보안 이메일 게이트웨이 및 스팸 방지 제어

Secure Email Gateway (SEG)는 메일 흐름 경로에 위치하여( MX 레코드 대상 또는 릴레이로 구성) 전달 전에 모든 수신 및 발신 이메일을 검사하는 보안 어플라이언스 또는 클라우드 서비스입니다. 발신자 ID를 확인하는 SPF/DKIM/DMARC와 달리 SEG는 Content 검사를 수행합니다. 즉, 첨부 파일에서 악성 코드를 검사하고, 피싱 URL을 탐지하며, 스팸 Pattern을 식별하고, 이메일을 통한 민감한 데이터의 Organization 외부 유출을 방지합니다(DLP). 주요 SEG 공급업체로는 Proofpoint, Mimecast, Microsoft Defender for Office 365가 있습니다.

SEG는 두 가지 주요 모델로 배포할 수 있습니다. Inline MX 모델에서는 Organization의 MX 레코드가 SEG를 가리킵니다. SEG는 모든 수신 메일을 받아 검사한 다음, 깨끗한 메일을 Organization의 메일 Server로 릴레이합니다. 발신 메일은 smart host 구성으로 SEG를 거쳐 라우팅됩니다. API 통합 모델(클라우드 이메일에서 점점 더 Common)은 SEG가 API(Microsoft 365 Graph API, Google Workspace API)를 통해 메일 플랫폼에 연결하여 이미 전달된 메일을 검사한 다음 악성 메시지를 사후에 회수합니다. 이는 전달 전 필터링이 아니라 '정리' 방식입니다.

SEG는 여러 기법을 사용하여 스팸을 식별합니다. IP Reputation: 발신 IP를 블랙리스트(Spamhaus, SURBL)와 대조합니다. Content 기반 필터링: 스팸에 자주 나타나는 단어 Pattern을 베이지안 분석으로 확인합니다. Header 분석: 위조되었거나 형식이 잘못된 header, 비정상적인 라우팅 또는 누락된 인증 header를 찾습니다. Rate 제한: 짧은 시간에 비정상적으로 많은 양을 보내는 발신자를 표시합니다. Greylisting: 알 수 없는 발신자의 메시지를 일시적으로 거부합니다. 정상적인 Server는 재시도하지만 스팸 봇은 재시도하지 않는 경우가 많습니다. 여러 기법을 함께 사용하면 단일 method보다 정확도가 높아집니다.

SEG는 여러 엔진을 사용하여 이메일 첨부 파일에서 악성 코드를 검사합니다. Signature 기반 검사는 알려진 악성 코드 해시와 files를 대조합니다. 정적 분석은 Content를 실행하지 않고 문서 매크로, 삽입된 스크립트 및 file 구조를 검사합니다. 동적 분석(샌드박싱)은 의심스러운 첨부 파일을 격리된 환경에서 실행하고 file system 변경, 네트워크 연결, 프로세스 생성 등의 동작을 관찰합니다. 샌드박싱은 Signature 및 정적 분석이 놓치는 회피형 악성 코드를 탐지하지만, 전달이 1~5분 지연되는 대가가 따릅니다. 클릭 시점 URL 재작성은 전달 시점이 아니라 클릭 시점에 URL을 실행하여, 전달 당시에는 안전했지만 이후 무기화된 URL을 탐지합니다.

SEG는 데이터 손실을 방지하기 위해 발신 이메일도 검사합니다. DLP 규칙은 신용 카드 번호(regex 대조), Social Security Numbers, 'confidential'과 같은 Keyword 또는 file Classification 라벨 등 민감한 데이터를 나타내는 Pattern을 발신 메시지에서 검색합니다. 규칙이 Match되면 SEG는 메시지를 차단하거나, 전달 전에 자동으로 암호화하거나, 관리자가 검토하도록 quarantine하거나, 보안 팀에 ALERT를 보낼 수 있습니다. 발신 DLP는 HIPAA 및 PCI-DSS 준수에 매우 중요합니다. PHI 또는 카드 소유자 데이터가 포함된 이메일을 실수로 한 번만 보내도 침해 통지 requirement가 발생하기 때문입니다.

이메일 암호화는 전송 중이거나 저장된 상태의 메시지를 보호합니다. 기회적 TLS는 두 메일 Server가 모두 지원할 때 메일 Server 간 SMTP 연결을 암호화하여 네트워크 도청을 방지하지만, 수신 Server의 ID를 확인하지는 않습니다(STARTTLS는 MitM 공격자에 의해 제거될 수 있습니다). MTA-STS (Mail Transfer Agent Strict Transport Security)와 DANE (DNS-Based Authentication of Named Entities)는 TLS 및 Server 인증서 검증을 강제하여 TLS 제거 공격을 방지합니다. S/MIME과 PGP는 전송 보안과 관계없이 메시지 Content를 종단 간 암호화합니다.

