wiadomości zatrzymywane przez gateway firmowy

Wiadomości zatrzymywane przez gateway firmowy wymagają weryfikacji reguł filtrowania po stronie odbiorcy.

Co oznacza zatrzymanie wiadomości przez firmowy gateway

Gateway firmowy to urządzenie lub usługa pośrednicząca w obsłudze ruchu sieciowego, w tym poczty elektronicznej. W przypadku wiadomości e-mail może działać przed serwerem pocztowym organizacji albo pomiędzy serwerem nadawcy i odbiorcy. System analizuje połączenie, dane nadawcy, domenę, adres IP, nagłówki oraz treść wiadomości, a następnie podejmuje decyzję zgodną z regułami bezpieczeństwa. Zatrzymanie wiadomości oznacza, że komunikat nie został jeszcze przekazany do skrzynki odbiorcy. Nie jest to równoznaczne z jego usunięciem ani z potwierdzeniem, że wiadomość zawiera złośliwe oprogramowanie.

Gateway może umieścić wiadomość w kwarantannie, odrzucić ją podczas sesji SMTP albo czasowo opóźnić dostarczenie. Przy odrzuceniu nadawca zwykle otrzymuje odpowiedź SMTP lub komunikat o niedostarczeniu, natomiast przy kwarantannie wiadomość pozostaje w systemie do czasu automatycznej decyzji albo ręcznej weryfikacji administratora. Czasowe opóźnienie może wynikać między innymi z mechanizmu greylistingu, który wymaga ponowienia próby dostarczenia przez serwer nadawcy. Dokładne zachowanie zależy od konfiguracji konkretnego gatewaya i polityki pocztowej organizacji.

Reguły filtrowania sprawdzane po stronie odbiorcy

Weryfikacja powinna rozpocząć się od ustalenia, która reguła spowodowała zatrzymanie. W logach gatewaya należy sprawdzić identyfikator wiadomości, czas przyjęcia, adres IP hosta nadawcy, nazwę domeny koperty SMTP oraz wynik kolejnych testów. Istotne są także kody odpowiedzi SMTP, na przykład odpowiedzi z grupy 4xx wskazują zwykle na odrzucenie tymczasowe, a kody 5xx na odrzucenie trwałe. Sam komunikat widoczny w kliencie pocztowym może być skrócony i nie zawierać informacji potrzebnych do rozpoznania przyczyny.

Typowe kontrole obejmują reputację adresu IP, zgodność rekordu odwrotnego DNS, poprawność składni domeny, limity liczby wiadomości, obecność załączników określonych typów oraz skanowanie antyspamowe i antywirusowe. Gateway może również sprawdzać uwierzytelnianie domeny nadawcy za pomocą SPF, podpis DKIM i politykę DMARC. SPF porównuje serwer wysyłający z rekordem TXT domeny nadawcy, DKIM pozwala zweryfikować podpis kryptograficzny nagłówków i treści, a DMARC określa sposób postępowania przy braku zgodności domeny użytej w adresie From z wynikami SPF lub DKIM. Błąd w tych mechanizmach nie zawsze dowodzi nadużycia, ponieważ może wynikać z nieprawidłowej konfiguracji legalnego systemu wysyłkowego.

Rozróżnienie kwarantanny, odrzucenia i opóźnienia dostawy

Jeżeli wiadomość znajduje się w kwarantannie, administrator powinien porównać wynik skanowania z treścią i oczekiwanym pochodzeniem komunikatu. Należy zweryfikować pełne nagłówki, w szczególności pola Received, Authentication-Results, DKIM-Signature oraz Message-ID. Łańcuch Received pokazuje kolejne serwery uczestniczące w przekazywaniu wiadomości, ale trzeba interpretować go od najstarszego wpisu do najnowszego i uwzględniać, że nagłówki mogą być dodawane przez kolejne systemy. Pole Authentication-Results opisuje wyniki testów wykonanych przez konkretny serwer odbiorczy, więc nie powinno być traktowane jako niezależne potwierdzenie wszystkich informacji podanych przez nadawcę.

Przy odrzuceniu wiadomości trzeba ustalić, czy blokada nastąpiła na podstawie adresu nadawcy, adresu IP, domeny, treści, załącznika czy limitu. Zmiana tematu wiadomości nie naprawi problemu z reputacją IP ani z podpisem DKIM, natomiast usunięcie niedozwolonego załącznika może mieć znaczenie, jeśli to właśnie jego typ wywołał regułę. W przypadku opóźnienia należy sprawdzić kolejkę oraz historię ponawianych prób SMTP. Wielokrotne ręczne wysyłanie tego samego komunikatu może zwiększyć liczbę prób i utrudnić analizę, dlatego lepiej zachować oryginalny komunikat błędu oraz jeden kompletny zestaw nagłówków.

Postępowanie przy błędnym zatrzymaniu wiadomości

Jeśli wiadomość została zatrzymana mimo wiarygodnego pochodzenia, administrator może przeanalizować regułę i zastosować ograniczone wyłączenie dla konkretnej domeny, adresu nadawcy lub kontrolowanego typu komunikatu. Bezpieczniejsze jest zawężenie wyjątku do niezbędnego zakresu niż całkowite wyłączenie filtrowania. Po zmianie konfiguracji należy sprawdzić logi dla nowej wiadomości testowej, zweryfikować wynik SPF, DKIM i DMARC oraz upewnić się, że komunikat trafia do właściwej skrzynki. Test powinien obejmować również wiadomość z załącznikiem, jeżeli wcześniejsza blokada dotyczyła pliku.

W dokumentacji incydentu warto zapisać czas zdarzenia, adresy nadawcy i odbiorcy, identyfikator wiadomości, kod SMTP, nazwę reguły, wynik skanowania oraz podjętą decyzję. Takie dane pozwalają odróżnić jednorazowy błąd konfiguracji od powtarzalnego problemu z trasą pocztową lub uwierzytelnianiem domeny. Przy diagnostyce na laptopie lub komputerze PC można dodatkowo sprawdzić, czy problem występuje w kilku klientach pocztowych i na różnych połączeniach internetowych, jednak jeżeli wiadomość zatrzymuje gateway odbiorcy, zmiana programu pocztowego po stronie użytkownika nie usunie przyczyny. Naprawa wymaga wtedy korekty reguł filtrowania albo konfiguracji systemu, który wysyła wiadomość.