. Jego zadaniem jest przejęcie wiadomości z kolejki pocztowej, poddanie jej analizie oraz przekazanie dalej albo zatrzymanie zgodnie z ustaloną konfiguracją. W praktyce MailScanner działa więc jako warstwa pośrednia umieszczona pomiędzy przyjmowaniem wiadomości przez MTA a ich dalszym dostarczeniem.

Typowy przepływ obejmuje przyjęcie wiadomości przez proces MTA zapisujący ją w kolejce, odczytanie jej przez MailScanner, sprawdzenie nagłówków i treści, a następnie przekazanie zaakceptowanej wiadomości do kolejnego procesu MTA. MailScanner może analizować zarówno pocztę przychodzącą z Internetu, jak i wiadomości wychodzące, zależnie od ustawień serwera. Sam filtr nie pełni funkcji skrzynki pocztowej, nie przechowuje wiadomości w folderach użytkowników i nie zastępuje mechanizmu dostępu do poczty przez IMAP lub POP3.

Współpraca z ClamAV, SpamAssassin i formatami MIME

MailScanner korzysta z zewnętrznych silników, aby rozpoznawać różne rodzaje zagrożeń. Do wykrywania złośliwego oprogramowania może współpracować z ClamAV, czyli osobnym skanerem antywirusowym. Ocena spamu jest zwykle realizowana przez SpamAssassin, który analizuje między innymi nagłówki, zawartość wiadomości, cechy formatowania oraz wyniki reguł antyspamowych. MailScanner koordynuje te kontrole, odczytuje ich wyniki i stosuje określone działania, ale nie zawiera w sobie kompletnej bazy sygnatur ClamAV ani pełnego zestawu reguł SpamAssassin.

Podczas inspekcji ważną rolę odgrywa obsługa wiadomości MIME. Ten standard pozwala przesyłać załączniki, części tekstowe i HTML, obrazy oraz zagnieżdżone elementy wiadomości. MailScanner może rozpoznawać typy załączników, analizować ich zawartość, przekazywać je do skanera antywirusowego oraz reagować na pliki uznane za niedozwolone. Konfiguracja może określać, czy podejrzany załącznik ma zostać usunięty, zastąpiony komunikatem, odizolowany w kwarantannie albo pozostawiony do dalszego przetwarzania. Samo rozszerzenie pliku nie powinno być traktowane jako jedyny dowód bezpieczeństwa, ponieważ rzeczywisty typ danych może różnić się od nazwy nadanej załącznikowi.

Reguły decyzji, kwarantanna i diagnostyka przepływu poczty

Wynik skanowania MailScanner może prowadzić do kilku różnych decyzji: wiadomość zostaje zaakceptowana, oznaczona jako spam, zmodyfikowana, odrzucona, przekazana do kwarantanny albo zatrzymana z powodu wykrytego wirusa. Konkretne zachowanie zależy od ustawień dla wirusów, spamu, załączników, nadawców i odbiorców. MailScanner może również dodawać informacje do nagłówków, dzięki czemu dalsze filtry lub klient pocztowy mogą rozpoznać ocenę wiadomości. Oznaczenie wiadomości jako spam nie musi oznaczać jej usunięcia; często jest ona dostarczana z dodatkowym nagłówkiem lub zmienionym tematem.

Przy problemach z pocztą trzeba odróżnić błąd MailScanner od błędu MTA albo zewnętrznego skanera. Jeżeli wiadomość nie pojawia się w kolejce, przyczyny należy szukać wcześniej, na przykład w połączeniu SMTP, uwierzytelnianiu lub ograniczeniach MTA. Jeżeli MailScanner odczytuje wiadomość, lecz nie kończy jej przetwarzania, warto sprawdzić jego dziennik, status ClamAV i SpamAssassin, uprawnienia do katalogów kolejek oraz dostępne miejsce na dysku. Kwarantanna może zawierać wiadomości zatrzymane zgodnie z regułami, ale jej obecność nie świadczy sama w sobie o awarii. Istotne jest ustalenie identyfikatora wiadomości, czasu przyjęcia, decyzji filtra i momentu przekazania jej do następnego etapu.

Znaczenie konfiguracji MailScanner dla komputera użytkownika

MailScanner działa przede wszystkim po stronie serwera pocztowego, dlatego użytkownik laptopa lub komputera PC zwykle nie uruchamia go bezpośrednio. Efekt jego pracy jest jednak widoczny w programie pocztowym: niebezpieczny załącznik może zostać usunięty, wiadomość może otrzymać oznaczenie spamu, a odbiorca może dostać komunikat o zatrzymaniu treści. Z tego powodu brak załącznika nie zawsze oznacza uszkodzenie aplikacji pocztowej. Przyczyną może być reguła MailScanner, wynik ClamAV, rozpoznanie typu pliku albo decyzja administratora dotycząca określonego poziomu ryzyka.

Na komputerze użytkownika można sprawdzić pełne nagłówki wiadomości, temat, adres nadawcy, obecność ostrzeżeń oraz to, czy wiadomość została zmieniona podczas filtrowania. Nie należy wyłączać ochrony antywirusowej ani otwierać załącznika tylko dlatego, że wiadomość dotarła do skrzynki. Jeżeli problem dotyczy wielu wiadomości, powtarza się dla jednego rodzaju załączników albo występuje równocześnie u kilku odbiorców, potrzebna jest analiza konfiguracji MailScanner i współpracujących silników po stronie serwera. W przypadku pojedynczego komputera warto dodatkowo wykluczyć lokalne reguły klienta pocztowego, pełną skrzynkę, błędne pobieranie wiadomości lub filtr antywirusowy działający na stacji roboczej.