Sikre e-mailgateways og spamkontrol

SEGs bruger flere teknikker til at identificere spam. IP-omdømme: Kontrollér den afsendende IP-adresse mod sortlister (Spamhaus, SURBL). Indholdsbaseret filtrering: Bayesiansk analyse af ordmønstre, der er kendt fra spam. Headeranalyse: Se efter forfalskede eller fejlformaterede headere, usædvanlig routing eller manglende godkendelsesheadere. Hastighedsbegrænsning: Markér afsendere, der sender usædvanligt store mængder i korte perioder. Greylisting: Afvis midlertidigt meddelelser fra ukendte afsendere — legitime servere prøver igen, mens spambots ofte ikke gør. Kombinationen af flere teknikker giver bedre nøjagtighed end en enkelt metode.

SEGs scanner vedhæftede filer i e-mails for malware ved hjælp af flere motorer. Signaturbaseret scanning kontrollerer filer mod hashværdier for kendt malware. Statisk analyse undersøger dokumentmakroer, indlejrede scripts og filstruktur uden at køre indholdet. Dynamisk analyse (sandboxing) kører mistænkelige vedhæftede filer i et isoleret miljø og observerer adfærden — ændringer i filsystemet, netværksforbindelser og oprettelse af processer. Sandboxing fanger undvigende malware, som signaturbaseret og statisk analyse overser, men forsinker leveringen med 1-5 minutter. Omskrivning af URL'er ved klik detonerer URL'er, når der klikkes på dem, i stedet for ved levering. Det fanger URL'er, der var rene ved levering, men senere blev gjort ondsindede.

SEGs inspicerer også udgående e-mails for at forhindre datatab. DLP-regler scanner udgående meddelelser for mønstre, der tyder på følsomme data: kreditkortnumre (matchning med regulære udtryk), Social Security-numre, nøgleord som 'confidential' eller klassifikationsetiketter for filer. Når en regel matcher, kan SEG'en blokere meddelelsen, kryptere den automatisk før levering, sætte den i karantæne til gennemsyn af en leder eller alarmere sikkerhedsteamet. DLP for udgående e-mails er afgørende for overholdelse af HIPAA og PCI-DSS — en enkelt utilsigtet e-mail med PHI eller kortholderdata udløser krav om meddelelse om databrud.

E-mailkryptering beskytter meddelelser under transport og ved lagring. Opportunistisk TLS krypterer SMTP-forbindelsen mellem mailservere, når begge understøtter det, og beskytter dermed mod netværksaflytning — men det verificerer ikke den modtagende servers identitet (STARTTLS kan fjernes af en MitM-angriber). MTA-STS (Mail Transfer Agent Strict Transport Security) og DANE (DNS-Based Authentication of Named Entities) gennemtvinger TLS og validering af servercertifikater, hvilket forhindrer angreb, der fjerner TLS. S/MIME og PGP krypterer meddelelsens indhold fra ende til ende uafhængigt af transmissionssikkerheden.

Business Email Compromise (BEC) er en af de dyreste angrebstyper — angribere udgiver sig for at være ledere eller leverandører for at udløse svigagtige bankoverførsler eller indsamle legitimationsoplysninger. BEC omgår ofte spamfiltre, fordi e-mailsene ikke indeholder malware eller phishing-URL'er. SEG-baseret BEC-forsvar omfatter: registrering af forfalskning af viste navne (den administrerende direktørs viste navn, men en anden e-mailadresse), registrering af domæner, der ligner hinanden (company1.com kontra companyI.com), mærkning af lederes e-mails (eksterne meddelelser, der efterligner lederes navne, får et banner) og kontroller af arbejdsgangen for betalingsprocesser (krav om dobbelt godkendelse af overførsler).

Sikkerhedsanalytikere undersøger e-mailheadere for at spore meddelelsens oprindelse og registrere forfalskning. Vigtige headere: Received:-headere viser den vej, meddelelsen tog gennem mailservere (læs dem nedefra og op). Return-Path: er konvoluttens From-adresse, som bruges til SPF. Authentication-Results: viser den modtagende servers resultater for SPF, DKIM og DMARC. X-Originating-IP: kan afsløre angriberens oprindelige IP-adresse. Message-ID: bør matche det afsendende domæne. Uoverensstemmelser mellem disse headere — f.eks. et påstået virksomhedsdomæne, men en ikke-virksomhedsrelateret IP-adresse i Received-headerne — tyder på forfalskning.

SEGs, der registrerer potentielt mistænkelige, men ikke entydigt ondsindede e-mails, sender dem til en karantæne, hvor brugerne kan gennemgå og frigive meddelelser. Karantæneportaler, som brugerne selv har adgang til, viser meddelelsens emne, afsender, årsag til registreringen samt muligheder for at frigive eller slette den. Håndtering af falske positiver — når legitim post fejlagtigt sættes i karantæne — kræver allowlisting af afsendere eller justering af regler. SEGs genererer detaljerede rapporter: udvikling i mængder, mest blokerede afsendere, fordeling på registreringskategorier og antal match på DLP-politikker. Disse rapporter indgår i sikkerhedsmålinger og dokumentation for overholdelse.

SEGs genererer værdifulde sikkerhedstelemetridata, som bør videresendes til SIEM. Når SEG'en blokerer en phishingkampagne, der er rettet mod 500 medarbejdere, kan disse data sammenholdes med slutpunktstelemetri for at identificere de 3 brugere, der klikkede, før blokeringen blev aktiveret. SEGs understøtter også hændelsesrespons baseret på e-mail: Funktioner til trusselsjagt gør det muligt for analytikere at søge efter alle meddelelser, der indeholder en bestemt URL eller hashværdi for en vedhæftet fil, og efterfølgende sætte dem i karantæne i alle postkasser — også meddelelser, der allerede var leveret, før truslen blev identificeret. Denne mulighed for efterfølgende afhjælpning reducerer angriberens opholdstid betydeligt.

En effektiv antispampolitik kræver en balance mellem sikkerhed og brugervenlighed. En alt for aggressiv politik, der sætter for mange legitime meddelelser i karantæne, ødelægger brugernes tillid, fører til forsøg på at omgå kontrollerne og overbelaster supporten. Den anbefalede tilgang er at konfigurere grænser for masse-e-mails (legitim markedsføring kontra spam), fastsætte graymail-politikker (nyhedsbreve, som brugerne selv har tilmeldt sig), definere allowlister over sikre afsendere for kendte partnere, oprette allowlister over domæner for kritiske leverandører og justere tærsklerne for spamscoren baseret på en ugentlig gennemgang af falske positiver. En 'justeringssprint' i de første 30 dage efter implementeringen er afgørende, før politikken kan betragtes som stabil.

I denne lektion lærte du, at sikre e-mail-gateways inspicerer indgående og udgående e-mails ved hjælp af IP-omdømme, indholdsanalyse, scanning for malware og sandboxing, at DLP for udgående e-mails forhindrer følsomme data i at forlade organisationen via e-mail ved hjælp af matchning af regulære udtryk og nøgleordsmønstre, og at forebyggelse af BEC kræver registrering af viste navne og domæner, der ligner hinanden, ud over almindelig spamfiltrering. Næste emne er webindholdsfiltrering og DNS-sinkholes.