Güvenli E-posta Ağ Geçitleri ve İstenmeyen Posta Önleme Denetimleri

Bir Secure Email Gateway (SEG), Mail akışı yolunda — MX kaydı hedefi veya relay olarak — bulunan ve teslimattan önce gelen ve giden tüm Email'leri inceleyen bir güvenlik cihazı ya da bulut hizmetidir. Gönderen kimliğini doğrulayan SPF/DKIM/DMARC'ın aksine bir SEG, Content inspection gerçekleştirir: ekleri kötü amaçlı yazılımlara karşı tarar, kimlik avı URL'lerini algılar, spam örüntülerini belirler ve hassas verilerin Email yoluyla Organization dışına çıkmasını önler (DLP). Başlıca SEG sağlayıcıları arasında Proofpoint, Mimecast ve Microsoft Defender for Office 365 bulunur.

SEG'ler iki temel modelle dağıtılabilir. Inline MX modelinde, Organization'ın MX kayıtları tüm gelen Mail'i alan, inceleyen ve temiz Mail'i Organization'ın Mail Server'ına aktaran SEG'yi gösterir. Giden Mail, smart host yapılandırması aracılığıyla SEG üzerinden yönlendirilir. API integration modelinde (bulut Email'i için giderek yaygınlaşmaktadır) SEG, Mail platformuna API (Microsoft 365 Graph API, Google Workspace API) üzerinden bağlanır ve önceden teslim edilmiş Mail'i inceler; ardından kötü amaçlı mesajları sonradan geri çeker. Bu, teslimat öncesi filtreleme yerine bir “temizleme” yaklaşımıdır.

SEG'ler spam'i belirlemek için birden çok teknik kullanır. IP Reputation: gönderim IP'sini kara listelere (Spamhaus, SURBL) karşı denetler. Content-based filtering: spam'de görülmesiyle bilinen kelime örüntülerinin Bayesian analizini yapar. Header analysis: sahte veya hatalı Header'ları, alışılmadık yönlendirmeyi ya da eksik Authentication Header'larını arar. Rate limiting: kısa sürelerde olağan dışı yüksek hacimde Mail gönderen göndericileri işaretler. Greylisting: bilinmeyen göndericilerden gelen mesajları geçici olarak reddeder; meşru Server'lar yeniden dener, spam bot'ları ise çoğu zaman denemez. Birden çok tekniğin bir arada kullanılması, tek bir yöntemden daha iyi doğruluk sağlar.

SEG'ler, birden çok motor kullanarak Email eklerini kötü amaçlı yazılımlara karşı tarar. Signature-based scanning, dosyaları bilinen kötü amaçlı yazılım hash'leriyle karşılaştırır. Static analysis, içeriği çalıştırmadan belge makrolarını, gömülü komut dosyalarını ve dosya yapısını inceler. Dynamic analysis (sandboxing), şüpheli ekleri yalıtılmış bir ortamda çalıştırır ve davranışlarını gözlemler: dosya sistemi değişiklikleri, ağ bağlantıları ve süreç oluşturma. Sandboxing, imza ve statik analizin gözden kaçırdığı kaçamak kullanan kötü amaçlı yazılımları yakalar; bunun karşılığında teslimatta 1-5 dakikalık gecikmeye neden olur. Time-of-click URL rewriting, URL'leri teslimat sırasında değil tıklama anında çalıştırarak teslimat sırasında temiz olup sonradan kötü amaçlarla kullanılan URL'leri yakalar.

SEG'ler veri kaybını önlemek için giden Email'leri de inceler. DLP kuralları, giden mesajlarda hassas veriye işaret eden örüntüleri tarar: kredi kartı numaraları (regex eşleştirmesi), Social Security Numbers, “confidential” gibi anahtar kelimeler veya dosya Classification etiketleri. Bir kural eşleştiğinde SEG şunları yapabilir: mesajı block edebilir, teslimattan önce otomatik olarak encrypt edebilir, yönetici incelemesi için quarantine'a alabilir veya güvenlik ekibine alert gönderebilir. Giden DLP, HIPAA ve PCI-DSS uyumluluğu için kritik öneme sahiptir; PHI veya kart sahibi verisi içeren tek bir yanlışlıkla gönderilmiş Email bile veri ihlali bildirim gerekliliklerini tetikler.

Email şifrelemesi, mesajları aktarım sırasında ve depolanmış hâlde korur. Opportunistic TLS, her iki taraf desteklediğinde Mail Server'ları arasındaki SMTP bağlantısını şifreleyerek ağ dinlemesine karşı koruma sağlar; ancak alıcı Server'ın kimliğini doğrulamaz (STARTTLS, MitM saldırganı tarafından kaldırılabilir). MTA-STS (Mail Transfer Agent Strict Transport Security) ve DANE (DNS-Based Authentication of Named Entities), TLS'yi ve Server sertifikası doğrulamasını zorunlu kılarak TLS kaldırma saldırılarını önler. S/MIME ve PGP, aktarım güvenliğinden bağımsız olarak mesaj içeriğini uçtan uca şifreler.

