Как исправить спам-сообщения в средстве просмотра очереди Exchange Server

Что такое backscatter в Exchange Server

Типичный сценарий выглядит следующим образом: спамер отправляет сообщение на несуществующий адрес в вашем домене и подставляет в поле отправителя чужой или несуществующий адрес.

Если почтовая система сначала принимает такое сообщение, а уже после этого определяет, что получателя не существует, она может сформировать отчёт о недоставке — NDR (Non-Delivery Report).

В результате Exchange пытается отправить NDR на адрес, указанный злоумышленником в качестве отправителя.

Спамер
   ↓
поддельный адрес отправителя
   ↓
письмо на несуществующий адрес вашего домена
   ↓
Exchange принимает сообщение
   ↓
получатель не найден
   ↓
создаётся NDR
   ↓
NDR отправляется на поддельный адрес

Это и называется backscatter.

Почему backscatter опасен

Большое количество таких сообщений создаёт сразу несколько проблем:

заполняет очереди Exchange Server;
создаёт дополнительную нагрузку на транспортные службы;
генерирует ненужный исходящий SMTP-трафик;
затрудняет поиск действительно проблемных сообщений в очередях;
может отрицательно сказаться на репутации исходящей почты.

Поэтому просто периодически очищать очередь недостаточно. Необходимо найти источник сообщений и изменить схему обработки входящей почты.

Как проверить очередь Exchange Server

Сначала посмотрим, действительно ли очередь заполнена нежелательными сообщениями.

Откройте Exchange Toolbox.
Запустите Queue Viewer.
Найдите очередь, в которой скопилось большое количество сообщений.

Просмотр очередей Exchange Server через Queue Viewer

Откройте проблемную очередь и изучите находящиеся в ней сообщения.

Сообщения в очереди Exchange Server

Перед массовым удалением обязательно откройте несколько сообщений и проверьте:

адрес отправителя;
адрес получателя;
тип сообщения;
причину нахождения в очереди;
последнюю ошибку доставки.

Проверка сообщения в Queue Viewer Exchange Server

Как защитить Exchange Server от backscatter

Удаление накопившихся сообщений устраняет только последствия. Чтобы очередь снова не заполнилась, необходимо правильно организовать обработку входящей почты.

Отклоняйте неизвестных получателей до приёма сообщения

Лучший сценарий — определить, существует ли получатель, ещё во время SMTP-сеанса.

Если адрес не существует, принимающая сторона должна отклонить сообщение SMTP-ошибкой, вместо того чтобы сначала принять письмо, а затем создавать NDR.

Нежелательный вариант:

SMTP → сообщение принято → получатель не найден → создаётся NDR


Предпочтительный вариант:

SMTP → получатель проверен → получатель не существует → сообщение отклонено

Во втором случае ответственность за уведомление настоящего отправителя остаётся на сервере, который первоначально отправлял сообщение.

Не открывайте Exchange напрямую в Интернет без необходимости

Если перед Exchange используется отдельный почтовый шлюз или система фильтрации, входящий SMTP-трафик должен поступать на Exchange именно от этого шлюза.

Типовая схема выглядит так:

Интернет
   ↓
Почтовый шлюз / антиспам
   ↓
Exchange Server
   ↓
Почтовые ящики

В этом случае на сетевом уровне можно ограничить SMTP-доступ к Exchange разрешёнными адресами почтового шлюза.

Проверьте Receive Connector

При расследовании проблемы проверьте конфигурацию Receive Connector на Exchange Server.

Особое внимание стоит обратить на:

Remote network settings;
разрешённые IP-адреса;
Permission Groups;
Authentication;
наличие коннекторов, созданных ранее для приложений и SMTP Relay.

Отдельно убедитесь, что Exchange Server случайно не настроен как Open Relay.

Проверьте исходящий почтовый маршрут

Если организация использует внешний почтовый шлюз не только для входящей, но и для исходящей фильтрации, соответствующим образом должен быть настроен и Send Connector.

Тогда схема будет выглядеть следующим образом:

Exchange Server
   ↓
Почтовый шлюз / Smart Host
   ↓
Интернет

Это позволяет централизованно контролировать исходящую почту, применять антиспам-политики и анализировать подозрительную активность.

Как удалить спам из Queue Viewer

После того как причина появления сообщений найдена и устранена, можно очистить уже накопившуюся очередь.

Откройте:

Exchange Toolbox → Queue Viewer.

Найдите нужную очередь и отфильтруйте сообщения, которые необходимо удалить.

Перед массовой операцией ещё раз проверьте несколько сообщений.

