Säkra e-postgateways och skräppostskydd

En Secure Email Gateway (SEG) är en säkerhetsapparat eller molntjänst som finns i e-postflödet — antingen som mål för en MX-post eller som relay — och kontrollerar all inkommande och utgående e-post före leverans. Till skillnad från SPF/DKIM/DMARC, som verifierar avsändarens identitet, utför en SEG innehållsanalys: den söker efter skadlig kod i bilagor, upptäcker nätfiske-URL:er, identifierar skräppostmönster och förhindrar att känsliga uppgifter lämnar organisationen via e-post (DLP). Stora SEG-leverantörer är bland andra Proofpoint, Mimecast och Microsoft Defender for Office 365.

SEGs kan distribueras enligt två huvudmodeller. I den inline MX-modellen pekar organisationens MX-poster på SEG, som tar emot all inkommande e-post, analyserar den och sedan vidarebefordrar ren e-post till organisationens e-postserver. Utgående e-post dirigeras via SEG genom en smart host-konfiguration. I API-integrationsmodellen (allt vanligare för molnbaserad e-post) ansluter SEG till e-postplattformen via ett API (Microsoft 365 Graph API, Google Workspace API) och analyserar redan levererad e-post. Därefter återkallas skadliga meddelanden — ett arbetssätt för ”städning” i efterhand snarare än filtrering före leverans.

SEGs använder flera metoder för att identifiera skräppost. IP-rykte: den sändande IP-adressen kontrolleras mot svartlistor (Spamhaus, SURBL). Innehållsbaserad filtrering: Bayesiansk analys av ordmönster som är kända för att förekomma i skräppost. Sidhuvudsanalys: söker efter förfalskade eller felaktigt utformade sidhuvuden, ovanlig routning eller saknade autentiseringssidhuvuden. Hastighetsbegränsning: markerar avsändare som skickar ovanligt stora mängder under korta perioder. Greylisting: avvisar tillfälligt meddelanden från okända avsändare — legitima servrar försöker igen, medan skräppostrobotar ofta inte gör det. Flera kombinerade metoder ger bättre träffsäkerhet än någon enskild metod.

SEGs skannar e-postbilagor efter skadlig kod med hjälp av flera motorer. Signaturbaserad skanning jämför filer med kända hashvärden för skadlig kod. Statisk analys granskar dokumentmakron, inbäddade skript och filstruktur utan att köra innehållet. Dynamisk analys (sandboxing) kör misstänkta bilagor i en isolerad miljö och observerar beteendet — förändringar i filsystemet, nätverksanslutningar och processkapning. Sandboxing upptäcker undvikande skadlig kod som signaturbaserad och statisk analys missar, men medför en leveransfördröjning på 1–5 minuter. URL-omskrivning vid klick analyserar URL:er när användaren klickar, inte vid leveransen, och upptäcker därmed URL:er som var rena vid leveransen men senare beväpnades.

SEGs analyserar även utgående e-post för att förhindra dataförlust. DLP-regler söker i utgående meddelanden efter mönster som tyder på känsliga uppgifter: kreditkortsnummer (med regex-matchning), Social Security Numbers, nyckelord som ”confidential” eller etiketter för filklassificering. När en regel matchar kan SEG: blockera meddelandet, kryptera det automatiskt före leverans, lägga det i karantän för granskning av en chef eller varna säkerhetsteamet. DLP för utgående e-post är avgörande för HIPAA- och PCI-DSS-efterlevnad — ett enda oavsiktligt e-postmeddelande som innehåller PHI eller kortinnehavaruppgifter utlöser krav på att ett dataintrång ska rapporteras.

E-postkryptering skyddar meddelanden under överföring och i vila. Opportunistic TLS krypterar SMTP-anslutningen mellan e-postservrar när båda har stöd för det, vilket skyddar mot avlyssning i nätverket — men det verifierar inte den mottagande serverns identitet (STARTTLS kan tas bort av en MitM-angripare). MTA-STS (Mail Transfer Agent Strict Transport Security) och DANE (DNS-Based Authentication of Named Entities) tvingar fram TLS och validering av servercertifikat, vilket förhindrar attacker som tar bort TLS. S/MIME och PGP krypterar meddelandeinnehåll från ände till ände, oberoende av säkerheten under överföringen.

