Карантин в защите почты — изолированное хранилище, куда шлюз помещает подозрительные письма, не доставляя их получателю. Администратор смотрит такие письма и решает, что с ними делать: выпустить, оставить или заблокировать отправителя. В этой статье показано, как выглядит такая работа на практике: два сценария лабораторных работ BI.ZONE Mail Security шаг за шагом.
Лабораторные работы проходят на изолированном стенде в браузере. Участнику не нужно ничего устанавливать: продукт уже развернут, а платформа BI.ZONE Education проверяет результат автоматически. Подробнее о классе решений читайте в статье «Что такое Mail Security».
Зачем нужна такая практика
Карантин решает две противоположные задачи, и обе встречаются в работе. Первая задача: задержать вредоносное письмо, пока его не прочитал сотрудник. Вторая задача: быстро вернуть получателю письмо, которое шлюз задержал по ошибке. Если администратор не умеет читать вердикт, он либо пропускает атаку, либо срывает рабочую переписку.
На стенде оба случая можно проверить безопасно. Письма тестовые, получатель условный, поэтому ошибка не приводит к последствиям для настоящей почты. Участник видит, как продукт принял решение, и учится объяснять его заказчику простыми словами. Именно такое объяснение просят легенды заданий: «объясните разницу».
Что входит в стенд
В лабораторной работе участник получает доступ к двум машинам:
- сервер BI.ZONE Mail Security с веб-консолью, где находятся карантин, политики и статистика сообщений;
- целевой почтовый сервер с веб-почтой, где видна почта, прошедшая фильтрацию.
Каждое задание начинается с легенды. Это короткое сообщение от условного заказчика с проблемой, которую нужно решить. Затем идут шаги, автоматические проверки и вопросы.
Сценарий 1. Базовый карантин: два письма и разные вердикты
Первая лабораторная работа называется «Фишинг: базовый карантин». Легенда звучит так: на почтовый шлюз пришли два письма, нужно отправить их, проверить, как их обработал Mail Security, и объяснить разницу.
Шаг 1. Отправьте чистое письмо
На странице задания нажмите кнопку «Отправить чистое письмо». Платформа отправит через шлюз продукта письмо с темой «Отчёт по заказу за июль» от имени внешнего отправителя. Такое письмо должно дойти до получателя.
Откройте веб-почту на целевом почтовом сервере и убедитесь, что письмо лежит во входящих.
Шаг 2. Отправьте письмо с подозрительной ссылкой
Нажмите кнопку «Отправить письмо с подозрительной ссылкой на портал». Тема письма — «Подтвердите доступ к корпоративному порталу». В нем ссылка на поддельный портал, и отправитель выдает себя за службу безопасности.
В веб-почте этого письма нет. Значит, шлюз его не доставил.
Шаг 3. Найдите письмо в карантине
Откройте веб-консоль Mail Security и перейдите в раздел карантина. Найдите письмо по теме. Посмотрите, какое правило или движок сработали, и определите причину решения.
Шаг 4. Ответьте на вопрос и сдайте задание
Платформа автоматически проверяет состояние обоих писем в продукте. Для зачета нужны три условия:
| Проверка | Что проверяет платформа |
|---|---|
| Чистое письмо доставлено | Письмо с отчетом не находится в карантине |
| Письмо со ссылкой на портал | Письмо находится в карантине Mail Security |
| Вопрос о категории | Участник выбрал категорию письма, которое ушло в карантин |
Статус каждой проверки виден в прогрессе участника. Если проверка не прошла, вернитесь к консоли и посмотрите, что произошло с письмом.
Сценарий 2. Расследование рассылки: найти и остановить
Во второй лабораторной работе, «Расследование фишинг-кампании», задача сложнее. Платформа заранее отправила серию писем с QR-кодом: «срочная регистрация в корпоративной бонусной программе». Продукт сам поместил эти письма в карантин. Но отправителей никто не заблокировал, и рассылка может продолжиться.
Шаг 1. Найдите кампанию в карантине
Письма кампании имеют общий префикс темы и приходят с двух доменов-отправителей. Среди них лежат «шумовые» письма, не связанные с кампанией. Отберите нужные по теме и отправителю.
