• No results found

URL-filtering en configuratie en beste praktijken voor Cisco security

N/A
N/A
Protected

Academic year: 2022

Share "URL-filtering en configuratie en beste praktijken voor Cisco security"

Copied!
10
0
0

Bezig met laden.... (Bekijk nu de volledige tekst)

Hele tekst

(1)

URL-filtering en configuratie en beste praktijken voor Cisco e-mail security

Inhoud

Inleiding

Achtergrondinformatie URL-filtering inschakelen

Ondersteuning van URL-filtering voor verkorte URL’s inschakelen URL-filtering maken

Content Filters voor kwaadaardige URL’s Content Filters voor neutrale URL’s Content Filters voor schone URL’s

Content Filters voor URL’s met "No Score"

Niet-gecategoriseerde en verkeerd geclassificeerde URL’s melden

Kwaadaardige URL’s en marketingberichten worden niet gevonden door anti-spam of outbreak filters.

Gerelateerde informatie

Inleiding

Dit document beschrijft hoe u URL-filtering op Cisco e-mail security applicatie (ESA) kunt configureren en beste praktijken voor het gebruik ervan.

Achtergrondinformatie

Controle en bescherming tegen kwaadaardige of ongewenste koppelingen zijn opgenomen in de anti-spam, de uitbraak, de inhoud en de berichtfilterprocessen in de werkwachtrij. Deze controles:

Vergroot de effectiviteit van bescherming tegen kwaadaardige URL's in berichten en bijlagen.

URL-filtering is opgenomen in Outdoorfiltering. Deze aangescherpte bescherming is handig, zelfs als uw organisatie al een Cisco Web Security Appliance of soortgelijke bescherming tegen webgebaseerde bedreigingen heeft omdat het bedreigingen op het punt van ingang blokkeert.

U kunt ook inhoud of berichtfilters gebruiken om actie te ondernemen gebaseerd op de Web- Based Reputation Score (WBRS) van URLs in berichten. U kunt bijvoorbeeld URL's met een neutrale of onbekende reputatie herschrijven om deze naar de Cisco Web Security Proxy te sturen voor een klik-tijd evaluatie van hun veiligheid.

Beter spam identificeren

Het apparaat gebruikt de reputatie en categorie van koppelingen in berichten, samen met andere spam-identificatie algoritmen, om spam te identificeren. Als een link in een bericht bijvoorbeeld aan een marketingwebsite behoort, is het waarschijnlijker dat het een

marketingbericht wordt.

Ondersteuning van de handhaving van een aanvaardbaar bedrijfsgebruiksbeleid

(2)

De categorie URL's (bijvoorbeeld Volwassenen of illegale activiteiten) kan in combinatie met content- en berichtenfilters worden gebruikt om bedrijfsacceptabel gebruiksbeleid af te dwingen.

Sta u toe om gebruikers in uw organisatie te identificeren die het meest op een URL in een bericht klikte dat voor bescherming opnieuw is geschreven zowel als verbindingen die het vaakst zijn geklikt.

Wanneer u URL Filtering op de ESA vormt, moet u ook andere eigenschappen configureren afhankelijk van uw gewenste functionaliteit. Hier zijn een aantal typische functies die naast URL Filtering zijn ingeschakeld:

Voor een betere bescherming tegen spam moet de anti-Spam-scanfunctie mondiaal worden ingeschakeld in overeenstemming met het toepasselijke postbeleid. Dit kan de Cisco IronPort Anti-Spam (IPAS) of de Cisco Intelligent Multi-Scan (IMS) optie zijn.

Voor een betere bescherming tegen malware moet de functie Outbreak Filters of Virus

Outbreak Filters (VOF) mondiaal ingeschakeld zijn in overeenstemming met het toepasselijke postbeleid.

Voor acties gebaseerd op de URL reputatie, of om acceptabel gebruikersbeleid met het gebruik van bericht en contentfilters af te dwingen, moet u VOF mondiaal inschakelen.

Opmerking: Vanaf AsyncOS 11.1 voor e-mail security is er nu ondersteuning voor URL- scannen in bijlagen beschikbaar.  U kunt uw apparaat nu configureren om URL's in

berichtbijlagen te scannen en geconfigureerde acties op dergelijke berichten uit te voeren.  U kunt de inhoud en berichtfilters van de URL-herkenning en URL-categorie gebruiken om voor URL’s in berichtbijlagen te scannen. Zie voor meer informatie de hoofdstukken

"Berichtfilters gebruiken om e-mailbeleid af te dwingen", "Content Filters" en "Protect Against Malicious of Unicious URL's" in de gebruikershandleiding of online help.

