IronPort goes Virtual

Lange Zeit hatte sich IronPort mit seinen Appliances gegen eine Virtualisierung gewehrt (es gab virtuelle IronPorts, aber nur für interne Schulungszwecke, also nicht offiziell). Da IronPort seit einiger Zeit nun zu Cisco gehört, hat sich diese Meinung offensichtlich geändert. Für Cisco-Partner gibt es für die Mail und Web-Appliances seit diesem Sommer diese zum testen auch als virtuelle Maschinen (Cisco Email Security Virtual Appliance bzw. Web Security Virtual Appliance).

Unterstützt wird das ganze auf VMware ESXi Version 4.x und 5.0 und einem Cisco UCS Server (Blade oder Rack-Mounted). Der letzte Punkte könnte für einige Interessenten für diese Lösung der Knackpunkt sein diese VM nicht einzusetzen. Aber Cisco schreibt weiterhin dazu: Any other hardware platform or VMware hypervisor will be supported on a "Best Effort" basis: we will try to help you, but it may not be possible to reproduce all problems, and we cannot guarantee a solution. No other virtualization hypervisor is supported (soweit mir bekannt ist, macht aber Oracle es ähnlich, wenn eine Oracle-DB virtualisiert auf einer nicht-Oracle-HW läuft).

Der Test läuft hier bisher ohne Probleme auf einen nicht Cisco UCS Server. Auffällig ist die Geschwindigkeit der WebUI für die Administration. Vermutlich hat Cisco hier den Webcode kräftig optimiert in der 8er AsyncOS-Version, denn zumindest in den letzten 7.xer AsyncOS-Versionen auf den HW-Appliances ist die Bedienung wesentlich zäher. Und noch ein auffälliger Unterschied: Bei den HW-Appliances gab es bei initialer Inbetriebnahme immer eine 30 Tage Eval-Lizenz, um die Appliance in Ruhe testen zu können. Bei der VM-Appliance muss man eine 40-Tage Eval-Lizenz erst bei Cisco beantragen, da die Appliance sich zwar konfigurieren lässt, aber keine SMTP-Verbindungen annimmt mit der netten Fehlermeldung, wenn man versucht Mails über die virtuelle IronPort zuzustellen:

421 The evaluation license has expired

In der aktuellen Cisco-Preisliste sind die VM-Appliances noch nicht gelistet. Sobald die Eval-Lizenz eingetroffen ist, hoffe ich, dass ich den Test weiter fortsetzen kann. Bisher warte ich auch erst ca. eine Woche darauf, aber ich wurde gewarnt, dass es etwas länger dauern kann ...

IronPort und IPv6

Sehr schön: IronPorts aktuelle Betriebssystemversion AsyncOS v7.6.1-022 unterstützt nun auch IPv6

Thoughts about BSD-derived Telnet Daemon and IronPort

Since end of December 2011 a classical buffer overflow was detected for BSD-derived Telnet Daemons, some people were curious if the IronPort/Cisco telnetd will be prone to the same vulnerability. Since I knew that the IronPort operating system (AsyncOS) is somehow BSD based the chance would be great. hdmoore from Rapid7 (to which Metasploit belongs) acknowledged that the telnetd is a stock FreeBSD telnetd and the exploit for the BSD telnetd of Metasploit is working on IronPort's AsyncOS. But since this isn't a really security hole (every common-sense IronPort administrator should have disabled telnet, shouldn't he?), this exploit is a good way to explore the world of AsyncOS until IronPort/Cisco will fix it. I tried the exploit with Metasploit and it works smooth out of the box. And I was astonished that AsyncOS is really a stock FreeBSD system with some special adaptions for mail and security (I only write of the ESA - email security appliance, but I think this will lalso work for the WSA - web security appliance). But I didn't manage to setup a user with root shell (e.g. with ssh logins), the IronPort guys have done a good job with hardening the OS. But maybe my FreeBSD skill are to limited to get it and/or I am only a poor hacker.

IronPort und Cisco

Nachdem vor einiger Zeit Cisco IronPort aufgekauft hatte, verschwindet nun so nach und nach das doch etwas exklusivere Design der entsprechenden Appliances mit Edelstahlblende an der Front. Die neuen Server sehen eher wie gewöhnliche 19"-Server aus, es wird wohl auch keine Dell-Hardware mehr verwendet. IronPort als Name taucht nur noch klein und versteckt auf, dafür prangt der Cisco-Schriftzug omnipräsent auf dem Blech. Solange sie ihre Funktionalität allerdings erfüllen, soll mir das auch egal sein, wenn ich es auch persönlich schade finde, dass die IronPort-Server nun nicht mehr aus dem Server-Einerlei herausstechen.

