Diseño seguro para manejar archivos adjuntos de correo

El escaneo es realmente la mejor y la única opción. Tienes que otorgar acceso al mensaje de alguna forma o forma. Para cualquier situación que pueda proponer para acceder a la información, un atacante lo suficientemente avanzado podría evitarla. Puede intentar ver el mensaje en una máquina virtual, pero el atacante podría incluir un virus capaz de evitar el hipervisor. Supongo que se le podría garantizar la seguridad si descargó cada mensaje a una computadora nueva, se desconectó de Internet, leyó el mensaje y luego desconectó la computadora de la órbita antes de leer el siguiente mensaje, pero es probable que sea un poco excesivo. Además de eso, la búsqueda de problemas antes de abrirlo es la mejor opción, posiblemente utilizando un entorno de VM para hacerlo como un segundo nivel de protección si realmente lo considera necesario.

El consejo más práctico nunca es abrir nada de un remitente desconocido o inesperado ... nunca.

Podrías forzar una traducción automática de "archivos sospechosos" como PDF: en sandbox (por ejemplo, una máquina virtual), ejecutas Ghostscript para convertir el PDF en PCL; luego, en otra máquina virtual, utiliza GhostPDL para reconstruir un archivo PDF. El PDF resultante (con suerte) dará como resultado los mismos contenidos gráficos (visualizados o impresos), pero se habrá eliminado el Javascript u otro contenido avanzado. Esto debería hacer que los archivos PDF sean "seguros" siempre y cuando PCL no esté "actualizado" para admitir scripting.

Ya que esto romperá algunos archivos PDF (se pueden esperar problemas con las fuentes, en particular) y eliminará las características de PDF (por ejemplo, las notas adjuntas al archivo, o campos de formulario), los usuarios lo odiarán por eso, y buscarán para formas alternativas de propagar los archivos PDF reales a pesar de sus filtros (por ejemplo, cámbieles el nombre a .txt, codifíquelos en Base64 pegados en el cuerpo del correo electrónico, transmita el archivo con Dropbox , simplemente cambie a enlace ...). Una vez que haya convertido a sus usuarios en enemigos activos , la seguridad se perderá para siempre. Así que no hagas eso.

Mailscanner es una buena manera. No sé si lo detecta todo, pero filtrará todo el correo que llega a su entorno y también puede informarle diariamente si se filtró algo (el correo marcado como posible spam está en cuarentena y no se envía a la bandeja de entrada de un usuario). y dar al usuario la opción de liberar el correo. También bloqueará los archivos adjuntos, aunque no estoy seguro al 100% de lo bueno que será detectar el firmware de la impresora dentro de los archivos PDF ...