Opmerking: Daarnaast is ondersteuning voor URL-filtering van ondersteuning voor verkorte URL's beschikbaar vanaf AsyncOS 11.1 voor e-mail security.  U kunt uw apparaat nu configureren om URL-filtering op verkorte URIs uit te voeren en de eigenlijke URL uit de verkorte URL ophalen. Op basis van de URL-reputatiescore van de oorspronkelijke URL wordt een geconfigureerde actie ondernomen op de verkorte URL. Zie het hoofdstuk

"Beveiliging tegen schadelijke of ongewenste URL's" in de gebruikershandleiding of online help van de CLI Referentiegids voor AsyncOS voor Cisco e-mail security applicatie om URL- filtering voor verkorte URL's in uw apparaat in te schakelen.

URL-filtering inschakelen

Om URL filtering op de ESA uit te voeren moet u eerst de functie inschakelen.  URL-filtering kan door de ESA-beheerder worden ingeschakeld vanuit GUI of CLI.

Als u URL-filtering met het gebruik van de GUI wilt inschakelen, navigeer dan naar Security Services > URL-filtering > Enable:

(3)

Vanuit de CLI voert u de opdracht uit, web security, configuratie:

myesa.local> websecurityconfig Enable URL Filtering? [N]> y

Opmerking: URL Logging is een suboptie van met VOF in te zetten. Dit is een CLI-only eigenschap die zoals hier getoond moet worden, die uitgesplitste te gebruiken:

myesa.local> outbreakconfig Outbreak Filters: Enabled

Choose the operation you want to perform:

- SETUP - Change Outbreak Filters settings.

- CLUSTERSET - Set how the Outbreak Filters are configured in a cluster.

- CLUSTERSHOW - Display how the Outbreak Filters are configured in a cluster.

[]> setup

Outbreak Filters: Enabled

Would you like to use Outbreak Filters? [Y]>

Outbreak Filters enabled.

Outbreak Filter alerts are sent when outbreak rules cross the threshold (go above or back down below), meaning that new messages of certain types could be quarantined or will no longer be quarantined, respectively.

...

Logging of URLs is currently disabled.

Do you wish to enable logging of URL's? [N]> y Logging of URLs has been enabled.

The Outbreak Filters feature is now globally enabled on the system. You must use the 'policyconfig' command in the CLI or the Email Security Manager in the GUI to enable Outbreak Filters for the desired Incoming and Outgoing Mail Policies.

Opmerking: Zorg ervoor dat u alle en alle wijzigingen in de configuratie doorvoert voordat u doorgaat van de GUI of de CLI op uw ESA.

Ondersteuning van URL-filtering voor verkorte URL’s inschakelen

Het inschakelen van URL-filterondersteuning voor verkorte URL's is alleen mogelijk door CLI, met behulp van websecurity advancedConfig:

(4)

myesa.local> websecurityadvancedconfig ...

Do you want to enable URL filtering for shortened URLs? [N]> Y

For shortened URL support to work, please ensure that ESA is able to connect to following domains:

bit.ly, tinyurl.com, ow.ly, tumblr.com, ff.im, youtu.be, tl.gd, plurk.com, url4.eu, j.mp, goo.gl, yfrog.com, fb.me, alturl.com, wp.me, chatter.com, tiny.cc, ur.ly

Cisco raadt aan dit voor URL-filtering van beste praktijken in te stellen.  Als deze functie is

ingeschakeld, weerspiegelen de e-maillogs altijd wanneer een verkorte URL met het bericht wordt gebruikt:

Mon Aug 27 14:56:49 2018 Info: MID 1810 having URL: http://bit.ly/2tztQUi has been expanded to https://www.wired.com/?p=2270330&drafts-for-friends=js-1036023628&post_type=non-editorial

Nadat URL-filtering is ingeschakeld zoals in dit artikel wordt beschreven, kunnen we in het voorbeeld maillogs hierboven de bit.ly-link zien die is opgenomen EN de oorspronkelijke link die wordt verzonden naar ook opgenomen. 

