Seminar Postfix Virenschutz und Malware-Filterung

Inhaltsverzeichnis

• Seminarprofil
• Zielgruppe
• Voraussetzungen
• Seminarziele
• Seminarinhalte
• Praxisübungen

Seminarprofil

Integration eines Malware-Scanners mit geeigneter Filterarchitektur, sicherer Reinjektion, Quarantäne, Fail-open und Fail-closed, Signaturbetrieb, Leistungsplanung und Incident Response.

Die Themen werden in einer zusammenhängenden Laborumgebung schrittweise aufgebaut. Jede Konfigurationsstufe wird mit Positiv- und Negativtests, Protokollauswertung sowie einer nachvollziehbaren Rückfallmöglichkeit abgesichert. Der Umfang ist auf die fachlich notwendige Dauer abgestimmt und vermeidet sowohl oberflächliche Schnellverfahren als auch unnötige Wiederholungen.

Zielgruppe

Postfix-, Linux-, Mail-Security- und Incident-Response-Administratoren

Voraussetzungen

Gute Postfix-Kenntnisse und Grundlagen zu Filtern, Linux-Diensten und Malware-Prozessen

Seminarziele

• Bedrohungen durch Anhänge, Archive, Makros und bekannte Schadsoftware einordnen.
• Postfix-Filterpfad mit separatem Reinjektionsdienst und Schleifenschutz aufbauen.
• Quarantänespeicher, Zugriffsschutz, Verschlüsselung und Aufbewahrung festlegen.
• Signatur- und Engine-Updates auf Aktualität und Fehler überwachen.

Seminarinhalte

Tag 1: Scannerintegration und Mailfluss

1. Schritt 1: Bedrohungen durch Anhänge, Archive, Makros und bekannte Schadsoftware einordnen.
2. Schritt 2: Before-Queue-, After-Queue-, Milter- und Proxy-Integration nach Fehlerwirkung vergleichen.
3. Schritt 3: Scanner-Daemon, Socket, Berechtigungen und Updatekomponenten vorbereiten.
4. Schritt 4: Postfix-Filterpfad mit separatem Reinjektionsdienst und Schleifenschutz aufbauen.
5. Schritt 5: Nachrichtengröße, Archivtiefe, verschachtelte Archive und Scan-Timeouts festlegen.
6. Schritt 6: Fail-open und Fail-closed für Scannerstillstand und Überlast dokumentieren.
7. Schritt 7: Saubere, infizierte, beschädigte, verschlüsselte und übergroße Testobjekte verarbeiten.
8. Schritt 8: Queue-ID, Scannergebnis und Zustellentscheidung in Logs korrelieren.

Tag 2: Quarantäne, Betrieb und Incident Response

1. Schritt 1: Quarantänespeicher, Zugriffsschutz, Verschlüsselung und Aufbewahrung festlegen.
2. Schritt 2: Benachrichtigungen ohne Rückstreuung an gefälschte Absender gestalten.
3. Schritt 3: Freigabeprozess mit Autorisierung, erneuter Prüfung und Protokollierung definieren.
4. Schritt 4: Signatur- und Engine-Updates auf Aktualität und Fehler überwachen.
5. Schritt 5: Durchsatz, Parallelität, CPU, Speicher und I/O unter Last messen.
6. Schritt 6: Scannerstillstand, Updatefehler, Queue-Wachstum und False Positives diagnostizieren.
7. Schritt 7: Malware-Fund mit Metadatensicherung, Sperrmaßnahmen und Ursachenanalyse bearbeiten.
8. Schritt 8: Regeländerung, Notfall-Bypass, Rücknahme und Wiederinbetriebnahme dokumentieren.

Praxisübungen

• Laboraufgabe zu Scannerintegration und Mailfluss: Queue-ID, Scannergebnis und Zustellentscheidung in Logs korrelieren.
• Laboraufgabe zu Quarantäne, Betrieb und Incident Response: Regeländerung, Notfall-Bypass, Rücknahme und Wiederinbetriebnahme dokumentieren.
• Kontrollierte Fehlersimulation mit dokumentierter Ursache, Korrektur und Rückfall.
• Abnahme des vollständigen Mailflusses anhand von Queue-ID, SMTP-Antwort und Protokollkette.
• Erstellung einer kompakten Betriebscheckliste für wiederkehrende Prüfungen und Änderungen.