ダイナミックスクリーニング機能を使用すると、SecurityGatewayは送信サーバーの動作を監視して疑わしいアクティビティを検出し、それを示すIPアドレスを自動的にブロックします。例えば、セッション中に失敗したRCPT試行が多すぎるIP、短期間に接続回数が多すぎるIP、または認証の失敗が多すぎるIPなどです。ダイナミックスクリーニングによるブロックは永続的ではありません。IPは設定した時間だけブロックされ、同じIPが違反を繰り返すたびにブロック時間が自動的に延長される場合があります。現在ブロックされているすべてのIPアドレスと、そのブロックが解除されるまでの残り時間は、ページ下部の「禁止IP一覧」に一覧表示されます。
SMTPスクリーン
ダイナミックスクリーニングを有効にする
このオプションをクリックして、ダイナミックスクリーニング機能を有効にします。このオプションはデフォルトで有効です。
セッション内で、この数以上のRCPTコマンドの失敗があるIPをブロックする
有効にすると、単一のSMTPセッション中に指定された数のRCPT試行がそのIPアドレスから失敗した場合、そのIPアドレスはブロックされます。多くのRCPTコマンドを送信することはスパマーがよく使う手口であり、その大半は無効なアドレスを狙ったものです。このオプションはデフォルトで有効になっており、デフォルトのしきい値は10です。
次の回数を超える接続IPをブロックする [xx]分間に[xx]回
このオプションは、指定した分数内でSecurityGatewayへの接続が許可される回数を指定します。送信者が指定した時間内にその接続回数を超えた場合、そのIPアドレスはブロックされます。このオプションはデフォルトで無効です。
次の回数を超える認証失敗IPをブロックする
これは、IPアドレスがブロックされるまでに送信者が認証に失敗できる回数です。誤ったパスワードを使用することは、認証失敗を引き起こす一例です。このオプションはデフォルトで有効になっており、デフォルトのしきい値は10です。
…[xx]分/時間/日以内
これは、上記のしきい値としてカウントされる認証失敗の集計対象となる時間枠を設定します。数値と単位（分、時間、日）を選択します。この時間枠内に発生した失敗のみがブロックの対象としてカウントされ、それより古い失敗は対象外となります。デフォルトの時間枠は1日です。
同一のパスワードを使った認証の失敗は、カウントを増やさない
有効にすると、ダイナミックスクリーニングは、同じIPアドレスおよびユーザー名からの以前の失敗した試行と同じパスワードが使用された認証失敗を、上記のしきい値のカウント対象に含めません。異なる一意のパスワードを使用した試行のみがカウントされます。これにより、古い誤ったパスワードをキャッシュしているメールクライアントが、それだけで繰り返しブロックを引き起こすことを防ぎます。このオプションはデフォルトで無効です。
実在するアカウントだけを対象する
これは"同一のパスワードを使った認証の失敗は、カウントを増やさない"のサブオプションで、無視の対象を実在する既存アカウントに対応するユーザー名に制限します。存在しないユーザー名に対する失敗した試行は、パスワードが繰り返されていても常にカウントされます。これは、無効なアカウントに対する繰り返しの試行は、キャッシュされた誤ったパスワードよりもブルートフォース攻撃である可能性が高いためです。
セッション内で、この数以上のRSETコマンドの実行があるIPをブロックする
有効にすると、単一のセッション中に指定された数を超えるSMTP RSETコマンドを送信したIPアドレスはブロックされます。RSETコマンドの繰り返しは、完全なメッセージトランザクションを完了せずにメールサーバーを調査または悪用するために使用されることがある手法です。このオプションはデフォルトで無効になっており、デフォルトのしきい値は20です。
IPアドレスブロックオプション
このセクションのオプションは、上記のいずれかのSMTPスクリーニングトリガーによるものか、REST APIへの直接呼び出し（以下を参照）によるものかにかかわらず、IPアドレスがブロックされたままになる期間を制御します。
デフォルトの有効期限までの時間
これは、初回の違反に対してIPアドレスがブロックされる期間です。数値と単位（分、時間、日）を指定します。デフォルトは1日です。
2回目の攻撃へのペナルティ / 3回目の攻撃へのペナルティ / 4回目の攻撃へのペナルティ
