セキュアメールゲートウェイとスパム対策

セキュアメールゲートウェイ（SEG）は、メールフロー上に配置されるセキュリティアプライアンスまたはクラウドサービスです。MXレコードの宛先またはリレーとして機能し、配信前に受信メールと送信メールをすべて検査します。送信者の身元を確認するSPF／DKIM／DMARCとは異なり、SEGはコンテンツ検査を実行します。具体的には、添付ファイルのマルウェアスキャン、フィッシングURLの検出、スパムパターンの識別、メールによる機密データの組織外への持ち出し防止（DLP）などを行います。主なSEGベンダーには、Proofpoint、Mimecast、Microsoft Defender for Office 365があります。

SEGは主に2つのモデルで導入できます。インラインMXモデルでは、組織のMXレコードがSEGを指し、SEGがすべての受信メールを受け取って検査し、安全なメールを組織のメールサーバーに中継します。送信メールは、スマートホスト構成によってSEG経由でルーティングされます。API連携モデル（クラウドメールで一般的になりつつあります）では、SEGがAPI（Microsoft 365 Graph API、Google Workspace API）経由でメールプラットフォームに接続し、配信済みのメールを検査してから、悪意のあるメッセージを事後的に取り消します。これは配信前のフィルタリングではなく、「クリーンアップ」型のアプローチです。

SEGは複数の技術を使ってスパムを識別します。IPレピュテーション：送信元IPをSpamhausやSURBLなどのブラックリストと照合します。コンテンツベースのフィルタリング：スパムに現れることが知られている単語パターンをベイズ分析します。ヘッダー分析：偽造または不正な形式のヘッダー、通常とは異なるルーティング、認証ヘッダーの欠落を調べます。レート制限：短時間に異常に大量のメールを送信する送信者を警告対象にします。グレイリスティング：未知の送信者からのメッセージを一時的に拒否します。正規のサーバーは再送を試みますが、スパムボットは再送しないことが多くあります。複数の技術を組み合わせることで、単一の手法よりも高い精度を実現できます。

SEGは複数のエンジンを使ってメールの添付ファイルをマルウェアスキャンします。シグネチャベースのスキャンでは、ファイルを既知のマルウェアハッシュと照合します。静的解析では、コンテンツを実行せずに、ドキュメントのマクロ、埋め込みスクリプト、ファイル構造を調べます。動的解析（サンドボックス）では、疑わしい添付ファイルを隔離された環境で実行し、ファイルシステムの変更、ネットワーク接続、プロセスの生成などの挙動を観察します。サンドボックスは、シグネチャ解析や静的解析では見逃す回避型マルウェアも検出できますが、配信に1～5分の遅延が生じます。クリック時URL書き換えでは、配信時ではなくクリック時にURLを解析するため、配信時には安全だったものの後から悪用されたURLも検出できます。

SEGは、データ損失を防ぐために送信メールも検査します。DLPルールは、クレジットカード番号（正規表現による照合）、社会保障番号、「confidential」などのキーワード、ファイルの分類ラベルといった機密データを示すパターンを送信メッセージから検出します。ルールに一致した場合、SEGはメッセージをブロックする、配信前に自動的に暗号化する、管理者の確認用に隔離する、またはセキュリティチームに警告することができます。送信メールのDLPは、HIPAAやPCI-DSSへの準拠に不可欠です。PHIやカード会員データを含むメールを誤って1通送信しただけでも、データ侵害の通知義務が発生する可能性があります。

メールの暗号化は、転送中および保存中のメッセージを保護します。日和見TLSは、両方のメールサーバーが対応している場合にサーバー間のSMTP接続を暗号化し、ネットワーク盗聴から保護します。ただし、受信サーバーの身元は検証しません（STARTTLSは中間者攻撃者によって剥奪される可能性があります）。MTA-STS（Mail Transfer Agent Strict Transport Security）とDANE（DNS-Based Authentication of Named Entities）は、TLSとサーバー証明書の検証を強制し、TLSストリッピング攻撃を防止します。S/MIMEとPGPは、通信経路のセキュリティとは独立して、メッセージの内容をエンドツーエンドで暗号化します。

