Mailfilter

Beschreibung des Mailfilters

Letzte Anpassung zur Version: 14.0.0

Neu:

Neuer Abschnitt in den Einstellungen: Allgemein
Abschnitt Kriterien überarbeitet

Zuletzt aktualisiert:

12.7.1

Geänderte Zeiteinstellung beim Spamreport
Erweiterung des Mail-Header
Erkennung und Markierung von Fake-URLs überarbeitet

notempty

Dieser Artikel bezieht sich auf eine Resellerpreview

12.7.1 12.6.2 12.6.1 12.5.2 12.2.2 11.8.8 11.8.6 11.8 11.7

Einführung

Um festzustellen, ob es sich bei einer eingehenden Mail um Spam handelt, können der POP3-Proxy, das Mailrelay und der Mail-Connector eingehende E-Mails an den Mailfilter übergeben.
Der Mailfilter setzt sich zusammen aus:

einem Spamfilter
einem Antivirus Dienst Nur bei Systemen mit mind. 3GB RAM!
dem Securepoint Content-Filter
und einem URL Filter

Wird innerhalb der E-Mail ein Web-Link gefunden, der auf den URL-Filter passt oder der vom Content-Filter erkannt wird, erscheint statt dem Inhalts-Abschnitt der E-Mail eine frei editierbare Ersatzmeldung.
Durch den Einsatz des Mail-Connectors ist es möglich, neben POP3 auch E-Mails die mit IMAP sowie den beiden verschlüsselten Varianten abgeholt werden, durch den Mailfilter zu überprüfen. Im Mailarchiv der UTM werden Mails abgelegt, die anhand einer Filterregel in Quarantäne genommen wurden.
E-Mails, die von der UTM weitergeleitet und zugestellt wurden (HAM), sind dann im Mailarchiv nicht mehr zu finden, wenn diese Option nicht ausdrücklich aktiviert wird.

Voraussetzung

notempty

Damit der Mailfilter Mails erhält, muss der POP3-Proxy, das Mailrelay oder der Mail-Connector konfiguriert sein.

Filterregeln

Übersicht

Über die Filterregeln wird entschieden, wie mit E-Mails, bei denen definierte Eigenschaften erkannt wurden, verfahren wird.

Dabei wird zwischen den Protokollen SMTP und POP3 sowie dem Mail-Connector unterschieden.
Über den Mail-Connector ist die UTM in der Lage, E-Mails über die Protokolle POP3 und IMAP und deren verschlüsselten Varianten POP3S und IMAPS von einem Mailserver abzuholen und mit dem Mailfilter auf Spam und Schadsoftware zu überprüfen.
Weiterhin wird zwischen den Protokollen POP3 und SMTP unterschieden.
Wenn das Mailrelay genutzt wird, lautet das Protokoll SMTP. Bei Verwendung des POP3-Proxy wird das Protokoll POP3 ausgewählt.

Datei:UTM 14.0.0 Mailfilter Filterregeln Uebersicht.pngMailfilter

Filterregel hinzufügen

Mit + Regel hinzufügen wird eine neue Filterregel erstellt.
Es muss ein eindeutiger Regelname vergeben werden. Mit Kriterien mit -Operator verbinden wird festgelegt,

ob alle Kriterien erfüllt sein müssen ( und )
oder ob es ausreichend ist, wenn nur ein Kriterium der Filterregel erfüllt wird ( oder ).

Kriterien

Eine Filterung nach den im folgenden genannten Kriterien ist möglich. Mithilfe der Schaltfläche unten rechts lassen sich mehrere Bedingungen kombinieren.

Kriterien Kategorie

Kriterien und ihre Konfigurationsmöglichkeiten

Protokoll

Protokoll

Adresswerte

Adresswerte

Automatische Erkennung

Automatische Erkennung

Inhalt

Inhalt

Domänen Ergebnis Filter

Domänen Ergebnis Filter

DMARC-Ergebnis/Policy-Empfehlung

DMARC-Ergebnis/Policy-Empfehlung

Aktionen

Bei Aktionen ausführen: stehen folgende Optionen zur Verfügung:

Die Prüfung auf das Regelwerk wird bei den Aktionen

zutreffenden Inhalt filtern und
E-Mail im Betreff markieren mit

nicht abgebrochen, sondern fortgeführt.
Weitere Filterregeln können auf diese E-Mails angewendet werden.

