ایمیل سازمانی هنوز یکی از شلوغ‌ترین مسیرهای ورود به شبکه است. هر کارمندی یک آدرس عمومی دارد، هر روز از بیرون سازمان پیام می‌گیرد و بخش بزرگی از این پیام‌ها را بدون فکر زیاد باز می‌کند. مهاجم هم همین را می‌داند و برای شروع کارش لازم نیست آسیب‌پذیری پیچیده‌ای پیدا کند، کافی است یک نفر روی یک لینک کلیک کند. تجربه تیم‌های IT که با گروه آتنا نماینده کسپرسکی در ایران روی پروژه‌های امنیتی کار کرده‌اند هم همین را نشان می‌دهد: بیشتر حادثه‌ها از یک پیام معمولی شروع می‌شوند، نه از یک حمله پرسروصدا به سرور.
تهدیدهای ایمیلی که در عمل با آن‌ها روبه‌رو هستید
فیشینگ
فیشینگ یعنی پیامی که ظاهر یک سرویس یا شخص معتبر را دارد ولی هدفش گرفتن نام کاربری، رمز عبور یا کد تأیید است. نمونه‌اش پیام «انقضای رمز ایمیل» است که کاربر را به صفحه‌ای شبیه پنل وب‌میل سازمان می‌برد. صفحه ظاهراً درست است، آدرس‌اش نه. حمله‌های هدفمندتر هم هستند که با اسم همکار، اسم پروژه و حتی لحن مکاتبات قبلی نوشته می‌شوند و تشخیص‌شان برای یک کاربر عادی تقریباً غیرممکن است.
پیوست مخرب
پیوست‌ها معمولاً در قالب فایل‌های روزمره می‌آیند، مثل فاکتور، رزومه، فایل Excel یا PDF و گاهی آرشیو فشرده. بدافزار ممکن است داخل ماکرو باشد، داخل چند لایه آرشیو تودرتو یا پشت پسوندی که با نوع واقعی فایل نمی‌خواند. فیلتری که فقط پسوند را نگاه می‌کند، اینجا راحت دور زده می‌شود.
نفوذ از راه ایمیل چه هزینه‌ای برای سازمان دارد
اولین اتفاق معمولاً سرقت یک حساب کاربری است. مهاجمی که به صندوق یک کارمند دسترسی پیدا کند، مکاتبات را می‌خواند، از همان حساب برای همکاران دیگر پیام می‌فرستد و آرام‌آرام جلو می‌رود. از اینجا مسیرها شاخه‌شاخه می‌شوند: دسترسی به اسناد داخلی و قراردادها، نصب بدافزار روی یک سیستم و حرکت به سمت سرورها، یا پرداخت اشتباه به حسابی که مال مهاجم است. هر کدام از این‌ها یعنی توقف بخشی از کار، وقت تیم IT و امنیت برای بررسی و پاک‌سازی، و در بدترین حالت افشای اطلاعات مشتریان. مشکل دیگر اعتماد است؛ وقتی ایمیل‌های جعلی با نام سازمان شما برای مشتری‌ها و شرکای تجاری می‌رود، آسیب به شهرت هم اضافه می‌شود.
فیلتر ایمیل معمولی با راهکار تخصصی امنیت ایمیل چه فرقی دارد
اغلب سرویس‌های ایمیل یک سطح پایه از فیلتر اسپم و ضدویروس دارند و برای ایمیل‌های انبوه و تبلیغاتی کافی‌اند. مشکل از جایی شروع می‌شود که حمله هدفمند باشد، یعنی پیامی که برای اولین بار دیده می‌شود، دامنه‌اش تازه ثبت شده و متنش شبیه اسپم نیست. فیلتر پایه معمولاً به امضا و قواعد ثابت تکیه دارد و برای این نوع پیام‌ها کند عمل می‌کند.
راهکارهای تخصصی در همین نقطه فرق دارند. چند لایه را با هم کنار هم می‌گذارند: بررسی ضدبدافزار روی متن و پیوست، تشخیص فیشینگ و اسپم، احراز هویت فرستنده، قواعد قابل تنظیم برای گروه‌های مختلف کاربران و گزارش‌گیری. به‌عنوان یک نمونه، محصولات امنیت ایمیل سازمانی کسپرسکی یعنی Kaspersky Secure Mail Gateway یا KSMG، طبق مستندات رسمی خود کسپرسکی، ایمیل ورودی و خروجی را در برابر اشیای مخرب، اسپم و محتوای فیشینگ بررسی می‌کند و فیلتر محتوایی هم دارد. همین مستندات می‌گویند KSMG می‌تواند از اطلاعات شبکه Kaspersky Security Network برای واکنش سریع‌تر به تهدیدهای جدید استفاده کند، پیام‌هایی را که با Unicode spoofing آدرس یا لینک را جعل کرده‌اند شناسایی کند و نوع واقعی پیوست را مستقل از پسوند فایل تشخیص دهد. این سیستم به‌صورت کلاستر و مقیاس‌پذیر هم قابل استقرار است و به ساختار ایمیل موجود سازمان وصل می‌شود.
