A szűrő két lehetséges helye
Minden üzleti levelezőrendszer már szűri a leveleket. A Microsoft 365, a Google Workspace, egy Exchange-szerver vagy egy hosztolt szerver beépített spamszűrővel és víruskeresővel rendelkezik. Ezt a szűrőt az őt hordozó platformhoz tervezték: szabályai, jelentései és naplói ezen a platformon élnek, és azon a napon, amikor szolgáltatót vált, vele együtt tűnnek el.
SMTP-átjáró. A postafiók elé helyezett levelezőszerver. Az RFC 5321, amely a levelek interneten történő továbbítását írja le, „levéltovábbító ügynöknek” (MTA) nevezi azt a szervert, amely fogad egy üzenetet, és továbbküldi. A domain MX-rekordja az átjáróra mutat: tehát a küldő szerverek először vele lépnek kapcsolatba.
Az elemzés után az átjáró átadja az üzenetet a postafiókszervernek. A felhasználók nem látják. Megtartják levelezőprogramjukat, webes felületüket és telefonjukat.
Gyakorlati következmény: az átjáró nem függ a postafióktól. Lehet levelezőszervert váltani a szűrő cseréje nélkül, vagy a szűrőt megerősíteni szerverváltás nélkül. Ez két külön beszerzés, amelyekről külön kell dönteni.
A kézbesítés előtt vagy után
Egy szűrő két időpontban léphet működésbe, és a választás nem közömbös.
- A kézbesítés előtt. Az üzenetet áthaladás közben elemzi. Ha veszélyesnek ítéli, nem kerül be a postafiókba. Egy csapdát rejtő melléklet eltávolítható, és egy tájékoztató üzenettel helyettesíthető. Egy gyanús üzenet kézbesítés helyett karanténba kerül.
- A kézbesítés után. Az üzenet már a postafiókban van, amikor az elemzés eredményre jut, vagy amikor új információ érkezik, például egy néhány órával később bejelentett link. Az eszköznek ekkor el kell távolítania. Mindeközben a felhasználó megnyithatta, kattinthatott, vagy továbbíthatta a mellékletet.
A két megközelítést gyakran kombinálják: előzetes elemzés, majd a kattintás pillanatában is folytatódó védelem, mert egy a fogadáskor tiszta webhely később csapdává válhat. Egyik sem állítja, hogy mindent megállít.
A Klytic egyszerű okból végzi az elemzést a postafiók előtt: amit nem kézbesítettek, azt nem kell utólag visszahívni. Ez nem menti fel az emberi reflex alól, amikor egy hihető üzenet minden ellenőrzésen átjut, mint a CEO-csalás esetében.
Miért érdemes biztonsági MTA-t helyezni a szerver elé
- Egy eszköz, amelynek ez a szakterülete. Az átjáró nem kezel sem naptárat, sem tárhelyet. Szabályai a feladóra, a tartalomra és a mellékletekre vonatkoznak, és domainenként állíthatók be.
- Egy védelem, amely a helyén marad. Túléli a postafiókszerver cseréjét, és egyszerre több szervert is lefedhet: egy leányvállalatot, egy régi levelezőrendszert, egy új platformot.
- Egy helyen olvasható döntés. Minden üzenet hordozza a döntés indokát, bármelyik szerver fogadja is azután.
- Második vélemény. A levelezőrendszer beépített szűrője továbbra is működik az átjáró mögött.
Amibe ez kerül: eggyel több közvetítő az úton. Be kell jelenteni a postafiókszervernek, különben az az összes levelet egyetlen címről érkezőnek látja, és rosszul ítéli meg a valódi feladót. Az SPF-et, a DKIM-et és a DMARC-ot is át kell nézni. A már meglévő levelezőrendszer védelme oldal írja le ezeket a beállításokat.
Mindenkit érint
Az ANSSI szerint a levelezés „a munkaállomások fertőzésének fő forrása”, a levelezőrendszerek pedig „a támadások egyik fő eszközei, mivel rendkívül széles körben használják őket, és ki vannak téve az internetnek”. Adathalászat, csapdát rejtő melléklet, hamis átutalási megbízás: egy e-mail-cím elég ahhoz, hogy valaki célpont legyen, és egy mikrovállalkozás ugyanúgy az, mint egy nagy cégcsoport.
Az ANSSI a levelezés védelmét a digitális biztonság tíz aranyszabálya egyikévé teszi, intézkedési keretrendszere pedig spamszűrő és adathalászat elleni megoldás bevezetését ajánlja. Az informatikai rendszerek internetre kapcsolásáról szóló útmutatója emlékeztet arra, hogy a levelezés üzleti használata nagyon elterjedt, „a szervezet méretétől és tevékenységi területétől függetlenül”, és hogy spamszűrő és rosszindulatú tartalmat kereső mechanizmusokat „kell bevezetni”.
