Gateway e-mail sicuri e controlli antispam

Un Secure Email Gateway (SEG) è un'appliance di sicurezza o un servizio cloud che si trova nel percorso del flusso di posta, come destinazione di un record MX o come relay, e analizza tutte le email in entrata e in uscita prima della consegna. A differenza di SPF/DKIM/DMARC, che verificano l'identità del mittente, un SEG esegue l'ispezione dei contenuti: analizza gli allegati alla ricerca di malware, rileva gli URL di phishing, identifica i pattern dello spam e impedisce che dati sensibili escano dall'organizzazione tramite email (DLP). Tra i principali vendor di SEG figurano Proofpoint, Mimecast e Microsoft Defender for Office 365.

I SEG possono essere implementati secondo due modelli principali. Nel modello MX inline, i record MX dell'organizzazione puntano al SEG, che riceve tutta la posta in entrata, la analizza e inoltra quindi quella pulita al server di posta dell'organizzazione. La posta in uscita viene instradata attraverso il SEG mediante una configurazione smart host. Nel modello di integrazione tramite API, sempre più comune per la posta cloud, il SEG si connette alla piattaforma di posta tramite API (Microsoft 365 Graph API, Google Workspace API) e analizza la posta già consegnata, ritirando poi i messaggi dannosi: si tratta di un approccio di «ripulitura» successiva, anziché di un filtraggio prima della consegna.

I SEG utilizzano diverse tecniche per identificare lo spam. Reputazione IP: controllano l'IP di invio rispetto a blacklist (Spamhaus, SURBL). Filtraggio basato sui contenuti: analizzano con metodi bayesiani i pattern di parole noti per comparire nello spam. Analisi delle intestazioni: cercano intestazioni contraffatte o malformate, instradamenti insoliti o intestazioni di autenticazione mancanti. Limitazione della frequenza: segnalano i mittenti che inviano volumi insolitamente elevati in brevi periodi. Greylisting: rifiutano temporaneamente i messaggi provenienti da mittenti sconosciuti; i server legittimi riprovano, mentre spesso i bot dello spam non lo fanno. La combinazione di più tecniche offre una maggiore precisione rispetto a qualsiasi singolo metodo.

I SEG analizzano gli allegati email alla ricerca di malware utilizzando più motori. La scansione basata sulle firme confronta i file con gli hash di malware noti. L'analisi statica esamina macro dei documenti, script incorporati e struttura dei file senza eseguire il contenuto. L'analisi dinamica (sandboxing) esegue gli allegati sospetti in un ambiente isolato e ne osserva il comportamento: modifiche al file system, connessioni di rete e creazione di processi. Il sandboxing rileva malware evasivi che la scansione basata sulle firme e l'analisi statica non individuano, al costo di un ritardo nella consegna da 1 a 5 minuti. La riscrittura degli URL al momento del clic analizza gli URL quando vengono selezionati, non al momento della consegna, rilevando quelli che erano puliti alla consegna ma sono stati armati in seguito.

I SEG analizzano anche le email in uscita per prevenire la perdita di dati. Le regole DLP analizzano i messaggi in uscita alla ricerca di pattern che indicano dati sensibili: numeri di carte di credito (corrispondenza tramite regex), Social Security Number, parole chiave come «confidential» o etichette di classificazione dei file. Quando una regola rileva una corrispondenza, il SEG può: bloccare il messaggio, crittografarlo automaticamente prima della consegna, metterlo in quarantena per la revisione di un responsabile oppure avvisare il team di sicurezza. La DLP in uscita è fondamentale per la conformità a HIPAA e PCI-DSS: una singola email inviata accidentalmente contenente PHI o dati dei titolari di carta comporta obblighi di notifica della violazione.

La crittografia delle email protegge i messaggi durante il transito e quando sono archiviati. Opportunistic TLS crittografa la connessione SMTP tra i server di posta quando entrambi la supportano, proteggendo dalle intercettazioni di rete, ma non verifica l'identità del server ricevente (STARTTLS può essere rimosso da un attaccante MitM). MTA-STS (Mail Transfer Agent Strict Transport Security) e DANE (DNS-Based Authentication of Named Entities) impongono TLS e la convalida del certificato del server, impedendo gli attacchi di rimozione di TLS. S/MIME e PGP crittografano il contenuto dei messaggi end-to-end, indipendentemente dalla sicurezza della trasmissione.

