ヘッダー ファイアウォール

製品: Exchange Server 2013

Microsoft Exchange Server 2013 では、ヘッダー ファイアウォールは、受信メッセージと送信メッセージから特定のヘッダー フィールドを削除するメカニズムです。 ヘッダー ファイアウォールの影響を受けるヘッダー フィールドは、次の 2 種類です。

• X ヘッダー: X ヘッダー は、ユーザー定義の非公式ヘッダー フィールドです。 X-Header は、RFC 2822 では特に言及されていませんが、先頭に X- が付く未定義のヘッダー フィールドの使用は、メッセージに非公式のヘッダー フィールドを追加する方法として許容されるようになりました。 メッセージング アプリケーション (スパム対策、ウイルス対策、およびメッセージング サーバーなど) は、メッセージに独自の X-Header を追加することができます。 Exchange の X-Header フィールドには、SCL (Spam Confidence Level)、コンテンツ フィルターの結果、ルールの処理状態など、トランスポート サービスがメッセージに対して実行する処理についての詳細が含まれます。 権限のない送信元にこの情報が漏れると、セキュリティ上のリスクを抱える可能性があります。

• ルーティング ヘッダー: ルーティング ヘッダーは、RFC 2821 と RFC 2822 で定義されている標準の SMTP ヘッダー フィールドです。 ルーティング ヘッダーは、メッセージを受信者に配信するために使用されたさまざまなメッセージング サーバーの情報を使用してメッセージにスタンプします。 悪意のあるユーザーによってメッセージに挿入されたルーティング ヘッダーは、メッセージが受信者に到達するまでのルーティング パスを偽る可能性があります。

ヘッダー ファイアウォールは、信頼できない送信元から Exchange 組織に送られてきた受信メッセージから Exchange 関連の X-Header を削除することによって、X-Header を利用したスプーフィングを防止します。 ヘッダー ファイアウォールは、Exchange 組織外の信頼できない送信元に送信された送信メッセージから Exchange 関連の X-Header を削除することによって、X-Header を利用した漏洩を防止します。 ヘッダー ファイアウォールは、メッセージのルーティング履歴の追跡に使用される標準ルーティング ヘッダーのスプーフィングも防止します。

Exchange でヘッダー ファイアウォールの影響を受けるメッセージ ヘッダー フィールド

次の種類の X-Header とルーティング ヘッダーは、ファイアウォールの影響を受けます。

• 組織の X ヘッダー: これらの X ヘッダー フィールドは X-MS-Exchange-Organization- で始まります。

• フォレスト X ヘッダー: これらの X ヘッダー フィールドは X-MS-Exchange-Forest- で始まります。

  組織 X-Header およびフォレスト X-Header の例については、このトピックの最後にある「Exchange の組織 X-Header およびフォレスト X-Header」セクションを参照してください。

• 受信済み: ルーティング ヘッダー: このヘッダー フィールドの別のインスタンスは、メッセージを受け入れて受信者に転送したすべてのメッセージング サーバーによってメッセージ ヘッダーに追加されます。 Received: ヘッダーには、通常、メッセージング サーバーの名前と日付タイムスタンプが含まれます。

• Resent-*: ルーティング ヘッダー: 再送信ヘッダー フィールドは、メッセージがユーザーによって転送されたかどうかを判断するために使用できる情報ヘッダー フィールドです。 Resent-Date:、Resent-From:、Resent-Sender:、Resent-To:、Resent-Cc:、Resent-Bcc:、Resent-Message-ID: を使用できます。 Resent- フィールドは、メッセージが元の送信者によって直接送信されたかのように受信者に表示されるように使用されます。 受信者は、メッセージ ヘッダーを参照して、メッセージを転送したのは誰かを確認できます。

Exchange は 2 種類の方法を使用して、メッセージ内の組織 X-Header、フォレスト X-Header、およびルーティング ヘッダーにヘッダー ファイアウォールを適用します。

• メッセージがコネクタを通過する際にメッセージ内の特定の種類のヘッダーを保持または削除するために使用できる送信コネクタまたは受信コネクタに、アクセス許可が割り当てられます。

• その他の種類のメッセージ送信中、メッセージ内の特定の種類のヘッダーに対してヘッダー ファイアウォールは自動的に実装されます。

受信コネクタと送信コネクタへのヘッダー ファイアウォールの適用方法

コネクタに割り当てられている特定のアクセス許可に基づいて、送信コネクタと受信コネクタを通過するメッセージにヘッダー ファイアウォールが適用されます。

アクセス許可が受信コネクタまたは送信コネクタに割り当てられると、そのコネクタを通過するメッセージにはヘッダー ファイアウォールは適用されません。 影響を受けるヘッダー フィールドがそのメッセージに保存されます。