A levelek biztonsági szűrése tehát már nem választható kiegészítő. Az igazi kérdés az, hol helyezkedik el, és mit képes megállítani, mielőtt az üzenet a postafiókba érne.
Az átjáró a levelezőrendszer szűrőjéhez olyan elemzést ad, amely nem függ postafiókjai szállítójától, egységes szabályzatot több szerverre vagy több vállalatra, és megmagyarázható döntéseket.
Egyetlen szűrő sem, se beépített, se elé helyezett, nem helyettesíti az ANSSI által felidézett reflexeket: ne kattintson gyanús linkre vagy mellékletre, ne válaszoljon gyanús e-mailre, ellenőrizze egy másik csatornán, kapcsolja be a kétfaktoros hitelesítést.
Mit lát az átjáró, és mit őriz meg
A döntéshez az átjáró a teljes üzenetet elolvassa: a bejelentett feladót és a küldő szervert, a hitelesítési eredményeket (SPF, DKIM, DMARC), a szöveget, a linkeket, a mellékleteket. Ebből döntést hoz: kézbesítés, karantén, elutasítás, vagy egy ismeretlen feladó késleltetése.
Az olvasás nem megőrzés. A helyes kérdés egy szolgáltatóhoz: mi marad meg, és meddig? A Klytic MTA esetében a válasz három esetet különböztet meg, plusz a döntés nyomát.
| Helyzet | Mit őriz meg | Időtartam |
|---|
| Normál kézbesítés | Az elemzés személyes adatait (feladó, címzettek, tárgy, törzs, a mellékletek neve) törli. Megmarad az időbélyeg, a feladó domainje, a pontszámok és a döntés. | Törlés alapértelmezés szerint 2 nap után, az időtartam beállítható |
| Karanténba helyezett veszélyes üzenet | A teljes üzenet, titkosítva | A felengedési link érvényességi ideje, 7 nap |
| A postafiókszerver nem érhető el | Az üzenet, titkosítva (AES-256-GCM), várakozó sorban | A kézbesítésig vagy a határidő lejártáig |
| Minden döntés | Pontszám és indok, tartalom nélkül | Statisztikai célra megőrzött műszaki adatok |
A „normál működés közben nincs üzenettárolás” tehát azt jelenti: a kézbesített levelekről nem készül tartós másolat. Ez nem „nulla adat”. Az átjáró megőrzi döntései nyomát, és néhány napig az elemzés részleteit. Az órákat Az e-mail-biztonsági naplók megőrzése és visszaolvasása részletezi.
Az útvonal, lépésről lépésre
- Egy küldő szerver megkeresi domainje MX-rekordját. Megtalálja az átjárót, és átadja neki az üzenetet.
- Az átjáró ellenőrzi a feladót (hitelesítés, hírnév), az üzenetet (linkek, szöveg, ismert forgatókönyv), majd a mellékleteket.
- Ártalmatlan üzenet: kézbesíti levelezőrendszerébe, bármi legyen is az: Microsoft 365, Google Workspace, Exchange, Klytic Mail vagy más szerver.
- Veszélyes üzenet: titkosított karanténba kerül. A címzettet értesítik, és ha tévedésről van szó, egy linkkel felengedheti.
- Elutasított üzenet: a küldő szerver elutasítást kap, és értesíti felhasználóját.
- Postafiókszervere nem válaszol: az üzenet titkosítva várakozik, majd kézbesítésre kerül, amint a szerver ismét elérhető.
Ez az útvonal az SMTP normál működésén alapul: az a szerver, amely ideiglenes hibát kap, megtartja az üzenetet, és újrapróbálkozik. A levelezés migrálása megszakítás nélkül útmutató elmagyarázza, miért előzi meg ez a mechanizmus a levelek elvesztését az MX módosítása során.
Gyakori kérdések
Szüksége van-e egy kisvállalkozásnak biztonsági szűrésre?
Igen. Az e-mailes támadások nem méret szerint választják ki célpontjukat. Az átjáró egy mód arra, hogy ezt a szűrést levelezőrendszer-váltás nélkül vezesse be: lásd A már meglévő levelezőrendszer védelme.
Helyettesíti-e az átjáró a Microsoft 365 vagy a Google Workspace szűrőjét?
Nem. A beépített szűrő továbbra is dolgozik mögötte. A szolgáltatók leírják, hogyan kell bejelenteni egy átjárót, hogy saját elemzésük pontos maradjon: lásd A már meglévő levelezőrendszer védelme.
Késlelteti-e az átjáró a leveleket?
Az elemzés egy lépéssel több. A látható eset szándékos: egy ismeretlen feladót rövid időre visszatarthat, ami kiszűri azokat az automatikus küldéseket, amelyek soha nem próbálkoznak újra.
Lehet-e levelezőrendszert váltani az átjáró megtartásával?