In allen anderen Aktions-Fällen wird, sofern die Kriterien zutreffen, die Prüfung auf das Regelwerk nach der Aktion beendet.

Aktion

Beschreibung

Nimmt die E-Mail an. Die Prüfung auf das Regelwerk wird beendet.

Der Absender erhält eine Benachrichtigung, dass seine E-Mail abgelehnt wurde.

Bei der Verwendung des POP3-Proxys darf diese Option nicht verwendet werden!

notempty

Bei der Verwendung des Mail-Connectors wird von dieser Funktion dringend abgeraten.
Weder der Absender noch der Empfänger erhalten eine Benachrichtigung darüber, daß die E-Mail abgelehnt wurde!

Zusätzlich Eingabe der Quarantänedauer in Minuten. Beispiel: 30 Minuten

Bei der Verwendung des POP3-Proxys darf diese Option nicht verwendet werden!

(und eine vordefinierte Zeit (siehe Einstellungen) zur Ansicht vorhalten)

Bei der Verwendung des POP3-Proxys darf diese Option nicht verwendet werden!

Die E-Mail wird entsorgt, ohne dass der Absender benachrichtigt wird.

Bei der Verwendung des POP3-Proxys darf diese Option nicht verwendet werden!

notempty

Erkennung und Markierung überarbeitet

Markiert alle Links in einer E-Mail mit ℹ️. Text, der wie ein Link aussieht, aber zu eine anderen Adresse verweist wird mit ⛔ gekennzeichnet.

Linktext und Anzeigetext gleich (mit und ohne Protokoll) (Linktext: https://securepoint.de, Anzeigetext: ( https:// ) securepoint.de) → ℹ️
Linktext mit nicht-linkartigem Anzeigetext (Linktext: https://securepoint.de, Anzeigetext: Besuch uns auf unserer Webseite) → ℹ️
Linktext mit linkartigem, anderem Anzeigetext (mit und ohne Protokoll) (Linktext: https://securepoint.de, Anzeigetext: ( https:// ) github.com) → ⛔
Mailto-Link (Linktext: mailto: HomerS@ttt-point.de, Anzeigetext: HomerS@ttt-point.de) → ℹ️ (alle Links mit mailto: als Protokoll erhalten ein Info-Icon)
Kein Linktext mit einem linkartigen Anzeigetext ohne Protokoll (Linktext: @, Anzeigetext: @securepoint.de) -> keine Markierung
Bilder mit eingebettetem Link (<a href="https://securepoint.de><img src="https://link.to.image.de/image.png></a>) → ℹ️
Bilder ohne eingebetteten Link (<img src="https://link.to.image.de/image.png>) → keine Markierung
HTML-Buttons → ℹ️

Text, mit dem der Betreff so ergänzt wird, daß die Mail kenntlich gemacht wird und z. B. vom Mailserver in einen entsprechenden Ordner verschoben werden kann.

Verhalten bei Aktion E-Mail im Betreff markieren mit

Das Verhalten einer Mailfilterregel mit der Aktion ist abhängig davon, ob die E-Mail sich in Quarantäne befindet, oder nicht.

E-Mail ist nicht in Quarantäne: Wird eine E-Mail versendet, bzw. empfangen, bei der diese Mailfilterregel zutrifft, so wird die gesetzte Markierung in den E-Mail Betreff gesetzt.
E-Mail ist in Quarantäne: Wird eine E-Mail in Quarantäne gesetzt, bzw. eine E-Mail in Quarantäne erneut versendet, wo jeweils diese Mailfilterregel zutrifft, so wird der Betreff nicht verändert.
Grund: Im Mailarchiv werden die Informationen der originalen E-Mail abgespeichert. Deshalb kann der Betreff nicht verändert werden.

