メールのゼロトラストセキュリティモデル
「信頼せず、検証する」セキュリティモデルを実行しよう
2022年9月29日
著者: Syuzanna Papazyan
翻訳: 高峯 涼夏
この記事はPowerDMARCのブログ記事 Zero Trust Security Model for Emails の翻訳です。
Spelldataは、PowerDMARCの日本代理店です。
この記事は、PowerDMARCの許可を得て、翻訳しています。
メールの脅威は、悪意のあるリンクや添付ファイルの配信にとどまらず、進化しています。
そのため、企業はメールに対してゼロトラストセキュリティモデルを適用するようになっています。
現在では、送信者の身元を偽って受信者を騙し、ソーシャルエンジニアリング攻撃を仕掛けることもあります。
こうした攻撃の大半はマルウェアを送り込むものではなく、また、これらのメールには危険な要素を特定できるものがないため、最も高度なメールセキュリティゲートウェイや防御策でさえも簡単に回避することができます。
2021年第1四半期に世界で発生したフィッシング攻撃の24.9％において、金融機関がその矢面に立たされました。
さらに、ソーシャルメディアが23.6％を占めており、この2つの業界は最もフィッシングのターゲットにされています。
その結果、企業は急速に拡大する脅威と、常に一歩先を行くように見えるハッカーに柔軟に対応できる、ゼロトラストセキュリティモデルと呼ばれるセキュリティアーキテクチャの必要性を感じているのです。
ゼロトラストセキュリティモデルとは？
ゼロトラストセキュリティは、「信頼するが検証する」というアプローチとは本質的に逆の、新しいITセキュリティの概念です。
ゼロトラストセキュリティモデルでは、デフォルトで誰も何も信用せず、代わりにすべてを検証します。
つまり、ネットワークへのアクセスを許可する前に、IDを確立し、それぞれのユーザ、デバイス、アプリケーションを検証する必要があるのです。
メールセキュリティにゼロトラストセキュリティモデルが必要な理由
ゼロトラストのメールセキュリティシステムは、ユーザ名とパスワードよりもはるかに強力な複数の要素によって本人認証を行わなければ、誰も企業データにアクセスできないようにするものです。
強固なメールセキュリティシステムには、安全を確保するための4つの重要な機能があります。
メール認証
メール認証は、悪質なメールに対するゼロトラストセキュリティモデルの最初のステップです。
メール認証は、メールの送信者が本人であることを確認するための方法です。
SPF、DKIM、DMARCのうちどれか1つで100％確認できるというわけではなく、これらを組み合わせて導入することで、最もよく知られているメール攻撃から自社を守ることができます。
二要素認証
メールに二要素認証を導入することは、現代では不可欠です。
これは、メールアカウントにログインする際に、テキストメッセージやモバイルプッシュ通知を携帯電話に送信し、本人であることを確認するものです。
パスワードの管理
すべてのパスワードを一箇所に保存し、ワンクリックで入力できるようにします。
しかも、暗号化されているので、誰にも見られることがありません。
パスワードがシステムやモバイル端末に保存されていないことを確認し、悪意のある人物がシステムに侵入した際に、パスワードにアクセスできないようにしましょう。
メールの暗号化
強力な暗号化により、意図した受信者だけがメッセージを読めるようにスクランブルをかけます。
メールのゼロトラストセキュリティモデルを構築するには？
メール認証プロトコルは、受信者にあなたの身元を証明することができます。
ゼロトラストセキュリティモデルの基盤となるのは、次の3つの主要なメール認証プロトコルです。
SPF（Sender Policy Framework）
SPFは、初期に市場に登場したメール認証プロトコルの一つです。
DNSにSPFレコードを追加すると、ドメインに代わってメール送信を許可するサーバを指定することができます。
DKIM（DomainKeys Identified Mail）
このプロトコルも、公開鍵を持つDNSレコードを使用して、あなたのドメインから送信されるすべてのメッセージに署名します。
この公開鍵は、メッセージを受け取った人が検証でき、そのメッセージが本当にあなたのドメインから送信されたものかどうかを確認するために使用できます。
