Beveiligde e-mailgateways en antispamcontroles

SEGs gebruiken meerdere technieken om spam te herkennen. IP-reputatie: controleer het verzendende IP-adres aan de hand van zwarte lijsten (Spamhaus, SURBL). Inhoudsfiltering: gebruik Bayesiaanse analyse van woordpatronen die vaak in spam voorkomen. Headeranalyse: zoek naar vervalste of onjuist opgemaakte headers, ongebruikelijke routering of ontbrekende authenticatieheaders. Tariefbeperking: markeer afzenders die in korte perioden ongewoon grote hoeveelheden e-mail verzenden. Greylisting: weiger berichten van onbekende afzenders tijdelijk — legitieme servers proberen opnieuw, spamrobots vaak niet. Door meerdere technieken te combineren krijg je een betere nauwkeurigheid dan met één methode.

SEGs scannen e-mailbijlagen met meerdere engines op malware. Scannen op basis van handtekeningen vergelijkt bestanden met hashes van bekende malware. Statische analyse onderzoekt documentmacro's, ingesloten scripts en de bestandsstructuur zonder de inhoud uit te voeren. Dynamische analyse (sandboxing) voert verdachte bijlagen uit in een geïsoleerde omgeving en observeert het gedrag — wijzigingen in het bestandssysteem, netwerkverbindingen en het starten van processen. Sandboxing detecteert zich ontwijkend gedragende malware die scannen op basis van handtekeningen en statische analyse missen, maar veroorzaakt daarbij een vertraging van 1-5 minuten bij de aflevering. URL-herschrijving op het moment van klikken activeert URL's op het moment dat erop wordt geklikt, niet bij aflevering. Zo worden URL's onderschept die bij aflevering schoon waren maar later zijn bewapend.

SEGs inspecteren ook uitgaande e-mail om gegevensverlies te voorkomen. DLP-regels scannen uitgaande berichten op patronen die op gevoelige gegevens wijzen: creditcardnummers (matching met reguliere expressies), Social Security Numbers, trefwoorden zoals 'confidential' of labels voor bestandsclassificatie. Wanneer een regel overeenkomt, kan de SEG het bericht blokkeren, het vóór aflevering automatisch versleutelen, het voor beoordeling door een manager in quarantaine plaatsen of het beveiligingsteam waarschuwen. DLP voor uitgaande e-mail is cruciaal voor naleving van HIPAA en PCI-DSS — één per ongeluk verzonden e-mail met PHI of kaarthoudergegevens leidt tot verplichtingen voor het melden van een datalek.

E-mailversleuteling beschermt berichten tijdens transport en wanneer ze zijn opgeslagen. Opportunistische TLS versleutelt de SMTP-verbinding tussen e-mailservers wanneer beide dit ondersteunen en beschermt zo tegen afluisteren op het netwerk — maar verifieert niet de identiteit van de ontvangende server (een MitM-aanvaller kan STARTTLS verwijderen). MTA-STS (Mail Transfer Agent Strict Transport Security) en DANE (DNS-Based Authentication of Named Entities) dwingen TLS en validatie van servercertificaten af en voorkomen aanvallen waarbij TLS wordt verwijderd. S/MIME en PGP versleutelen de inhoud van berichten end-to-end, onafhankelijk van de beveiliging tijdens de overdracht.

Business Email Compromise (BEC) is een van de kostbaarste aanvalstypen: aanvallers doen zich voor als leidinggevenden of leveranciers om frauduleuze bankoverschrijvingen of het buitmaken van inloggegevens te veroorzaken. BEC omzeilt vaak spamfilters omdat de e-mails geen malware of phishing-URL's bevatten. BEC-verdediging op basis van een SEG omvat: detectie van imitatie van weergegeven namen (de weergegeven naam van de CEO, maar een ander e-mailadres), detectie van lookalike-domeinen (company1.com tegenover companyI.com), markering van e-mail van leidinggevenden (externe berichten die namen van leidinggevenden nabootsen krijgen een banner) en werkstroomcontroles voor betalingsprocessen (voor overschrijvingen is dubbele goedkeuring vereist).