یک نکته را باید روشن گفت: هیچ محصولی به‌تنهایی جلوی همه حمله‌های ایمیلی را نمی‌گیرد. راهکار امنیت ایمیل یک لایه محافظ جدی است ولی کنار احراز هویت دامنه، آموزش کاربران و فرایند پاسخ به رخداد معنا پیدا می‌کند. اگر سازمانی تصمیمش را گرفته و به مرحله تهیه رسیده، خرید لایسنس کسپرسکی از طریق نماینده رسمی انجام می‌شود تا اصالت لایسنس و پشتیبانی فنی مشخص باشد. پیش از آن، بهتر است نیازها روی کاغذ بیاید؛ تعداد صندوق‌ها، حجم ترافیک ایمیل و نوع سرویس ایمیل فعلی در انتخاب نسخه و نحوه استقرار تعیین‌کننده‌اند.
SPF و DKIM و DMARC: جلوی جعل دامنه را چطور می‌گیرند
یکی از ساده‌ترین حمله‌ها این است که مهاجم پیامی با آدرس فرستنده‌ای شبیه ceo@company.com بفرستد، بدون آن‌که واقعاً به آن دامنه دسترسی داشته باشد. پروتکل ایمیل به‌تنهایی جلوی این کار را نمی‌گیرد و سه مکانیزم مکمل برای همین منظور ساخته شده‌اند.
SPF در DNS دامنه فهرستی از سرورها و آی‌پی‌هایی را که اجازه ارسال ایمیل از طرف دامنه را دارند اعلام می‌کند. سرور گیرنده آی‌پی فرستنده را با همین فهرست مقایسه می‌کند. ضعف شناخته‌شده‌اش این است که با فوروارد شدن ایمیل ممکن است جواب غلط بدهد.
DKIM پیام را با یک کلید خصوصی امضا می‌کند و کلید عمومی در DNS دامنه قرار می‌گیرد. گیرنده می‌تواند بررسی کند که پیام در مسیر دست‌کاری نشده و واقعاً از دامنه مورد ادعا آمده است.
DMARC این دو را به هم وصل می‌کند. تعیین می‌کند فیلد From که کاربر می‌بیند با نتیجه SPF یا DKIM هم‌راستا باشد و به گیرنده می‌گوید پیامی که این بررسی را رد شد چه بر سرش بیاید: هیچ کاری نشود، قرنطینه شود یا رد شود. DMARC گزارش‌هایی هم برمی‌گرداند که نشان می‌دهد از دامنه شما چه کسی و از کجا ایمیل می‌فرستد. بیشتر سازمان‌ها با سیاست none شروع می‌کنند، گزارش‌ها را چند هفته می‌خوانند، فرستنده‌های مجاز را مرتب می‌کنند و بعد به quarantine و reject می‌روند. اگر این مسیر با عجله طی شود، ممکن است ایمیل‌های مشروع هم گم شوند.
برای ارزیابی راهکار امنیت ایمیل سراغ چه معیارهایی برویم
این‌ها سؤال‌هایی است که پیش از تصمیم به نظر می‌رسد ارزش پرسیدن دارند:
- راهکار در کدام نقطه از مسیر ایمیل قرار می‌گیرد، لبه شبکه قبل از سرور ایمیل یا داخل خود سرویس، و این با معماری فعلی سازمان جور است یا نه؟
- چه لایه‌هایی را پوشش می‌دهد: بدافزار، فیشینگ، اسپم، جعل هویت و بررسی پیوست‌های آرشیوی؟
- احراز هویت فرستنده با SPF و DKIM و DMARC پشتیبانی می‌شود و قواعدش قابل تنظیم است؟
- برای سازمانی که نمی‌خواهد داده‌اش بیرون برود، گزینه‌ای مثل شبکه امنیتی خصوصی وجود دارد؟ در مورد KSMG مستندات از اتصال به Kaspersky Private Security Network حرف می‌زنند.
- امکان اتصال به راهکارهای تشخیص پیشرفته‌تر، مثل Kaspersky Anti Targeted Attack، هست یا نه؟
- گزارش‌گیری، لاگ و مدیریت لیست مجاز و مسدود چقدر برای تیم عملیات قابل استفاده است؟
- روی پلتفرم مجازی‌سازی سازمان قابل استقرار است و با رشد حجم ایمیل مقیاس می‌گیرد؟
- پشتیبانی فنی و فرایند استقرار در ایران چگونه انجام می‌شود؟
جمع بندی
امنیت ایمیل یک پروژه تک‌مرحله‌ای نیست. تنظیم درست SPF و DKIM و DMARC، یک راهکار تخصصی که روی ترافیک واقعی آزمایش شده، کاربرانی که می‌دانند چه چیزی را کجا گزارش کنند و فرایندی که بعد از گزارش کار می‌کند، چهار تکه‌ای هستند که کنار هم جواب می‌دهند. اگر یکی از این‌ها کم باشد، بقیه فشار بیشتری تحمل می‌کنند. شروع خوب این است که وضعیت فعلی را بسنجید: دامنه شما چه سیاست DMARC دارد، چند پیام مشکوک در ماه گزارش می‌شود و آخرین بار کی مسیر واکنش به یک ایمیل مخرب را عملاً تمرین کردید.