Email security: Secure Email (ESA)

Cisco Secure Email (l’appliance storicamente nota come ESA, disponibile anche in versione cloud CES) è il gateway SMTP che ispeziona la posta in transito. Nella logica d’esame SCOR conta capire quale controllo agisce in quale fase e in quale direzione del flusso.

Architettura e listener

Secure Email intercetta le connessioni SMTP tramite listener (tipicamente uno pubblico verso Internet e uno privato verso i mail server interni come Exchange/Postfix). La prima barriera è la Host Access Table (HAT): raggruppa i mittenti in Sender Group e applica una Mail Flow Policy. Qui interviene la reputazione: il Sender Base Reputation Score (SBRS), alimentato da Talos, e le RBL/blocklist. Un IP con reputazione pessima viene rifiutato in fase di connessione (REJECT), prima ancora di accettare il messaggio: è throttling/blocco a livello di conversazione SMTP, risparmiando risorse.

La pipeline inbound: ordine delle fasi

Dopo HAT, la Recipient Access Table (RAT) decide quali destinatari accettare. Il messaggio entra poi nella work queue, dove i motori si applicano in ordine fisso:

Ricordare questa sequenza è la chiave dell’esame: reputation/HAT → anti-spam → anti-virus → AMP → graymail → content filter → outbreak filter.

Anti-spam, antimalware e AMP

L’Anti-Spam (motore CASE) analizza contenuto, struttura e reputation del mittente, assegnando un verdetto (spam positivo, spam sospetto, marketing). L’Anti-Virus blocca minacce con firme note. AMP (Advanced Malware Protection) aggiunge due capacità distinte:

• File Reputation: interroga il cloud Talos/AMP sull’hash SHA-256 dell’allegato per un verdetto immediato (clean/malicious/unknown).
• File Analysis: invia i file unknown alla sandbox Threat Grid per detonazione.
• Retrospective / Mailbox Auto-Remediation (MAR): se un file inizialmente “clean” viene poi giudicato malevolo, AMP genera un alert e può rimuovere retroattivamente il messaggio già consegnato.

Graymail e Outbreak Filters

Il Graymail non è spam: sono newsletter e bulk mail legittime a cui l’utente si è iscritto. Secure Email le classifica e offre Safe Unsubscribe, riscrivendo il link di disiscrizione per proteggere l’utente.

Gli Outbreak Filters sono l’unica difesa realmente zero-day: sfruttano le regole Talos per mettere in quarantena i messaggi durante una campagna emergente e riscrivono le URL sospette tramite URL rewriting, dirottandole verso il Cisco Web Security proxy per l’analisi al click.

Autenticazione del mittente: SPF, DKIM, DMARC

Sul flusso inbound, Secure Email verifica l’identità del mittente con tre meccanismi complementari:

• SPF: verifica che l’IP mittente sia autorizzato nel record DNS TXT del dominio (allineato al MAIL FROM).
• DKIM: controlla la firma crittografica dell’header/corpo tramite la chiave pubblica pubblicata in DNS; garantisce integrità e autenticità.
• DMARC: sfrutta SPF e DKIM richiedendo l’allineamento con il dominio del From visibile e definisce una policy (none/quarantine/reject) più il reporting aggregato verso il dominio proprietario.

Secure Email può anche firmare in DKIM la posta in uscita per farla autenticare dai gateway remoti.

Il flusso outbound: DLP e cifratura

Due funzioni agiscono tipicamente solo in uscita, sul listener privato:

• DLP (Data Loss Prevention): policy predefinite (PCI-DSS, PII, HIPAA…) intercettano dati sensibili in uscita, applicando azioni come quarantena, blocco o cifratura forzata.
• Email Encryption: integrazione con Cisco Registered Envelope Service (CRES); una violazione DLP o un content filter può marcare il messaggio per la cifratura prima della consegna.

Concettualmente: l’ispezione delle minacce guarda soprattutto ciò che entra; DLP e cifratura proteggono ciò che esce.

Trappole tipiche d’esame

• Scenario: ti chiedono l’ordine dei motori inbound → risposta: anti-spam precede anti-virus, che precede AMP, poi graymail, content filter e infine outbreak filter; HAT/reputation viene prima di tutto.
• Scenario: dove configuri DLP e cifratura → risposta: sul flusso/listener outbound, non su quello inbound.
• Scenario: protezione contro una minaccia sconosciuta/zero-day appena emersa → risposta: Outbreak Filters (quarantena + URL rewriting), non l’anti-virus a firme.
• Scenario: un allegato “pulito” alla consegna risulta poi malevolo → risposta: AMP Retrospective/MAR, che rimuove retroattivamente il messaggio.
• Scenario: garantire che il From visibile sia allineato e applicare una policy reject → risposta: DMARC (che si appoggia a SPF e DKIM), non SPF o DKIM da soli.