Безопасные шлюзы электронной почты и защита от спама

Secure Email Gateway (SEG) — это устройство безопасности или облачный сервис, расположенный в пути прохождения почты — либо в качестве назначения записи MX, либо в качестве ретранслятора — и проверяющий всю входящую и исходящую почту до доставки. В отличие от SPF/DKIM/DMARC, которые проверяют личность отправителя, SEG выполняет проверку содержимого: сканирует вложения на наличие вредоносного ПО, обнаруживает фишинговые URL, выявляет признаки спама и предотвращает отправку конфиденциальных данных за пределы организации по электронной почте (DLP). Среди основных поставщиков SEG — Proofpoint, Mimecast и Microsoft Defender for Office 365.

SEGs можно развернуть по одной из двух основных моделей. В модели с inline MX записи MX организации указывают на SEG. Он принимает всю входящую почту, проверяет её, а затем передаёт чистые сообщения на почтовый сервер организации. Исходящая почта направляется через SEG с помощью конфигурации интеллектуального узла. В модели интеграции через API, которая становится всё более распространённой для облачной почты, SEG подключается к почтовой платформе через API (Microsoft 365 Graph API, Google Workspace API) и проверяет уже доставленные сообщения, а затем отзывает вредоносные сообщения постфактум — это подход «очистки», а не фильтрация до доставки.

SEGs используют несколько методов для выявления спама. Репутация IP: проверка IP-адреса отправителя по чёрным спискам (Spamhaus, SURBL). Фильтрация по содержимому: байесовский анализ шаблонов слов, характерных для спама. Анализ заголовков: поиск подделанных или некорректно сформированных заголовков, необычной маршрутизации или отсутствующих заголовков аутентификации. Ограничение частоты: выявление отправителей, которые отправляют необычно большие объёмы сообщений за короткие периоды. Серая область: временное отклонение сообщений от неизвестных отправителей — легитимные серверы выполняют повторную попытку, а спам-боты часто этого не делают. Сочетание нескольких методов даёт более высокую точность, чем любой отдельный метод.

SEGs проверяют вложения электронной почты на наличие вредоносного ПО с помощью нескольких механизмов. Сканирование на основе сигнатур сопоставляет файлы с известными хешами вредоносного ПО. Статический анализ изучает макросы документов, встроенные скрипты и структуру файла, не выполняя его содержимое. Динамический анализ (песочница) запускает подозрительные вложения в изолированной среде и наблюдает за поведением — изменениями файловой системы, сетевыми соединениями и созданием процессов. Песочница обнаруживает вредоносное ПО, которое не выявляется сигнатурным и статическим анализом, но задерживает доставку на 1–5 минут. Перезапись URL в момент нажатия проверяет URL при нажатии, а не во время доставки, выявляя URL, которые были безопасными при доставке, но позднее стали вредоносными.

SEGs также проверяют исходящую почту, чтобы предотвратить утечку данных. Правила DLP сканируют исходящие сообщения в поисках признаков конфиденциальных данных: номеров кредитных карт (сопоставление с регулярными выражениями), номеров социального страхования, ключевых слов вроде «confidential» или меток классификации файлов. При срабатывании правила SEG может: заблокировать сообщение, автоматически зашифровать его перед доставкой, отправить в карантин на проверку руководителю или уведомить команду безопасности. DLP исходящей почты имеет критическое значение для соответствия требованиям HIPAA и PCI-DSS: одно случайно отправленное сообщение с PHI или данными держателя карты приводит к обязанности уведомить об утечке.

Шифрование электронной почты защищает сообщения при передаче и хранении. Opportunistic TLS шифрует SMTP-соединение между почтовыми серверами, когда оба его поддерживают, защищая от прослушивания сети, но не проверяет личность принимающего сервера (STARTTLS может быть удалён злоумышленником MitM). MTA-STS (Mail Transfer Agent Strict Transport Security) и DANE (DNS-Based Authentication of Named Entities) принудительно включают TLS и проверку сертификата сервера, предотвращая атаки с удалением TLS. S/MIME и PGP шифруют содержимое сообщений сквозным шифрованием независимо от безопасности передачи.

