Bezpieczne bramy pocztowe i ochrona przed spamem

Secure Email Gateway (SEG) to urządzenie zabezpieczające lub usługa w chmurze, która znajduje się na ścieżce przepływu poczty — jako miejsce docelowe rekordu MX lub jako przekaźnik — i sprawdza wszystkie wiadomości przychodzące oraz wychodzące przed ich dostarczeniem. W przeciwieństwie do SPF/DKIM/DMARC, które weryfikują tożsamość nadawcy, SEG wykonuje inspekcję treści: skanuje załączniki pod kątem złośliwego oprogramowania, wykrywa adresy URL prowadzące do phishingu, rozpoznaje wzorce spamu i zapobiega wysyłaniu poufnych danych poza organizację za pośrednictwem poczty elektronicznej (DLP). Do głównych dostawców SEG należą Proofpoint, Mimecast i Microsoft Defender for Office 365.

SEG można wdrożyć w dwóch głównych modelach. W modelu inline MX rekordy MX organizacji wskazują na SEG, który odbiera całą pocztę przychodzącą, sprawdza ją, a następnie przekazuje czyste wiadomości do serwera pocztowego organizacji. Poczta wychodząca jest kierowana przez SEG za pomocą konfiguracji smart host. W modelu integracji przez API (coraz częściej stosowanym w przypadku poczty w chmurze) SEG łączy się z platformą pocztową za pośrednictwem API (Microsoft 365 Graph API, Google Workspace API) i sprawdza wiadomości już dostarczone, a następnie wycofuje złośliwe wiadomości — jest to podejście polegające na „sprzątaniu”, a nie na filtrowaniu przed dostarczeniem.

SEG wykorzystuje wiele technik do identyfikowania spamu. Reputacja adresu IP: sprawdzanie adresu IP nadawcy na listach blokad (Spamhaus, SURBL). Filtrowanie na podstawie treści: analiza bayesowska wzorców słów charakterystycznych dla spamu. Analiza nagłówków: wyszukiwanie sfałszowanych lub nieprawidłowo utworzonych nagłówków, nietypowego routingu albo brakujących nagłówków uwierzytelniania. Ograniczanie liczby wiadomości: oznaczanie nadawców, którzy wysyłają nietypowo duże ilości wiadomości w krótkich odstępach czasu. Greylisting: tymczasowe odrzucanie wiadomości od nieznanych nadawców — prawidłowe serwery ponawiają próbę, a boty spamowe często tego nie robią. Połączenie wielu technik zapewnia większą dokładność niż zastosowanie dowolnej pojedynczej metody.

SEG skanuje załączniki poczty elektronicznej pod kątem złośliwego oprogramowania, korzystając z wielu silników. Skanowanie oparte na sygnaturach porównuje pliki ze znanymi skrótami złośliwego oprogramowania. Analiza statyczna sprawdza makra dokumentów, osadzone skrypty i strukturę pliku bez wykonywania jego zawartości. Analiza dynamiczna (sandboxing) uruchamia podejrzane załączniki w odizolowanym środowisku i obserwuje ich zachowanie — zmiany w systemie plików, połączenia sieciowe oraz uruchamianie procesów. Sandboxing wykrywa złośliwe oprogramowanie stosujące techniki unikania wykrycia, którego nie wykrywają sygnatury ani analiza statyczna, ale powoduje opóźnienie dostarczenia wiadomości o 1–5 minut. Przepisywanie adresów URL w momencie kliknięcia analizuje adresy URL dopiero w chwili kliknięcia, a nie podczas dostarczania wiadomości, dzięki czemu wykrywa adresy, które były bezpieczne w chwili dostarczenia, ale później zostały wykorzystane do ataku.

SEG sprawdza również pocztę wychodzącą, aby zapobiegać utracie danych. Reguły DLP skanują wiadomości wychodzące w poszukiwaniu wzorców wskazujących na dane wrażliwe: numery kart kredytowych (dopasowanie wyrażeń regularnych), numery Social Security, słowa kluczowe takie jak „confidential” lub etykiety klasyfikacji plików. Gdy reguła zostanie dopasowana, SEG może: zablokować wiadomość, automatycznie ją zaszyfrować przed dostarczeniem, umieścić ją w kwarantannie do sprawdzenia przez przełożonego albo powiadomić zespół ds. bezpieczeństwa. DLP dla poczty wychodzącej ma kluczowe znaczenie dla zgodności z HIPAA i PCI-DSS — pojedyncza przypadkowo wysłana wiadomość zawierająca PHI lub dane posiadacza karty uruchamia obowiązek powiadomienia o naruszeniu.

Szyfrowanie poczty chroni wiadomości podczas przesyłania i w spoczynku. Opportunistic TLS szyfruje połączenie SMTP między serwerami pocztowymi, gdy oba serwery je obsługują, chroniąc przed podsłuchem w sieci — nie weryfikuje jednak tożsamości serwera odbiorcy (atakujący typu MitM może usunąć STARTTLS). MTA-STS (Mail Transfer Agent Strict Transport Security) i DANE (DNS-Based Authentication of Named Entities) wymuszają używanie TLS oraz weryfikację certyfikatu serwera, zapobiegając atakom polegającym na usunięciu TLS. S/MIME i PGP szyfrują treść wiadomości end-to-end, niezależnie od bezpieczeństwa transmisji.

