2.3. Фільтрація Web-пошти

Фільтр Web-пошти, що діє в складі Proxy-серверу Microsoft ISA Server, здійснює перехоплення вихідних HTTP-запитів, формує із цих запитів SMTP-листи та передає ці листи на cервер поштової фільтрації для розпізнавання. Обробка HTTP-запитів значно відрізняється від обробки звичайного листа. Особливості фільтрації Web-пошти розглядаються в цьому розділі.

2.3.1. Цикл обробки Web-пошти

У цьому розділі розглядаються принципи фільтрації Web-пошти. Як приклад використовується схема обробки HTTP-запитів, реалізована за допомогою предвстановлених профілів.

У процесі фільтрації виконується обробка HTTP-запитів до сайтів Web-пошти, форумів і т.ін. Обробка запиту виконується у два етапи: виявлення ознак порушень і маршрутизація листа.

Аналіз листа на першому етапі виконується з метою визначити статус листа, приналежність до контентних категорій.

На етапі маршрутизації приймається рішення про доставку листа адресатам. Рішення приймається на підставі статусу, привласненого листу на першому етапі. Залежно від ухваленого рішення модулю фільтрації POST-запитів направляється команда доставити лист зазначеним адресатам або блокувати доставку листа. По завершенні аналізу лист зберігається в базу даних (архів або карантин).

Далі в цьому розділі приводиться докладний опис схеми обробки HTTP-запитів:

1. Модуль фільтрації POST-запитів (далі також Web- фільтр), убудований у Proxy-сервер Microsoft ISA Server, здійснює перехоплення всіх запитів типу POST.

Перехоплення й аналіз типу запиту відбувається в такий спосіб:

• При одержанні перших заголовків запиту Web-фільтр визначає тип запиту. Якщо запит, що надійшов, передається методом POST, то фільтр накопичує заголовки й дані запиту.

• При виявленні запиту іншого типу Web-фільтр виключає себе з оброблювачів даного запиту, і запит проходить стандартний цикл обробки.

2. З даних POST-запиту формується SMTP-лист, у якому використовуються наступні дані запиту: ім'я (hostname) і IP-адреса відправника, а також ім'я сервера, до якого виробляється запит. Ці дані зберігаються в заголовках X-InfoWatch-ClientHost, X-InfoWatch-ClientIP і X-InfoWatch-WebMailHost відповідно й можуть бути проаналізовані на етапі фільтрації листів.

3. Також з даних POST-запиту виділяється наступна інформація:

   • адреси одержувачів, які виділяються з полів уведення адрес одержувача (To, CC і BCC) і зберігаються в заголовку листа X-InfoWatch-To;

   • адреса відправника, що формується з даних авторизації і зберігається в заголовку X-InfoWatch-From у наступному виді:

Domain-User(5).HostClientMX, де:

• Domain - ім'я домена, у якому зареєстрований користувач (якщо є);

• User - ім'я, під яким зареєстрований користувач;

• Host - ім'я сервера Web-пошти, з якого виконувалося відправлення листа (відповідає значенню, збереженому в заголовку X-InfoWatch-WebMailHost);

• ClientMX - загальний для всіх адрес префікс, що використовується для того, щоб відокремити Web-листи від звичайних електронних листів.

Ці заголовки використовуються в програмі Traffic Monitor Security Officer для відображення відправника та одержувача листів.

4. З даних запиту виділяються також поля теми та текстової частини листа. Тема листа зберігається в заголовку Subject, а тіло листа вставляється як перший inline-блок multipart-листа (який звичайно інтерпретується як тіло листа).

5. Значення тих параметрів, які не вдалося розпізнати, вставляються в лист як вкладення.

6. Сформований лист позначається заголовком X-InfoWatch-WebMail (ознака першого етапу обробки Web-листа; докладніше про роль, що виконує цей заголовок, буде показано нижче) і по TCP передається для обробки на сервер контентной фільтрації. При цьому в процесі передачі емулюються наступні дані:

• ім'я (hostname) відправника по даним перехопленого POST-запиту (відповідає значенню, збереженому в заголовку X-InfoWatch-ClientHost);

• адреса відправника (для віртуального SMTP-конверта), сформована за даними авторизації на Proxy-сервері (відповідає значенню, збереженому в заголовку X-InfoWatch-From, формат адреси відправника);

• адреси всіх одержувачів (для віртуального SMTP-конверта), які виділяються з полів уведення адрес одержувача To, CC і BCC (відповідає значенню, збереженому в заголовку X-InfoWatch-To).

7. За результатами аналізу листа сервер контентної фільтрації передає Web-фільтру інформацію про те, що варто зробити із запитом:

• Блокувати даний запит. Web-фільтр одержує команду Reject (Не приймати лист, послати повідомлення відправникові) або BlackHole (Не приймати лист, не посилати повідомлення відправникові).

• Пропустити запит на зовнішній сервер. Web-фільтр одержує команду Accept (Відправити лист адресатам).

Переданий сервером контентної фільтрації список інших дій, які необхідно зробити з листом (наприклад, змінити заголовки або список одержувачів), Web-фільтр ігнорує. У цьому складається головна відмінність розпізнавання Web-листа від стандартної обробки SMTP-листів.

8. Web-фільтр, що одержав від серверу контентної фільтрації команду Accept, виключає себе зі списку оброблювачів даного запиту, після чого обробка даного POST-запиту триває природним шляхом (передача запиту на зовнішній сервер і трансляція клієнтові його відповіді).

9. У випадку, коли від сервера контентної фільтрації отримана команда на блокування запиту (Reject або BlackHole), Web-фільтр відправляє Proxy-серверу команду на формування відгуку ( http-response) і негайно припиняє обробку запиту. У цьому випадку ніякі дані із запиту користувача на вилучений сервер не передаються.

10. Одночасно модуль фільтрації POST-запитів міняє у віртуальному листі заголовок X-InfoWatch-WebMail на InfoWatch-WebMail-Fin (ознака етапу маршрутизації листа) і передає лист на сервер контентної фільтрації. Лист другий раз піддається аналізу, протоколюється й зберігається в базу даних (архів або карантин).