Un banner SMTP esterno può rivelare poco più di un “gateway di posta”. Uno scanner potrebbe definirlo mascherato, generico o incoerente con un nome host. Il passaggio successivo consiste nell'identificare l'osservazione esatta e verificare se influisce sul comportamento della posta richiesto. Una versione del prodotto nascosta non è una prova che il server sia sicuro e un saluto generico non è una prova che l'autenticazione non sia riuscita.
Identità separata dalla divulgazione del prodotto
La sintassi di saluto di SMTP e l'identificazione del server hanno un significato di protocollo. I nomi dei prodotti e le stringhe di versione dettagliate sono informazioni aggiuntive e non un requisito per esporre pubblicamente la versione del software sottostante. Esaminare la riga 220 effettiva rispetto ai requisiti SMTP pertinenti invece di considerare obbligatoria la stringa con marchio preferito dello scanner. RFC 5321 sezioni 4.2 e 4.3.
Se al messaggio di saluto manca l'identificazione del server richiesta, distinguerlo dall'omissione intenzionale di una versione del software. RFC 5321 consente un nome di dominio o un indirizzo letterale nella sintassi del saluto; è preferibile il nome host primario, con un indirizzo letterale disponibile quando non esiste un nome significativo. Mantieni questi problemi separati nel rapporto. Un proxy o un gateway può anche produrre il banner visibile esternamente mentre un diverso sistema interno elabora la posta. Il testo esterno potrebbe quindi identificare il servizio perimetrale piuttosto che la piattaforma di posta elettronica.
Conferma ciò che lo scanner ha testato
Registra l'indirizzo di destinazione, la porta, il timestamp, il punto di osservazione della rete e la risposta non modificata. Determina se lo scanner ha aspettato il messaggio di saluto normale, inviato EHLO, ha richiesto TLS o è stato interrotto dopo un timeout. Alcuni sistemi riceventi ritardano o limitano intenzionalmente l'interazione con clienti sospetti e l'osservazione non dovrebbe essere generalizzata oltre il percorso testato.
Non dedurre la versione del software interno da un banner generico o da un'ipotesi dello scanner. L'individuazione delle versioni e la valutazione delle vulnerabilità richiedono un inventario autorizzato e prove di servizio. Un banner può essere configurato o contraffatto; non si tratta né di una distinta base del software né di una prova dell'installazione di una patch. Evitare di modificare il server esclusivamente per fare in modo che lo scanner visualizzi l'etichetta del prodotto preferito.
Testare le funzionalità di posta in modo indipendente
Un controllo funzionale autorizzato dovrebbe preservare le capacità EHLO , la transizione TLS ove applicabile, la gestione del destinatario previsto e la risposta finale della transazione. Controllare DNS e autenticazione del mittente attraverso le proprie prove. Un avviso sulla presentazione non stabilisce lo stato di nessuno di questi controlli.
Confronta due saluti ipotetici: 220 gateway.example ESMTP Product 1 e 220 gateway.example mail gateway. Entrambi mantengono un'identità di dominio mentre il secondo omette la versione del prodotto. Ciò illustra la distinzione tra identificazione del protocollo e dettagli software opzionali; non certifica la piena conformità né prova che qualche server sia stato modificato.
Il testo del messaggio di saluto SMTP è esterno al file intestazioni dei messaggi e corpo coperto da DKIM. Una modifica del solo banner quindi non modifica di per sé il contenuto del messaggio firmato, ma un vero e proprio cambiamento di configurazione necessita comunque di controlli funzionali indipendenti. Se cambia anche il contenuto, valutalo separatamente invece di incolpare o dare credito al banner. Per questo confronto non è stato eseguito alcun test SMTP o crittografico. RFC 6376.
Decidere se è giustificata una modifica della configurazione
Classificare con precisione il risultato: divulgazione di versioni non necessarie, identità di protocollo insufficiente, mancata corrispondenza dei nomi che richiede una revisione dell'architettura o limitazione dello scanner. Ottieni le indicazioni attuali sulla configurazione del proprietario del gateway prima di modificare un'appliance supportata o un servizio gestito. Una modifica a un servizio perimetrale può influire su più domini, tenant o percorsi in entrata.
Se una modifica del banner supportata viene approvata, preserva il valore esistente e il metodo di rollback, mantieni la sintassi e l'identità del servizio richieste ed evita di aggiungere nomi host interni sensibili. Non rimuovere le funzionalità del protocollo né modificare il comportamento TLS semplicemente per ridurre la quantità di informazioni visualizzate dallo scanner. Nascondere le informazioni non sostituisce l'applicazione di patch, il controllo degli accessi o il monitoraggio degli abusi.
Chiudi con una conclusione ristretta
Ripeti lo stesso controllo autorizzato dallo stesso punto di vista e conferma che il normale funzionamento della posta rimane intatto. Registra se l'avviso originale è scomparso e se il problema relativo al protocollo sottostante è stato effettivamente risolto. Si tratta di risultati diversi: uno scanner può smettere di lamentarsi senza un miglioramento materiale della sicurezza.
Per un banner intenzionale invariato, conservare la motivazione e l'evidenza funzionale indipendente. Se l'identificazione richiesta del gateway rimane poco chiara, lasciare aperta la questione specifica al suo amministratore. Non pubblicizzare un banner generico come prova della sicurezza della posta elettronica, del miglioramento della consegna o della legittimità del mittente.
Classificare l'avviso prima di modificarlo
- Identità del protocollo mancante: ispeziona la sintassi di saluto effettiva e l'endpoint previsto.
- Versione prodotto omessa: distinguere la divulgazione facoltativa dall'identificazione del servizio.
- Ipotesi sul prodotto scanner: confermare con l'inventario autorizzato.
- Modifica banner approvata: preserva il rollback e testa il comportamento normale separatamente.
- Conclusione sulla sicurezza: documentare i risultati limitati, non affermare che il mascheramento rende la posta sicura.