2.1.8. Traffic Monitor Eraser

Після обробки сервером поштової фільтрації всі листи зберігаються в базі даних. Виключення становлять ті листи, для яких за умовами фільтрації виконується дія Не зберігати в базі даних. Таким чином, обсяг бази даних постійно збільшується. Зменшити обсяг і тим самим звільнити місце на жорсткому диску можна шляхом видалення тих листів, подальше зберігання яких у базі даних не потрібно. Для виконання даного завдання призначена програма Traffic Monitor Eraser.

У програмі Traffic Monitor Eraser відображаються тільки ті листи, які вже оброблені сервісом Deferred processor.

Працювати із програмою Traffic Monitor Eraser може користувач, якому призначена роль Чистильника. У процесі роботи Чистильник може переглядати відомості тільки про основні заголовки листа й не має доступу до інформації про зміст тіла листа, наявності й змісту вкладень. Основною функцією Чистильника є видалення листів з бази даних.

2.1.9. Схема роботи Traffic Monitor

Робота системи Traffic Monitor відбувається в такий спосіб:

1. Потік листів корпоративної електронної пошти направляється в чергу повідомлень (Локальне сховище повідомлень сервера поштової фільтрації), що очікують перевірки сервером контентной фільтрації.

2. Перехоплення вихідних запитів до сайтів Web-пошти, форумів і т.д. здійснюється модулем фільтрації POST-запитів. З перехоплених POST-запитів формуються SMTP-листи, які обробляються сервером контентной фільтрації.

3. Сервер контентной фільтрації, що є частиною сервера поштової фільтрації, виконує аналіз листів відповідно до заданих правил фільтрації.

Для складання правил фільтрації листів використовуються:

• База профілів, що визначають методи класифікації листів по формальних ознаках.

• База контентного аналізу, у якій задаються параметри класифікації листів:

• контентні категорії (категорії утворять ієрархічну структуру з довільною кількістю вкладених рівнів);

• набір термінів і зразків листів, які задаються в межах кожної контентной категорії.

База профілів і база контентного аналізу утворять конфігурацію сервера контентной фільтрації. Створення й настроювання конфігурації, а також завантаження готової конфігурації на сервер контентной фільтрації виконує Адміністратор інформаційної безпеки за допомогою програми Traffic Monitor Security Administrator.

База профілів і база контентного аналізу являють собою формальну реалізацію корпоративної політики безпеки (або її частини) у термінах Traffic Monitor. При цьому база контентного аналізу використовується для класифікації листів по змісту, а база профілів являє собою набір правил, що реалізують вимоги корпоративної політики безпеки на основі формальних атрибутів листів і класифікації по базі контентного аналізу.

4. Відповідно до корпоративної політики безпеки приймається рішення про затримку листа або про доставку листа одержувачам.

При відсутності ознак порушення корпоративної політики безпеки виконується доставка листів одержувачам:

• Листи корпоративної електронної пошти доставляються на корпоративний поштовий сервер для відправлення зазначеним адресатам.

• Листи Web-пошти доставляються фільтруючим Proxy-сервером (ISA-сервер із установленим модулем фільтрації POST-запитів) на зовнішні сервери Web-пошти (або вищестоящий корпоративний Proxy-сервер).

Доставка листів, визнаних такими, що порушують корпоративну політику безпеки, блокується.

5. За результатами фільтрації листу приписується ряд ознак, фіксованих у додаткових заголовках листа. Далі виробляється запис листів у базу даних:

• Копії листів, у яких сервер контентной фільтрації не виявив ознак порушення корпоративної політики безпеки, зберігаються в архіві.

Листи, що зберігаються в архіві, можуть бути експортовані з бази даних у зазначене місце за допомогою утиліти архівування. Працювати з утилітою архівування може користувач, якому призначені права власника схеми бази даних.

• Листи, доставка яких блокована сервером контентної фільтрації, перенаправляються в карантин.

У карантині зберігається:

• Лист із MIME заголовками, які додаються/модифікуються сервером контентной фільтрації.

• Вихідний набір MIME-заголовків листа (на випадок, якщо Офіцер безпеки дозволить доставку листа).

• Список одержувачів листа, з SMTP-конверта (атрибутів POST-запиту у випадку Web-листів), або змінений список одержувачів (якщо політика безпеки вимагає зміни списку одержувачів для даного листа). Даний список використовується при ухваленні рішення Офіцером безпеки про доставку затриманого листа.

• Атрибути, привласнені листу в результаті перевірки: статус і контентна категорія. Значення даних атрибутів відображаються в програмі Traffic Monitor Security Officer.

Описаний принцип укладання листів у базу даних не поширюється на ті випадки, коли в правилі фільтрації задана дія Не зберігати в базі даних. Листи, що попадають під дію такого правила фільтрації, у базі даних зберігатися не будуть.

6. У карантині виробляється розбір листа: виділяються заголовки листа, тіло й вкладення, розкриваються архіви. Отримані частини листа індексуються для контентного пошуку.

7. Листи, що надходять у карантин (тобто листи, у яких виявлені порушення корпоративної політики безпеки), відображаються в програмі Traffic Monitor Security Officer. Офіцер безпеки перевіряє, чи дійсно даний лист порушує корпоративну політику безпеки.

При підтвердженні факту порушення Офіцер безпеки формує висновок по даному листу. Висновок з коментарями із приводу виявлених порушень відправляється особам, відповідальним за ухвалення остаточного рішення про те, які дії варто почати з даним листом.

Офіцер безпеки може за своїм розсудом дозволити доставку листа. Лист буде доставлено визначеним адресатам, або за списком адресатів, сформованому в ході обробки листа сервером поштової фільтрації.

Описана схема відповідає роботі системи Traffic Monitor у режимі затримки листів, що порушують корпоративну політику безпеки. Однак система Traffic Monitor може працювати в режимі прослуховування. Режим прослуховування відрізняється від режиму затримки тим, що вся корпоративна пошта доставляється зазначеним адресатам. У карантин при цьому розміщуються не самі листи, що порушують корпоративну політику безпеки, а копії таких листів. Реалізація режиму прослуховування виконується шляхом настроювання профілів фільтрації.