Lab #5 Lab Exchange 2007
ANTI SPAM
I. GIỚI THIỆU:
Exchange 2007 là một sản phẩm Mail Server với tính năng Anti Spam được xây dựng sẵn khá mạnh
mẽ, Exchange 2007 sử dụng các bộ lọc Mail (Filtering Agent) được tính hợp sẵn trên Edge
Transport Server để kiểm tra tính hợp lệ của một E-Mail trước khi đưa vào Mailbox Server một
cách chặt chẽ. Ngoài những bộ lọc thông dụng như IP Block/Allow List, IP Block/Allow List
Provider, Sender Filtering, Content Filtering ... là những bộ lọc tương đối thông dụng và được trình
bày khá nhiều trong các chương trình học, sách vở và các diễn đàn tin học, Sender Reputation là
một chức năng mới của Exchange 2007 nhằm ngăn chặn việc nhận các Spam E-Mail được gửi bằng
các hình thức không chính qui, những hình thức này thường được Spammer sử dụng như thông qua
HTTP Proxy, SOCK hay HTTP POST..., Sender Reputation thật sự hữu hiệu để ngăn chặn các E-
Mail nặc danh, giả mạo hay lặp đi lặp lại nhiều lần
Trong bài biết này, tôi sẽ trình bày sơ lược về nguyên tắc hoạt động của Sender Reputation và minh
họa cách tấn công bằng Spam Mail cũng như cách phòng chống bằng cách cấu hình Sender
Reputation
II. NGUYÊN TẮC HOẠT ĐỘNG:
Đầu tiên, tôi xin giải thích khái niệm SCL (Spam Confidence Level), có thể tạm hiểu SCL là 1 con
số mô tả mức độ Spam của 1 E-Mail. Khi Edge Transport Server nhận được 1 E-Mail và chức năng
Content Filtering được Enable, Exchange sẽ gán cho E-Mail này 1 số SCL (số này có giá trị từ 0
đến 9), nếu SLC là 0 có nghĩa rằng E-Mail hoàn toàn hợp lệ, nếu SCL=9 có nghĩa E-Mail này là
Spam E-Mail. Nếu SCL mang giá trị khác 0 và 9 thì tùy mức độ lớn nhỏ của SCL để Exchange xác
LiveClub Hoa Sen www.liveclubhoasen.net
Lab #5
Lab Exchange 2007 định mức độ Spam của E-Mail. Exchange 2007 thường xuyên cập nhật thông tin (sử dụng
AntiSpam Update Service) từ hàng triệu Spam E-Mail mà Hotmail đã nhận, qua đó gán SCL cho E-
Mail tùy thuộc vào nội dung của E-Mail này. Tóm lại, nếu SCL càng cao thì mức độ Spam của E-
Mail càng cao và ngược lại
Bây giờ tôi xin giải thích nguyên lý hoạt động của Sender Reputation (tạm dịch là “Danh tiếng của
người gửi”). Đây là 1 chức năng mặc định được Enable trên Edge Transport Server, chức năng này
sẽ chặn E-Mail dựa trên đặc thù của người gửi bằng cách gán cho người gửi 1 thông số gọi là
Sender Reputation Leval Block Threshold (SRL). Việc gán SRL cho người gửi được thực hiện theo
thứ tự gồm 4 bước như sau:
Bước 1: Phân tích câu lệnh HELO/EHLO của người gửi:
Sender Reputation Agent phân tích các lệnh HELO và EHLO mà người gửi thiết lập tới Edge
Transport Server và xác định người gửi này có đáng tin tưởng hay không. Một Spammer tiêu biểu
thường có các câu lệnh HELO và EHLO khác nhau trong cùng 1 thời điểm và thường xuyên cung
cấp những IP khác với IP thật của họ. Hơn nữa Spammer cũng hay dùng Domain name của chính
người nhận để gửi Mail.
Bước 2: Phân giải ngược IP của người gửi:
Sender Reputation sẽ thực hiện việc phân giải ngược địa chỉ IP của người gửi, nếu việc phân giải trả
về tên Domain thật thì có nghĩa là người gửi này đáng tin tưởng, ngược lại thì không
Bước 3: Phân tích SCL của các E-Mail mà người gửi này đã gửi trước đây. Tùy thuộc vào SLC cao
hay thấp, Sender Reputation sẽ oánh giá mức độ đáng tin cây của người gửi
Bước 4: Sender Reputation Agent sẽ thực hiện kiểm tra IP người gửi bằng 1 Open Proxy. Nếu kết
nối được trả về cho Edge Transport Server là 1 Open Proxy Port hay Protocol (SOCKS 4 and
LiveClub Hoa Sen www.liveclubhoasen.net
Lab #5
Lab Exchange 2007 5,Wingate,Telnet, Cisco, HTTP CONNECT, and HTTP POST) thì Server gửi coi như là 1 Open
Proxy và nó là 1 hiểm họa tiềm tàng và số Sender Reputation Leval Block Threshold (SRL) của
người gửi sẽ được chỉnh cho hợp lý. Quá trình test proxy dùng các port 1080, 1081, 23, 6588, 3128
và 80. Tùy thuộc vào kết quả kiểm tra, Sender Reputation sẽ gán cho người gửi 1 số SRL cũng nằm
từ 0-9 (cũng giống như việc gán số SCL). Nếu người gửi nào được gán số 9 thì đó chắc chắn là
Spammer. Và nếu vượt ngưỡng (do ta qui định) thì IP của người gửi này sẽ tự động được đưa vào
IP Block List trong vòng 24 giờ (ta có thể tùy ý qui định thời gian này). Sau 24 giờ thì Sender
Reputation sẽ xóa IP người gửi ra khỏi danh sách IP Block List.
Bạn cần lưu ý rằng 1 người gửi mà Sender Reputation chưa từng phân tích thì số SRL sẽ là 0, khi
người gửi này đã gửi và Server từ 20 E-Mail trở lên thì Sender Reputation mới bắt đầu thực hiện
việc phân tích và gán số SRL cho người gửi.
Do đó khi cấu hình Sender Reputation, bạn sẽ quyết định chặn thư của người gửi phụ thuộc vào
SRL của họ. Nếu bạn qui định mức SRL quá cao, bạn sẽ có thể nhận nhiều Spam E-Mail và nếu qui
định mức SRL quá thấp, bạn có thể vô tình chận Mail của “người tốt”
III Cài đặt
Mở giao diện Exchange Management Shell
Chuyển đường dẫn đến thư mục
C:\Program Files\Microsoft\Exchange Server\Scripts
Gõ lệnh cài đặt Antispam cho Exchange
./install-AntispamAgents.ps1
LiveClub Hoa Sen www.liveclubhoasen.net