URL-filtering maken

Wanneer u URL-filtering alleen toestaat, onderneemt het geen actie tegen berichten die live en geldige URL's kunnen bevatten.

De URL's die in inkomende en uitgaande berichten zijn opgenomen, worden geëvalueerd. Elke geldige string voor een URL wordt geëvalueerd, om strings met deze componenten op te nemen:

HTTP, HTTPS of WWW

Domain of IP-adressen

Poortnummers voorafgegaan door een komma (:)

Hoofdletters of kleine letters

Wanneer het systeem URLs evalueert om te bepalen of een bericht spam is, indien nodig voor belastingsbeheer, prioriteert en screent het binnenkomende berichten over uitgaande berichten.

U kunt acties uitvoeren op basis van de reputatie of categorie URL’s in de berichttekst en de berichtbijlagen. Als u een andere actie wilt uitvoeren dan het wijzigen van URL's of hun gedrag, voeg dan een URL-of URL-categorie toe en selecteer de reputatiescores of URL-categorieën waarvoor u de actie wilt toepassen.

Als u bijvoorbeeld de actie Drop (End Action) wilt toepassen op alle berichten die URL's in de categorie Volwassenen bevatten, voegt u een voorwaarde van type URL-categorie toe met de geselecteerde categorie Volwassenen.

Als u geen categorie specificeert, wordt de gewenste actie op alle berichten toegepast.

De scores voor de URL-reputatie van schone, neutrale en kwaadaardige URL’s zijn vooraf

gedefinieerd en niet bewerkbaar. U kunt echter in plaats daarvan een aangepaste bereik instellen.

De gespecificeerde eindpunten zijn opgenomen in het bereik dat u hebt ingesteld. Als u bijvoorbeeld een aangepaste bereik van -8 tot -10 maakt, dan zijn -8 en -10 in het bereik opgenomen. Gebruik "No Score" voor URL’s waarvoor een reputatiescore niet kan worden bepaald.

(5)

Om URL's snel te scannen en actie te ondernemen kunt u een contentfilter maken zodat als het bericht een geldige URL heeft, dan wordt de actie toegepast. Vanuit de GUI, navigeer naar postbeleid > Inkomende contentfilters > Filter toevoegen.

Content Filters voor kwaadaardige URL’s

Dit voorbeeld toont een scan voor kwaadaardige URLs met de implementatie van dit inkomende inhoudfilter:

Wanneer dit filter is geïnstalleerd, scant het systeem naar een URL met een kwaadaardige reputatie (-10.00 tot -6.00), voegt een logbestand toe aan de maillogs, gebruikt het defang-actie om de link niet-klikbaar te maken, en plaatst dit in een URL Filtering quarantaine. Hier is een voorbeeld uit de maillogs:

Wed Nov 5 21:27:18 2014 Info: Start MID 186 ICID 606

Wed Nov 5 21:27:18 2014 Info: MID 186 ICID 606 From: <bad_user@that.domain.net>

Wed Nov 5 21:27:18 2014 Info: MID 186 ICID 606 RID 0 To: <joe.user@goodmailguys.com>

Wed Nov 5 21:27:18 2014 Info: MID 186 Message-ID '<COL128-W95DE5520A96FD9D69FAC2D9D840@phx.gbl>' Wed Nov 5 21:27:18 2014 Info: MID 186 Subject 'URL Filter test malicious'

Wed Nov 5 21:27:18 2014 Info: MID 186 ready 2230 bytes from <bad_user@that.domain.net>

Wed Nov 5 21:27:18 2014 Info: MID 186 matched all recipients for per-recipient policy DEFAULT in the inbound table

Wed Nov 5 21:27:18 2014 Info: ICID 606 close

Wed Nov 5 21:27:19 2014 Info: MID 186 interim verdict using engine: CASE spam positive Wed Nov 5 21:27:19 2014 Info: MID 186 using engine: CASE spam positive

Wed Nov 5 21:27:19 2014 Info: ISQ: Tagging MID 186 for quarantine

Wed Nov 5 21:27:19 2014 Info: MID 186 interim AV verdict using Sophos CLEAN Wed Nov 5 21:27:19 2014 Info: MID 186 antivirus negative

Wed Nov 5 21:27:19 2014 Info: MID 186 URL http:// peekquick .com /sdeu/cr.sedin/sdac/denc.php has reputation -6.77 matched url-reputation-rule

