E-Mail Anhänge und Sicherheit

[BMWbest]

Hallo zusammen,

Ich habe ich gefragt, welches aktuell die besten Lösungen sind, um schädliche E-Mail Anhänge abzuwehren.
Das sicherste wäre es womöglich per E-Mail-Anbieter bereits den Empfang von Anhängen mit potenzieller Gefahr zu verbieten.
Das wären vor allem Office-Dokumente (.docx, .xlsx, .pptx, .rtf und ältere Formate), Zip-Formate (.zip, .7z, .rar), HTML-Formate (.html) oder ausführbare Dateien und Skripte (.exe, .jar, .vb).

Das bedeutet aber auch, dass viele nicht schädliche Dokumente direkt gelöscht werden.

Was ist derzeit die zuverlässigste Alternative? Eine Hardware Firewall? Hier kann es ja aber theoretisch vorkommen, dass die Schadsoftware neu ist und von der Firewall nicht erkannt wird.

Über eure Meinung würde ich mich freuen.

 

[VoooDooo]

Privat oder Geschäftlich?

Geschäftlich würde ich sagen Gatewayscanner, lokaler Scanner am Mailserver und Scanner am Client. Am besten von unterschiedlichen Anbietern/Scanengines.
Privat einfach auf den Anbieter verlassen, die haben auch Malwarescanner im Einsatz.

Ein ganz neuer Virus wird von nichts entdeckt werden, deswegen:
Grundsätzlich einfach nachdenken und nicht auf jede Mail/Anhang klicken. Im Geschäftsumfeld gibts da durchaus Dienstleister für Schulungen der Mitarbeiter um hier ein Bewusstsein zu schaffen.

 

[passat3233]

Eine Firewall ist kein Virenscanner!
Am besten, man filtert das gleich serverseitig.
Geht natürlich nur, wenn man selbst einen Mailserver betreibt.
Bei Privatleuten ist das wohl ziemlich unwahrscheinlich und auch viele kleinere bis mittlere Firmen nutzen da meist externe Mailprovider.

Und grundsätzlich z.B. Officedokumente zu filtern ist auch nicht sinnvoll.
Der Scanner sollte die Officedokumente besser danach scannen, ob da Code drin steckt (z.B. Makros).
Privat halte ich es so, das ich alle Mailanhänge nicht direkt in der Mail öffne, sondern erst in ein Verzeichnis auf der Festplatte speichere und dann den Virenscanner drüber laufen lasse.
Bei verdächtigen Anhängen schaue ich mir die Datei zusätzlich mit einem reinen Texteditor an.
Schon an den ersten Zeichen erkennt man dann, ob das eine ausführbare Datei etc. ist, die nur eine falsche Dateiendung hat (z.B. eine .EXE, die aber als Dateiendung .docx hat).
Und Office sollte natürlich so konfiguriert sein, das Makros nicht direkt ausgeführt werden.

 

[kaiser]

EIne Hardware Firewall kann zwar auch Mailanhänge filtern, dazu muss aber entweder der Mailtransfer komplett unverschlüsselt laufen oder die Firewall muss (laienhaft ausgedrückt und technisch natürlich anders umzusetzen) vom Exchange die Rechte zum entschlüsseln und danach wieder verschlüsseln bekommen.

Aber nachdem es sich vermutlich nur um 1 Postfach handelt. Virenscanner mit Plugin für dein Mailprogramm installieren

 

[BMWbest]

Privat oder Geschäftlich?

Geschäftlich würde ich sagen Gatewayscanner, lokaler Scanner am Mailserver und Scanner am Client. Am besten von unterschiedlichen Anbietern/Scanengines.
Privat einfach auf den Anbieter verlassen, die haben auch Malwarescanner im Einsatz.

Ein ganz neuer Virus wird von nichts entdeckt werden, deswegen:
Grundsätzlich einfach nachdenken und nicht auf jede Mail/Anhang klicken. Im Geschäftsumfeld gibts da durchaus Dienstleister für Schulungen der Mitarbeiter um hier ein Bewusstsein zu schaffen.

Ja, das interessiert mich vor allem im geschäftlichen Umfeld, wenn man nicht kontrollieren kann, welche Anhänge von Mitarbeitern geöffnet werden und welche nicht.
Die beste Schulung hilft nicht, wenn der einzelne nicht mal aus Versehen etwas "falsches" öffnet.

Daher würde mich interessieren welche Lösungen es für den Mittelstand hier gibt,

 

[passat3233]

In meiner Firma haben wir einen eigenen Exchange, auf dem zusätzlich Antiirensoftware läuft, die sämtlichen Ein- und ausgehenden Mailverkehr scannt und filtert.
Daneben gibt es weitere Dienste, wie z.B. eine Blocklist, in der als Viren- und Spamschleudern bekannte Mailserver eingetragen sind.
Mails von dieses Mailservern werden kommentarlos abgewiesen (Einen Kommentar zurückzusenden ist kontraproduktiv, denn dann wissen diese Mailserver, das die Mails abgewiesen wurden und es werden dann andere Mailserver oder Adressen genutzt).
Firewalls etc. verstehen sich von selbst.

