メール利用のリスクを軽減させる「メールセキュリティ」

セキュリティ対策におけるメールセキュリティの立ち位置

メールセキュリティでは、メールの受信および送信に対するセキュリティの強化を行います。

社内コミュニケーションはメールからチャットに移行しつつあります。しかしながら、対外的なコミュニケーションにおいてはメールは依然として重要な位置を占めている状況です。昨今はEmotetに代表されるマルウェアの攻撃が激増していますが、メールの怖いところは被害者になるだけではなく、加害者にもなりえることではないでしょうか。

送信および受信それぞれで適切な対策をして、メールセキュリティの強化を行いましょう。

受信時の対策

メールを受信するさいに対策として考慮すべき事項を説明します。

スパムメール対策

スパムメールやフィッシングメールなど、広告宣伝メールは無差別に送られてきます。

それらを利用者が受信すると、選別のために時間を浪費するばかりか、偽装サイトに誘導されアカウント情報の漏洩などを引き起こすことがあります。

一番の対策は、スパムメールが利用者に届かないようにすることです。受信のためのメールサーバーや、その手前にメールセキュリティ対策をほどこし、必要なメールのみ受信できるようにしましょう。

ウィルスチェック

Emotetに代表されるような、ウィルスファイルが添付されたメールに対する対策も必要です。

添付されたウィルスに感染すると、パソコンが利用不能になったり、メール攻撃の踏み台とされ加害者になることも考えられます。利用者が使うPC上のアンチウィルスソフトで検知されることも多くありますが、スパムメールと同様で、利用者の手元に届かないことが最大の対策になります。

スパム対策と同じく、受信のためのメールサーバーや、その手前にメールセキュリティ対策をほどこし、必要なメールのみ受信できるようにしましょう。

コンテンツフィルタリング

コンテンツフィルタリングを使うと、正規のメールを経由した情報漏洩や、リスクの事前察知ができます。

予め「社外秘」や「口座番号」などの文言を指定しておき、合致するメールを保留、または送信しつつ管理者へ通知するなどの対応が可能です。

送信時の対策

メール送信時の対策も必要です。受信時は被害を受けないための対策が多かったですが、送信時の対策は自分が被害者になりにくくするための対策も含まれてきます。

なりすまし対策（SPF、DKIM、DMARC）

悪意のある第三者から、自社のメールアドレスになりすまして、迷惑メールを送られることもあります。それを防ぐために、なりすまし対策を実施する必要があります。

代表的な、なりすまし対策は主に3種類あります。いずれもDNSに設定を入れ、受信側のメールサーバーでチェックしていく形になります。

送信元メールサーバのIPアドレスを指定する「SPFレコード」

正規の送信元のメールサーバーを限定することで、なりすましを防ぎます。

自社ドメインのDNSゾーン情報に対して、メール送信元となるIPアドレスを宣言します。これSPF（Sender Policy Framework）レコードといいます。受信側のメールサーバーでは、SPFレコードの情報と送信元メールサーバーのIPアドレスのチェックを行うことで、なりすましを防ぐことが可能です。

電子署名を付与してなりすましを検知する「DKIM」

メールに電子署名を付け、受信時に電子署名を検証することで、なりすましを防ぎます。これをDKIM（DomainKeys Identified Mail）といいます。

自社ドメインのDNSゾーン情報に対して、公開鍵情報の登録を行います。送信元メールサーバーでは、秘密鍵を使った電子署名を付けてメール送信します。受信側のメールサーバーでは、DNSに登録されている公開鍵の情報を使て電子署名を検証することで、なりすましを防ぎます。

認証失敗時の対応策を定義する「DMARC」

「SPF」や「DKIM」で認証に失敗した場合の挙動を定義することができます。これをDMARC（Domain-based Message Authentication、Reporting and Conformance）といいます。

従来は認証に失敗した場合の挙動は受信側のメールサーバーのポリシーにて決められていましたが、送信者側の意図を反映できるようになりました。

誤送信防止

送信者の宛先指定間違いや会社が許可しないフリーアドレスへの送信防止などを行うことも可能です。

送信先ドメインをホワイトリスト（またはブラックリスト）形式で管理したり、送信時に一旦保留し一定時間後に送信する等の対策をとることが出来ます。

添付ファイル自動暗号化

メールに添付ファイルを付けるときは、送信者がローカル環境で暗号化を行い添付ファイルとパスワードを別々のメールで送信する運用をしているところは多くあります。

それらの作業を利用者任せではなく、システムとして強制的に行うことも可能です。自動で暗号化され添付されるケースもあれば、クラウド上のストレージへ自動保存されURLとパスワードが自動送信されるケースもあります。

まとめ

対外的なやりとりでは、まだまだ使い続けることになりそうなメール。受信時、送信時と適切なセキュリティ対策を行うことで、自社の被害を抑えつつ、加害者になることも防ぐことが可能です。

昨今ではマルウェアのEmotetなど攻撃手法が巧妙化してきています。メールサーバーの送受信経路上に設置するだけで、セキュリティ対策ができるSaaSサービスも多くあるので、対策がされていない場合は利用を検討してみると良いと思います。