Business Email Compromise (BEC) är en av de kostsammaste attacktyperna — angripare utger sig för att vara chefer eller leverantörer för att få mottagare att genomföra bedrägliga banköverföringar eller lämna ut inloggningsuppgifter. BEC kringgår ofta skräppostfilter eftersom meddelandena inte innehåller någon skadlig kod eller några nätfiske-URL:er. BEC-skydd i SEG omfattar bland annat: identifiering av förfalskade visningsnamn (chefens visningsnamn men en annan e-postadress), identifiering av lookalike-domäner (company1.com jämfört med companyI.com), märkning av chefers e-post (externa meddelanden som efterliknar chefers namn får en banner) och kontroller i betalningsprocessens arbetsflöde (krav på dubbelt godkännande av överföringar).

Säkerhetsanalytiker granskar e-postsidhuvuden för att spåra meddelandets ursprung och upptäcka förfalskning. Viktiga sidhuvuden: Received:-sidhuvuden visar vilken väg meddelandet tog genom e-postservrar (läs dem nedifrån och upp). Return-Path: är kuvertets From-adress som används för SPF. Authentication-Results: visar den mottagande serverns resultat för SPF, DKIM och DMARC. X-Originating-IP: kan avslöja angriparens ursprungliga IP-adress. Message-ID: bör matcha den sändande domänen. Avvikelser mellan dessa sidhuvuden — till exempel en angiven företagsdomän men en icke-företagsrelaterad IP-adress i Received-sidhuvudena — tyder på förfalskning.

SEGs som upptäcker e-post som kan vara misstänkt men inte säkert är skadlig dirigerar den till en karantän där användare kan granska och släppa meddelanden. Karantänportaler som användarna själva kan komma åt visar meddelandets ämne, avsändare, orsak till upptäckten samt alternativ för att släppa eller radera meddelandet. Hantering av falska positiva — när legitim e-post felaktigt hamnar i karantän — kräver att avsändaren läggs till i en lista över tillåtna avsändare eller att regler finjusteras. SEGs genererar detaljerade rapporter: volymtrender, de mest blockerade avsändarna, fördelning per upptäcktskategori och antal träffar på DLP-policyer. Dessa rapporter används som underlag för säkerhetsmått och efterlevnadsbevis.

SEGs genererar värdefull säkerhetstelemetri som bör vidarebefordras till SIEM. När SEG blockerar en nätfiskekampanj som riktar sig mot 500 medarbetare kan dessa data korreleras med endpoint-telemetri för att identifiera de tre användare som klickade innan blockeringen aktiverades. SEGs stöder även incidenthantering via e-post: funktioner för threat hunting gör det möjligt för analytiker att söka efter alla meddelanden som innehåller en viss URL eller hash för en bilaga och i efterhand placera dem i karantän i alla e-postlådor — även meddelanden som redan levererats innan hotet identifierades. Denna funktion för åtgärder i efterhand minskar angriparens uppehållstid avsevärt.

En effektiv policy mot skräppost kräver en avvägning mellan säkerhet och användbarhet. En alltför aggressiv policy som placerar för många legitima meddelanden i karantän förstör användarnas förtroende, leder till försök att kringgå reglerna och överbelastar helpdesken. Rekommenderad metod: konfigurera tröskelvärden för massutskick (legitim marknadsföring jämfört med skräppost), ange graymail-policyer (nyhetsbrev som användarna faktiskt har registrerat sig för), definiera listor över tillåtna avsändare för kända partner, skapa listor över tillåtna domäner för kritiska leverantörer och finjustera tröskelvärden för skräppostpoäng utifrån en veckovis granskning av falska positiva. En ”finjusteringsperiod” under de första 30 dagarna efter implementeringen är nödvändig innan policyn kan betraktas som stabil.

I den här lektionen har ni lärt er att Secure Email Gateways analyserar inkommande och utgående e-post med hjälp av IP-rykte, innehållsanalys, skanning mot skadlig kod och sandboxing, att DLP för utgående e-post förhindrar att känsliga uppgifter lämnar organisationen via e-post genom regex- och nyckelordsmatchning, samt att BEC-skydd kräver identifiering av visningsnamn och lookalike-domäner utöver vanlig skräppostfiltrering. Härnäst går vi igenom filtrering av webbinnehåll och DNS-sänkhål.