2.2.2. Контентний аналіз листа

Електронний лист може не мати ніяких формальних ознак порушення корпоративної політики безпеки, але при цьому містити інформацію, що не підлягає розголошенню. Для того щоб розпізнати та обробити такі листи (на російській та англійській мовах), використовуються алгоритми контентного аналізу.

З використанням технологій штучного інтелекту аналізується як зміст листа, так і вкладення (прикріплені файли) наступних форматів:

• текстовий: plain text (ASCII, не multibyte);

• HTML (2.0, 3.0, 3.2, 4.0, XHTML 1.0);

• додатки пакету Microsoft Office: Microsoft Word, Microsoft Excel і Microsoft PowerPoint (версії 6.0, 95/97/2000/XP);

• RTF;

• архівний: rar, zip, arj, tar, gzip, bzip2;

• PDF.

У процесі контентного аналізу листів і вкладень застосовуються два основних методи:

• виявлення характерних термінів - слів і словосполучень;

• порівняння з листами-зразками (шляхом зіставлення їхніх лексичних складів).

За результатами контентного аналізу лист може бути віднесений до однієї або декількох категоріям бази контентного аналізу.

Дані, які використовуються сервером контентной фільтрації для проведення контентного аналізу, зберігаються в базі контентного аналізу. Робота з базою контентного аналізу (створення, модифікація, завантаження готової бази на сервер контентной фільтрації) ведеться за допомогою програми Traffic Monitor Security Administrator.

2.2.3. Дії над листами

Якщо для листа виконані всі умови, описані в правилі фільтрації, то до листа застосовуються описані в цьому правилі дії.

Типи дій:

• Нежорсткі. Після виконання такої дії виконуються інші дії поточного правила, а також дії з інших правил з того ж і/або інших профілів.

• Напівтверді. Виконання такої дії завершує виконання дій поточного правила й всіх правил поточного профілю, однак до листа можуть бути застосовані правила інших профілів.

• Тверді. Виконання такої дії завершує обробку листа.

Список можливих дій по типах:

Нежорсткі дії:

• Відправити лист відправникові. При виконанні даної дії відправникові листа направляється повідомлення про відмову прийняти лист. Разом з таким повідомленням посилається оригінальний лист як вкладення. Текст повідомлення задається в програмі Traffic Monitor Security Administrator при настроюванні конфігурації в полі Bounce-повідомлення. Обробка листа триває, і якщо не спрацювало інше правило, що блокує доставку, воно буде доставлено одержувачеві (одержувачам).

• Змінити одержувача. Змінити список одержувачів листа:

  • Додати одержувача (список одержувачів). Послати копію: додати до списку одержувачів адресу (список адрес), зазначену у правилі.

  • Видалити одержувача (список одержувачів). Не доставляти по зазначеній адресі (списку адрес): видалити зазначену у правилі адресу (список адрес) одержувача.

  • Видалити всіх одержувачів. Не доставляти: видалити адреси всіх одержувачів.

  • Замінити список одержувачів на заданий. Перенаправляти лист: замінити адреси всіх одержувачів на адресу (список адрес), зазначену у правилі фільтрації.

При заданні списку нових одержувачів, може використовуватися макрозмінна ${FROM}, що підставляє адресу відправника листа, зазначену в SMTP-конверті.

• Змінити заголовок. Змінити зазначений у правилі фільтрації заголовок листа:

• Замінити заголовок на заданий. Видалити старе значення заголовка із зазначеним ім'ям (якщо він у листа вже був), дописати нове, зазначене в правилі.

• Додати значення заданого заголовка. Залишити без зміни старе значення заголовка (якщо він у листа вже був), дописати до нього нове значення, зазначене в правилі фільтрації.

• Створити новий заголовок. Додати новий заголовок із зазначеним ім'ям і значенням. Заголовок додається в початок списку заголовків; наявність у листі інших заголовків з тим же ім'ям ніяк не контролюється.

• Видалити всі заголовки із заданим ім'ям. Видалити всі заголовки із зазначеним ім'ям, якщо вони були в листа.