Whitelist Ausnahme Regel

In einer Whitelist-Regel wird unter bestimmten Bedingungen das Annehmen einer Mail festgelegt. Damit eine Regel als Whitelist-Regel funktioniert, muss die Reihenfolge definiert werden, so daß diese Regel vor der allgemeinen Spam-Quarantäne-Regel greift. Durch klicken und halten mit der linken Maustaste auf die Whitelist-Regel (Pos. 7) in der Spalte „Pos.“, wird diese Regel nach oben über die allgemeine Spam_SMTP Filterregel verschoben. Hat die Regel die gewünschte Position erreicht, wird die Maustaste losgelassen.Die Whitelist-Regel erhält nun entsprechend ihrer Rangfolge eine neue Positionsnummer.

Datei:UTM 14.0.0 Mailfilter Filterregeln verschieben.pngFilterregel verschieben

Weitere Konfigurationshinweise finden sich in unserem Best-Practice-Artikel zum Thema Mail Security.

URL-Filter

Text für E-Mails, die wegen der beinhalteten URLs gefiltert wurden.			Mailfilter UTMbenutzer@firewall.name.fqdnAnwendungen Mailfilter-Log URL-Filter mit einigen Filtern

Regel hinzufügen Regel hinzufügen
Typ: Domain	anyideas.com	Domain in Klartext-Schreibweise. Es wird auf alle Subdomains und Unterseiten gefiltert.	Regel hinzufügen UTMbenutzer@firewall.name.fqdnAnwendungen Filterregel
Typ: URL	.anyideas.com/pages/	Es wird nur auf exakt die URL gefiltert (Wildcard * ist möglich)
Typ: URL Regex	.*\.anyideas\.com	URL im Regex Format, das zahlreiche Platzhalter erlaubt Syntax der Regulären Ausdrücke - Regex
Typ: Kategorie	Unbekannt	Von Securepoint gepflegte Content Filter Liste. Eine Übersicht mit allen Kategorien ist hier zu finden. Kategorie: Unbekannt Damit lässt sich der Zugriff auf alle Webseiten blockieren, die bisher von Securepoint nicht klassifiziert wurden Meldung versehentlich falsch kategorisierter Seiten erfolgt hier.

Einstellungen

Hier besteht die Möglichkeit, einen Spamreport erstellen zu lassen, die Blocking-Meldungen zu ändern und zu definieren, nach welchen Kriterien die E-Mails im Mailarchiv der UTM vorgehalten werden.

Allgemein

notempty

Neu ab v14.0: Aktivierung direkt im Mailfilter

Beschriftung	Wert	Beschreibung	Mailfilter UTMbenutzer@firewall.name.fqdnAnwendungen Mailfilter-Log Aktivierung des Mailfilters unter Anwendungen Mailfilter Bereich Einstellungen Abschnitt Allgemin
Mailfilter für Mailrelay / Mail-Connector:	Aus	Aktiviert den Mailfilter für Mailrelay und Mail-Connector
Mailfilter für POP3-Proxy	Aus	Aktiviert den Mailfilter für POP3-Proxy

Spamreport

Einstellungen Spamreport

Der Spamreport kann in bestimmten Intervallen die E-Mail Benutzer über von der UTM gefilterte, geblockte oder in Quarantäne genommene E-Mails informieren. Dieser Report kann entweder an einem bestimmten Wochentag oder Täglich, zu einer bestimmten Uhrzeit versendet werden.

Aktion	Wert	Beschreibung
Berichte aktivieren:	Keine (Default)	Es werden keine Spamreports versendet.
	Benutzer	Es werden Berichte an die Benutzer versendet.
	Benutzer und Admin	Es werden Berichte an die Benutzer und eine Übersicht an den Administrator versendet.
Zustellbedingung:	Immer zustellen (Default)	Es wird auf jeden Fall ein Spam-Report gesendet.
	Nicht angenommen	Quarantänisiert oder gefiltert
	Quarantänisiert oder gefiltert	Es wird nur dann ein Spam-Bericht zugestellt, wenn mindestens eine E-Mail Quarantänisiert oder gefiltert wurde.
Alternativer Hostname / IP:		Falls über eine externe IP oder einen anderen Hostnamen auf das Webinterface mit dem Mailserver zugegriffen werden soll.
Tag:	Montag (Default)	Dieser Report kann entweder an einem bestimmten Wochentag oder jeden Tag versendet werden.
1. Bericht	20:00 Uhr	Legt die Uhrzeit für das Versenden des Berichts fest
2.Bericht 3.Bericht 4.Bericht	Deaktiviert	Bei täglichen Berichten, können insgesamt vier Berichte zu festgelegten Zeiten versendet werden.

