Framework di test per la sicurezza della posta

Un framework di test per soluzioni di sicurezza e filtraggio della posta.

IMPORTANTE: Non fare nulla di male con questo! I test di soluzioni cloud o comunque ospitate devono sempre essere approvati dal provider testato. Utilizza solo i tuoi account di test e non infastidire nessuno con un carico di email di test.

Installazione

Il framework di test per la sicurezza della posta funziona con Python >=3.5. Basta clonare questo repository e procedere. Non sono richieste ulteriori dipendenze.

Utilizzo

Lo script mail-tester.py esegue i test. Leggi il messaggio di aiuto con ./mail-tester.py --help e controlla l'elenco dei moduli di test ed evasion con ./mail-tester.py -l per avere una panoramica delle capacità e dell'utilizzo dello script. Alcuni suggerimenti:

• Almeno i parametri --smtp-server e --to dovrebbero essere forniti per un'esecuzione minima del test.
• Tutti i parametri possono anche essere memorizzati in file di configurazione senza il prefisso --. Questi file di configurazione possono essere utilizzati invocando ./mail-tester.py @tester.conf (configurazione contenuta in tester.conf).
• Più destinatari possono essere configurati con --to per testare diverse configurazioni di filtro.
• Alcune soluzioni di filtraggio della posta potrebbero rifiutare i messaggi dopo un po'. Utilizza --auto-delay per la limitazione automatica delle email. Questo può essere regolato con --delay-step, --delay-max e --delay.
• Alcuni test (Spam e Malware) richiedono campioni. Mettili in directory e configura queste directory con i parametri --spam-folder e --malware-folder. I campioni non sono inclusi in questo repository (e non lo saranno). Buoni posti per ottenere malware sono theZoo, Das Malwerk o altre raccolte. Lo spam può essere esportato direttamente dalla tua cartella Spam, ma deve essere in formato EML.
• Le blacklist possono essere fornite con il parametro --blacklist e vengono utilizzate come indirizzi del mittente.
• I casi di test Shellshock e subject XSS dovrebbero avere un dominio backconnect valido, dove poter vedere eventuali backconnect (specialmente richieste DNS). Il servizio gratuito Canary Tokens può essere utilizzato a questo scopo. Grazie a Thinkst per aver fornito questo fantastico servizio!
• Alcuni ingegnosi trucchi di evasione del riconoscimento degli allegati possono essere attivati con --evasion content-disposition. In passato sono stati utilizzati per confondere le soluzioni AV/sandboxing e far passare email dannose.
• Non dimenticare di registrare i risultati dei test con --log. I provider di filtraggio della posta spesso rifiutano le email nel dialogo SMTP, il che viene riflesso nel log generato.
• I casi di test possono essere esportati con --output come file semplici in una directory, in formato MBox (--mbox) o MailDir (--maildir). Questo è utile per testare i client di posta senza inviare email, per documentare o rivedere i casi di test generati.

Sviluppo ed Estensione

Test

I propri test possono essere implementati con una classe in uno dei file Python esistenti o di nuova creazione nella directory tests/. La classe deve essere una sottoclasse di MailTestBase situata nel modulo tests.base di questo progetto. I test appena implementati vengono scoperti automaticamente quando la variabile di classe active è impostata su True. Inoltre (se si prevede di contribuire con i test al repository principale), le variabili di classe identifier, name e description dovrebbero essere impostate in modo appropriato.

Le seguenti classi base esistono con metodi o variabili di classe destinate alla sovrascrittura:

• MailTestBase: Classe di test per test generici.
  • generateTestCases(): Genera messaggi di test. Questi dovrebbero essere generati con le classi MIME* dei pacchetti Python email.mime.* o con la classe Message da email.message per garantire messaggi di posta validi.
  • active: Valore booleano che indica se il test deve essere attivo.
  • identifier: Identificatore breve del test. Viene utilizzato per abilitare o disabilitare i test nei parametri.
  • name: Titolo breve del test.
  • description: Descrizione più lunga del test, dovrebbe rientrare in circa 100 caratteri.
  • delivery_sender e delivery_recipient: Valori booleani, False per impostazione predefinita. Normalmente, il mittente e i destinatari sono impostati nel messaggio e il modulo SMTP di Python li prende da lì. A volte è desiderabile impostarli esplicitamente nella libreria SMTP, cosa che può essere configurata impostando questi valori su .