Wed Nov 5 21:27:19 2014 Info: MID 186 Custom Log Entry: <===> MALICIOUS URL! <===>

Wed Nov 5 21:27:19 2014 Info: MID 186 URL http:// peekquick .com/sdeu/cr.sedin/sdac/denc.php has reputation -6.77 matched url-reputation-defang-action

Wed Nov 5 21:27:19 2014 Info: MID 186 URL http:// peekquick .com /sdeu/cr.sedin/sdac/denc.php has reputation -6.77 matched url-reputation-defang-action

Wed Nov 5 21:27:19 2014 Info: MID 186 rewritten to MID 187 by url-reputation-defang-action filter '__MALICIOUS_URL__'

(6)

Wed Nov 5 21:27:19 2014 Info: Message finished MID 186 done

Wed Nov 5 21:27:19 2014 Info: MID 187 Outbreak Filters: verdict positive Wed Nov 5 21:27:19 2014 Info: MID 187 Threat Level=5 Category=Phish Type=Phish Wed Nov 5 21:27:19 2014 Info: MID 187 rewritten URL u'http:// peekquick

.com/sdeu/cr.sedin/sdac/denc.php-Robert'

Wed Nov 5 21:27:19 2014 Info: MID 187 rewritten to MID 188 by url-threat-protection filter 'Threat Protection'

Wed Nov 5 21:27:19 2014 Info: Message finished MID 187 done Wed Nov 5 21:27:19 2014 Info: MID 188 Virus Threat Level=5

Wed Nov 5 21:27:19 2014 Info: MID 188 quarantined to "Outbreak" (Outbreak rule:Phish: Phish) Wed Nov 5 21:27:19 2014 Info: MID 188 quarantined to "URL Filtering Quarantine" (content filter:__MALICIOUS_URL__)

Wed Nov 5 21:28:20 2014 Info: SDS_CLIENT: Generated URL scanner configuration Wed Nov 5 21:28:21 2014 Info: SDS_CLIENT: URL scanner enabled=1

Wed Nov 5 21:28:21 2014 Info: SDS_CLIENT: Generated URL scanner configuration Wed Nov 5 21:28:21 2014 Info: SDS_CLIENT: URL scanner enabled=1

Opmerking: De URL die in het vorige voorbeeld is ingebed heeft extra spaties in het URL lichaam, zodat het geen web scans of proxy detectie beweegt.

Deze URL voor peekquick.com wordt MALICIEUS en gesorteerd op -6.77. Er wordt een vermelding gemaakt in de maillogs waar u alle processen in actie kunt zien. Het URL-filter

gedetecteerde de kwaadaardige URL, gedefaneerd en in quarantaine geplaatst. De VOF heeft het ook positief beoordeeld op basis van de vastgestelde regels en heeft details verstrekt over het feit dat het om een hiermee samenhangende fase ging.

Als VOF niet is ingeschakeld, wordt hetzelfde bericht doorlopen, maar URL-scans worden niet uitgevoerd zonder de extra mogelijkheid van VOF om scans en actie te besturen. In dit voorbeeld wordt de berichttekst echter gescand door Cisco Anti-Spam Engine (CASE) en beschouwd als spampositief:

Wed Nov 5 21:40:49 2014 Info: Start MID 194 ICID 612

Wed Nov 5 21:40:49 2014 Info: MID 194 ICID 612 From: <bad_user@that.domain.net>

Wed Nov 5 21:40:49 2014 Info: MID 194 ICID 612 RID 0 To: <joe.user@goodmailguys.com>

Wed Nov 5 21:40:49 2014 Info: MID 194 Message-ID '<COL128-W145FD8B772C824CEF33F859D840@phx.gbl>' Wed Nov 5 21:40:49 2014 Info: MID 194 Subject 'URL Filter test malicious'

Wed Nov 5 21:40:49 2014 Info: MID 194 ready 2230 bytes from <bad_user@that.domain.net>

Wed Nov 5 21:40:49 2014 Info: MID 194 matched all recipients for per-recipient policy DEFAULT in the inbound table

Wed Nov 5 21:40:50 2014 Info: ICID 612 close

Wed Nov 5 21:40:50 2014 Info: MID 194 interim verdict using engine: CASE spam positive Wed Nov 5 21:40:50 2014 Info: MID 194 using engine: CASE spam positive