Business Email Compromise (BEC)는 가장 큰 피해를 유발하는 공격 유형 중 하나입니다. 공격자는 임원이나 공급업체를 사칭하여 사기성 전신 송금이나 자격 증명 탈취를 유도합니다. BEC 이메일에는 악성 코드나 피싱 URL이 포함되지 않는 경우가 많아 스팸 필터를 우회하기도 합니다. SEG 기반 BEC 방어에는 표시 이름 사칭 탐지(CEO의 표시 이름이지만 다른 이메일 주소), 유사 도메인 탐지(company1.com 대 companyI.com), 임원 이메일 태그 지정(임원 이름을 흉내 낸 외부 메시지에 배너 표시), 결제 프로세스 workflow 제어(송금에 이중 승인을 요구)가 포함됩니다.

보안 분석가는 메시지의 출처를 추적하고 스푸핑을 탐지하기 위해 이메일 header를 검사합니다. 주요 header는 다음과 같습니다. Received: header는 메시지가 메일 Server를 거쳐 이동한 경로를 보여 줍니다(아래에서 위로 읽습니다). Return-Path:는 SPF에 사용되는 Envelope From 주소입니다. Authentication-Results:는 수신 Server의 SPF, DKIM 및 DMARC 판정 결과를 보여 줍니다. X-Originating-IP:는 공격자의 원래 IP를 드러낼 수 있습니다. Message-ID:는 발신 도메인과 일치해야 합니다. 이러한 header 사이의 불일치, 예를 들어 기업 도메인을 주장하지만 Received header에 비기업 IP가 나타나는 경우는 스푸핑을 나타냅니다.

잠재적으로 의심스럽지만 악성이라고 확정할 수 없는 이메일을 탐지한 SEG는 이를 quarantine으로 보내 사용자가 검토하고 해제할 수 있도록 합니다. 사용자에게 제공되는 quarantine 포털에는 메시지 제목, 발신자, 탐지 이유 및 해제/삭제 옵션이 표시됩니다. 정상적인 메일이 잘못 quarantine되는 오탐 관리에는 발신자 allowlist 등록 또는 규칙 조정이 필요합니다. SEG는 상세한 Report를 생성합니다. 여기에는 물량 추이, 가장 많이 차단된 발신자, 탐지 Category별 분석 및 DLP policy Match 횟수가 포함됩니다. 이러한 Report는 보안 지표와 준수 증빙에 활용됩니다.

SEG는 가치가 높은 보안 원격 측정 데이터를 생성하므로 SIEM으로 전달해야 합니다. SEG가 500명의 직원을 대상으로 한 피싱 캠페인을 차단한 경우, 해당 데이터를 엔드포인트 원격 측정 데이터와 상관 분석하여 차단이 적용되기 전에 클릭한 3명의 User를 식별할 수 있습니다. SEG는 이메일 기반 incident response도 지원합니다. 위협 헌팅 기능을 사용하면 분석가가 특정 URL이나 첨부 파일 해시를 포함한 모든 메시지를 검색하고, 위협이 식별되기 전에 이미 전달된 메시지까지 포함하여 모든 mailbox에서 해당 메시지를 소급하여 quarantine할 수 있습니다. 이러한 소급 대응 기능은 공격자의 체류 시간을 크게 줄입니다.

효과적인 스팸 방지 policy를 위해서는 보안과 사용 편의성 사이의 균형이 필요합니다. 정상적인 메시지를 지나치게 많이 quarantine하는 과도하게 엄격한 policy는 사용자의 신뢰를 무너뜨리고 우회 시도를 유발하며 헬프데스크를 마비시킵니다. 권장 방식은 대량 이메일 기준(정상적인 Marketing과 스팸 구분)을 구성하고, graymail policy(사용자가 실제로 구독한 뉴스레터)를 설정하며, 알려진 파트너를 위한 안전한 발신자 allowlist를 지정하고, 중요한 공급업체를 위한 도메인 allowlist를 생성하며, 매주 오탐을 검토한 결과를 바탕으로 스팸 score 기준을 조정하는 것입니다. 배포 후 처음 30일 동안 수행하는 '조정 sprint'는 policy가 안정된 것으로 간주되기 전에 반드시 필요합니다.

이 lesson에서는 다음을 학습했습니다. Secure Email Gateway는 IP Reputation, Content 분석, 악성 코드 검사 및 샌드박싱을 사용하여 수신 및 발신 이메일을 검사합니다. 발신 DLP는 정규 표현식과 Keyword Pattern 대조를 통해 민감한 데이터가 이메일로 유출되는 것을 방지합니다. 또한 BEC 방지에는 표준 스팸 필터링을 넘어 표시 이름과 유사 도메인을 탐지하는 기능이 필요합니다. 다음으로는 웹 Content 필터링과 DNS sinkhole을 살펴봅니다.