これらのオプション設定を使用すると、繰り返し違反者を初回違反者より長くブロックできます。エスカレートさせたい違反レベルのチェックボックスをオンにし、期間と単位を指定します。3つとも、デフォルトでは無効です。"4回目以降の違反"に対するペナルティは、4回目の違反およびそれ以降のすべての違反に適用されます。5回目用の個別のペナルティレベルはありません。
注: これら3つのペナルティレベルは、有効にした場合にのみ機能します。例えば、4回目の攻撃へのペナルティのみを有効にした場合、2回目または3回目の違反には引き続きデフォルトの有効期限までの時間が使用され、4回目以降の違反にのみ、設定したより長い期間が使用されます。下位のレベルを有効にせずに上位のレベルのみを有効にすることは、最も執拗な違反者だけをエスカレートさせる有効な方法です。
攻撃カウントのリセットまで [xx]分/時間/日
以前に違反したことのあるIPアドレスが、再び違反することなくこの期間を経過すると、その違反回数はリセットされ、次回のブロックはエスカレートしたペナルティではなく、デフォルトの有効期限までの時間による初回違反として扱われます。デフォルトは30日です。
IP禁止後SMTPセッションを閉じる
IPアドレスがブロックされると、デフォルトでSMTPセッションは直ちに閉じられ、SMTPプロトコルの残りのステップを継続することはできません。IPがブロックされたときに接続を直ちに終了させたくない場合は、このチェックボックスをオフにします。
x.x.x.xといったIPv4のアドレス範囲で指定する [xx] bit (CIDR)
有効にすると、ブロックされたIPv4アドレスは、指定した一致ビット数（CIDR）まで、周囲のサブネット内のすべてのアドレスをブロックするものとして扱われます。これは、新しいアドレスが現れるたびに1つずつブロックするのではなく、同じスパム発信元によって使用されているアドレス範囲全体をまとめてブロックする場合に便利です。このオプションはデフォルトで無効です。有効にした場合のデフォルトの集約サイズは/24です。
x::::xといったIPv6のアドレス範囲で指定する [xx] bit (CIDR)
これは、上記オプションのIPv6版です。ブロックされたIPv6アドレスは、指定した一致ビット数（CIDR）まで、周囲のサブネットをブロックするものとして扱われます。このオプションはデフォルトで無効です。有効にした場合のデフォルトの集約サイズは/56です。
例外
許可リストに登録されたIPアドレス/ホストからのメッセージは除外する
デフォルトでは、すべての許可リストIPアドレスとホストはダイナミックスクリーニングの制限から除外されます。許可リストに登録されているIPとホストでさえもこれらの制限に従うことを要求する場合は、このチェックボックスをオフにします。
認証されたセッションからのメッセージを除外する
受信メッセージが認証されたセッションを通じて送信されている場合、デフォルトでダイナミックスクリーニングの制限から除外されます。同様に、この制限を認証されたセッションにも適用したい場合は、このチェックボックスを解除します。
ドメインメールサーバからのメッセージを除外する
ドメインメールサーバから届くメッセージは、デフォルトでダイナミックスクリーニングから除外されます。ドメインメールサーバーをダイナミックスクリーニングの制限から除外したくない場合は、このチェックボックスを解除します。
ブロックIPリスト
このエリアには、現在ブロックされているすべてのIPアドレスと、それがブロックされてから経過した時間が一覧表示されます。一覧を更新するには[更新]、選択したエントリを削除する（該当するアドレスのブロックを直ちに解除する）には[削除]、一覧全体を一度にクリアするには[すべて削除]をクリックします。
ダイナミックスクリーニングのブロックIP一覧は、このページに加えて、SecurityGatewayのREST APIからも管理できます。上記と同じ設定が使用され、グローバル管理者はAPI経由で、現在のブロックIP一覧の取得、新しいIPアドレスの手動ブロック、またはエントリの削除（ブロック解除）を行うことができます。APIを介してIPをブロックする際、リクエストで明示的な有効期限が指定されていない場合、ブロック期間は、このページからの自動ブロックの場合とまったく同じ方法で、上記のデフォルトの有効期限までの時間および有効になっているペナルティエスカレーションレベルを使用して計算されます。正確なエンドポイントとリクエスト形式については、APIドキュメントを参照してください。
