بوابات البريد الإلكتروني الآمنة وعناصر مكافحة البريد العشوائي

إن بوابة البريد الإلكتروني الآمنة (SEG) هي جهاز أمني أو خدمة سحابية توجد في مسار تدفق البريد — إما كوجهة لسجل MX أو كمرحل — وتفحص جميع الرسائل الواردة والصادرة قبل تسليمها. وعلى خلاف SPF وDKIM وDMARC، التي تتحقق من هوية المرسل، تنفذ SEG فحص المحتوى، مثل فحص المرفقات بحثًا عن البرمجيات الخبيثة، واكتشاف عناوين URL للتصيد الاحتيالي، وتحديد أنماط البريد العشوائي، ومنع تسرب البيانات الحساسة من المؤسسة عبر البريد الإلكتروني (DLP). ومن أبرز موردي SEG Proofpoint وMimecast وMicrosoft Defender for Office 365.

يمكن نشر بوابات SEG وفق نموذجين رئيسيين. في نموذج MX المضمن، تشير سجلات MX الخاصة بالمؤسسة إلى SEG، التي تستقبل جميع الرسائل الواردة وتفحصها، ثم تمرر الرسائل السليمة إلى خادم البريد في المؤسسة. ويُوجَّه البريد الصادر عبر SEG من خلال إعداد المضيف الذكي. أما في نموذج التكامل عبر API، وهو شائع بشكل متزايد مع البريد السحابي، فتتصل SEG بمنصة البريد عبر API (Microsoft 365 Graph API وGoogle Workspace API) وتفحص الرسائل بعد تسليمها، ثم تسحب الرسائل الخبيثة لاحقًا — أي إنها تعتمد نهج «التنظيف» بدلًا من التصفية قبل التسليم.

تستخدم بوابات SEG تقنيات متعددة لتحديد البريد العشوائي. سمعة IP: التحقق من عنوان IP المرسل مقابل القوائم السوداء (Spamhaus وSURBL). التصفية القائمة على المحتوى: تحليل أنماط الكلمات التي تظهر عادةً في البريد العشوائي باستخدام أسلوب Bayesian. تحليل الرؤوس: البحث عن رؤوس مزورة أو مشوهة، أو توجيه غير معتاد، أو رؤوس مصادقة مفقودة. تحديد معدل الإرسال: تمييز المرسلين الذين يرسلون أحجامًا مرتفعة بشكل غير معتاد خلال فترات قصيرة. القائمة الرمادية: رفض الرسائل مؤقتًا من المرسلين غير المعروفين؛ إذ تعيد الخوادم المشروعة المحاولة، بينما لا تفعل روبوتات البريد العشوائي ذلك غالبًا. ويؤدي الجمع بين تقنيات متعددة إلى دقة أفضل من أي أسلوب منفرد.

تفحص بوابات SEG مرفقات البريد الإلكتروني بحثًا عن البرمجيات الخبيثة باستخدام محركات متعددة. يتحقق الفحص القائم على التوقيعات من الملفات بمقارنتها ببصمات البرمجيات الخبيثة المعروفة. ويفحص التحليل الساكن وحدات الماكرو في المستندات، والبرامج النصية المضمنة، وبنية الملف دون تنفيذ المحتوى. أما التحليل الديناميكي (sandboxing) فينفذ المرفقات المشبوهة داخل بيئة معزولة ويراقب سلوكها، مثل تغييرات نظام الملفات، واتصالات الشبكة، وإنشاء العمليات. يكتشف sandboxing البرمجيات الخبيثة المراوغة التي قد يفشل الفحص القائم على التوقيعات والتحليل الساكن في اكتشافها، لكنه يضيف تأخيرًا في التسليم يتراوح بين دقيقة وخمس دقائق. أما إعادة كتابة عناوين URL وقت النقر فتفجّر عناوين URL عند النقر عليها، لا عند التسليم، مما يتيح اكتشاف العناوين التي كانت سليمة عند التسليم ثم جرى تسليحها لاحقًا.

تفحص بوابات SEG أيضًا البريد الصادر لمنع فقدان البيانات. تفحص قواعد DLP الرسائل الصادرة بحثًا عن أنماط تدل على بيانات حساسة، مثل أرقام بطاقات الائتمان (باستخدام مطابقة regex)، وأرقام الضمان الاجتماعي، وكلمات رئيسية مثل «سري»، أو تصنيفات الملفات. عند تطابق إحدى القواعد، يمكن لـ SEG حظر الرسالة، أو تشفيرها تلقائيًا قبل التسليم، أو وضعها في العزل لمراجعة المدير، أو تنبيه فريق الأمن. يُعد منع فقدان البيانات في البريد الصادر أمرًا بالغ الأهمية للامتثال لمتطلبات HIPAA وPCI-DSS، إذ إن رسالة بريد إلكتروني واحدة تُرسل بالخطأ وتحتوي على PHI أو بيانات حامل البطاقة تستلزم إجراءات الإخطار بحدوث خرق.

يحمي تشفير البريد الإلكتروني الرسائل أثناء النقل وفي وضع السكون. يعمل Opportunistic TLS على تشفير اتصال SMTP بين خوادم البريد عندما يدعمه الطرفان، مما يحمي من التنصت على الشبكة، لكنه لا يتحقق من هوية الخادم المستلم (إذ يمكن لمهاجم MitM إزالة STARTTLS). ويفرض كل من MTA-STS (Mail Transfer Agent Strict Transport Security) وDANE (DNS-Based Authentication of Named Entities) استخدام TLS والتحقق من شهادات الخادم، مما يمنع هجمات إزالة TLS. أما S/MIME وPGP فيشفّران محتوى الرسالة من طرف إلى طرف، بمعزل عن أمان الإرسال.

