Riesgo de enrutar correos electrónicos maliciosos a través de la infraestructura de correo electrónico interna

Question

Riesgo de enrutar correos electrónicos maliciosos a través de la infraestructura de correo electrónico interna

#1 de Steffen Ullrich (4 votos)
#2 de davidb (3 votos)
#3 de techraf (1 votos)

5

Esta ha sido una pregunta mía desde hace mucho tiempo y no he podido encontrar una respuesta satisfactoria, así que espero que alguien aquí pueda ayudarme.

Mi pregunta es: imagínese que se está enviando un correo electrónico a Internet utilizando la infraestructura de correo electrónico interna de una organización (Microsoft Exchange, etc.). Si este correo electrónico tiene un archivo adjunto malicioso o un script malicioso incrustado en el cuerpo del correo electrónico, supongo que el riesgo de compromiso es solo para el destinatario y no para la propia infraestructura de correo electrónico.

Las discusiones con colegas siempre dan como resultado que debemos asumir que hay un riesgo para la infraestructura de correo electrónico, pero nadie parece poder articular cuál es el riesgo y cómo es posible un compromiso de la infraestructura de correo electrónico.

¿Puede alguien ayudarme aquí?

email

pregunta kaidranzer 18.08.2016 - 10:47

fuente

3 respuestas

Lea otras preguntas en las etiquetas email

Algoritmos criptográficos del kernel de Linux: ¿potencial de explotación? ¿Es posible que un usuario sin privilegios modifique / inyecte en el proceso de otro usuario (raíz)?

score 4 · Answer 1

Esto depende de si el correo solo se enruta (es decir, un MTA simple) o si se realizará algún tipo de análisis más profundo (firewalls, IPS, BDS ...). En el primer caso probablemente no haya mucho riesgo. Pero en el último caso es posible que el malware sea extraído y analizado por algún middleware. Este análisis es un tema complejo y, a menudo, contiene errores. En el peor de los casos, el propio sistema de análisis podría verse comprometido de esta manera.

Esto no es un ataque hipotético. Tales ataques ocurrieron contra FireEye BDS donde se realiza el monitoreo pasivo del tráfico realizado por BDS podría convertirse en una hazaña. Y otro problema similar existía con Symantec Endpoint Protection que incluye Symantec Email Security. Y probablemente otros también se vean afectados.

score 3 · Answer 2

Este tema puede ser altamente hipotético, pero siempre que tenga un sistema conectado a Internet que esté procesando datos de clientes, existe el riesgo de una vulnerabilidad en el código que se utiliza para procesar estos datos.

Cuando se trata de la infraestructura de correo electrónico, esta vulnerabilidad de vulnerabilidad se encuentra en una parte del software del lado del servidor o en las soluciones antispam / virus. Esto es especialmente crítico porque este software tiene casi en todos los casos al menos administrativos, si no privilegios del sistema. En realidad, había una vulnerabilidad de en symantecs AV / Antispam solutions Eso podría ser activado simplemente enviando un correo. Si tiene una solución de este tipo instalada en su servidor de correo, es posible que se infecte con solo pasar un correo electrónico mientras lo escanea.

score 1 · Answer 3

La "infraestructura de correo" moderna realiza muchas más tareas que la simple transmisión de datos pasivos, por lo que podría convertirse en un objetivo para el atacante.

Particularmente, es:

almacena los datos, a menudo en estructuras complejas
indexa los datos
inspecciona los datos
activa reglas automatizadas basadas en los datos

Estas acciones implican el procesamiento de datos y, en efecto, abren la posibilidad de explotar el sistema.

Dado que las funciones de estos sistemas están bien definidas y limitadas en comparación con una PC, y dada la falta de interacción del usuario, las posibilidades de una violación son pequeñas pero no nulas.

Si bien la mayor parte debe ser una preocupación para los desarrolladores, la noción del riesgo para la infraestructura de correo electrónico, es decir, que el servidor del centro comercial podría verse comprometido, debería alentar a los administradores a implementar prácticas de seguridad como el aislamiento del servidor y la supervisión adecuada.

Lidiar con la incertidumbre es una parte de la seguridad y, por ejemplo, si observa la descripción de una de las vulnerabilidades de Microsoft Exchange ( CVE-2013-0418 ) no requiere ser" especificado "y" conocido "para ser considerado una amenaza:

Vulnerabilidad no especificada en el componente Oracle Outside In Technology en Oracle Fusion Middleware 8.3.7 y 8.4 permite a los atacantes dependientes del contexto afectar la disponibilidad a través de vectores desconocidos relacionados con (. ..)