Warum Sie Domain- und Hash-Blocklists anwenden sollten

Die Grundlagen des E-Mail-Filters

In diesem Artikel geht es nicht in erster Linie darum, wo im Filterprozess Blocklists angewendet werden sollten. Im Allgemeinen werden IP-Blocklists ganz oben in der Filterkaskade eingesetzt, nämlich am SMTP-Gateway. Anschließend sollte der Inhalt mithilfe von Domain- und Hash Blocklists gefiltert werden.

Doch nichts ist nur schwarz und weiß. Es gibt gute Gründe dafür, Domain Blocklists am SMTP-Gateway zu nutzen, und weitere gute Gründe dafür, IP-Blocklists beim Content-Filter anzuwenden. Diese technischen Finessen wollen wir hier beiseite lassen und lediglich beleuchten, warum Sie zusätzlich zu IP-Blocklists auch Domain, Zero Reputation und Hash Blocklists anwenden sollten.

Die wirtschaftlichen Hintergründe von IP und Domain

Cyberkriminelle sind in der überwiegenden Zahl der Fälle nur daran interessiert, so schnell und leicht wie möglich an Geld zu kommen. Eines unserer Ziele besteht darin, die mit diesen illegalen Aktivitäten verbundenen Kosten so hoch wie möglich zu treiben, damit sich das Ganze nicht mehr lohnt. Können die Betrüger kein Geld mehr damit verdienen, suchen sie sich bald ein anderes Betätigungsfeld.

Warum nutzen wir Domain Blocklists?

IP-Adressen sind billig. Betrüger können ganz leicht einen virtuellen privaten Server (VPS) bei einer Hostingfirma einrichten und für ganz wenig Geld eine neue IP erhalten. Domains kosten Ressourcen – sowohl in finanzieller Hinsicht (das Geld für den Kauf) als auch zeitlicher Hinsicht (die Zeit für die Einrichtung). Daher ist der Strom nicht unbegrenzt.

Außerdem müssen Domains registriert werden, bevor man sie nutzen kann. Das bietet uns die folgende einmalige Gelegenheit: Wenn wir wissen, dass eine Domain existiert und bösartig ist, bevor sie überhaupt verwendet wird, können unsere Nutzer schon die ersten von dort versendeten bösartigen E-Mails ohne blockieren, sodass die Bedrohung schnell bekämpft ist. Damit sind Sie der Bedrohung einen Schritt voraus.

Warum nutzen wir Blocklists neu registrierter Domains?

Hat Ihr Unternehmen schon einmal E-Mails von einer Domain versendet, die gerade erst registriert wurde? Die Antwort lautet vermutlich „Nein“. Bei legitimen Unternehmen dauert es Wochen, wenn nicht Monate oder Jahre, bis sie Domains in E-Mails verwenden.

Es ist jedoch sehr wahrscheinlich, dass diejenigen, die Domains in bösartiger Absicht registrieren, die Domain sofort nutzen, bevor sich die schlechte Reputation herumgesprochen hat. Darum bietet die Filterung Ihrer E-Mails anhand einer Liste von Domains, die gerade erst registriert worden sind, zusätzlichen Schutz.

Warum nutzen wir Hash Blocklists?

Bösewichte versuchen, cleverer als diejenigen zu sein, die das Internet schützen wollen. Und wie könnte man sich schneller eine gute Reputation zulegen, als die eines vorhandenen, legitimen Kontos zu kapern? Wenn das betreffende Konto zu einem großen Provider wie z. B. Gmail gehört, kann man es über die IP oder Domain nicht blockieren. Bösewichte wissen das natürlich.

An dieser Stelle kommen Hash Blocklists zum Einsatz. Dabei kann eine Liste kryptografischer Hashes „böser“ E-mail-Adressen abgefragt werden; durch die Verwendung von Hashes werden mögliche Datenschutzbedenken ausgeräumt, die bestehen, wenn E-Mail-Adressen von Personen durch die Gegend geschickt werden. Unternehmen, die eine E-Mail-Infrastruktur betreiben und die Hash Blocklist anwenden möchten, können einen Hash der E-Mail-Adressen generieren und die Abfrage und Prüfung auf dieser Grundlage durchführen. Gibt es eine Übereinstimmung, wird die betroffene E-Mail als bösartig gekennzeichnet.

Cryptowallet Hash Blocklists

Ein weiterer aktueller Trend sind „Sextortion“-E-Mails Das gemeinsame Element ist der Einschluss von Wallet-IDs als Zahlungsmittel. Diese Cryptowallet-IDs werden gehasht und in der Hash Blocklist gelistet, das heißt, auch wenn diese E-Mails von Konten gesendet werden, die legitim erscheinen, können sie erfolgreich blockiert werden.

Malware Hash Blocklists

Zu guter Letzt gibt es noch die Malware-Dateien. Sie haben es schon erraten. Auch diese können gehasht werden, um E-Mails mit verdächtigen Anhängen zu blockieren, die möglicherweise durch die Maschen der IP- und Domain-Filter geschlüpft sind oder von legitimen Mailservern oder Konten gesendet wurden.

Auch wenn dieser Schutzmechanismus keinesfalls Ihre Standard-Antivirenprogramme ersetzen soll, kann er die Lücke schließen, die durch neu beobachtete Malware-Binärcodes entsteht, die von Ihrer AV-Engine noch nicht erkannt werden.

Alle Hash Blocklists sollten in Ihren Content-Filter integriert werden, z. B. SpamAssassin oder Rspamd.

Zusätzlicher automatischer Schutz

Ja, IP-Blocklists können den größten Teil der Spam-E-Mails herausfiltern. Doch was ist mit dem restlichen Prozent der per E-Mail verbreiteten Bedrohungen, dem es gelingt, ans Ziel zu kommen? Mit einigen einfachen Änderungen an Ihrer E-Mail-Infrastruktur können Sie sich automatisch davor schützen. Dazu benötigen Sie keine zusätzliche Hardware, und die Datensätze werden automatisch mit den neuesten Erkenntnissen unserer Recherchespezialisten aktualisiert. Wer würde sich das nicht wünschen?