Comment fonctionnent l'antispam et l'antivirus sous ex10.biz
Comment sont taggués les messages considérés comme SPAM ? ou peut-on les consulter ? Comment fonctionne l'antivirus ?
Microsoft® Forefront™ Protection 2010 for Exchange Server fournit une protection rapide et efficace contre les logiciels malveillants et les spams grâce à plusieurs moteurs d’analyse en provenance de partenaires leaders sur le marché de la sécurité.
Cette solution permet de filtrer les contenus sans bloquer les messages. En effet, les moteurs anti-spam ont parfois tendance à bloquer des messages qui sont pourtant désirables.
ForeFront a donc été configuré pour ne pas supprimer les messages considérés comme spam. Ils reçoivent un "SCL" (Spam Confidence Level), qui est un score compris entre 1 et 9. Plus le score est haut, plus le message est considéré comme spam.
ForeFront marque les messages indésirables avec un score à 9, ce qui fait que, une fois dans le client Outlook, le mail est automatiquement passé dans le dossier "Courrier indésirable". Une vérification périodique de la part de l'utilisateur est nécessaire, afin de ne pas passer à côté de certains messages importants.
Vous pouvez tester cette fonctionnalité en vous envoyant dans un message la chaîne de caractères suivante :
XJS*C4JDBQADN1.NSBN3*2IDNEN*GTUBE-STANDARD-ANTI-UBE-TEST-EMAIL*C.34X
Cette chaîne est une signature qui est reconnue par tous les anti-spam du marché comme chaîne de test. Si elle se trouve dans le corps d'un mail ou dans une pièce jointe, le message est considéré comme spam par tous les moteurs.
On peut voir dans les en-têtes du mail que la ligne suivante a été insérée par ForeFront, suite à réception de ce message :
A contrario, un message considéré par ForeFront comme sain obtiendra un score de "-1", afin de faire en sorte qu'aucun autre moteur anti-spam (tels que ceux qui sont intégrés au client mail) ne refasse un scan suppémentaire.
L'antivirus de ForeFront est basé sur 5 moteurs leaders du marché. Cela permet de scanner chaque message 5 fois, avec 5 bases de signatures différentes. De ce fait, le taux de détection est très élevé.
Plutôt que de passer le message complet en quarantaine, ForeFront met en quarantaine uniquement la pièce jointe infectée, et la remplace par le fichier texte suivant :
FILE QUARANTINED
Microsoft Forefront Protection for Exchange Server removed a file since it was found to be infected.
File name: "eicarcom2.zip->eicar_com.zip->eicar.com"
Malware name: "DOS/EICAR_Test_File"
Vous pouvez donc prévenir votre correspondant que sa machine semble corrompue, et vous ne perdrez que peu d'information.
Plus d'informations : Hosted Exchange