Затем:

выделите нежелательные сообщения;
нажмите Remove Messages;
выберите удаление без отправки NDR.

Удаление сообщений из Queue Viewer Exchange Server без отправки NDR

Если Queue Viewer предлагает расширить область действия операции на все сообщения, соответствующие текущему фильтру, внимательно проверьте сам фильтр.

Расширение области удаления сообщений в Queue Viewer

Подтвердите массовое действие только после проверки выбранной области.

Подтверждение массового удаления сообщений Exchange Server

После завершения операции снова проверьте очередь.

Очистка очереди Exchange Server от нежелательных сообщений

Удаление сообщений через Exchange Management Shell

Если сообщений очень много, работать через Queue Viewer может быть неудобно. Состояние очередей можно посмотреть через Exchange Management Shell:

Get-Queue

Для просмотра сообщений:

Get-Message -Queue "SERVER\QueueIdentity"

Перед удалением обязательно сформируйте максимально точный фильтр и сначала проверьте его результат:

Get-Message -Filter "условие"

И только убедившись, что фильтр возвращает исключительно ненужные сообщения, используйте его для удаления:

Get-Message -Filter "условие" | Remove-Message -WithNDR $false

Что проверить после очистки очереди

Через некоторое время после удаления сообщений снова выполните:

Get-Queue

Обратите внимание на:

MessageCount — количество сообщений;
Status — состояние очереди;
NextHopDomain — направление доставки;
LastError — последнюю ошибку.

Если количество сообщений снова быстро увеличивается, значит причина не устранена и простая очистка очереди проблему не решает.

Часто задаваемые вопросы

Что такое backscatter?

Backscatter — это нежелательные сообщения о недоставке, отправляемые на поддельные адреса отправителей. Обычно проблема возникает, когда почтовая система сначала принимает сообщение, а затем обнаруживает невозможность его доставки и формирует NDR.

Почему в очереди Exchange появляется большое количество NDR?

Причин может быть несколько: массовая рассылка на несуществующие адреса, подделка адресов отправителей, ошибки маршрутизации, проблемы с внешней доставкой или неправильная конфигурация почтовой инфраструктуры. Поэтому сначала необходимо изучить свойства сообщений и LastError.

Можно ли просто удалить все сообщения из очереди?

Технически сообщения удалить можно, но массовая очистка без анализа опасна. В очереди могут находиться легитимные письма. Сначала определите причину и сформируйте точный фильтр.

Почему спам лучше удалять без отправки NDR?

Если исходный адрес отправителя подделан, дополнительный NDR будет отправлен постороннему получателю и фактически продолжит backscatter. Поэтому подтверждённый нежелательный трафик из очереди обычно удаляют без формирования нового NDR.

Обязательно ли устанавливать отдельный антиспам-шлюз перед Exchange?

Нет. Архитектура зависит от инфраструктуры организации. Можно использовать отдельный почтовый шлюз, облачную фильтрацию или возможности самой почтовой системы. Главное — не принимать заведомо нежелательные сообщения там, где их можно отклонить ещё во время SMTP-сеанса.

Как понять, что Exchange является Open Relay?

Open Relay позволяет неавторизованному внешнему отправителю использовать ваш Exchange для пересылки сообщений на сторонние внешние домены. Если есть подозрение на такую конфигурацию, необходимо проверить Receive Connectors, их RemoteIPRanges, Authentication, Permission Groups и назначенные разрешения.

Что делать, если после очистки очередь снова заполняется?

Это означает, что была устранена только симптоматика. Проверьте источник сообщений, Receive и Send Connectors, маршрутизацию, SMTP Relay, фильтрацию получателей и журналы транспорта Exchange.

Заключение

Большое количество спам-сообщений и NDR в очереди Exchange Server нельзя лечить только периодической очисткой Queue Viewer. Сначала необходимо определить, почему сервер принимает или создаёт эти сообщения.

При защите от backscatter основной принцип заключается в том, чтобы по возможности отклонять сообщения для несуществующих получателей ещё во время SMTP-сеанса, а не принимать их с последующим созданием NDR.

Если перед Exchange используется отдельный почтовый шлюз, стоит ограничить прямой SMTP-доступ к серверу и разрешить соединения только от доверенных систем. После устранения причины уже накопившиеся нежелательные сообщения можно безопасно удалить через Queue Viewer или Exchange Management Shell без формирования дополнительных NDR.

Вам понравилась эта статья? Тогда вам, скорее всего, будет интересна другая полезная статья Как установить сертификат ECC (Elliptic Curve Cryptography) в Exchange Server.