Миграция с другой защиты почты

Как перейти на Спаморез с Proofpoint, Mimecast и Symantec: что выгрузить из старой системы, как подключить домен, как безопасно переключить почту и вернуться назад, если что-то пошло не так.

На Proofpoint, Mimecast и Symantec Спаморез не «устанавливается». Proofpoint и Mimecast — облачные сервисы, у вас нет их сервера; Symantec поставляется как облако (Email Security.cloud) или как шлюз (Messaging Gateway, виртуальный или программно-аппаратный). Миграция состоит в том, что вы подключаете домены к Спаморезу, переносите списки и правила, меняете MX и отключаете старую защиту. Для Cisco IronPort — отдельная инструкция: Cisco IronPort (ESA).

Общий план миграции

Порядок один для всех систем. Различаются только места в консоли старой системы, где брать данные, и то, что нужно отключить.

Подготовьте данные
Выгрузите из старой системы: списки разрешённых и заблокированных отправителей, пользовательские списки, правила обработки, список защищаемых доменов и ящиков, список серверов, которые отправляют почту наружу через неё. Скриншоты и экспорт сохраните: они нужны и для переноса, и для отката.

Подключите домены к Спаморезу
Добавьте и подтвердите домены (Домены). В поле целевого сервера укажите ваш реальный почтовый сервер (Exchange, Microsoft 365, Google Workspace и т.п.), на который сейчас доставляет старая защита (Маршрутизация). В Microsoft 365 это адрес вида company-com.mail.protection.outlook.com.

Перенесите списки и правила
Разрешённых отправителей — в Белые списки, заблокированных — в Чёрные списки, условия обработки — в Правила обработки. Внутренние серверы, которые отправляли почту через старую систему, добавьте в «Релей клиенты» (Настройка smarthost).

Разрешите приём от Спамореза на вашем почтовом сервере
Если сервер принимает почту только с адресов старой защиты (коннектор или правило в Exchange Online, Google Workspace, на межсетевом экране), добавьте адреса Спамореза (они указаны в письме с данными подключения). Старые ограничения пока не удаляйте.

Проверьте цепочку, не меняя MX
Отправьте тестовое письмо напрямую на адрес Спамореза с вашим доменом в получателе и убедитесь в Трекере, что оно принято и доставлено в ящик.

Переключите MX
Снизьте TTL записи MX до 300 секунд за сутки до работ. Затем замените MX на адреса Спамореза (Смена MX-записей). Старую запись можно оставить с меньшим приоритетом (большим числом) на 1–2 суток для отката, но пока старая система остаётся в цепочке, её правила и списки продолжают действовать.

Исходящая почта и SPF
Переведите отправку на Спаморез (Настройка smarthost), обновите SPF: уберите старую защиту и добавьте Спаморез (SPF / DMARC / DKIM). Проверьте, что подпись DKIM проходит.

Отключите старую защиту
Когда в Трекере идёт вся почта и несколько суток нет обращений к старой записи MX, отключите старые коннекторы и правила. Сначала отключайте, а не удаляйте: так остаётся путь к откату. Удалять можно после периода наблюдения (хотя бы 1–2 недели) и расторжения договора со старым поставщиком.

Proofpoint

Облачный сервис (Proofpoint Essentials, Email Protection): ваши MX-записи указывают на серверы Proofpoint, а они доставляют почту на ваш сервер, чаще всего в Microsoft 365.

Что выгрузить

Списки разрешённых и заблокированных отправителей и доменов (на уровне организации и пользователей).
Фильтры и правила обработки, правила для исходящей почты, список защищаемых доменов и ящиков.
Список серверов, отправляющих почту через Proofpoint (исходящий релей), и текущую запись SPF.

Названия разделов консоли зависят от продукта и тарифа; сверяйтесь со справкой вашей консоли.

Что отключить в Microsoft 365 и на стороне Proofpoint

Если Proofpoint интегрирован с Microsoft 365, в Exchange Online обычно созданы:

входящий коннектор (ограничивающий приём адресами Proofpoint) и правила «обхода» антиспама для адресов Proofpoint;
исходящий коннектор и правило, направляющие исходящую почту через Proofpoint.