Дії, пов'язані зі зміною заголовків, дозволяють приписати листу ознаки, на основі яких клієнтське ПО (наприклад, Microsoft Outlook) зможе зробити фільтрацію або сортування листів після їхньої доставки в поштову скриньку користувача.

При вказівці нового значення заголовка можна використовувати макрозмінні:

• ${CATEGORY} - список категорій, отриманих при контентному аналізі тексту листа;

• ${FROM} - відправник;

• ${ORIG_RCPTS} - адреси одержувачів з вихідного конверта;

• ${ALL_RCPTS} - всі можливі одержувачі (як ті, що були, так і ті, що з'явилися в результаті обробки листа профілями);

• ${CUR_RCPTS} - список одержувачів, для яких генерується даний лист.

У загальному профілі зміна заголовків виконується для всіх одержувачів листа, у персональному - для тих, на яких діє даний персональний профіль.

• Додати запис у системний журнал. Зробити протоколювання інформації про лист.

Ім'я файлу вказується параметром -L у командному рядку модуля контентной фільтрації.

Якщо параметр -L не заданий, то протоколювання виробляється у syslog.

Параметром дії є рядок, що задає формат видачі повідомлення. У форматному рядку можуть використовуватися наступні підстановки:

• %f - відправник.

• %r - одержувачі, що підпадають під даний профіль.

• %R - всі одержувачі.

• % t-t- тема листа, що має кодування windows-1251.

• %c - список контентних категорій, до яких був віднесений лист.

• %s - ознака того, що в листі зустрічається криптографія.

• %а - список імен всіх файлів-вкладень, розділених символом ';'.

• %А - список типів всіх файлів-вкладень, розділених символом ';'.

• %h - перший заголовок листа (до модифікації сервером фільтрації). Формат поля наступний: %h|Subject| (замість символу ’|’ може бути будь-який інший, котрий не зустрічається в назві заголовка).

• %Н - всі заголовки листа із заданим ім'ям (до модифікації). Формат аналогічний %H.

• %n - поточне значення заголовка. Формат аналогічний %h.

Ця дія дозволяє заносити в файл будь-яку інформацію, що може бути корисна. Для інформації, що заноситься в файл, можна визначити наступні параметри:

• Рівень протоколювання (Level) - для керування ступенем деталізації інформації, що поміщається в файл: 0 - протоколювання заборонене, 1 - тільки повідомлення класу normal, 2 - normal+mformative, 3 -normal+informative+high, 4 - normal+...+extreme, 5 -flood (всі повідомлення).

• Призначення заносимої інформації, що (Priority) проставляє першу букву рядка повідомлення в файлі (I для info, W для warning, E для error, D для debug).

• Не приймати лист без повідомлення відправника. Відмовитися приймати лист, не генеруючи ніяких повідомлень відправникові. У загальному профілі блокується доставка листа всім одержувачам, у персональному тим, для яких діє даний персональний профіль.

• Не приймати лист. Відмовитися приймати лист. При виконанні даної дії відправникові буде спрямоване повідомлення-відгук (Reject-повідомлення). Текст Reject-Повідомлення задається у файлі mm2.conf.

• Зберегти в базу даних. Збереження листа в базу даних. Листа, до яких застосовується дана дія, в обов'язковому порядку зберігаються в базу даних.

• Не зберігати в базу даних. Лист не зберігається в базу даних.

• Установити значення заголовка X-InfoWatch-Status. Заголовку X-InfoWatch-Status привласнюється зазначене значення. Можливі значення даного заголовка перераховані в довіднику X-InfoWatch-Status. Складання й редагування довідника виконується Адміністратором інформаційної безпеки.

Напівтверда дія:

• Зупинити виконання профілю. Припинити виконання всіх правил поточного профілю фільтрації й перейти до виконання наступного профілю (якщо порядок виконання профілів це передбачає).

Тверда дія:

• Зупинити обробку листа. Якщо не було ухвалене рішення про затримку листа (дії "Не приймати лист", "Не приймати лист без повідомлення відправника"), лист пересилається адресатові (адресатам) у тім виді, що воно одержало в результаті попередньої обробки. При виконанні даної дії лист або невідкладно пересилається, або міститься в карантин; ніякі інші правила фільтрації до нього не застосовуються.