Gerbang Email Aman dan Pengendalian Spam

Secure Email Gateway (SEG) adalah perangkat keamanan atau layanan cloud yang berada di jalur aliran email—baik sebagai tujuan catatan MX maupun sebagai relay—dan memeriksa semua email masuk serta keluar sebelum dikirimkan. Berbeda dari SPF/DKIM/DMARC (yang memverifikasi identitas pengirim), SEG melakukan pemeriksaan konten: memindai lampiran untuk mencari malware, mendeteksi URL phishing, mengidentifikasi pola spam, dan mencegah data sensitif keluar dari Organisasi melalui email (DLP). Vendor SEG utama mencakup Proofpoint, Mimecast, dan Microsoft Defender for Office 365.

SEG dapat diterapkan dengan dua model utama. Dalam model MX inline, catatan MX Organisasi menunjuk ke SEG, yang menerima semua email masuk, memeriksanya, lalu meneruskan email yang bersih ke Server email Organisasi. Email keluar dirutekan melalui SEG menggunakan konfigurasi smart host. Dalam model integrasi API (yang semakin umum untuk email cloud), SEG terhubung ke platform email melalui API (Microsoft 365 Graph API, Google Workspace API) dan memeriksa email yang sudah dikirimkan, lalu menarik kembali pesan berbahaya setelahnya—pendekatan pembersihan, bukan penyaringan sebelum pengiriman.

SEG menggunakan berbagai teknik untuk mengidentifikasi spam. Reputasi IP: memeriksa IP pengirim terhadap daftar blokir (Spamhaus, SURBL). Penyaringan berbasis konten: analisis Bayesian terhadap pola kata yang diketahui sering muncul dalam spam. Analisis Header: mencari header yang dipalsukan atau tidak valid, perutean yang tidak biasa, atau header autentikasi yang hilang. Pembatasan laju: menandai pengirim yang mengirim volume sangat tinggi dalam waktu singkat. Greylisting: menolak sementara pesan dari pengirim yang tidak dikenal—Server yang sah akan mencoba kembali, sedangkan bot spam sering kali tidak. Penggabungan beberapa teknik menghasilkan akurasi yang lebih baik daripada satu metode saja.

SEG memindai lampiran email untuk mencari malware menggunakan beberapa mesin pemindai. Pemindaian berbasis tanda tangan memeriksa berkas terhadap hash malware yang telah diketahui. Analisis statis memeriksa makro dokumen, skrip tertanam, dan struktur berkas tanpa menjalankan konten. Analisis dinamis (sandbox) menjalankan lampiran yang mencurigakan dalam lingkungan terisolasi dan mengamati perilakunya—perubahan sistem berkas, koneksi jaringan, serta pembuatan proses. Sandbox dapat menemukan malware yang menghindar dari deteksi dan luput dari analisis tanda tangan maupun analisis statis, tetapi menyebabkan penundaan pengiriman selama 1–5 menit. Penulisan ulang URL saat diklik menjalankan pemeriksaan URL saat diklik, bukan saat dikirimkan, sehingga dapat menangkap URL yang bersih ketika dikirim tetapi kemudian dipersenjatai.

SEG juga memeriksa email keluar untuk mencegah kehilangan data. Aturan DLP memindai pesan keluar untuk mencari pola yang menunjukkan data sensitif: nomor kartu kredit (pencocokan regex), Social Security Numbers, kata kunci seperti 'confidential', atau label klasifikasi berkas. Ketika suatu aturan cocok, SEG dapat: memblokir pesan, mengenkripsinya secara otomatis sebelum dikirimkan, mengarantina pesan untuk ditinjau manajer, atau memberi ALERT kepada tim keamanan. DLP email keluar sangat penting untuk kepatuhan HIPAA dan PCI-DSS—satu email yang tidak sengaja berisi PHI atau data pemegang kartu dapat memicu kewajiban pemberitahuan pelanggaran.

Enkripsi email melindungi pesan saat transit dan saat tersimpan. Opportunistic TLS mengenkripsi koneksi SMTP antara Server email ketika keduanya mendukungnya, sehingga melindungi dari penyadapan jaringan—tetapi tidak memverifikasi identitas Server penerima (STARTTLS dapat dihapus oleh penyerang MitM). MTA-STS (Mail Transfer Agent Strict Transport Security) dan DANE (DNS-Based Authentication of Named Entities) memaksa penggunaan TLS dan validasi sertifikat Server, sehingga mencegah serangan penghapusan TLS. S/MIME dan PGP mengenkripsi konten pesan secara menyeluruh dari ujung ke ujung, terlepas dari keamanan transmisi.