Und natürlich sind alle Mitarbeiter bzgl. Dateianhängen und auch Links in Mails geschult.
Beispielsweise ist es ausdrücklich verboten, Links in Emails anzuklicken, selbst wenn die Mail von bekannten Absendern stammt.
Auch sonst sind die mit dem richtigen Umgang mit Mails geschult.
Wenn z.B. eine Mail von Bank X an die Buchhaltung geht, die Firma aber kein Konto bei Bank X hat, wirde die Mail gleich ungelesen gelöscht.
Oder wenn die Anrede in der Mail fehlt, oder mal z.B. mit "Lieber Freund" angesprochen wird, ist das zu 99% Spam etc.
Lieber 1 Mail zu viel löschen als 1 zu wenig.
Wenn man mal eine echte Mail ungelesen löscht, wird sich der Absender schon melden und fragen, warum man nicht antwortet.
Kaputt machen tut man damit nur selten etwas.
Und für die Fälle, in denen die Mitarbeiter unsicher sind, haben die sich an die IT-Abteilung zu wenden.
Die schaut sich dann die Email auf einem von Rest des Firmennetzwerkes abgekoppelten PC an und gibt sie dann frei oder löscht die.

Fehlverhalten gegen die Regeln bzgl. Dataianhängen und Links hätte unmittelbar eine Abmahnung zur Folge.
Das ist in den letzten 10 Jahren aber nicht einmal vorgekommen, ergo greift die entsprechende Mitarbeiterschulung.

Und falls mal etwas passieren sollte:
Wir machen täglich eine Offline-Vollsicherung, so das selbst wenn ein Schädling die Abwehrmaßnahmen überwinden würde, wir die Daten innerhalb kürzester Zeit komplett wiederherstellen können.
Im geschäftlichen Umfeld ist eine tägliche Offline-Datensicherung unverzichtbar.
Offline meint: Das Datensicherungsmedium ist nur für die Zeit der Datensicherung angestöpselt (z.B. Festplatte, NAS) und für den Rest der Zeit physisch vom Unternehmensnetzwerk getrennt (Stecker abgezogen!) bzw. man benutzt Offline-Datensicherungsmedien wie z.B. Bänder (LTO etc.).

 

[Eye-Q]

Ja, das interessiert mich vor allem im geschäftlichen Umfeld, wenn man nicht kontrollieren kann, welche Anhänge von Mitarbeitern geöffnet werden und welche nicht.

Naja, dann hast Du deine Antwort ja schon erhalten: Gatewayscanner (z.B. Firewall mit integriertem SMTP-Proxy oder dedizierte Lösung wie NoSpamProxy oder FortiMail, die filtern alleine schon 95-99% weg), Scanner am Mailserver (es gibt viele Software-Anbieter, die sich in den Mailserver integrieren können, egal was es für ein Mailserver ist) und zusätzlich Antiviren-Software am Client. Wirklich alles kann nicht weggefiltert werden, dann würden zu viele legitime Mails ebenfalls weggefiltert werden.

 

[underclocker2k4]

Am besten lässt man sich von Unternehmen beraten, die so krass drauf sind und Leute mit Expertise vorhalten, die man gegen den Einwurf kleiner Münzen in diskreten Zeiteinheiten buchen kann.

Es gibt da ca. 50 Möglichkeiten, wie man sowas aufziehen kann oder aber auch nicht.
Es geht dabei auch nicht darum, dass man die Mitarbeiter in einen goldenen Käfig sperrt, sondern darum, dass man soviel von dem Scheiß abfängt, dass die Wahrscheinlichkeit, durch eine Fehlbedienung eines Users, drastisch sinkt.
Das hilft am Ende aber auch alles "nicht", wenn der User eh 24/7 mit Rootrechten eingeloggt ist.
Der Mailserver und was direkt darum ist, ist nur die erste line of defense, was den Schutz in dem Bereich angeht. Weitergeht es dann eben mit URL-Filtering, dass wenn der mal draufklickt, das ueberweisung@bitcoin.to.porn eben nicht aufrufbar ist oder das gewisse Markofunktionen garnicht erst callbar sind usw..
Security ist ein Gesamtkonzept und nicht nur Mail filtern oder File oder was auch immer. Das ist immer sehr "interdisziplinär" und vor allem auch permanente Pflege des Gesamtsystems. Am Ende läuft es immer darauf hinaus, dass irgendwer in die Mail schaut, anders gehts halt nicht, mal ist es nur der Header, mal der Text und mal der Anhang. Bei der Mailsecurity gibt es nichts magisches und auch kein Feenstaub, nur Scan und Pattern.
Wenn man sehr klein ist, fängt das damit an, dass einem der Mailprovider so eine Funktion bereitstellt und das tut selbst nen Yahoo und Co.

EDIT:
Und am Ende hilft das auch alles nicht, wenn etwas dabei ist, was analog zum Log4j irgendwelche kruden AD-Calls macht (oder weiß der Geier), die noch keiner kennt, dir aber die IT aus dem Leben ballert.
Umso wichtiger sind die Aspekte, die @passat3233 anspricht, die eigentlich nichts mit Email-Sec zu tun haben, aber am Ende eben doch irgendwie.

 

[harlekeen]

Und wenn Du eine Firewall als relay dazwischen hast, die grundsätzlich alle Anhange verbietet, bis es zur manuellen Freigabe (Weiterleitung der Mail samt Anhänge) kommt?
Ist ein ziemlicher Aufwand, es sei denn man wendet weitere Filter an:
- Statistische Heuristik
- Inhaltliche Heuristik
- DNS/IP Blacklists
- Domain-Blacklists
- Manuelle Blacklists
- Grundsätzlicher Ausschluss von bestimmten Anhangstypen

Dies alles können Mailgateways leisten, .. kenne z.B. die entsprechende Zusatzlizenz von Sophos, in Firewall-Appliance implementierbar (Software/Virtuelle, o. Hardware-Appliance)

Wenn Du allerdings nichts bei Dir on-premises installieren willst, kannst Du auch einen SMTP/MAIL-relay Server im Internet anmieten, der zwischengeschaltet ist und auch einen großen Teil des Verwaltungsaufwands abnimmt.

VG

hk