Business Email Compromise (BEC) — один из самых дорогостоящих типов атак: злоумышленники выдают себя за руководителей или поставщиков, чтобы инициировать мошеннические банковские переводы или похитить учётные данные. BEC часто обходит спам-фильтры, поскольку сообщения не содержат вредоносного ПО или фишинговых URL. Защита от BEC на основе SEG включает: обнаружение подделки отображаемого имени (отображается имя CEO, но используется другой адрес электронной почты), обнаружение похожего домена (company1.com и companyI.com), маркировку почты руководителей (внешние сообщения, имитирующие имена руководителей, получают баннер) и контроль рабочего процесса платежей (требование двойного подтверждения переводов).

Аналитики безопасности изучают заголовки электронной почты, чтобы установить источник сообщения и обнаружить подделку. Основные заголовки: заголовки Received: показывают путь сообщения через почтовые серверы (читайте снизу вверх). Return-Path: — это адрес envelope From, используемый для SPF. Authentication-Results: показывает вердикты принимающего сервера по SPF, DKIM и DMARC. X-Originating-IP: может раскрыть исходный IP-адрес злоумышленника. Message-ID: должен соответствовать отправляющему домену. Несоответствия между этими заголовками — например, заявленный корпоративный домен при некорпоративном IP в заголовках Received — указывают на подделку.

SEGs, обнаруживающие потенциально подозрительные, но не однозначно вредоносные сообщения, направляют их в карантин, где пользователи могут просмотреть и освободить сообщения. Доступные пользователям порталы карантина показывают тему сообщения, отправителя, причину обнаружения и варианты освобождения или удаления. Управление ложными срабатываниями, когда легитимная почта ошибочно попадает в карантин, требует добавления отправителя в список разрешённых или настройки правил. SEGs создают подробные отчёты: динамика объёмов, наиболее часто блокируемые отправители, распределение по категориям обнаружений и количество совпадений с политиками DLP. Эти отчёты используются в показателях безопасности и подтверждающих материалах для аудита соответствия требованиям.

SEGs создают ценные данные телеметрии безопасности, которые следует передавать в SIEM. Если SEG блокирует фишинговую кампанию, нацеленную на 500 сотрудников, эти данные сопоставляются с телеметрией конечных устройств, чтобы выявить 3 пользователей, успевших перейти по ссылке до применения блокировки. SEGs также поддерживают реагирование на инциденты по электронной почте: функции поиска угроз позволяют аналитикам найти все сообщения с определённым URL или хешем вложения и ретроактивно отправить их в карантин во всех почтовых ящиках — даже если сообщения были доставлены до обнаружения угрозы. Такая возможность ретроактивного устранения значительно сокращает время присутствия злоумышленника в системе.

Эффективная политика защиты от спама требует баланса между безопасностью и удобством использования. Слишком строгая политика, помещающая в карантин большое количество легитимных сообщений, подрывает доверие пользователей, провоцирует попытки обхода и перегружает службу поддержки. Рекомендуемый подход: настройте пороговые значения для массовой почты (легитимный маркетинг и спам), установите политики для нежелательной подписной почты (рассылки, на которые пользователи действительно подписались), определите списки разрешённых отправителей для известных партнёров, создайте списки разрешённых доменов для критически важных поставщиков и настраивайте пороги оценки спама на основе еженедельного анализа ложных срабатываний. В первые 30 дней после развертывания необходимо провести «спринт настройки», прежде чем считать политику стабильной.

Проверьте своё понимание концепций CompTIA Security+ (SY0-701), рассмотренных в этом уроке.

В этом уроке Вы узнали, что Secure Email Gateways проверяют входящую и исходящую почту с использованием репутации IP, анализа содержимого, сканирования на наличие вредоносного ПО и песочницы; DLP исходящей почты предотвращает отправку конфиденциальных данных по электронной почте с помощью сопоставления регулярных выражений и шаблонов ключевых слов; а защита от BEC требует обнаружения подделки отображаемого имени и похожих доменов в дополнение к стандартной фильтрации спама. Далее мы рассмотрим фильтрацию веб-содержимого и DNS-ловушки.