Igen. Az MX továbbra is az átjáróra mutat; csak a kézbesítési szerver változik. Az átállás menetét a levelezés migrálása megszakítás nélkül útmutató írja le.
Mi lesz egy tévesen félretett üzenettel?
Karanténba kerül, nem törlődik. Lásd: Karantén, téves riasztások és bejelentések.
Mi a különbség egy dedikált vagy saját telephelyen telepített levelezőrendszerhez képest?
Ez a postafiók kérdése, nem a szűrőé. A Felhőalapú, dedikált vagy a saját telephelyén működő levelezés útmutató foglalkozik vele.
Hol helyezkedik el a Klytic
A Klytic MTA ilyen típusú átjáró. Önállóan, Klytic Mail nélkül is megrendelhető, és Klytic Mailbe, Microsoft 365-be, Google Workspace-be, Exchange-be vagy bármely más levelezőszerverre kézbesít.
- Essential: hitelesítés és hírnév (SPF, DKIM, DMARC a továbbított üzenetekre is, a domainek kora, feketelisták), spamszűrés, víruskeresés, adathalászat elleni védelem, hasonmás domainek és megjelenített név, csapdát rejtő makrók és PDF-ek, titkosított karantén és felengedés, a kimenő levelek DKIM-aláírása, küldés előtti visszahívás, a kimenő levelek S/MIME-aláírása olyan levelezőrendszer számára, amely ezt nem kezeli, ha az ügyfél bekapcsolja és rábízza kulcsát (a tanúsítvány biztosítása opció), a kétes üzenetek MI-alapú elbírálása, pontszám és indok a fejlécekben.
- Advanced: az Essential csomag teljes tartalma, plusz a CEO-csalás és a pénzügyi csalások felismerése, a linkek kattintáskori újraelemzése, a csapdát rejtő HTML-fájlok, a DMARC-konzol és a SIEM-be exportálható naplók.
A szolgáltatás telepíthető a Klytic-felhőben, dedikált példányon vagy az Ön szerverein. A Klytic-felhő az alkalmazandó joghatóságnak megfelelő bármely földrajzi zónában hosztolható, a szolgáltatások elérhetőségétől függően, különösen Európában vagy Mauritiuson. Az üzembe helyezés általában 24–48 órát vesz igénybe: a Klytic előkészíti a konfigurációt, majd Ön módosítja domainje MX-rekordját, vagy a Klytic teszi meg Ön helyett.
Amit a Klytic MTA nem tesz: nem helyettesíti levelezőrendszerét, annak fiókjait és jogosultságait, és csak a rajta áthaladó leveleket látja. A Microsoft 365-ről és más levelezőrendszerekről lásd A már meglévő levelezőrendszer védelme.
Ez az oldal általános architektúrát ír le. A pontos beállítás levelezőrendszerétől és domainjeitől függ.
Források
Megtekintve 2026 októberében.
- RFC 5321, Simple Mail Transfer Protocol: az SMTP-szerverek levéltovábbító ügynökként (MTA) működnek; a köztes gépeket általában a DNS MX-rekordja jelöli ki. rfc-editor.org
- Klytic, Klytic MTA oldal: az Essential és az Advanced csomag moduljai, opciók, telepítési módok, üzembe helyezés az MX-en keresztül, az üzenetek megőrzése a várakozó sorra és a karanténra korlátozódik. klytic.com
- ANSSI, „10 règles d’or en matière de sécurité numérique”: a 6. szabály („Védje elektronikus levelezését”) leírja az adathalászatot, és azt ajánlja, hogy legyünk óvatosak a gyanús linkekkel és mellékletekkel, ellenőrizzünk egy másik csatornán, és kapcsoljuk be a kétfaktoros hitelesítést. cyber.gouv.fr
- ANSSI, „Guide d’hygiène informatique”, 2.0-s verzió, 2017. szeptember, 24. intézkedés („Az üzleti levelezés védelme”): „A levelezés a munkaállomások fertőzésének fő forrása”. messervices.cyber.gouv.fr
- ANSSI, MonServiceSécurisé, intézkedési keretrendszer, „Spamszűrő és adathalászat elleni megoldás bevezetése” intézkedés: „A levelezőrendszerek a támadások egyik fő eszközei, mivel rendkívül széles körben használják őket, és ki vannak téve az internetnek”. monservicesecurise.cyber.gouv.fr
- ANSSI, „Recommandations relatives à l’interconnexion d’un système d’information à Internet”, ANSSI-PA-066, 3.0-s verzió, 2020. június 19., 5. fejezet („Az elektronikus levelező szolgáltatás biztonságossá tétele”): a levelezés „az informatikai támadások egyik fő eszközévé vált” (adathalászat, rosszindulatú mellékletek); 5.2.3. pont: spamszűrő és rosszindulatú tartalmat kereső mechanizmusokat „kell bevezetni”. messervices.cyber.gouv.fr