UCEPROTECT: Man kann es auch übertreiben

Es war lange ruhig hier bzgl. Spam, Antispam und den anderen Internet-Auswüchsen. Aber heute durch eine Kundenanfrage auf UCEPROTECT, eine RBL, gestossen. Die Jungs (und vielleicht auch Mädels) meinen es vielleicht gut mit ihrem idealistischem Kampf gegen Spam (hier muss man Idealist sein, aber auch Pragmatiker), schiessen aber deutlich über das Ziel hinaus, wenn komplette Netzwerkblöcke gesperrt werden. Im Fall hier: UCEProtect läuft Amok gegen Hansenet wurde wohl Hansenet geblockt und in meinem konkreten Fall war es Arcor. Offensichtlich verwenden einzig die bayrischen Städteverwaltungen UCEPROTECT als RBL, so ist zumindest mein Verdacht. Fairerweise muss man noch dazusagen, dass hier auch eine Warnung vorlag, dass von dem bestimmten Mailserver eine Mail an eine Spammertrap verschickt wurde, dem wird man erstmal nachgehen müssen. Es geht aber auch ohne ganze Provider auszusperren. Die "normalen" RBLs, wie z.B. spamhaus.org und SpamAssassin reichen momentan immer noch gut aus, oder man verwendet gleich eine professionelle Antispam-Appliance, wie z.B. von IronPort. Die Akzeptanz einer Antispamlösung hängt auch sehr stark ab von der Anzahl der sog. "false positives", also Mails welche irrtümlich als Spam erkannt wurden. Je höher diese Anzahl ist, desto weniger werden solche Lösungen auch von den Benutzern azeptiert.

Ausgeknipst

Laut SpOn und heise online hat Microsoft es juristisch geschafft das Botnetz Waledac auszuknipsen. Ein kurzer Blick auf einige Mailstatistiken hier zeigen aber noch keine Wirkung dieser Maßnahme. Es sind immer noch genügend Spammails unterwegs, welche aber zum Glück zu 90% abgewiesen werden. Postfix/SpamAssassin, Senderbase und Ironport sei Dank.

---

Nachtrag von heise online: Ein Botnetz geht, der Spam bleibt

Jahrestief

Laut der aktuellen Heise-Meldung "Spam fällt auf Jahrestief" ist durch die Abkopplung der Botnetz-Steuerzentrale beim Hoster McColo das Spamaufkommen auf ein Jahrestief gefallen. Dies spiegelt sich auch in meiner lokalen Spamstatistik nieder. Ab Anfang November ist die Anzahl der abgewiesenen und positiv als Spam erkannten Mails zurückgegangen:



Nach der ursprünglichen Meldung von heise am 12.11.2008: US-Provider ziehen Spam-Schleuder den Stecker konnte ich hier noch keinen signifikaten Rückgang erkennen, dafür jetzt aber umso drastischer.

Sehr schön sieht man dies auch bei den Statistiken auf einer IronPort C150-Appliance:



Ab dem 12.11.2008 ist hier ein Rückgang bei den durch den Reputationsfilter geblockten Mails zu erkennen.

Trends 2008?

Das Thema Reputationssystem ist ja schon seit einiger Zeit beim Thema Antispam im Einsatz, z.B. bei den Antispam-Appliances von IronPort und hat sich hier gut bewährt. In eine ähnliche Richtung geht der Artikel "E-Mail ohne Spam" in der aktuellen iX-Ausgabe 1/2008. Und nachdem nun TrustedSource für Check Points OPSEC zertifiziert wurde, könnte das Thema Reputationssysteme nicht nur bei Antispam ein Trend für 2008 werden. Wenn ich mir allerdings die Website von TrustedSource anschaue, werde ich den Eindruck nicht ganz los, dass dies wie ein Plagiat von IronPorts SenderBase aussieht. Ich kann mich aber auch täuschen ...