アクセス許可が受信コネクタまたは送信コネクタに割り当てられないと、そのコネクタを通過するメッセージにヘッダー ファイアウォールが適用されます。 影響を受けるヘッダー フィールドがそのメッセージから削除されます。

次の表は、ヘッダー ファイアウォールの適用に使用される送信コネクタおよび受信コネクタのアクセス許可と影響を受けるヘッダー フィールドを示しています。

受信コネクタ上の受信メッセージに対するヘッダー ファイアウォール

次の表は、受信コネクタ上のヘッダー ファイアウォール アクセス許可の既定のアプリケーションを示しています。

カスタム受信コネクタ上のヘッダー ファイアウォール

カスタム受信コネクタを使用する場合にメッセージにヘッダー ファイアウォールを適用するには、以下の方法を使用します。

• メッセージにヘッダー ファイアウォールを自動的に適用する使用法の種類で受信コネクタを作成します。 受信コネクタを作成する場合に限りこの使用法の種類を設定できることに注意してください。

  • 組織の X ヘッダーまたはフォレスト X ヘッダーをメッセージから削除するには、受信コネクタを作成し、 以外 Internalの使用の種類を選択します。

  • メッセージからルーティング ヘッダーを削除するには、次のいずれかの操作を行います。

    • 受信コネクタを作成し、使用の種類 を選択します Custom。 受信コネクタには許可グループを割り当てないでください。

    • 既存の受信コネクタを変更し、 PermissionGroups パラメーターを 値 Noneに設定します。

      アクセス許可が割り当てられていない受信コネクタがある場合は、最後の手順の説明に従って受信コネクタにセキュリティ プリンシパルを追加する必要がありますので注意してください。

• 受信コネクタで構成されているセキュリティ プリンシパルから Ms-Exch-Accept-Headers-Organization アクセス許可、 Ms-Exch-Accept-Headers-Forest アクセス許可、および Ms-Exch-Accept-Headers-Routing アクセス許可を削除するには、 Remove-ADPermission コマンドレットを使用します。 受信コネクタのアクセス許可グループを使用してセキュリティ プリンシパルにアクセス許可が割り当てられていない場合、アクセス許可グループのアクセス許可割り当てまたはグループ メンバーシップを変更できないため、この方法は機能しません。

• 受信コネクタのメール フローで必要とする適切なセキュリティ プリンシパルを追加するには、 Add-ADPermission コマンドレットを使用します。 セキュリティ プリンシパルに Ms-Exch-Accept-Headers-Organization アクセス許可、 Ms-Exch-Accept-Headers-Forest アクセス許可、および Ms-Exch-Accept-Headers-Routing アクセス許可が割り当てられないようにしてください。 必要に応じて、 Add-ADPermission コマンドレットを使用し、受信コネクタで構成されているセキュリティ プリンシパルへの Ms-Exch-Accept-Headers-Organization アクセス許可、 Ms-Exch-Accept-Headers-Forest アクセス許可、および Ms-Exch-Accept-Headers-Routing アクセス許可を拒否します。

詳細については、以下のトピックを参照してください。

• 受信コネクタ
• Add-ADPermission
• Remove-ADPermission

送信コネクタ上の送信メッセージに対するヘッダー ファイアウォール

次の表は、送信コネクタ上のヘッダー ファイアウォール アクセス許可の既定のアプリケーションを示しています。

カスタム送信コネクタ上のヘッダー ファイアウォール

カスタム送信コネクタを使用する場合にメッセージにヘッダー ファイアウォールを適用するには、以下の方法を使用します。

• メッセージにヘッダー ファイアウォールを自動的に適用する使用法の種類で送信コネクタを作成します。 送信コネクタを作成する場合に限りこの使用法の種類を設定できることに注意してください。

  • 組織の X ヘッダーまたはフォレスト X ヘッダーをメッセージから削除するには、送信コネクタを作成し、または 以外 Internal の使用の種類を選択します Partner。

  • メッセージからルーティング ヘッダーを削除するには、送信コネクタを作成し、使用の種類 を選択します Custom。 Ms-Exch-Send-Headers-Routing アクセス許可は、 を除くCustomすべての送信コネクタの使用の種類に割り当てられます。

• コネクタから Ms-Exch-Send-Headers-Organization アクセス許可、 Ms-Exch-Send-Headers-Forest アクセス許可、および Ms-Exch-Send-Headers-Routing アクセス許可を割り当てるセキュリティ プリンシパルを削除します。

• 送信コネクタで構成されているいずれかのセキュリティ プリンシパルから Ms-Exch-Send-Headers-Organization アクセス許可、 Ms-Exch-Send-Headers-Forest アクセス許可、および Ms-Exch-Send-Headers-Routing アクセス許可を削除するには、 Remove-ADPermission コマンドレットを使用します。