يُعد اختراق البريد الإلكتروني للأعمال (BEC) من أكثر أنواع الهجمات تكلفة؛ إذ ينتحل المهاجمون شخصيات مسؤولين تنفيذيين أو موردين لتنفيذ تحويلات مصرفية احتيالية أو سرقة بيانات الاعتماد. وغالبًا ما تتجاوز هجمات BEC مرشحات البريد العشوائي لأن الرسائل لا تحتوي على برمجيات خبيثة أو عناوين URL للتصيد الاحتيالي. وتشمل وسائل SEG للدفاع ضد BEC: اكتشاف انتحال اسم العرض (استخدام اسم عرض المدير التنفيذي مع عنوان بريد إلكتروني مختلف)، واكتشاف النطاقات الشبيهة (company1.com مقابل companyI.com)، ووسم رسائل المسؤولين التنفيذيين (إضافة لافتة إلى الرسائل الخارجية التي تحاكي أسماءهم)، وضوابط سير عمل عمليات الدفع (اشتراط موافقة مزدوجة على التحويلات).

يفحص محللو الأمن رؤوس البريد الإلكتروني لتتبع مصدر الرسالة واكتشاف الانتحال. ومن الرؤوس الرئيسية: تعرض رؤوس Received: المسار الذي سلكته الرسالة عبر خوادم البريد (وتُقرأ من الأسفل إلى الأعلى). ويكون Return-Path: هو عنوان From الموجود في الغلاف والمستخدم من قِبل SPF. ويعرض Authentication-Results: نتائج خادم الاستلام في SPF وDKIM وDMARC. وقد يكشف X-Originating-IP: عنوان IP الأصلي للمهاجم. وينبغي أن يتطابق Message-ID: مع نطاق الإرسال. وتشير التناقضات بين هذه الرؤوس — مثل ادعاء استخدام نطاق مؤسسي مع وجود عنوان IP غير مؤسسي في رؤوس Received — إلى حدوث انتحال.

توجّه بوابات SEG الرسائل التي تكتشف أنها قد تكون مشبوهة، لكن لا يمكن الجزم بأنها خبيثة، إلى العزل حيث يستطيع المستخدمون مراجعتها والإفراج عنها. وتعرض بوابات العزل المتاحة للمستخدم موضوع الرسالة، والمرسل، وسبب الاكتشاف، وخيارات الإفراج أو الحذف. وتتطلب إدارة الإيجابيات الكاذبة — أي وضع الرسائل المشروعة في العزل بالخطأ — إضافة المرسل إلى قائمة السماح أو ضبط القواعد. وتُنشئ بوابات SEG تقارير مفصلة تشمل اتجاهات الحجم، وأبرز المرسلين المحظورين، وتوزيع فئات الاكتشاف، وعدد مرات تطابق سياسات DLP. وتُستخدم هذه التقارير في مؤشرات الأمن وأدلة الامتثال.

تُنشئ بوابات SEG بيانات قيّمة للقياس الأمني ينبغي إرسالها إلى SIEM. فعندما تحظر SEG حملة تصيد تستهدف 500 موظف، يمكن ربط هذه البيانات ببيانات الأجهزة الطرفية لتحديد المستخدمين الثلاثة الذين نقروا قبل تطبيق الحظر. كما تدعم بوابات SEG الاستجابة للحوادث المستندة إلى البريد الإلكتروني؛ إذ تتيح إمكانات البحث عن التهديدات للمحللين العثور على جميع الرسائل التي تحتوي على عنوان URL معين أو بصمة مرفق معينة، ثم وضعها في العزل بأثر رجعي عبر جميع صناديق البريد، حتى الرسائل التي سُلّمت قبل اكتشاف التهديد. وتقلل قدرة المعالجة بأثر رجعي هذه مدة بقاء المهاجم داخل البيئة بشكل كبير.

يتطلب تصميم سياسة فعالة لمكافحة البريد العشوائي تحقيق توازن بين الأمان وسهولة الاستخدام. فالسياسة المفرطة في التشدد، والتي تضع عددًا كبيرًا جدًا من الرسائل المشروعة في العزل، تقوض ثقة المستخدمين، وتدفعهم إلى محاولة تجاوزها، وتثقل كاهل مكتب الدعم. ويشمل النهج الموصى به إعداد حدود البريد الجماعي (للتمييز بين التسويق المشروع والبريد العشوائي)، وتحديد سياسات graymail (للنشرات الإخبارية التي اشترك فيها المستخدمون)، وتعريف قوائم السماح للمرسلين الموثوقين للشركاء المعروفين، وإنشاء قوائم سماح للنطاقات للموردين الأساسيين، وضبط حدود درجات البريد العشوائي استنادًا إلى المراجعة الأسبوعية للإيجابيات الكاذبة. وتُعد «مرحلة ضبط» خلال أول 30 يومًا من النشر ضرورية قبل اعتبار السياسة مستقرة.

تعلمتم في هذا الدرس أن بوابات البريد الإلكتروني الآمنة تفحص البريد الوارد والصادر باستخدام سمعة IP وتحليل المحتوى وفحص البرمجيات الخبيثة وsandboxing، وأن منع فقدان البيانات في البريد الصادر يمنع مغادرة البيانات الحساسة عبر البريد الإلكتروني من خلال مطابقة أنماط regex والكلمات الرئيسية، وأن منع BEC يتطلب اكتشاف أسماء العرض والنطاقات الشبيهة، بما يتجاوز تصفية البريد العشوائي التقليدية. بعد ذلك سنستكشف تصفية محتوى الويب وDNS sinkholes.