Business Email Compromise (BEC) adalah salah satu jenis serangan yang paling mahal—penyerang menyamar sebagai eksekutif atau vendor untuk memicu transfer dana melalui wire atau pencurian kredensial. BEC sering melewati filter spam karena emailnya tidak berisi malware atau URL phishing. Pertahanan BEC berbasis SEG mencakup: deteksi penyamaran nama tampilan (nama tampilan CEO tetapi alamat email berbeda), deteksi domain yang mirip (company1.com vs companyI.com), penandaan email eksekutif (pesan eksternal yang meniru nama eksekutif diberi banner), dan pengendalian alur kerja proses pembayaran (mewajibkan persetujuan ganda untuk transfer).

Analis keamanan memeriksa header email untuk melacak asal pesan dan mendeteksi pemalsuan. Header utama: header Received: menunjukkan jalur yang ditempuh pesan melalui Server email (baca dari bawah ke atas). Return-Path: adalah alamat envelope From yang digunakan untuk SPF. Authentication-Results: menunjukkan hasil pemeriksaan SPF, DKIM, dan DMARC oleh Server penerima. X-Originating-IP: dapat mengungkap IP asli penyerang. Message-ID: seharusnya cocok dengan domain pengirim. Ketidakkonsistenan antara header-header ini—misalnya domain perusahaan yang diklaim tetapi IP nonperusahaan dalam header Received—menunjukkan adanya pemalsuan.

SEG yang mendeteksi email yang berpotensi mencurigakan tetapi belum dapat dipastikan berbahaya akan mengarahkannya ke karantina, tempat Users dapat meninjau dan melepaskan pesan. Portal karantina yang dapat diakses Users menampilkan subjek pesan, pengirim, alasan deteksi, serta opsi untuk melepaskan atau menghapus pesan. Pengelolaan positif palsu—ketika email yang sah keliru dikarantina—memerlukan allowlist pengirim atau penyesuaian aturan. SEG menghasilkan laporan terperinci: tren volume, pengirim yang paling sering diblokir, rincian kategori deteksi, dan jumlah kecocokan kebijakan DLP. Laporan ini menjadi masukan bagi metrik keamanan dan bukti kepatuhan.

SEG menghasilkan telemetri keamanan bernilai tinggi yang sebaiknya diteruskan ke SIEM. Ketika SEG memblokir kampanye phishing yang menargetkan 500 karyawan, data tersebut dapat dikorelasikan dengan telemetri endpoint untuk mengidentifikasi 3 User yang mengeklik sebelum pemblokiran diterapkan. SEG juga mendukung respons insiden berbasis email: kemampuan berburu ancaman memungkinkan analis mencari semua pesan yang berisi URL tertentu atau hash lampiran tertentu dan mengarantinanya secara retrospektif di semua kotak surat—bahkan pesan yang sudah dikirimkan sebelum ancaman teridentifikasi. Kemampuan remediasi retrospektif ini secara signifikan mengurangi waktu penyerang berada dalam lingkungan.

Kebijakan anti-spam yang efektif harus menyeimbangkan keamanan dan kemudahan penggunaan. Kebijakan yang terlalu agresif dan mengarantina terlalu banyak pesan sah akan menghancurkan kepercayaan User, mendorong upaya untuk melewati kebijakan, dan membanjiri meja bantuan. Pendekatan yang disarankan: konfigurasikan ambang email massal (pemasaran yang sah dibandingkan spam), tetapkan kebijakan graymail (buletin yang memang didaftari Users), tentukan allowlist pengirim aman untuk mitra yang dikenal, buat allowlist domain untuk vendor penting, dan sesuaikan ambang score spam berdasarkan tinjauan positif palsu mingguan. 'Sprint penyetelan' selama 30 hari pertama setelah penerapan sangat penting sebelum kebijakan dianggap stabil.

Dalam pelajaran ini Anda mempelajari bahwa Secure Email Gateways memeriksa email masuk dan keluar menggunakan reputasi IP, analisis konten, pemindaian anti-malware, dan sandbox; DLP email keluar mencegah data sensitif keluar melalui email menggunakan regex dan pencocokan pola kata kunci; sedangkan pencegahan BEC memerlukan deteksi nama tampilan dan domain yang mirip, melampaui penyaringan spam standar. Selanjutnya kita akan membahas penyaringan konten web dan DNS sinkhole.