Порядок, который рекомендуют сторонние инструкции по выводу клиента из Proofpoint (например, Vircom): сначала отключить правило блокировки прямого приёма (lockdown) и исходящий коннектор, потом менять MX. Отключайте, а не удаляйте (IRONSCALES) — так можно вернуться. После смены MX и проверки приёма ограничьте входящий коннектор адресами Спамореза: у Microsoft 365 это отдельный входящий коннектор с перечнем IP-адресов Спамореза.

Какая именно схема стоит у вас (Proofpoint Essentials с интеграцией через MX или с входящим коннектором) определите до работ: порядок «lockdown снять до смены MX» зависит от неё. Если не уверены, не меняйте MX, пока не убедитесь, что почта от Спамореза принимается.

Что делать у Proofpoint

После переключения MX и проверки не удаляйте домены и пользователей в Proofpoint до окончания срока договора.
Не продлевайте лицензию на следующий период после успешной миграции.

Топ функций Proofpoint и их настройка в Спаморезе

Главные функции защиты и их настройка в панели Спамореза. Строки «Нет аналога» не обещайте клиенту.

Функция в старой системе	Как это настроить в Спаморезе
Антиспам и репутация отправителей (Email Protection)	Включён для всех доменов сразу. Отдельных настроек порога не требуется; исключения и усиления задаются правилами и списками (Как работает фильтрация).
Антивирус и вложения	Встроенный ClamAV работает сразу. Внешний антивирус (Kaspersky Scan Engine, Dr.Web, c-icap) подключается в Интеграции → Антивирус по ICAP, с основным и резервным сервером и выбором действий при угрозе и сбое (Антивирус и песочница).
Attachment Defense / песочница	Интеграции → Песочница (ICAP): PT Sandbox, Kaspersky KATA. Встроенной песочницы нет; по умолчанию проверяются исполняемые файлы, документы и архивы (Антивирус и песочница).
URL Defense (проверка ссылок)	В SPZGate есть Link Shield: ссылки подменяются на проверочную страницу `/secure/`, опасные блокируются. Проверьте наличие функции и её включение в вашей версии. Анализ ссылок при клике на уровне крупных вендоров (Time of Click, глубокая детонация) пока не заявляйте.
Списки разрешённых и заблокированных отправителей	Правила → Белый список: адрес, домен (`@company.com`) или IP/подсеть. Не добавляйте публичные домены (gmail.com, yandex.ru). Пользователи могут вести личный список в кабинете (Белые списки).
Чёрные списки	Правила → Чёрный список: адрес, домен или IP/подсеть; блокировка на уровне SMTP, до приёма тела письма. Репутацию IP по RBL проверяет шлюз автоматически (Чёрные списки).
Правила и политики по группам и условиям	Правила: условия «От кого / Кому / Тема / IP / Заголовок / Слово в теле» через AND/OR, действия «Пометить как спам, Доставить, Отклонить (550), Переслать, Добавить в тему или заголовок». Порядок правил задаётся перетаскиванием (Правила обработки).
Карантин, дайджесты и самообслуживание пользователей	Раздел Карантин: доставить, доставить и добавить в белый список, удалить, пожаловаться. Дайджесты включаются в настройках; срок хранения по умолчанию 30 дней, меняется в настройках домена (Карантин).
Проверка SPF, DKIM, DMARC	Выполняется автоматически на этапе проверки отправителя. Для своей исходящей почты настройте SPF, DKIM и DMARC в DNS (SPF / DMARC / DKIM).
Исходящая защита и релей	Релей клиенты: добавьте IP почтового сервера, выберите домен и режим «Скрыть сервер». Исходящая почта проверяется антиспамом и лимитами, подписывается DKIM (Настройка smarthost, Скрытие исходного сервера).
Журнал сообщений, поиск, отчёты	Раздел Трекер: путь каждого письма и причина решения. События во внешнюю систему: Настройки → SIEM / Syslog (SIEM и Syslog), метрики для Zabbix/Prometheus (Мониторинг).
Impostor / BEC Defense	Нет аналога. Частично закрывают проверка SPF/DKIM/DMARC, правила по теме и имени отправителя и белые/чёрные списки. Не обещайте клиенту функции, которых нет.
Data Loss Prevention и шифрование	Нет аналога. Если DLP нужен, оставьте его в вашей системе или подключите отдельным продуктом.
Архив	Нет аналога. Архив и шифрование оставьте в прежнем сервисе или у почтового сервера. Непрерывность частично решает очередь шлюза и резервный MX.

