Poisened URLS

The UTM will not attempt to follow links to determine if there is something nasty on the other end, but if a URL matches in the spam database providers patterns, it will be treated as bad.

I believe that this would be a valuable Feature and would urge you to add such a suggestion or vote for one that already exists.

I suspect that most emails containing "poison" links are rejected during SMTP time, so I would be interested to learn whether an experiment showed any such emails got past those tests and the ctasd spam test.  In any case, I can't imagine that Mail Marshal would know to stop, for example, a phishing email pretending to be from your local bank.

Cheers - Bob

PaloAlto and FireEye already do this. There is a HUGE gain in security when doing checking links. 

All I can say is at my last job and my current job, more then 98% of all the malware we see uses this vector.

Evil links and evil attachments.  

I would also go one further and say that Sophos should offer up a sandbox environment like Palo's WildFire or like FireEye's appliances to also test attachments and links in a sandbox. That would really move Sophos up into the NGF game. 

I suggested something similar a while back, but no other votes came in. This was before links were being done. 
 
I made a new updated version that can be found here:

Attachment, link, and file emulation

Vote!!

C68

I'd still be interested in knowing what emails got through the SMTP Proxy with a "poison" link.

Can WildFire or FireEye stop "a phishing email pretending to be from your local bank?"

Sometimes, appearances can be deceptive.  If I were one of those companies, I certainly would put the "poison-link" test before others in order to show the maximum possible number of hits on my unique offering.  I would imagine their approach increases the bandwidth needed for email by at least 4x compared to the UTM.

Cheers - Bob

The way the FireEye works is it goes out and clicks that link in a VM. It then sees what happens and makes its determination. It catches stuff all the time. It does the same for attachments, but those are obviously local. 

Wildfire's upgrade was after I left my last company. I thought it was to be inline, but it might work like their previous system. After the fact. It sends it off to the VM and comes back with a verdict... all while the email was sent off to the end user who could have still clicked it. 

Checkpoint has a setting that will force your use to wait until it has been checked out before letting them have the file/email. Or so I am told. I am going to a Checkpoint class in mid October so I will find out more then. I did just get my class Checkpoint wireless 640, so if I have time I will look into it.