Почтовый шлюз: фильтр вложений и спама на своём MX
Проведите всю входящую почту через один фильтр: опасные вложения не доходят до ящика, спам лежит в карантине, чужой сервер не использует вас как релей. Записи SPF, DKIM и DMARC защищают ваш домен от подделки наружу — другой текст: SPF, DKIM, DMARC. Как снять MX командой — dig по DNS и почте. Здесь — что должно стоять перед ящиками.
Статья опирается на логику направления «Сетевая безопасность» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. CIS Control 9 требует защищать почту и браузер как отдельный канал атаки: cisecurity.org/controls. Это не российский закон. Команды ниже — только к своему MX. Фишинговые письма как шаблон рассылки не разбираем: осведомлённость.
Один вход, три свойства
| Свойство | Как выглядит |
|---|---|
| Один MX на домен | Запись указывает на фильтр или облачный шлюз, не на внутренний ящик в обход |
| Вложения по списку | Исполняемые и контейнеры не доходят: exe, js, vbs, hta, scr, lnk, iso, макросы Office с неизвестного отправителя |
| Карантин, не только папка «Спам» | Есть очередь, кто смотрит раз в день, срок хранения |
Шлюз стоит в публичной зоне, не в VLAN пользователей: сегментация. Облачная почта считается шлюзом, если политика вложений и карантин включены в консоли, а не «как выдали при регистрации».
Проверка своего MX
dig +short MX example.comОжидаемо: имя вашего фильтра или облачного сервиса, не внутреннее mail.corp.example.com, которое слушает 25 из интернета в обход. Затем со своей машины к своему адресу:
openssl s_client -connect 203.0.113.10:25 -starttls smtpОжидаемо: сертификат и приглашение SMTP после STARTTLS. Если рукопожатия нет — шифрование на приёме не включено. Риск: команда стучится на указанный адрес; подставляйте только свой MX, не чужой.
Открытый релей проверяйте в консоли продукта («relay», «аутентификация на отправку») или у почтового подрядчика письменно. Со своего сервера Postfix только чтение:
postconf inet_interfaces smtpd_relay_restrictionsОжидаемо: интерфейсы не «все подряд без ограничений»; релей без аутентификации с произвольного адреса запрещён. Значения не копируйте с чужого хоста. События блокировок шлюза должны попадать в политику журналов: политика журналирования.
Диагностика
| Симптом | Причина и что делать |
|---|---|
| Письма на ящик в обход фильтра | Старый MX или 25 на внутреннем сервере. Уберите из DNS и с периметра |
| Сотрудник открыл «счёт.pdf.exe» | Список расширений дырявый. Добавьте и пересмотрите карантин за неделю |
| Карантин никто не смотрит | Нет владельца. Назначьте и поставьте срок |
| Рассылка CRM не доходит | Её нет в SPF и в исключениях шлюза. Это DNS, не «отключите фильтр»: SPF |
Где это в модели зрелости
Материал относится к направлению «Сетевая безопасность» (хаб: сеть, карта: карта зрелости). SPF отвечает, кто вправе отправлять от вашего имени. Шлюз отвечает, что входит к вам. Выход браузера — сосед: прокси пользователей. Антивирус на станции вложение, которое уже открыли, ловит позже: EDR.
Как проверить
- MX домена указывает на фильтр, не на внутренний ящик в обход.
- В политике шлюза запрещены исполняемые вложения и контейнеры из таблицы.
- Карантин есть, владелец назван, очередь не старше суток без разбора.
- Со своего адреса STARTTLS на 25 поднимается; релей без учётки с чужого хоста закрыт.
- Это не настройка Postfix с нуля и не фишинговая рассылка.
Источники
- CIS Control 9: cisecurity.org/controls.