DMARC（Domain-based Message Authentication, Reporting & Conformance）
DMARCは、上の2つ（またはどちらか）のプロトコルの上に構築され、フィッシングを防ぐために、受信者が認証チェックに失敗したメッセージをどう扱うべきかという具体的なガイダンスを提供するものです。
メール認証とともに、ゼロトラストセキュリティモデルを実現するためには、次のことを組み込む必要があります。
1.セキュリティ対策のベースラインを確立する
メールのゼロトラストセキュリティモデルを構築するための最初のステップは、セキュリティ対策のベースラインを確立することです。
これには、暗号化、マルウェア検出、データ損失防止（DLP）、セキュアメールゲートウェイ（SEG）などの技術を導入することが含まれます。
2.トランザクションフローのマッピング
次のステップは、内部ユーザと外部ユーザ間のすべてのトランザクションフローを把握することです。
そして、どのような種類のアクセスがユーザに必要で、どのようなアクセスが必要でないかを判断します。
3.ゼロトラストネットワークの構築
最後に、「攻撃者がネットワークにアクセスした」という最悪の事態を想定して、ゼロトラストネットワークを構築します。
このタイプのネットワークでは、リソースやサービスへのアクセスを許可する前に、すべてのリクエストを検証する必要があります。
4.ゼロトラストポリシーの作成
ゼロトラスト環境を構築することは、ゼロトラストポリシーを構築することです。 これは、資産を特定し、すべてのホスト、デバイス、およびサービスを含む資産目録を作成することから始まります。
5.ネットワークの監視と保守
ネットワークは、悪意のある者がアクセスした場合、常に脆弱な状態になります。
そのため、常時ネットワークを監視し、何か問題が発生した場合に警告するオンサイトまたはクラウドベースのソリューションでセキュリティを維持するようにしましょう。
ゼロトラストセキュリティモデルを導入しない場合、企業はリスクにさらされる
決まり文句のように聞こえるかもしれませんが、残念ながらこれは真実です。
企業のメールは依然としてサイバー攻撃の第一の標的です。
これが事実である限り、メールセキュリティにゼロトラストアプローチを導入していない企業は、数多くのリスクに直面することになります。
ここでは、そのいくつかを紹介します。
ゼロデイフィッシング攻撃
従業員がメールのリンクや添付ファイルを開くと、マルウェアが彼らの端末にダウンロードされ、組織のITインフラが侵害される可能性があります。
ブランドレピュテーションのリスク
ハッキングされたことが顧客に知られると、ブランドの評判が落ちる可能性もあります。
データが安全でないと思われたり、セキュリティプロトコルを維持できるほど専門的でないと判断されたりすると、顧客を失うかもしれません。
ドメインなりすまし攻撃
ドメインなりすまし攻撃とは、ドメイン名偽装のことで、攻撃者が信頼できる企業のドメインになりすまし、その企業に代わって悪意のある情報を発信するものです。
この方法では、攻撃者が企業内の役員になりすましてメールを送信し、機密情報や電信送金を要求することがあります。
ビジネスメール詐欺
ビジネスメール詐欺（Business Email Compromise - BEC）は世界的な問題であり、年々巧妙かつ複雑になっています。
FBIは、2013年10月以降、BEC攻撃による企業への被害額が120億ドル以上に上ると推定しています。
ハッカーは、セキュリティ対策を回避する新しい方法を常に考案し、人々を騙して間違った口座に送金させたり、貴重な情報を無料で送信させたり、必要なデータを単に削除させたりしています。
終わりに
企業のメールインフラは保護されなければならない、という真実から逃れる術はありません。
外から防御するという旧来の防衛戦略はもはや有効ではありません。
ゼロトラストセキュリティモデルが不可欠な主な理由は、企業を内部から保護する必要があるためです。
すべてのドメインとサブドメインにおいて、SPFとDKIMの実装をサポートする効果的なDMARCポリシーの実装を提唱しています。
また、DLPやマルウェア解析を含むアウトバウンドフィルタリングも推奨します。