Mimecast

Облачный сервис: MX указывает на серверы Mimecast; он проверяет почту и доставляет её на ваш сервер, часто в Microsoft 365 или Google Workspace.

Что выгрузить

Политики приёма: в консоли администратора раздел Gateway → Policies (политики Permitted Senders, Blocked Senders и другие). Эти разрешённые и заблокированные адреса и домены переносите в Белые и Чёрные списки. При совпадении запрещающие политики имеют приоритет над разрешающими, учитывайте это при переносе.
Списки пользователей (Managed Senders): раздел Email Delivery → Managed Senders. Список можно выгрузить в файл (.csv или .xls, не более 50 000 записей за раз), как описано в справке Mimecast.
Список защищаемых доменов, исходящих серверов и правил, привязанных к группам и каталогам.

Что отключить в Microsoft 365 / Google Workspace

Входящий коннектор, принимающий почту только от адресов Mimecast, и правила, пропускающие их мимо проверок.
Исходящий коннектор и правило, отправляющие почту через Mimecast.

Сначала добавьте приём от Спамореза (новый входящий коннектор или правило с адресами Спамореза), затем меняйте MX, затем отключайте коннекторы Mimecast. Сведений о коннекторах Microsoft 365 для Mimecast в найденных источниках нет, поэтому порядок действий сверяйте с документацией Microsoft и Mimecast для вашей схемы.

Что делать у Mimecast

Оставьте архив и другие службы Mimecast (если они у вас есть) до отдельного решения: Спаморез не заменяет почтовый архив.
Не удаляйте домены в Mimecast до конца периода наблюдения.

Топ функций Mimecast и их настройка в Спаморезе

Главные функции защиты и их настройка в панели Спамореза. Строки «Нет аналога» не обещайте клиенту.

