企業郵件伺服器處理電子郵件自動回覆的四個小提醒


趨勢科技部落格在最近的兩篇文章(休假時,你的 Outlook 自動回覆(郵件答錄機)透漏太多訊息?!退信和讀取回條自動回覆的風險)中討論了關於電子郵件自動回覆所可能引來的威脅,從外出通知(Out-of-Office Notification)到未送達報告(Non-Delivery Notification)。這些都可能會洩漏資訊而遭到利用。所以管理者和使用者可以做什麼來應對這種威脅,幫助保護他們的環境?

雖然我們一直強調教育用戶的重要性,但在這裡,加強伺服器設定也是必須的。沒有道理只依賴於使用者設定,因為那有可能會失誤(而且經常發生)。

只送外出通知給企業內部人員。
企業郵件伺服器需要對是否發送外出通知做好精細的控制。一個很好的作法就是只送外出通知給企業內部人員。如果外部人士需要收到這些通知,可以視需要來加入白名單。不過預設應該是不送外出通知到企業外部。

 郵件伺服器應該設定為不送退信通知到企業外部。
同樣的,郵件伺服器應該設定為不送退信通知到企業外部。

退信通知不該包含大量原始信件的內容
另一點很重要的是,退信通知不該包含大量原始信件的內容,因為這麼做就可能會被利用在垃圾郵件(SPAM)攻擊上。(RFC 3834明確地建議了這點。)

 讀取回條不要送到企業外部。

至於讀取回條,趨勢科技再次建議不要送到企業外部。這可以經由拿掉所有內送郵件的送出回條參數(Disposition-Notification-To)標頭來做到,以確保不會將讀取回條送給任何可能的攻擊者,同時也讓內部郵件保持這功能。

總和以上幾點,這些最佳作法會防止發送自動回覆,我們之前所討論過的可能組織資訊洩漏來源。此外,用戶教育(尤其是外出通知)也會有所幫助。

@原文出處:Best Practices for Email Autoreplies作者:Jon Oliver(軟體架構總監)

◎延伸閱讀

休假時,你的 Outlook 自動回覆(郵件答錄機)透漏太多訊息?!

《APT 攻擊》退信和讀取回條自動回覆的風險

 

PC-cillin 2013 雲端版跨平台同時支援Win、Mac及Android手機與平板,立即下載試用

PC-cillin 2013雲端版跨平台同時支援Win、Mac及Android手機與平板,立即下載

想了解更多關於網路安全的秘訣和建議,只要到趨勢科技粉絲網頁 或下面的按鈕按讚

◎即刻加入趨勢科技社群網站,精彩不漏網