Il sempre maggior utilizzo della posta elettronica come strumento di comunicazione ha portato numerose aziende allo sviluppo di innumerevoli software e soluzioni per soddisfare le crescenti esigenze degli utenti. In questo scenario sono stati implementati una moltitudine di client e server per la posta elettronica, nonché altrettanti strumenti per la lettura della posta via Web. Tutti, o quasi, i provider di servizi internet forniscono un servizio di e-mail ai propri utenti, integrandolo nel proprio portale.
Inoltre il frequente utilizzo di Internet ha migliorato le conoscenze medie della comunità Web, rendendo sempre più esigenti le richieste di nuove funzionalità e applicazioni. Proprio per queste ragioni, ultimamente alla classica posta elettronica in ambiente desktop vengono associati altri servizi di messaggistica avanzata, come ad esempio le voice-mail, i fax o i servizi di posta per dispositivi mobili.
Tuttavia se è vero che le e-mail hanno portato notevoli benefici per le aziende sia in termini di rapidità nello scambio di informazioni che in termini di costi per lo scambio stesso, è vero anche che, da quando la posta elettronica si è così enormemente diffusa, le aziende hanno dovuto far fronte ad attacchi informatici e tentativi di danneggiamento dei propri dati.
In particolare la posta indesiderata è stata per molto tempo la preoccupazione di tutti gli sviluppatori di software, ma soprattutto di gestori di servizi di mailing. Questo perché c’è stato un periodo di tempo, discretamente lungo, in cui quasi i due terzi dell’intero traffico di posta elettronica consisteva in messaggi indesiderati. L’utente si trovava così di fronte ad una miriade di messaggi indesiderati, spesso pubblicitari o di phishing, che riempivano la propria casella di posta rendendola praticamente inutilizzabile.
Si può però ovviare a tutti questi problemi con una corretta configurazione del client di posta elettronica, come Outlook, ma soprattutto con un meccanismo di protezione per quanto riguarda il server che offre i servizi di messaggistica. Nel resto dell’articolo analizzeremo questo secondo punto riferendoci in particolare modo ai possibili meccanismi di sicurezza dell’ultima versione del server di casa Microsoft: Exchange 2007.
È importante evidenziare che durante ogni fase di sviluppo Microsoft Exchange 2007 sono stati utilizzati strumenti particolari per individuare eventuali vulnerabilità del codice. Tali strumenti, simili a quelli utilizzati per gli attacchi, sono gli stessi che si utilizzano per verificare la sicurezza di un sistema operativo. Inoltre in fase di testing, nei laboratori Microsoft, sono stati generati milioni di messaggi contenenti codice danneggiato per confermare la corretta gestione delle mail maliziose da parte del server. Ma entriamo nel dettaglio.
In primo luogo presentiamo un tool che facilita l’utilizzo delle politiche di protezione per il nostro server di mail: il Security Configuration Wizard (SCW). Attraverso questo strumento, introdotto negli aggiornamenti per la versione 2003, permette attraverso un wizard di minimizzare l’area di attacco di possibili exploit. In particolare si occupa di disabilitare funzionalità di Windows non necessarie all’utilizzo di Exchange Server 2007 e di configurare le regole dello stesso server.
Ogni regola viene fornita di un apposito template configurabile dall’utente, attraverso il quale la nostra PMI potrà gestire l’ambiente sul quale è installato il server di mail. Con SCW possiamo configurare:
- Regole Server, che permettono all’utente di gestire i servizi del sistema operativo e le porte che il firewall lascia aperte;
- Regole Client, che configurano le caratteristiche di dialogo nei confronti di altri server;
- Opzioni di amministrazione, che agiscono su servizi come il backup e il logging;
- Servizi, che indica al server Exchange quali servizi avviare in fase di startup e con quali configurazioni. Ovviamente le politiche che riguardano i servizi possono essere generate su un server e poi migrate su un altro server e viceversa. Per questa ragione è possibile che un servizio richiesto non sia disponibile ed è necessario indicare nella configurazione quali sono le operazioni da eseguire nel caso il server non conoscesse il servizio da avviare.