Il Business Email Compromise (BEC) è uno dei tipi di attacco più costosi: gli attaccanti si spacciano per dirigenti o fornitori per indurre a eseguire bonifici fraudolenti o a raccogliere credenziali. Spesso il BEC elude i filtri antispam perché le email non contengono malware né URL di phishing. Le difese contro il BEC basate sui SEG includono: rilevamento della falsificazione del nome visualizzato (il nome visualizzato del CEO ma un indirizzo email diverso), rilevamento dei domini simili (company1.com rispetto a companyI.com), etichettatura delle email dei dirigenti (i messaggi esterni che imitano i nomi dei dirigenti ricevono un banner) e controlli del workflow per i pagamenti (che richiedono una doppia approvazione per i trasferimenti).

Gli analisti della sicurezza esaminano le intestazioni delle email per risalire all'origine dei messaggi e rilevare lo spoofing. Intestazioni principali: le intestazioni Received: mostrano il percorso seguito dal messaggio attraverso i server di posta (si leggono dal basso verso l'alto). Return-Path: è l'indirizzo From dell'envelope utilizzato da SPF. Authentication-Results: mostra i verdetti SPF, DKIM e DMARC del server ricevente. X-Originating-IP: può rivelare l'IP originale dell'attaccante. Message-ID: dovrebbe corrispondere al dominio di invio. Le incongruenze tra queste intestazioni, come un dominio aziendale dichiarato ma un IP non aziendale nelle intestazioni Received, indicano uno spoofing.

I SEG che rilevano email potenzialmente sospette ma non certamente dannose le inoltrano in quarantena, dove gli utenti possono esaminarle e rilasciarle. I portali di quarantena accessibili agli utenti mostrano l'oggetto del messaggio, il mittente, il motivo del rilevamento e le opzioni per rilasciare o eliminare il messaggio. La gestione dei falsi positivi, ovvero dei messaggi legittimi messi erroneamente in quarantena, richiede l'inserimento del mittente in una allowlist o la regolazione delle regole. I SEG generano report dettagliati: andamento dei volumi, principali mittenti bloccati, suddivisione per categoria di rilevamento e numero di corrispondenze con le policy DLP. Questi report alimentano le metriche di sicurezza e la documentazione della conformità.

I SEG generano telemetria di sicurezza di grande valore, che dovrebbe essere inoltrata al SIEM. Quando il SEG blocca una campagna di phishing diretta a 500 dipendenti, questi dati possono essere correlati con la telemetria degli endpoint per identificare i 3 utenti che hanno fatto clic prima dell'applicazione del blocco. I SEG supportano anche la risposta agli incidenti basata sulle email: le funzionalità di threat hunting consentono agli analisti di cercare tutti i messaggi contenenti uno specifico URL o hash di allegato e di metterli retroattivamente in quarantena in tutte le caselle di posta, anche se erano già stati consegnati prima dell'identificazione della minaccia. Questa capacità di remediation retroattiva riduce significativamente il tempo di permanenza dell'attaccante.

Una policy antispam efficace deve bilanciare sicurezza e usabilità. Una policy eccessivamente aggressiva, che mette in quarantena troppi messaggi legittimi, compromette la fiducia degli utenti, li induce a tentare di aggirarla e sovraccarica l'help desk. L'approccio consigliato consiste nel configurare soglie per le email in massa (marketing legittimo rispetto allo spam), impostare policy per la graymail (newsletter a cui gli utenti si sono iscritti), definire allowlist di mittenti attendibili per i partner noti, creare allowlist di domini per i fornitori critici e regolare le soglie del punteggio spam sulla base della revisione settimanale dei falsi positivi. Uno «sprint di ottimizzazione» nei primi 30 giorni dall'implementazione è essenziale prima di considerare stabile la policy.

Verifichi la Sua comprensione dei concetti di CompTIA Security+ (SY0-701) trattati in questa lezione.

In questa lezione ha appreso che: i Secure Email Gateway analizzano le email in entrata e in uscita utilizzando la reputazione IP, l'analisi dei contenuti, la scansione antimalware e il sandboxing; la DLP in uscita impedisce ai dati sensibili di uscire tramite email attraverso la ricerca di pattern basata su regex e parole chiave; la prevenzione del BEC richiede il rilevamento dei nomi visualizzati contraffatti e dei domini simili, oltre al filtraggio antispam standard. Nella prossima lezione esamineremo il filtraggio dei contenuti web e i sinkhole DNS.