Damit der Report den E-Mail Benutzer auch erreicht, ist es notwendig, dass sich dieser in einer Gruppe befindet, die die Berechtigung Spamreport beinhaltet.

Sind mehrere Mailadressen für einen Benutzer in einem AD hinterlegt, wird der dort als Primäre SMTP-Adresse konfigurierte Eintrag als Default-Adresse verwendet.

Gruppe unter hinzufügen

Die Einstellung dazu erfolgt im Menü
→ Authentifizierung →Benutzer Gruppen + Gruppe hinzufügen bzw. bearbeiten unter Berechtigungen:

Hier müssen folgende Abschnitte aktiviert werden:

Spamreport

Ein aktiviert die Erstellung des Spamreports

Userinterface

Ein Die E-Mail Adresse kann aus einem Verzeichnis-Server wie ActiveDirectory oder LDAP entnommen werden, wenn die UTM daran angebunden ist. Ansonsten muss der Benutzer mit seiner E-Mail-Adresse auf der UTM angelegt werden.

Die E-Mail Adresse kann aus einem Verzeichnis-Server wie ActiveDirectory oder LDAP entnommen werden, wenn die UTM daran angebunden ist. Ansonsten muss der Benutzer mit seiner E-Mail-Adresse auf der UTM angelegt werden.

Im Reiter Mailfilter müssen weitere Einstellungen vorgenommen werden, u.a. wird dort die E-Mail Adresse hinterlegt, an die Berichte gesendet werden:

<This function may allow the downloading of viruses and should therefore only be allowed for experienced users!/li> }}

Beschriftung	Default	Beschreibung
E-Mail-Adresse
support@ttt-point.de		E-Mailkonten, die von Mitgliedern dieser Gruppe eingesehen werden können, um den Mailfilter zu kontrollieren. Löschen mit
E-Mail-Adresse		Eintragen einer Mail-Adresse in die Liste
Herunterladen von folgenden Anhängen erlauben:	Keine (Default)	Mitglieder dieser Gruppe können im User-Interface Anhänge von Mails herunterladen, die bestimmte Kriterien erfüllen.
	Gefiltert, aber nicht quarantänisiert
	Quarantänisiert, aber nicht gefiltert	Diese Funktion ermöglicht u.U. das herunterladen von Viren und sollte daher nur versierten Benutzern erlaubt werden!
	Quarantänisiert und/oder gefiltert	Diese Funktion ermöglicht u.U. das herunterladen von Viren und sollte daher nur versierten Benutzern erlaubt werden!
Weiterleiten von folgenden E-Mails erlauben:	Keine (Default)	Mitglieder dieser Gruppe können im User-Interface E-Mails weiterleiten, die bestimmte Kriterien erfüllen.
	Gefiltert, aber nicht quarantänisiert
	Quarantänisiert, aber nicht gefiltert	Diese Funktion ermöglicht u.U. das weiterleiten von Viren und sollte daher nur versierten Benutzern erlaubt werden!
	Quarantänisiert und/oder gefiltert	Diese Funktion ermöglicht u.U. das weiterleiten von Viren und sollte daher nur versierten Benutzern erlaubt werden!
Bericht E-Mail-Adresse:		E-Mail-Adresse, an die ein Spam-Report versendet wird. Wenn hier kein Eintrag erfolgt, wird der Spam-Report an die erste E-Mail-Adresse der Liste gesendet. Sind mehrere Mailadressen für einen Benutzer in einem AD hinterlegt, wird der dort als Primäre SMTP-Adresse konfigurierte Eintrag als Default-Adresse verwendet.
Sprache der Berichte:	Default	Vorgabe unter → Netzwerk →Servereinstellungen → Firewall → Sprache der Berichte Es kann gezielt ausgewählt werden: Deutsch bzw. Englisch

Spamreport an den User.