Beveiligingsanalisten onderzoeken e-mailheaders om de oorsprong van berichten te traceren en vervalsing te detecteren. Belangrijke headers: Received:-headers tonen de route die het bericht via e-mailservers heeft afgelegd (lees ze van onder naar boven). Return-Path: is het envelopafzenderadres dat voor SPF wordt gebruikt. Authentication-Results: toont de SPF-, DKIM- en DMARC-beoordelingen van de ontvangende server. X-Originating-IP: kan het oorspronkelijke IP-adres van de aanvaller onthullen. Message-ID: moet overeenkomen met het verzendende domein. Inconsistenties tussen deze headers — zoals een geclaimd bedrijfsdomein maar een niet-bedrijfsmatig IP-adres in Received-headers — wijzen op vervalsing.

SEGs die mogelijk verdachte maar niet definitief schadelijke e-mail detecteren, sturen deze naar een quarantaine waar gebruikers berichten kunnen controleren en vrijgeven. Quarantaineportalen die toegankelijk zijn voor gebruikers tonen het onderwerp van het bericht, de afzender, de reden voor detectie en opties voor vrijgeven of verwijderen. Beheer van fout-positieven — wanneer legitieme e-mail ten onrechte in quarantaine wordt geplaatst — vereist het toestaan van afzenders of het afstellen van regels. SEGs genereren gedetailleerde rapporten: volumetrends, de meest geblokkeerde afzenders, uitsplitsingen per detectiecategorie en aantallen treffers op DLP-beleid. Deze rapporten worden gebruikt voor beveiligingsmetingen en als bewijs voor naleving.

SEGs genereren waardevolle beveiligingstelemetrie die naar de SIEM moet worden doorgestuurd. Wanneer de SEG een phishingcampagne tegen 500 medewerkers blokkeert, kunnen die gegevens worden gecorreleerd met telemetrie van eindpunten om de drie gebruikers te identificeren die hebben geklikt voordat de blokkering werd toegepast. SEGs ondersteunen ook incidentrespons via e-mail: met functies voor threat hunting kunnen analisten zoeken naar alle berichten met een specifieke URL of hash van een bijlage en deze achteraf in alle mailboxen in quarantaine plaatsen — zelfs berichten die al waren afgeleverd voordat de dreiging werd geïdentificeerd. Deze mogelijkheid voor herstel achteraf verkort de verblijftijd van aanvallers aanzienlijk.

Een effectief spambeleid vereist een balans tussen beveiliging en gebruiksgemak. Een te streng beleid dat te veel legitieme berichten in quarantaine plaatst, vernietigt het vertrouwen van gebruikers, leidt tot pogingen om het beleid te omzeilen en overspoelt de helpdesk. Aanbevolen aanpak: configureer drempels voor bulk-e-mail (legitieme marketing tegenover spam), stel graymailbeleid in (nieuwsbrieven waarvoor gebruikers zich wel hebben aangemeld), definieer lijsten met toegestane afzenders voor bekende partners, maak lijsten met toegestane domeinen voor kritieke leveranciers en stel drempels voor spamscores af op basis van een wekelijkse beoordeling van fout-positieven. Een 'afstelsprint' in de eerste 30 dagen na implementatie is essentieel voordat het beleid als stabiel kan worden beschouwd.

In deze les heb je geleerd dat Secure Email Gateways inkomende en uitgaande e-mail inspecteren met behulp van IP-reputatie, inhoudsanalyse, antimalwarescanning en sandboxing; dat DLP voor uitgaande e-mail voorkomt dat gevoelige gegevens via e-mail naar buiten gaan door patronen in reguliere expressies en trefwoorden te herkennen; en dat BEC-preventie naast standaardspamfiltering detectie van weergegeven namen en lookalike-domeinen vereist. Hierna bekijken we filtering van webinhoud en DNS-sinkholes.