Spam und UCE - Filter: Attachmentfilter

So funktioniert es

Viele Spammer und Viren senden Anlagen mit, die eine Gefahr für ihr Netzwerk darstellen können. Daher ist es natürlich auch sinnvoll, diese Attachments oder Typen direkt am Gateway zu blocken. Ansonsten würde ein später greifender Filter die Attachments vielleicht einfach entfernen. Der Empfänger kann dies übersehen und der Absender kann ohne Zweifel behaupten, die Mail wäre komplett zugestellt worden.

Folgende Anlagen bzw. Erweiterungen können z.B. blockiert werden.

Zusätzlich kann anhand des MIME-Typ eine Blockade durchgeführt werden

Das Ziel ist generell, jede Art von direkt ausführbarer Anlage zu blockieren, da im normalen Geschäftsverkehr keine ausführbaren Komponenten zwischen Anwendern übertragen werden. Wenn Code zu übertragen ist, dann sollten die Kommunikationspartner diesen Packen. Das spart nicht nur platz, sondern verhindert, dass der Empfänger den Code durch einen Doppelklick einfach ausführt.

Erweiterte Filter beschränken sich nicht auf den Namen der Anlage oder den MIME-Typ, sondern versuchen die Datei selbst zu analysieren. So verraten sich Skripte z.B.: durch die Verwendung bestimmter Worte (IF THEN ELSEIF SUB CreateObject etc.) und unter Windows ausführbare Programme nutzen Betriebssystemroutinen, die ebenfalls als String erkannt werden können. Hier am Beispiel von "notepad.exe"

So werden auch umbenannte Anlagen erkannt.

Probleme

Wenn innerhalb der Firma diese Policy bekannt ist, und irrtümlich geblockte Anlagen von Partnern nicht eskalieren ist diese Filterung sehr nützlich. In der Regel ist es nicht erforderlich, dass ausführbare Dateien per Mail ausgetauscht werden. Der Gewinn an Sicherheit ist sehr hoch. Die Unannehmlichkeiten für wenige Benutzer werden daher meist in Kauf genommen.

Allerdings ist auch dieser Filter kein Schutz, da immer mehr Viren und zukünftig vermutlich auch Spammer die Anlagen mit einem Kennwort komprimieren oder verschlüsseln.

Weitere Links

Keywords: Spam Filter Attachment