Abwehr

TrendMicro hat nun ebenfalls eine echte Antispam-Appliance im Programm, die sich InterScan Messaging Security Appliance (IMSA) nennt. Die Features klingen insgesamt recht ähnlich zu IronPort-Appliances. Herausragendes Vergleichsmerkmal der IMSA ist der Email Reputation Service als direkte Konkurrenz zu IronPorts SenderBase. Laut den Marketing-Whitepapers soll dieser Reputation Service besser sein, als alle anderen Konkurrenzprodukte, was laut der Untersuchung von Opus One Anti Spam Solution Testing vom Februar 2007 zu sehen ist. Hier liegt TrendMicro bei der "Spam Catch Rate" vor allen anderen Anbietern, allerdings ist die "False Positive Rate" auch höher wie beispielsweise bei IronPort (Opus One sagt mir persönlich jetzt im Moment nichts - scheint so eine Consultingfirma in den USA zu sein).

Wenn dieser Reputation Service von TrendMicro der gleiche ist (was ich befürchte), der vor ca. einem Jahr bei einem Kunden auf einer IMSS testweise eingesetzt wurde, wundert mich dieses Ergebnis dieser Studie ein wenig, denn damals wurde dieser Test abgebrochen, da keine Verbesserung zur bisherigen Lösung sichtbar war. Dieser Reputation Service bestand im wesentlichen aus den DNSRBLs von maps.vix.com, die von TrendMicro aufgekauft wurden (und damit vom freien Markt verschwanden).

DKIM - DomainKeys Identified Mail

Einige Links zu DKIM nach der heise Meldung RFC gegen Spam:

• RFC4871 - das RFC zu DKIM
  
• www.dkim.org - MIPA (Mutual Internet Practices Association) Website zu DKIM
  
• domainkeys.sourceforge.net - Sourceforge-Website mit praktischen Beispielen
  
• Wikipedia-Seite zu DKIM
  
• Anleitung von IronPort zur Einrichtung von DKIM
  

Yahoo unterstützt beispielsweise DKIM und einige andere größere Firmen, wie Amazon, Dell, eBay usw.

Und seit eben ist DKIM auch bei she.de/she.net für ausgehende Mails aktiv. Was mir noch nicht ganz klar ist: Wie überprüfe ich mit der IronPort hier eingehende Mails, welche einen DKIM-Header haben? Was passiert, wenn der nicht passt? Und was passiert mit diesen Mails? Fragen über Fragen ...

Links

• Google Security Blog
  
• IronPort Threat Operations Center - Interessant, aber zuwenig Hintergrundinfos für meinen Geschmack
  
• IronPort SenderBase in der neuen Version. Die geographische Lokalisierung klappt über die Webansicht seltsamerweise noch nicht, obwohl die Daten in SenderBase vorhanden sind.
  

Unnütze Kursrakete

Seltsamerweise werden von der IronPort-Antispam-Lösung sog. Pennystock-Spammails in letzter Zeit gar nicht erkannt, obwohl diese vom Schema her sich doch recht ähneln. SpamAssassin ist von der Erkennung da besser unterwegs.

Trügerische Ruhe

Seit Anfang des Jahres kommen so gut wie keine nicht-erkannte Spammails mehr hier an, wenn auch die Tendenz der eingehenden und erkannten Spammails trotzdem steigend ist. Entweder arbeiten die Filter so gut, oder ist das nur das allgemeine Spam-Hintergrundrauschen, das die Filter (SpamAssassin oder IronPort) ganz gut wegfiltern oder ist das erst die Ruhe vor dem großen Sturm?

Spamstatistik Dezember 2006

In der privaten Mülltonne: 1178 erkannte Spammails und 9 nicht erkannte Spammails (SpamAssassin sei Dank). In meinen Firmenmailboxen: 2182 erkannte Spammails in meiner direkten Mailbox und 8362 erkannte Spammails bei den Mailverteilern bei 170 nicht erkannte Spammails. Und das obwohl schon ca. 80% der eingehenden Spammails direkt abgewiesen werden:


Die Abweisung von Spammails erfolgt in diesem Fall durch den Reputationsfilter von SenderBase (ein Dienst von IronPort.

Die Mailstatistik hier wird sich wahrscheinlich in Zukunft ein wenig ändern, da erkannte Spammails an Mailverteiler nicht mehr zugestellt werden (um lokal von den Mailclients ausgefiltert zu werden), sondern erstmal in Quarantäne am Mailserver gesteckt, um sie nach 30 Tagen zu löschen.