Impostare gli oggetti dei messaggi generati è altamente raccomandato per poter riconoscere i test nella casella di posta ricevente.

Evasioni

Le classi di evasione implementano tecniche per eludere il riconoscimento di particolari proprietà della posta da parte delle soluzioni di sicurezza. Attualmente, è implementata una tecnica di evasione che tenta di nascondere gli allegati da tali soluzioni tramite intestazioni Content-Disposition intenzionalmente errate.

Implementare nuove Evasioni

Le evasioni sono implementate tramite un pattern factory class. La classe DeliveryBase istanzia una classe factory derivata dalla classe BaseEvasionFactory. Il costruttore della factory riceve un flag che indica se l'evasione è attivata. L'istanza della factory di evasione viene poi passata alla classe di test e memorizzata nel suo attributo evasions che contiene un dizionario con gli identificatori di evasione come chiavi. All'interno del test, una classe di evasione (basata su EvasionBase) viene istanziata con getEvasionGenerator(). I parametri del costruttore sono definiti individualmente per ogni tecnica di evasione.

Le seguenti classi base sono utilizzate per implementare le evasioni:

• BaseEvasionFactory: Le factory di evasione devono basarsi su questa classe. Di solito, devono essere impostate solo le seguenti variabili di classe:
  • active: Impostare su True se l'evasione deve essere attiva.
  • identifier: Identificatore breve del modulo di evasione utilizzato per abilitarlo nella configurazione del test.
  • name: Titolo breve della tecnica di evasione.
  • description: Descrizione più lunga della tecnica di evasione. Dovrebbe rientrare in circa 100 caratteri.
  • generator_evasion: Classe di evasione che viene istanziata se l'evasione è abilitata.
  • generator_default: Classe di evasione che viene istanziata se l'evasione è disabilitata.
• BaseEvasion: L'implementazione delle evasioni deve essere una sottoclasse di questa classe base. Il seguente metodo deve essere sovrascritto:
  • __init__(): Dovrebbe istanziare la classe con il messaggio o allegato base che deve essere manipolato con tecniche di evasione.
  • generate(): Applica la tecnica di evasione all'oggetto passato al costruttore e lo restituisce al chiamante come tupla (descrizione, oggetto con evasione applicata).

Generalmente, la classe di evasione dovrebbe generare tutte le varianti di evasione e passare il default come caso di test dedicato, mentre le classi di evasione predefinite passano solo l'oggetto dato o creano le strutture dati richieste, come le intestazioni.

Utilizzo delle Tecniche di Evasione nei Casi di Test

Le tecniche di evasione vengono utilizzate nei casi di test dove sono applicabili. Ad esempio, se una tecnica di evasione manipola l'intestazione di una email o di un allegato, devono essere implementati i seguenti passaggi:

1. Generare l'oggetto base (email o allegato) senza considerare l'evasione.
2. Istanziare la classe di evasione appropriata utilizzando l'istanza della factory di evasione da self.evasions, ad esempio: evasion_items = self.evasions["evasion_identifier"].getEvasionGenerator(message)
3. Iterare sul generatore e restituire i casi di test:

for evasion_item in evasion_items:
    yield evasion_item

Utilizzo della Tecnica di Evasione Content Disposition

La tecnica di evasione content disposition è già implementata nel framework e dovrebbe essere utilizzata per tutti i casi di test che mirano al riconoscimento di allegati dannosi. Il costruttore riceve un allegato e il nome file previsto. La classe di evasione genera quindi tuple (nome evasione, allegato con tecnica di evasione applicata) che possono essere direttamente restituite dal metodo generateAttachments() dei test.