Функция в старой системе	Как это настроить в Спаморезе
Антиспам и репутация (Gateway policies)	Включён для всех доменов сразу. Отдельных настроек порога не требуется; исключения и усиления задаются правилами и списками (Как работает фильтрация).
Антивирус	Встроенный ClamAV работает сразу. Внешний антивирус (Kaspersky Scan Engine, Dr.Web, c-icap) подключается в Интеграции → Антивирус по ICAP, с основным и резервным сервером и выбором действий при угрозе и сбое (Антивирус и песочница).
Attachment Protect (песочница, безопасные вложения)	Интеграции → Песочница (ICAP): PT Sandbox, Kaspersky KATA. Встроенной песочницы нет; по умолчанию проверяются исполняемые файлы, документы и архивы (Антивирус и песочница).
URL Protect (проверка ссылок при клике)	В SPZGate есть Link Shield: ссылки подменяются на проверочную страницу `/secure/`, опасные блокируются. Проверьте наличие функции и её включение в вашей версии. Анализ ссылок при клике на уровне крупных вендоров (Time of Click, глубокая детонация) пока не заявляйте.
Permitted Senders	Правила → Белый список: адрес, домен (`@company.com`) или IP/подсеть. Не добавляйте публичные домены (gmail.com, yandex.ru). Пользователи могут вести личный список в кабинете (Белые списки).
Blocked Senders	Правила → Чёрный список: адрес, домен или IP/подсеть; блокировка на уровне SMTP, до приёма тела письма. Репутацию IP по RBL проверяет шлюз автоматически (Чёрные списки).
Политики Gateway по условиям	Правила: условия «От кого / Кому / Тема / IP / Заголовок / Слово в теле» через AND/OR, действия «Пометить как спам, Доставить, Отклонить (550), Переслать, Добавить в тему или заголовок». Порядок правил задаётся перетаскиванием (Правила обработки).
Held Messages / карантин, личные списки (Managed Senders)	Раздел Карантин: доставить, доставить и добавить в белый список, удалить, пожаловаться. Дайджесты включаются в настройках; срок хранения по умолчанию 30 дней, меняется в настройках домена (Карантин).
Проверка SPF, DKIM, DMARC	Выполняется автоматически на этапе проверки отправителя. Для своей исходящей почты настройте SPF, DKIM и DMARC в DNS (SPF / DMARC / DKIM).
Исходящая политика и релей	Релей клиенты: добавьте IP почтового сервера, выберите домен и режим «Скрыть сервер». Исходящая почта проверяется антиспамом и лимитами, подписывается DKIM (Настройка smarthost, Скрытие исходного сервера).
Журнал сообщений (Message Center, Tracker)	Раздел Трекер: путь каждого письма и причина решения. События во внешнюю систему: Настройки → SIEM / Syslog (SIEM и Syslog), метрики для Zabbix/Prometheus (Мониторинг).
Impersonation Protect	Нет аналога. Частично закрывают проверка SPF/DKIM/DMARC, правила по теме и имени отправителя и белые/чёрные списки. Не обещайте клиенту функции, которых нет.
Content Examination (DLP) и шифрование	Нет аналога. Если DLP нужен, оставьте его в вашей системе или подключите отдельным продуктом.
Архив (Cloud Archive), непрерывность (Sync & Recover)	Нет аналога. Архив и шифрование оставьте в прежнем сервисе или у почтового сервера. Непрерывность частично решает очередь шлюза и резервный MX.

Symantec (Broadcom)

Два варианта: облачный Email Security.cloud (MX указывает на сервис, настройки в портале ClientNet) и Messaging Gateway (шлюз у вас: виртуальный или программно-аппаратный).

Что выгрузить

Messaging Gateway: списки хороших и плохих отправителей (Good Senders, Bad Senders) можно выгрузить в файл; по описанию Broadcom в файле все записи (адреса и домены) идут одним списком без пометок, поэтому разделите их по типам (хорошие и плохие) выгрузкой из каждого списка отдельно.
Email Security.cloud: разрешённые и заблокированные отправители организации и пользователей задаются в портале (см. справку Broadcom). Возможность выгрузки этих списков в найденных материалах не подтверждена: проверьте в портале; если выгрузки нет, перепишите записи вручную.
Политики фильтрации (спам, вирусы, контент), список доменов, исходящих серверов.

Что отключить

Messaging Gateway: как в сценарии с ESA — поставьте Спаморез перед ним (Спаморез доставляет на адрес шлюза) или замените на SPZGate; порядок и чек-лист те же, что в инструкции Cisco IronPort (ESA).
Email Security.cloud: как в Proofpoint и Mimecast — коннекторы и правила на стороне вашей почтовой службы, привязанные к адресам Symantec. Сначала разрешите приём от Спамореза, затем меняйте MX, затем отключайте старые ограничения.

Топ функций Symantec и их настройка в Спаморезе

Главные функции защиты и их настройка в панели Спамореза. Строки «Нет аналога» не обещайте клиенту.