Ersatzmeldungen

Typ:	Default-Nachricht	Beschreibung
Hier werden Texte definiert, die anstatt des blockierten E-Mail Abschnitts (Plain-Text, formatierter Text oder Anhang) angezeigt werden sollen. Mit dem Bearbeitern-Werkzeug können die Texte geändert werden.			Mailfilter UTMbenutzer@firewall.name.fqdnAnwendungen Mailfilter-Log Ersatzmeldungen
Content-Blocking	The content is rejected due content restrictions. If you think this is incorrect, please contact the IT Service Desk.	Text für E-Mails, die wegen Ihres Inhalts oder Anhangs geblockt wurden.
URL-Filter	The content is rejected due content restrictions. If you think this is incorrect, please contact the IT Service Desk.	Text für E-Mails, die wegen der beinhalteten URLs gefiltert wurden.
Virus-Blocking	The content is rejected due content restrictions. If you think this is incorrect, please contact the IT Service Desk.	Text für E-Mails, die wegen einer Viruserkennung geblockt wurden.

Mailarchiv

Vorgaben, wie E-Mails im Quarantäne-Archiv der UTM vorgehalten werden.
Kriterium / Aktion	Default	Beschreibung	Einstellungen Mailarchiv unter Anwendungen Mailfilter Bereich Einstellungen Abschnitt Mailarchiv
Maximale E-Mail-Anzahl:	1024	Gibt an, wie viele Mails lokal auf der UTM vorgehalten werden.
Maximales E-Mail Alter:	7 Tage	Definiert die Zeit der Vorhaltung.
Maximale Archivgröße:	128 Megabytes	Benennt den Speicherplatz, der Mails zur Verfügung steht. Bei erreichen der Grenze, werden die ältesten Mails gelöscht.
Alle E-Mail Transaktionen speichern:	Aus	Bei Aktivierung werden zusätzlich zu den vollständigen gefilterten und abgelehnten Mails auch die Meta-Informationen zu unbeanstandeten Mails gespeichert.
Erneutes Zustellen als Anhang:	Aus	E-Mails in der Quarantäne können alternativ auch als Anhang in einer neuen E-Mail versendet werden.
TNEF Handhabung:notempty Neu ab 12.6.2 Früher TNEF Dekodierung aktivieren	Nicht Dekodieren	E-Mails, deren formatierten Body-Elemente oder Anhänge von Microsoft Outlook im proprietären TNEF-Format kodiert wurden (.dat-Anhänge), werden nicht dekodiert und werden somit nicht vom Mailfilter untersucht.
	Dekodieren und Ersetzen	TNEF-Format Kontent, wird dekodiert und ersetzt, um Schadsoftware abzuwehren.
	Dekodieren	TNEF-Format Kontent, wird dekodiert, um ihn zu untersuchen, aber nicht generell ersetzt. Er wird natürlich trotzdem entfernt falls er als nicht zulässig eingestuft wurde.

Abschluss

Abschluss der Konfiguration mit

Speichern

.

Mail-Header

Folgende Werte können unter dem Headerfeld X-Securepoint durch den Mailfilter gesetzt werden:

X-Securepoint: Virusscan Failure
X-Securepoint: Spamcheck Failure
X-Securepoint: Virus found (virus_name)
X-Securepoint: Content Changed
X-Securepoint: Spam
X-Securepoint: Probably Spam
X-Securepoint: UrlFilterSpam
X-Securepoint: Bulk
X-Securepoint: FHASH notempty
neu