- Sicurezza di rete, che permette la configurazione delle porte sulla singola scheda di rete e la restrizione degli accessi in base all’indirizzo IP o alla rete di provenienza;
- Registro e in particolare la pila di protocolli utilizzata nella comunicazione con altre macchine nella rete;
- Politica di attenzione, che configura il livello di logging, ovvero indica quali eventi devono o non devono essere tracciati nel file di log.
Oltre all’utilizzo delle regole pocanzi descritte, Exchange 2007 offre un meccanismo completo per la protezione da attacchi di spamming o di tipo phishing. Si tratta di un filtro, al quale possiamo applicare una moltitudine di regole, che esamina il messaggio e lo associa ad un valore che indica la probabilità che si tratti di un messaggio di spam (SCL). L’SCL quindi non è altro che una stima dell’indesiderabilità del messaggio, ed in base ad essa è possibile scegliere l’azione da compiere sul messaggio stesso. Sarà possibile ad esempio recapitarlo, recapitarlo con un avviso, metterlo in quarantena, scartarlo, ecc.
Le regole che possiamo applicare ai filtri sono :
- Regole di connessione, che controllano l’indirizzo IP del server remoto che sta inviando il messaggio. Questo indirizzo deve essere obbligatoriamente presente nella connessione TCP/IP sottostante l’invio della mail. È possibile quindi stilare una lista degli indirizzi IP da filtrare, oppure una lista dei provider dei quali scartare le mail, ecc.
- Regole sul mittente, che confrontano il campo MAIL FROM alla lista nera degli eventuali mittenti portatori di spamming.
- Regole sul contenuto, che utilizza la Microsoft SmartScreen technology per capire se il contenuto di un messaggio può essere considerato spam o meno. Continui aggiornamenti rendono questo filtro intelligente sempre al passo con le nuove minacce di spamming e con le nuove regole per scovare tali messaggi. A questa tecnologia è associato uno spazio temporaneo di memorizzazione, chiamato spam quarantine, in cui vengono momentaneamente salvate le mail considerate spam. In questo modo l’utente può rendersi conto di persona dell’operato del filtro ed eventualmente salvare messaggi finiti erroneamente nella casella spam.
- Regole sulla reputazione del mittente, che attraverso differenti caratteristiche indica un livello di reputazione del mittente (sender reputation level, SRL). In pratica quando un mittente è sopra o sotto una certa soglia viene temporaneamente interdetto per un tempo che varia fino a 48 ore. Anche in questo caso continui aggiornamenti permettono di specificare sempre nuove regole per la determinazione del SRL.
Per brevità tralasciamo molti altri filtri che possono essere configurati, come ad esempio il Recipient filtering, l’Outlook Junk E-mail filtering, il filtro per Sender ID, l’Attachment filtering.
Concludiamo sottolineando che Microsoft Exchange Server 2007 si integra perfettamente con la linea Microsoft Forefront Security che fornisce al nostro server di mail un sistema completo di protezione. Di particolare rilievo, oltre al sistema di antivirus, sono le regole di protezione aggiuntive come le Edge Transport Rule e le Hub Transport Rule che richiederebbero un discorso a parte.
Infine aggiungiamo due note a quanto detto sinora. La prima è che, anche per seguire le normative in materia, per quanto riguarda i messaggi inviati internamente all’infrastruttura aziendale, il comportamento di Exchange 2007 è quello di crittografare i messaggi prima del loro invio. Grazie ad un particolare protocollo, il TLS (Transport Layer Security), i messaggi di posta elettronica viaggiano in modalità protetta e raggiungono il destinatario conservando il contenuto originario.
La seconda nota riguarda invece la possibilità che offre Microsoft per risolvere i problemi, anche normativi, che ruotano attorno alla posta elettronica. In pratica si tratta di un servizio che ospita sui server Microsoft parte delle funzionalità della posta elettronica aziendale, garantendo quindi sicurezza dei dati e conformità alle leggi che attualmente regolano tale tecnologia. Per chi volesse documentarsi ulteriormente il servizio si chiama Microsoft EHS (Exchange Hosted Services).