• 送信コネクタで構成されているいずれかのセキュリティ プリンシパルへの Ms-Exch-Send-Headers-Organization アクセス許可、 Ms-Exch-Send-Headers-Forest アクセス許可、および Ms-Exch-Send-Headers-Routing アクセス許可を拒否するには、 Add-ADPermission コマンドレットを使用します。

詳細については、以下のトピックを参照してください。

• 送信コネクタ
• Add-ADPermission
• Remove-ADPermission

その他のメッセージ ソースに対するヘッダー ファイアウォール

送信コネクタや受信コネクタを使用せずに、メッセージがメールボックス サーバーまたはエッジ トランスポート サーバーのトランスポート パイプラインに入ってくることがあります。 このようなその他のメッセージ ソースには、次の説明のようにヘッダー ファイアウォールが適用されます。

• ピックアップ ディレクトリと再生ディレクトリ: ピックアップ ディレクトリは、管理者またはアプリケーションによってメッセージ ファイルを送信するために使用されます。 再生ディレクトリは、Exchange メッセージ キューからエクスポートされたメッセージを再送信するために使用します。 ピックアップ ディレクトリと再生ディレクトリの詳細については、「 ピックアップ ディレクトリと再生ディレクトリ」を参照してください。

  組織 X-Header、フォレスト X-Header、およびルーティング ヘッダーは、ピックアップ ディレクトリのメッセージ ファイルから削除されます。

  ルーティング ヘッダーは、再生ディレクトリによって送信されたメッセージに保持されます。

  組織 X-Header およびフォレスト X-Header が再生ディレクトリ内のメッセージに保持されるか削除されるかは、メッセージ ファイルの X-CreatedBy: ヘッダー フィールドによって次のように制御されます。

  • X-CreatedBy: の値が である場合、MSExchange15組織の X ヘッダーとフォレスト X ヘッダーはメッセージに保持されます。
  • X-CreatedBy: の値が ではないMSExchange15場合、組織の X ヘッダーとフォレスト X ヘッダーはメッセージから削除されます。
  • X-CreatedBy: ヘッダー フィールドがメッセージ ファイル内にない場合、組織 X-Header およびフォレスト X-Header はメッセージから削除されます。

• ドロップ ディレクトリ: ドロップ ディレクトリは、メールボックス サーバー上の外部コネクタによって使用され、SMTP を使用してメッセージを転送しないメッセージング サーバーにメッセージを送信します。 外部コネクタの詳細については、「 外部コネクタ」を参照してください。

  ドロップ ディレクトリに格納される前に、メッセージ ファイルから組織 X-Header およびフォレスト X-Header は削除されます。

  ルーティング ヘッダーは、ドロップ ディレクトリに送信されたメッセージに保持されます。

• メールボックス トランスポート: メールボックス サーバー上にメールボックス トランスポート サービスが存在し、メールボックス サーバー上のメールボックスとの間でメッセージを送信します。 メールボックス トランスポート サービスの詳細については、「 メール フロー」を参照してください。

  組織 X-Header、フォレスト X-Header、およびルーティング ヘッダーは、メールボックス トランスポート送信サービスによってメールボックスから送信される送信メッセージから削除されます。

  ルーティング ヘッダーは、メールボックス トランスポート配信サービスによってメールボックス受信者への受信メッセージのために保持されます。 次の組織 X-Header は、メールボックス トランスポート配信サービスによってメールボックス受信者への受信メッセージのために保持されます。

  • X-MS-Exchange-Organization-SCL
  • X-MS-Exchange-Organization-AuthDomain
  • X-MS-Exchange-Organization-AuthMechanism
  • X-MS-Exchange-Organization-AuthSource
  • X-MS-Exchange-Organization-AuthA
  • X-MS-Exchange-Organization-OriginalArrivalTime
  • X-MS-Exchange-Organization-OriginalSize

• DSN メッセージ: 組織の X ヘッダー、フォレスト X ヘッダー、およびルーティング ヘッダーは、元のメッセージまたは DSN メッセージにアタッチされている元のメッセージ ヘッダーから削除されます。 DSN メッセージの詳細については、「 Exchange 2013 の DSN と NDR」を参照してください。

• トランスポート エージェントの送信: 組織の X ヘッダー、フォレスト X ヘッダー、およびルーティング ヘッダーは、トランスポート エージェントによって送信されたメッセージに保持されます。

Exchange の組織 X-Header およびフォレスト X-Header

メールボックス サーバーまたはエッジ トランスポート サーバーのトランスポート サービスは、メッセージ ヘッダーにカスタム X-Header フィールドを挿入します。

組織 X-Header はすべて X-MS-Exchange-Organization- で始まります。 フォレスト X-Header はすべて X-MS-Exchange-Forest- で始まります。 次の表は、Exchange 組織内のメッセージで使用される組織 X-Header およびフォレスト X-Header の一部を示しています。