Шаг 2. Определите источники
Выпишите домены, с которых шла рассылка, и посчитайте письма кампании без шумовых. Эти данные понадобятся для ответов на вопросы в конце задания.
Шаг 3. Заблокируйте отправителей
Карантин останавливает только уже пришедшие письма. Чтобы кампания не продолжилась, заблокируйте обоих отправителей штатным механизмом продукта: «Быстрые правила». Тот же результат дает действие «Блокировать сообщения отправителя» прямо из карантина. Засчитывается блокировка по адресу отправителя или по домену целиком.
Шаг 4. Включите проверку QR-кодов
Кампания использовала QR-код, чтобы обойти анализ текста. На стенде проверка QR-кодов выключена. Найдите настройку в консоли и включите ее.
Настройки продукта находятся в головной организации. Если переключатель организаций вверху консоли стоит на организации лаборатории, раздел настроек ответит «Нет доступа». Верните переключатель на головную организацию.
Шаг 5. Ответьте на вопросы
В конце задания нужно указать домены отправителей и число писем в кампании. Платформа отдельно проверяет, что оба отправителя заблокированы, а проверка QR-кодов включена.
Что отрабатывает участник
| Навык | Где проявляется |
|---|---|
| Определить вердикт по письму | Сценарий 1, шаги 1–3 |
| Отличить доставленное письмо от задержанного | Сценарий 1, шаги 1–2 |
| Найти связанные письма среди шума | Сценарий 2, шаги 1–2 |
| Заблокировать отправителя штатным механизмом | Сценарий 2, шаг 3 |
| Изменить настройки проверки | Сценарий 2, шаг 4 |
Смежные темы изучаются в других работах курса. Например, в работе «Вложения и вердикты» участник возвращает получателю ложно заблокированное письмо с запароленным архивом и создает правило-исключение по имени вложенного файла.
Как проверить себя после работы
- Вы можете объяснить заказчику, почему одно письмо доставлено, а другое задержано.
- Вы знаете, где в консоли смотреть сработавшее правило.
- Вы отличаете блокировку по адресу от блокировки по домену и понимаете, когда нужна вторая.
- Вы помните, что настройки продукта лежат в головной организации.
Ошибки новичков
- Искать письмо только в веб-почте. Задержанные письма там не появляются, их место в карантине.
- Блокировать только один домен, когда рассылка идет с двух.
- Включать настройки в организации лаборатории вместо головной организации.
- Считать работу законченной после блокировки: проверку QR-кодов тоже нужно включить.
- Не читать, какое правило сработало. Эта запись объясняет вердикт и нужна для ответа заказчику.
Частые вопросы
Что такое карантин в Mail Security?
Это изолированное хранилище для подозрительных писем. Получатель их не видит, а администратор продукта проверяет содержимое и решает, выпустить письмо или заблокировать отправителя.
Нужно ли устанавливать Mail Security для лабораторной работы?
Нет. Продукт уже развернут на стенде, а консоль открывается в браузере. Устанавливать и настраивать с нуля его потребуется только в тех работах, где этого требует задание.
Как платформа проверяет выполнение?
Платформа автоматически смотрит на состояние в самом продукте: где находится письмо, есть ли правило блокировки, включена ли настройка. Отдельные вопросы проверяются по ответу участника.
Какие угрозы почты разбираются на практике?
В описанных работах это фишинговые ссылки, QR-фишинг, вредоносные вложения и ложные срабатывания. О защите от BEC и подмены отправителя читайте в статье «Защита от фишинга и BEC».
Кому подойдет такая практика?
Инженерам внедрения и администраторам почтовых систем, которые отвечают за защиту корпоративной почты, и специалистам техподдержки. Для тех, кто работает с готовой системой, подходит формат сценарных лабораторий уровня BCS.
Практика на стендах
Такие работы входят в подготовку по BI.ZONE Mail Security. Технический курс уровня BCE — «Внедрение и администрирование BI.ZONE Mail Security», 40 часов. Для тех, кто работает с готовой системой, есть курс уровня BCS «Работа с BI.ZONE Mail Security» с форматом сценарных лабораторий. Полная программа — на хабе обучения по BI.ZONE Mail Security. Принципы работы фильтрации почты разобраны в статье «Как работает защита почты».