Wed Nov 5 21:40:50 2014 Info: ISQ: Tagging MID 194 for quarantine

Wed Nov 5 21:40:50 2014 Info: MID 194 interim AV verdict using Sophos CLEAN Wed Nov 5 21:40:50 2014 Info: MID 194 antivirus negative

Wed Nov 5 21:40:50 2014 Info: MID 194 queued for delivery

Wed Nov 5 21:40:52 2014 Info: RPC Delivery start RCID 20 MID 194 to local IronPort Spam Quarantine

Wed Nov 5 21:40:52 2014 Info: ISQ: Quarantined MID 194

Wed Nov 5 21:40:52 2014 Info: RPC Message done RCID 20 MID 194 Wed Nov 5 21:40:52 2014 Info: Message finished MID 194 done

Deze detectie gebeurt niet altijd via CASE alleen. Er zijn tijden dat de regels van de CASE en IPAS die overeenkomst tegen een bepaalde zender, domein of berichtinhoud kunnen bevatten om deze dreiging alleen te detecteren.

Content Filters voor neutrale URL’s

(7)

Een neutrale URL-reputatie betekent dat URL's momenteel schoon zijn, maar in de toekomst kwaadaardig kunnen worden, omdat ze vatbaar zijn voor aanvallen. Voor dergelijke URL’s kunnen beheerders niet-blokkerend beleid maken, bijvoorbeeld door ze naar de Cisco Web Security Proxy te sturen voor automatische evaluatie van de tijd.

Opmerking: In AsyncOS 9.7 voor e-mail security en later worden URLs die eerder

"verdachte" waren genoemd nu "Neutraal" genoemd.  Alleen de etikettering is gewijzigd; de onderliggende logica en verwerking zijn niet gewijzigd .

Dit voorbeeld toont een scan voor neutrale URLs met de implementatie van dit inkomende inhoudfilter:

Als dit filter is ingeschakeld, zoekt het systeem naar een URL met een neutrale reputatie (-5.90 tot 5.90) en voegt het een logbestand toe aan de postbestanden. Dit voorbeeld toont een aangepast onderwerp om voor te bereiden "[NEUTRAL URL!]". Hier is een voorbeeld uit de maillogs:

Wed Nov 5 21:22:23 2014 Info: Start MID 185 ICID 605

Wed Nov 5 21:22:23 2014 Info: MID 185 ICID 605 From: <bad_user@that.domain.net>

Wed Nov 5 21:22:23 2014 Info: MID 185 ICID 605 RID 0 To: <joe.user@goodmailguys.com>

Wed Nov 5 21:22:23 2014 Info: MID 185 Message-ID '<D0804586.24BAE%bad_user@that.domain.net>' Wed Nov 5 21:22:23 2014 Info: MID 185 Subject 'Middle of the road?'

Wed Nov 5 21:22:23 2014 Info: MID 185 ready 4598 bytes from <bad_user@that.domain.net>

Wed Nov 5 21:22:23 2014 Info: MID 185 matched all recipients for per-recipient policy DEFAULT in the inbound table

Wed Nov 5 21:22:24 2014 Info: MID 185 interim AV verdict using Sophos CLEAN Wed Nov 5 21:22:24 2014 Info: MID 185 antivirus negative

Wed Nov 5 21:22:24 2014 Info: MID 185 URL https:// www. udemy.com/official-udemy-instructor- course/?refcode=slfgiacoitvbfgl7tawqoxwqrdqcerbhub1flhsmfilcfku1te5xofictyrmwfcfxcvfgdkobgbcjv4b xcqbfmzcrymamwauxcuydtksayhpovebpvmdllxgxsu5vx8wzkjhiwazhg5m&utm_campaign=email&utm_source=sendg rid.com&utm_medium=email has reputation -5.08 matched url-reputation-rule

Wed Nov 5 21:22:24 2014 Info: MID 185 Custom Log Entry: <===> NEUTRAL URL! <===>

Wed Nov 5 21:22:24 2014 Info: MID 185 Outbreak Filters: verdict negative Wed Nov 5 21:22:24 2014 Info: MID 185 queued for delivery

Wed Nov 5 21:22:24 2014 Info: New SMTP DCID 26 interface 192.168.0.199 address 192.168.0.200 port 25