Функция в старой системе	Как это настроить в Спаморезе
Антиспам и репутация (Email Security.cloud, Messaging Gateway)	Включён для всех доменов сразу. Отдельных настроек порога не требуется; исключения и усиления задаются правилами и списками (Как работает фильтрация).
Антивирус	Встроенный ClamAV работает сразу. Внешний антивирус (Kaspersky Scan Engine, Dr.Web, c-icap) подключается в Интеграции → Антивирус по ICAP, с основным и резервным сервером и выбором действий при угрозе и сбое (Антивирус и песочница).
Анализ вложений / песочница (Cynic, Content Analysis)	Интеграции → Песочница (ICAP): PT Sandbox, Kaspersky KATA. Встроенной песочницы нет; по умолчанию проверяются исполняемые файлы, документы и архивы (Антивирус и песочница).
Защита от фишинга и анализ ссылок	В SPZGate есть Link Shield: ссылки подменяются на проверочную страницу `/secure/`, опасные блокируются. Проверьте наличие функции и её включение в вашей версии. Анализ ссылок при клике на уровне крупных вендоров (Time of Click, глубокая детонация) пока не заявляйте.
Good Senders / Approved senders	Правила → Белый список: адрес, домен (`@company.com`) или IP/подсеть. Не добавляйте публичные домены (gmail.com, yandex.ru). Пользователи могут вести личный список в кабинете (Белые списки).
Bad Senders / Blocked senders	Правила → Чёрный список: адрес, домен или IP/подсеть; блокировка на уровне SMTP, до приёма тела письма. Репутацию IP по RBL проверяет шлюз автоматически (Чёрные списки).
Политики содержимого и фильтры	Правила: условия «От кого / Кому / Тема / IP / Заголовок / Слово в теле» через AND/OR, действия «Пометить как спам, Доставить, Отклонить (550), Переслать, Добавить в тему или заголовок». Порядок правил задаётся перетаскиванием (Правила обработки).
Spam quarantine и дайджесты	Раздел Карантин: доставить, доставить и добавить в белый список, удалить, пожаловаться. Дайджесты включаются в настройках; срок хранения по умолчанию 30 дней, меняется в настройках домена (Карантин).
Проверка SPF, DKIM, DMARC	Выполняется автоматически на этапе проверки отправителя. Для своей исходящей почты настройте SPF, DKIM и DMARC в DNS (SPF / DMARC / DKIM).
Исходящая фильтрация	Релей клиенты: добавьте IP почтового сервера, выберите домен и режим «Скрыть сервер». Исходящая почта проверяется антиспамом и лимитами, подписывается DKIM (Настройка smarthost, Скрытие исходного сервера).
Журнал и отчёты	Раздел Трекер: путь каждого письма и причина решения. События во внешнюю систему: Настройки → SIEM / Syslog (SIEM и Syslog), метрики для Zabbix/Prometheus (Мониторинг).
Защита от целевых атак и BEC	Нет аналога. Частично закрывают проверка SPF/DKIM/DMARC, правила по теме и имени отправителя и белые/чёрные списки. Не обещайте клиенту функции, которых нет.
DLP и шифрование	Нет аналога. Если DLP нужен, оставьте его в вашей системе или подключите отдельным продуктом.

Проверка и откат

Что проверить после переключения

В Трекере видна входящая почта домена с вердиктами и причинами.
Письма из белых списков доставляются, из чёрных блокируются.
Исходящие письма уходят, SPF и DKIM проходят (отправьте письмо на внешний ящик и откройте заголовки).
Старая система больше не получает почту (проверьте её статистику за 1–2 суток).
Нет повторяющихся ошибок доставки на ваш сервер (коды 4xx/5xx в карточке письма).

Если что-то пошло не так

Проблема	Что проверить
Почта от Спамореза не принимается вашим сервером	Остались ограничения «принимать только с адресов старой защиты» (коннектор, правило, межсетевой экран): добавьте адреса Спамореза.
Часть почты по-прежнему идёт через старую систему	В DNS остался MX со старым приоритетом или кэш DNS не обновился (TTL). Проверьте записи MX и подождите время TTL.
Почта идёт по кругу	Целевой сервер домена в Спаморезе указывает на сам Спаморез или на адрес, который снова ведёт на старую защиту. Укажите адрес реального почтового сервера.
Часть легитимных писем попала в карантин	Сравните вердикт в Трекере с правилами старой системы; добавьте отправителя в белый список или скорректируйте правило.
Нужно срочно вернуться	Верните прежние записи MX (TTL 300 секунд: возврат занимает минуты) и включите отключённые коннекторы старой системы.

→ Microsoft Defender → Google Workspace → Яндекс Почта 360 → Быстрый старт → Cisco IronPort (ESA) → Маршрутизация → Настройка smarthost