Business Email Compromise (BEC), en maliyetli saldırı türlerinden biridir; saldırganlar sahte havale işlemlerini veya kimlik bilgisi ele geçirmeyi tetiklemek için yöneticilerin ya da tedarikçilerin kimliğine bürünür. BEC, mesajlar kötü amaçlı yazılım veya kimlik avı URL'leri içermediği için spam filtrelerini sıklıkla aşar. SEG tabanlı BEC savunmaları şunları içerir: görünen adla kimliğe bürünme algılama (CEO'nun görünen adı ancak farklı bir Email adresi), benzer görünümlü domain algılama (company1.com ile companyI.com), yönetici Email etiketleme (yönetici adlarını taklit eden harici mesajlara banner eklenmesi) ve ödeme süreci iş akışı denetimleri (havale işlemleri için çift onay gerektirilmesi).

Güvenlik analistleri, mesajın kaynağını izlemek ve sahteciliği algılamak için Email Header'larını inceler. Önemli Header'lar: Received: Header'ları, mesajın Mail Server'ları üzerinden izlediği yolu gösterir (aşağıdan yukarıya okunur). Return-Path:, SPF için kullanılan zarf From adresidir. Authentication-Results:, alıcı Server'ın SPF, DKIM ve DMARC sonuçlarını gösterir. X-Originating-IP:, saldırganın özgün IP'sini açığa çıkarabilir. Message-ID:, gönderim domain'iyle eşleşmelidir. Bu Header'lar arasındaki tutarsızlıklar — örneğin belirtilen kurumsal domain'e karşın Received Header'larında kurumsal olmayan bir IP bulunması — sahteciliğe işaret eder.

Potansiyel olarak şüpheli ancak kesin olarak kötü amaçlı olduğu belirlenemeyen Email'leri algılayan SEG'ler, bunları User'ların inceleyip serbest bırakabileceği bir quarantine'a yönlendirir. User erişimine açık quarantine portalları mesaj konusunu, göndereni, algılama nedenini ve serbest bırakma/silme seçeneklerini gösterir. False positive management — meşru Mail'in yanlışlıkla quarantine'a alınması — gönderenleri allowlist'e eklemeyi veya kural ayarı yapmayı gerektirir. SEG'ler ayrıntılı Report'lar oluşturur: hacim eğilimleri, en çok block edilen göndericiler, algılama kategorilerinin dökümü ve DLP policy eşleşme sayıları. Bu Report'lar güvenlik ölçümlerine ve uyumluluk kanıtlarına temel oluşturur.

SEG'ler, SIEM'e aktarılması gereken yüksek değerli güvenlik telemetrisi üretir. SEG, 500 çalışana yönelik bir kimlik avı kampanyasını block ettiğinde bu veri, block uygulanmadan önce tıklayan 3 User'ı belirlemek için uç nokta telemetrisiyle ilişkilendirilebilir. SEG'ler ayrıca Email tabanlı olay müdahalesini destekler: tehdit avcılığı özellikleri, analistlerin belirli bir URL veya ek hash'i içeren tüm mesajları aramasına ve tehdit belirlenmeden önce teslim edilmiş mesajlar da dâhil olmak üzere bunları tüm Mail kutularında geriye dönük olarak quarantine'a almasına olanak tanır. Bu geriye dönük düzeltme özelliği, saldırganın sistemde kalma süresini önemli ölçüde azaltır.

Etkili bir anti-spam policy, güvenlik ile kullanılabilirlik arasında denge kurmayı gerektirir. Çok sayıda meşru mesajı quarantine'a alan aşırı katı bir policy, User güvenini yok eder, atlatma girişimlerine yol açar ve yardım masasını başvurularla doldurur. Önerilen yaklaşım: toplu Email eşiklerini yapılandırın (meşru Marketing ile spam ayrımı), graymail policy'leri belirleyin (User'ların abone olduğu bültenler), bilinen iş ortakları için güvenli gönderen allowlist'leri tanımlayın, kritik tedarikçiler için domain allowlist'leri oluşturun ve spam score eşiklerini haftalık false positive incelemesine göre ayarlayın. Dağıtımdan sonraki ilk 30 günde gerçekleştirilecek bir “ayar sprint'i”, policy kararlı kabul edilmeden önce zorunludur.

Bu derste şunları öğrendiniz: Secure Email Gateway'leri, IP Reputation, içerik analizi, anti-malware taraması ve sandboxing kullanarak gelen ve giden Email'leri inceler; giden DLP, regex ve anahtar kelime örüntüsü eşleştirmesiyle hassas verilerin Email yoluyla dışarı çıkmasını önler; BEC önleme ise standart spam filtrelemesinin ötesinde görünen ad ve benzer görünümlü domain algılaması gerektirir. Sırada web içerik filtrelemesini ve DNS sinkhole'larını inceleyeceğiz.