Implementando o SenderID
- Parte I
Por Anderson Patricio
Com
o Exchange Server 2003 Service
Pack 2 a Microsoft adicionou mais
uma ferramenta no combate ao UCE
(Unsolicited Commercial E-mail) que é o SenderID.
Ele é um framework de serviços que
auxilia na prevenção de ataque
de DNS
Spoofing, vamos ver como
implementar na organização
Exchange e também como deixarmos
nosso ambiente seguro e de
conformidade com o SenderID.
Vamos
abordar a implementação do
SenderID através dos seguintes
pontos:
-
Entendendo o
funcionamento do SenderID
-
Definindo o
registro SPF
-
Implementando o registro SPF
no DNS Server
-
Testando a implementação do SenderID
Entendendo o funcionamento do
SenderID
O
processo do SenderID é fácil e o
mesmo pode ser utilizado com
outras soluções de anti-spam
para aumentar a segurança da
organização Exchange.
SenderID Framework
O
processo pode ser resumido da
seguinte forma:
-
O emissor
envia uma mensagem para o
destinatário
-
O Exchange
Server de entrada (Inbound
Mail Server) recebe o e-mail
-
O Exchange
Server de entrada verifica o
domínio que o emissor
utilizou nos verbos de envio
de e-mail e verifica no DNS
do domínio do emissor se há
uma entrada SPF. O Exchange
Server determina se o
endereço IP de
quem está enviando condiz
com o que está publicado no
registro SPF do DNS
-
Se o
endereço IP estiver na
lista do SPF, o e-mail é
autenticado e entrega ao
destinatário. Se o endereço
não estiver, a autenticação
irá falhar e o mesmo não
será entrega.
Definindo o
registro SPF
Depois
de sabermos como o SenderID
funciona, podemos perceber que a
proteção do domínio externo
depende única e exclusivamente
do administrador do Exchange, ou
seja, devemos deixar o domínio
com as informações corretas, não
permitindo que um spammer faça
mal uso de nosso domínio.
A
Microsoft em parceria com a
anti-spam.org disponibilizou um
assistente para ajudar os
administradores a criarem a
entrada SPF na zona DNS de forma
adequada, para acessar o
assistente devemos ir ao
seguinte endereço
http://www.microsoft.com/mscorp/safety/content/technologies/senderid/wizard/,
nos será apresentada à tela
abaixo onde em apenas 4 passos
já podemos definir toda política
do SenderID.
No primeiro passo
devemos definir qual o domínio
que desejamos, em nosso exemplo:
quattuor.com.br e depois
clicar em Start >
Na
segunda parte o assistente irá
fazer uma consulta no domínio e
determinar se existe ou não a
entrada SPF no domínio, em nosso
exemplo não existe, o assistente
já nos mostra os servidores MX
que são os responsáveis por
recebimento de e-mail, devemos
clicar em Next
Na
terceira parte do assistente,
que temos várias opções, vamos
resumir cada uma delas:
-
Default
Aqui indicamos ao servidor
que possui SenderID qual
ação tomar se receber um
e-mail que não está descrito
nos campos que definimos
anteriormente, as opções
possíveis são: Yes, No,
Neutral ou Discouraged.
E
na última tela do assistente
será mostrado o texto que deverá
ser colocado no registro SPF na
zona do domínio.
Configurando o registro SPF na
zona DNS
Para
ficarmos de acordo com o
SenderID devemos criar um
registro SPF na zona externa e
colocar neste registro o
conteúdo que geramos através do
assistente de criação de
registro SPF que vimos no tópico
acima.
Criando o Registro no DNS
Agora
que já possuímos a política
definida, devemos
implementar a mesma no DNS
Externo, para tanto devemos
ir ao DNS Externo da
organização e executar os
seguintes passos:
-
Ir até a
zona externa que vimos
no tópico anterior
-
Clicar
com o botão direito na
zona, em nosso exemplo
quattuor.com.br e
escolher Other New
Records...
Adicionando um registro na
zona externa
-
Na nova
janela que se abre
devemos escolher
Text(TXT) e clicar
em Create Record...
Escolhendo um registro do
tipo TXT
-
Na
janela de criação do
TXT, no campo
Text o que foi nos
passado pelo assistente
do SenderID e clicar em
OK
Texto do assistente do SenderID
-
Clicar
em OK
Com
isto garantimos de acordo
com as opções escolhidas no
assistente do SenderID a
segurança da nossa organização
perante os outros servidores de
correio na Internet que
estiverem com o SenderID
habilitado.
Testando a implementação do SenderID
O
teste do SenderID pode ser feito
de duas formas:
-
Utilizar o
mesmo assistente que vimos
no tópico anterior, no
segundo passo é informado se
existe ou não o registro e
mostra o conteúdo;
-
Enviar um
e-mail para
check-auth@verifier.port25.com,
será respondido com a
análise da autenticação da
mensagem enviada.
Conclusão
Mostramos
nesta primeira parte o
funcionamento do SenderID e como
adequar a empresa com o SenderID
Framework, ele é mais uma forma
de segurança contra o ataque de
DNS spoofing mas ainda não é a
solução definitiva para o problema
de spam, isto se
deve pelas diversas formas de
ataque e que nem todas as empresas
adotaram as normas do SenderID.
Um
exemplo prático é que apesar de
adequarmos a nossa empresa,
dizendo exatamente quais são os
servidores que podem enviar
e-mail com o nosso domínio
através do registro SPF isto só
terá efeito se o servidor de
correio que estiver recebendo a
mensagem também esteja usando o
SenderID.
Neste
momento o mais importante é que
façamos a nossa parte, deixando
nossos domínios corretos e
implementando o filtro em nossa
organização Exchange para
diminuir o número de spam na
Internet.
Anderson
Patricio
http://www.andersonpatricio.org