Business Email Compromise (BEC) to jeden z najbardziej kosztownych rodzajów ataków — napastnicy podszywają się pod członków kadry kierowniczej lub dostawców, aby doprowadzić do wykonania fałszywych przelewów albo przejęcia danych uwierzytelniających. BEC często omija filtry spamu, ponieważ wiadomości nie zawierają złośliwego oprogramowania ani adresów URL prowadzących do phishingu. Zabezpieczenia SEG przed BEC obejmują: wykrywanie podszywania się pod nazwę wyświetlaną (nazwa wyświetlana dyrektora generalnego, ale inny adres e-mail), wykrywanie podobnych domen (company1.com i companyI.com), oznaczanie wiadomości od kadry kierowniczej (wiadomości zewnętrzne naśladujące nazwy członków kadry kierowniczej otrzymują baner) oraz kontrolę procedur płatności (wymóg podwójnego zatwierdzenia przelewów).

Analitycy bezpieczeństwa sprawdzają nagłówki poczty elektronicznej, aby prześledzić pochodzenie wiadomości i wykryć podszywanie się. Najważniejsze nagłówki: Received: pokazują ścieżkę, którą wiadomość przebyła przez serwery pocztowe (należy je czytać od dołu do góry). Return-Path: to adres From koperty używany przez SPF. Authentication-Results: pokazuje werdykty serwera odbierającego dotyczące SPF, DKIM i DMARC. X-Originating-IP: może ujawnić pierwotny adres IP napastnika. Message-ID: powinien odpowiadać domenie nadawcy. Niespójności między tymi nagłówkami — na przykład deklarowana domena firmowa, ale adres IP spoza firmy w nagłówkach Received — wskazują na podszywanie się.

SEG, które wykrywa wiadomości potencjalnie podejrzane, ale niejednoznacznie złośliwe, kieruje je do kwarantanny, gdzie użytkownicy mogą je przejrzeć i zwolnić. Portale kwarantanny dostępne dla użytkowników pokazują temat wiadomości, nadawcę, przyczynę wykrycia oraz opcje zwolnienia lub usunięcia. Zarządzanie fałszywymi alarmami — sytuacjami, w których prawidłowa wiadomość zostaje niepoprawnie umieszczona w kwarantannie — wymaga dodania nadawcy do listy dozwolonych albo dostrojenia reguł. SEG generuje szczegółowe raporty: trendy dotyczące liczby wiadomości, najczęściej blokowanych nadawców, zestawienie kategorii wykryć oraz liczbę dopasowań do polityk DLP. Raporty te są wykorzystywane w ramach wskaźników bezpieczeństwa i jako dowody zgodności.

SEG generuje cenne dane telemetryczne dotyczące bezpieczeństwa, które należy przekazywać do SIEM. Gdy SEG zablokuje kampanię phishingową skierowaną do 500 pracowników, dane te można skorelować z telemetrią punktów końcowych, aby ustalić, którzy 3 użytkownicy kliknęli przed zastosowaniem blokady. SEG obsługuje również reagowanie na incydenty za pośrednictwem poczty elektronicznej: funkcje threat hunting pozwalają analitykom wyszukać wszystkie wiadomości zawierające określony adres URL lub skrót załącznika, a następnie umieścić je w kwarantannie we wszystkich skrzynkach — nawet jeśli zostały już dostarczone, zanim zagrożenie zostało zidentyfikowane. Ta funkcja usuwania zagrożeń po fakcie znacznie skraca czas przebywania napastnika w środowisku.

Skuteczna polityka ochrony przed spamem wymaga zachowania równowagi między bezpieczeństwem a wygodą użytkowania. Zbyt restrykcyjna polityka, która umieszcza zbyt wiele prawidłowych wiadomości w kwarantannie, niszczy zaufanie użytkowników, prowadzi do prób obchodzenia zabezpieczeń i przeciąża dział pomocy technicznej. Zalecane podejście obejmuje: skonfigurowanie progów dla wiadomości masowych (odróżniających prawidłowy marketing od spamu), ustanowienie polityk graymail (dotyczących biuletynów, na które użytkownicy rzeczywiście się zapisali), zdefiniowanie list dozwolonych bezpiecznych nadawców dla znanych partnerów, utworzenie list dozwolonych domen dla kluczowych dostawców oraz dostrajanie progów ocen spamu na podstawie cotygodniowego przeglądu fałszywych alarmów. Przeprowadzenie „sprintu dostrajania” w ciągu pierwszych 30 dni po wdrożeniu jest niezbędne, zanim politykę będzie można uznać za stabilną.

Sprawdź swoją znajomość zagadnień z CompTIA Security+ (SY0-701) omówionych w tej lekcji.

W tej lekcji poznano następujące zagadnienia: Secure Email Gateways sprawdzają pocztę przychodzącą i wychodzącą, korzystając z reputacji adresów IP, analizy treści, skanowania pod kątem złośliwego oprogramowania i sandboxingu; DLP dla poczty wychodzącej zapobiega wysyłaniu poufnych danych za pośrednictwem poczty dzięki dopasowywaniu wzorców za pomocą wyrażeń regularnych i słów kluczowych; natomiast zapobieganie BEC wymaga wykrywania podszywania się pod nazwy wyświetlane i podobnych domen, wykraczającego poza standardowe filtrowanie spamu. Następnie omówimy filtrowanie treści internetowych i pułapki DNS.