Wed Nov 5 21:22:24 2014 Info: Delivery start DCID 26 MID 185 to RID [0]

(8)

Wed Nov 5 21:22:24 2014 Info: Message done DCID 26 MID 185 to RID [0] [('X-IronPort-AV', 'E=Sophos;i="5.07,323,1413259200"; \r\n d="scan\'208,217";a="185"'), ('x-ironport-av', 'E=Sophos;i="5.07,323,1413244800"; \r\n d="scan\'208,217";a="93843786"')]

Wed Nov 5 21:22:24 2014 Info: MID 185 RID [0] Response '2.0.0 Ok: queued as 0F8F9801C2' Wed Nov 5 21:22:24 2014 Info: Message finished MID 185 done

Opmerking: De URL die in het vorige voorbeeld is ingebed heeft extra spaties in het URL lichaam, zodat het geen web scans of proxy detectie beweegt.

De Udemy-link in het vorige voorbeeld is niet schoon weergegeven en is NEUTRAL gescand op - 5.08. Zoals in de post-logbestanden wordt aangegeven, mag dit bericht aan de eindgebruiker worden afgeleverd.

De beheerder mag het brede bereik van neutrale (-5.90 tot 5.90) niet als indicator gebruiken.  Het kan passender zijn om een aangepaste bereik met een kleiner bereik te hebben om meer naar negatieve neutrale scoring te leunen, wat betreft het niet activeren tegen alle URL's die binnen het neutrale bereik vallen en mogelijk het maken van een valse negatieve/valse positieve actie.

Content Filters voor schone URL’s

Dit voorbeeld toont een scan voor schone URLs met de implementatie van dit inkomende inhoudfilter:

Als dit filter is geïnstalleerd, zoekt het systeem naar een URL met een schone reputatie (6.00 tot 10.00 uur) en voegt het een logbestand toe aan de maillogbestanden om de Web-Based

Reputation Score (WBRS) te activeren en op te nemen. Deze logingang helpt ook om het proces te identificeren dat wordt geactiveerd. Hier is een voorbeeld uit de maillogs:

Wed Nov 5 21:11:10 2014 Info: Start MID 182 ICID 602

Wed Nov 5 21:11:10 2014 Info: MID 182 ICID 602 From: <bad_user@that.domain.net>

Wed Nov 5 21:11:10 2014 Info: MID 182 ICID 602 RID 0 To: <joe.user@goodmailguys.com>

Wed Nov 5 21:11:10 2014 Info: MID 182 Message-ID '<D08042EA.24BA4%bad_user@that.domain.net>' Wed Nov 5 21:11:10 2014 Info: MID 182 Subject 'Starting at the start!'

Wed Nov 5 21:11:10 2014 Info: MID 182 ready 2798 bytes from <bad_user@that.domain.net>

Wed Nov 5 21:11:10 2014 Info: MID 182 matched all recipients for per-recipient policy DEFAULT in the inbound table

Wed Nov 5 21:11:11 2014 Info: MID 182 interim AV verdict using Sophos CLEAN

(9)

Wed Nov 5 21:11:11 2014 Info: MID 182 antivirus negative

Wed Nov 5 21:11:11 2014 Info: MID 182 URL http:// www .yahoo.com has reputation 8.39 matched url-reputation-rule

Wed Nov 5 21:11:11 2014 Info: MID 182 Custom Log Entry: <===> CLEAN URL! <===>

Wed Nov 5 21:11:11 2014 Info: MID 182 Outbreak Filters: verdict negative Wed Nov 5 21:11:11 2014 Info: MID 182 queued for delivery

Wed Nov 5 21:11:11 2014 Info: New SMTP DCID 23 interface 192.168.0.199 address 192.168.0.200 port 25

Wed Nov 5 21:11:11 2014 Info: Delivery start DCID 23 MID 182 to RID [0]

Wed Nov 5 21:11:11 2014 Info: Message done DCID 23 MID 182 to RID [0] [('X-IronPort-AV', 'E=Sophos;i="5.07,323,1413259200"; \r\n d="scan\'208,217";a="182"'), ('x-ironport-av', 'E=Sophos;i="5.07,323,1413244800"; \r\n d="scan\'208,217";a="93839309"')]

Wed Nov 5 21:11:11 2014 Info: MID 182 RID [0] Response '2.0.0 Ok: queued as 7BAF5801C2' Wed Nov 5 21:11:11 2014 Info: Message finished MID 182 done

Wed Nov 5 21:11:16 2014 Info: ICID 602 close Wed Nov 5 21:11:16 2014 Info: DCID 23 close

Opmerking: De URL die in het vorige voorbeeld is ingebed heeft extra spaties in het URL lichaam, zodat het geen web scans of proxy detectie beweegt.