Mit Hilfe von Tags lassen sich Sets an E-Mails auswählen. Aufgrund dieser Sets wird ein Pattern erstellt und jede neue eingehende E-Mail wird anhand dieses Patterns auf Ähnlichkeit überprüft. Über entsprechende Mailfilterregeln können dann bestimmte Aktionen durchgeführt werden.			Mailfilter UTMbenutzer@firewall.name.fqdnAnwendungen Mailfilter-Log Die Übersicht der vorhandenen Tags
Damit E-Mails getagt werden können, müssen diese im Mailarchiv abgespeichert werden. Daher ist es ratsam unter Anwendungen Mailfilter Bereich Einstellungen bei Mailarchiv die Option Alle E-Mail Transaktionen speichern zu aktivieren Ja.
In der Tag-Übersicht wird folgendes angezeigt: Name: Der Name des Tags Beschreibung: Die Beschreibung des Tags, wenn vorhanden Verwendet in Mailfilter-Regeln: Zeigt die Mailfilter-Regeln an, in denen dieser Tag verwendet wird Öffnet den Dialog zum Bearbeiten des Tags Löscht den Tag

Mit der Schaltfläche Tag hinzufügen wird ein neuer Tag hinzugefügt.
Beschriftung	Wert	Beschreibung	Tag hinzufügen UTMbenutzer@firewall.name.fqdnAnwendungenMailfilter Fenster zum Hinzufügen eines Tags
Name:		Einen passenden Namen für den Tag wählen
Beschreibung:		Optional Eine Beschreibung für die Funktion von diesem Tag eintragen
Über die Schaltfläche Speichern und schließen wird der Tag abgespeichert und das Fenster geschlossen.

Tags einsetzen
Um einen erstellten Tag anwenden zu können, muss eine Filterregel konfiguriert werden. Bei Filterregeln über die Schaltfläche Regel hinzufügen eine neue Filterregel erstellen, oder bei einer existierenden Filterregel über die Schaltfläche die Filterregel bearbeiten Die Filterregel konfigurieren Unter Wenn eine E-Mail eingeht und ähnelt einer E-Mail mit dem Tag, oder und ähnelt nicht einer E-Mail mit dem Tag auswählen Den erstellten Tag auswählen. Nach dem Abspeichern der Filterregel kann dieser Tag im Benutzerinterface eingesetzt werden. Weiteres dazu beschreibt dieser Wiki-Artikel.

Benutzerberechtigung
Damit ein Benutzer E-Mails mit Tags versehen kann, benötigt dieser Benutzer die entsprechende Gruppenberechtigung. Unter Authentifizierung Benutzer wird bei Gruppen die entsprechende Gruppe über Bearbeiten ausgewählt. Im Abschnitt Berechtigungen müssen folgende Berechtigungen aktiv sein: Ein Userinterface Ein Mailfilter Administrator Ein Mailtag Administrator			Gruppe bearbeiten UTMbenutzer@firewall.name.fqdnAuthentifizierungBenutzer Die benötigten aktiven Berechtigungen

CLI
Folgende CLI-Befehle sind für Tags vorhanden: Email zum Tag hinzufügen mail filterng tag add mail <name> tag <name> Falls der Tag nicht vorhanden ist wird ein neuer erstellt Tag-Namen mit Beschreibung erstellen mail filterng tag set description <text> tag <name> Beschreibung setzen mail filterng tag set description <text> tag <name> Infos über vorhandene Tags mail filterng tag get Liste der archivierten Emails mit zugehörigen Tag zurückgeben mail archive get Gesamten Tag löschen mail filterng tag purge tag <name> Email von tag entfernen mail filterng tag remove mail <name> tag <name>

Einführung

Voraussetzung

Filterregeln

Übersicht

Filterregel hinzufügen

Kriterien

Protokoll

Adresswerte

Automatische Erkennung

Inhalt

Domänen Ergebnis Filter

DMARC-Ergebnis/Policy-Empfehlung

Tags

Aktionen

Verhalten bei Aktion E-Mail im Betreff markieren mit

Whitelist Ausnahme Regel

Tags

Tags einsetzen

Benutzerberechtigung

CLI

URL-Filter

Regel hinzufügen

Einstellungen

Allgemein

Spamreport

Ersatzmeldungen

Mailarchiv

Abschluss

Mail-Header