Business Email Compromise（BEC）は、最も被害額の大きい攻撃の1つです。攻撃者は役員や取引先になりすまし、不正な電信送金や認証情報の窃取を誘導します。BECのメールにはマルウェアやフィッシングURLが含まれないことが多いため、スパムフィルターを回避することがあります。SEGを利用したBEC対策には、表示名のなりすまし検出（CEOの表示名なのにメールアドレスが異なる場合）、類似ドメインの検出（company1.comとcompanyI.comなど）、役員メールのタグ付け（役員名をまねた外部メッセージにバナーを表示）、支払い処理ワークフローの制御（送金に二重承認を必要とすること）があります。

セキュリティアナリストは、メッセージの送信元を追跡し、スプーフィングを検出するためにメールヘッダーを調べます。主なヘッダーは次のとおりです。Received:ヘッダーは、メッセージがメールサーバー間を通過した経路を示します（下から上へ読み取ります）。Return-Path:は、SPFに使用されるエンベロープFromアドレスです。Authentication-Results:は、受信サーバーによるSPF、DKIM、DMARCの判定結果を示します。X-Originating-IP:には、攻撃者の元のIPが示される場合があります。Message-ID:は送信元ドメインと一致している必要があります。これらのヘッダー間に不整合がある場合、たとえば企業ドメインを名乗っているのにReceivedヘッダーのIPが企業のものではない場合は、スプーフィングの兆候です。

疑わしい可能性はあるものの、悪意があると断定できないメールを検出したSEGは、そのメールを隔離に送り、ユーザーが確認して解放できるようにします。ユーザーが利用できる隔離ポータルには、メッセージの件名、送信者、検出理由、解放／削除のオプションが表示されます。誤検知の管理、つまり正規のメールが誤って隔離された場合には、送信者の許可リストへの追加やルールの調整が必要です。SEGは、量の推移、ブロック数の多い送信者、検出カテゴリの内訳、DLPポリシーの一致件数など、詳細なレポートを生成します。これらのレポートは、セキュリティ指標やコンプライアンスの証跡に活用されます。

SEGは価値の高いセキュリティテレメトリを生成するため、SIEMに転送する必要があります。SEGが500人の従業員を標的とするフィッシングキャンペーンをブロックした場合、そのデータをエンドポイントのテレメトリと相関させることで、ブロック適用前にクリックした3人のユーザーを特定できます。SEGはメールベースのインシデント対応にも対応します。脅威ハンティング機能を使えば、特定のURLや添付ファイルハッシュを含むすべてのメッセージを検索し、脅威が特定される前に配信済みだったメッセージであっても、すべてのメールボックスで事後的に隔離できます。この事後修復機能により、攻撃者の滞留時間を大幅に短縮できます。

効果的なスパム対策ポリシーには、セキュリティと使いやすさのバランスが必要です。正規のメッセージまで過剰に隔離するポリシーは、ユーザーの信頼を損ない、回避行動を招き、ヘルプデスクへの問い合わせを増大させます。推奨される方法は、大量メールのしきい値（正規のマーケティングメールとスパムを区別するため）を設定し、グレーメールポリシー（ユーザーが登録したニュースレターなど）を定め、既知のパートナー向けに安全な送信者の許可リストを設定し、重要な取引先向けにドメインの許可リストを作成し、毎週の誤検知レビューに基づいてスパムスコアのしきい値を調整することです。導入後最初の30日間に「チューニングスプリント」を実施することが、ポリシーを安定運用に移行する前に不可欠です。

このレッスンで扱ったCompTIA Security+（SY0-701）の概念について、理解度を確認します。

このレッスンでは、次のことを学びました。セキュアメールゲートウェイは、IPレピュテーション、コンテンツ分析、マルウェア対策スキャン、サンドボックスを使用して受信メールと送信メールを検査します。送信メールのDLPは、正規表現やキーワードのパターンマッチングによって、機密データがメール経由で外部に流出するのを防ぎます。また、BEC対策には、標準的なスパムフィルタリングに加えて、表示名や類似ドメインの検出が必要です。次は、WebコンテンツフィルタリングとDNSシンクホールについて学びます。