Zoals in het voorbeeld wordt getoond, wordt Yahoo.com als RELEAN beschouwd en krijgt het een score van 8.39, wordt opgemerkt in de maillogs en wordt het aan de eindgebruiker afgeleverd.

Content Filters voor URL’s met "No Score"

"No Score" wordt gegeven voor URL's wanneer een reputatiescore niet kan worden bepaald.  Dit kunnen URL's zijn die nieuwe domeinen bevatten, of URL's die weinig tot geen verkeer hebben gezien en geen huidige score kunnen hebben.

Beheerders kunnen naar eigen goeddunken URL's zonder score verwerken.  Als er een toename is in Phish-gerelateerde e-mails en bijlagen, bekijk dan de URL-score die bij deze e-mail hoort. 

Beheerders kunnen ervoor kiezen geen score-URL’s te hebben die opnieuw zijn gericht naar de Cisco Cloud Web Security proxy-service voor poortevaluatie.

Niet-gecategoriseerde en verkeerd geclassificeerde URL’s melden

Een URL wordt soms nog niet geclassificeerd of kan verkeerd worden gecategoriseerd. Om URL’s te melden die verkeerd zijn gecategoriseerd en URL’s die niet zijn gecategoriseerd maar die wel moeten zijn, gaat u naar de pagina van Cisco URL categorization-aanvragen.

Mogelijk wilt u ook de status van ingeleverde URL’s controleren. Klik om dit te doen op de Status in het tabblad Indienen URL van deze pagina.

Kwaadaardige URL’s en marketingberichten worden niet gevonden door anti-spam of outbreak filters.

Dit kan zich voordoen omdat de reputatie en categorie van de website slechts twee van de vele criteria zijn die antispam- en uitbraakfilters gebruiken om hun beslissingen te bepalen. Om de gevoeligheid van deze filters te vergroten, verlaag de drempels die vereist zijn om actie te ondernemen, zoals het herschrijven of het vervangen van URLs met tekst, of het in quarantaine plaatsen of het laten vallen van berichten.

(10)

In plaats hiervan kunt u ook inhoud of berichtfilters maken op basis van de URL reputatiescore.

Gerelateerde informatie

Cisco e-mail security applicatie - eindgebruikershandleidingen

Technische ondersteuning en documentatie – Cisco Systems

Referenties

GERELATEERDE DOCUMENTEN

In dit artikel wordt het proces beschreven om Office 365 te vrijstellen van verificatie en decryptie op de Web Security Appliance (WSA).  Er zijn een aantal

Dit document bevat de informatie over de optie Cisco Success Network die beschikbaar zou zijn als onderdeel van de release van AsyncOS 13.5.1 voor de Cisco e-mail security

Opmerking: Alle informatie over de specifieke poort zal worden weergegeven zoals huidige configuratie, status, verkeerstellers, VLAN's, enzovoort.... Klik op Handelingen rechtsonder

Unified Border Element zelf genereert geen xRefCi-waarden, maar om overeenkomsten met Unified Communications Manager te maken bij het maken van oproepen, synthetiseert Cisco

IV) ADRESSEN VAN DE ANDERE AANBESTEDENDE DIENST NAMENS WELKE DE AANBESTEDENDE DIENST AANKOOPT (in geval van een door de aanbestedende dienst bekendgemaakte aankondiging) (1)

Cliënt: Het client certificaat, zoals de naam suggereert, wordt gebruikt door de database clients om verbinding te maken met de database server (Master). Dit certificaat moet de

In deze versie kunt u schijfruimte bieden voor het opslaan van logbestanden en het aantal logbestanden. Hier is de configuratie die de loggrootte op 5 GB instelt en het aantal

Er is een geschil ingediend maar de score of categorie wordt niet bijgewerkt op Cisco Web Security Appliance (WSA) of Cisco TALOS?. Cisco web security applicatie (WSA) die