第29回　メールセキュリティを積極的に取り入れるホスティングサービス

ビジネス活動に欠かせないメールは、サイバー犯罪者が狙う標的にもなっており、脅威の入り口になりつつあります。特定の企業を狙う「標的型攻撃」も進化を続けているため、メールセキュリティの重要性はますます高まっています。そこで今回は、ホスティングサービスで提供されるメールセキュリティの現在と未来について紹介していきましょう。

ウイルス対策や迷惑メール対策はほぼ標準で提供

現在のビジネス活動において、メールが最重要な位置を占めていることは言うまでもないでしょう。電話と異なり相手をつかまえることなく情報の伝達ができ、業務上のファイルも送ることができます。また、ブラウザから利用できるWebメールの高機能化によって、自分のPCでなくても手軽にメールの送受信ができるようになっています。この傾向は、スマートフォンの登場でさらに加速しています。

その一方で、メールがさまざまな脅威の「入り口」となっていることも否めません。ウイルス感染がメールの添付ファイルで拡大する傾向は現在も変わりませんが、これらはウイルス対策の普及によって100％近い保護が可能になっています。そこでサイバー犯罪者は、ユーザを不正なWebサイトへ誘い込む手法に切り替えています。そのきっかけに、いわゆる迷惑メールが活用されるのです。

このような状況下、ホスティングサービスにおいてもつねに最新のメールセキュリティを提供する事業者が増えています。今回は、ホスティングサービスで提供されるメールセキュリティについて見ていきましょう。

ホスティングサービスでのメールサーバの提供はWebサーバに続く形で行われています。これはメールサーバもアウトソーシングしたいというニーズの高まりに応えたものですが、多くのホスティングサービスがメールサービスの提供時からセキュリティを考慮していました。

現在、メールサーバサービスとともに一般的に提供されているメールセキュリティ機能は、ウイルス対策と迷惑メール対策です。ウイルス対策は送受信されるメールをスキャンし、マルウェアが検出された場合に隔離や駆除を行うというもの。迷惑メール対策は、ブラックリストやホワイトリストなどのフィルタによって迷惑メールを検出、専用のフォルダに移動する処置を行うのが一般的です。

隔離や駆除、迷惑メールフォルダに移動されたメールは、ブラウザなどから確認することができ、迷惑メールについてはユーザが安全と判断したものはホワイトリストに追加するなどといった処理を行うこともできます。これらは基本とも言えるメールセキュリティ対策ですが、オプション扱いとしているホスティングサービスもあります。

このほか、「⁠POP before SMTP」や「SMTP Authentication」といった認証方式も多くのサービスで標準提供されています。これらはおもにメール送信時のセキュリティで、社内PCがウイルスに感染した際に、ウイルスが送信しようとするメールの遮断に有効な機能です。また、SSLによるメールの暗号化も標準的に提供されています。

こういった基本的なメールセキュリティ対策は、クライアントPCでのエンドポイントセキュリティ対策と重複しますが、メールサーバ側でセキュリティ対策を行うことで社内ネットワークに危険なメールが侵入することを防ぐことができ、ひいては社内ネットワークのトラフィック量の軽減にもつながります。さらにエンドポイントと多段階の対策を行うことで、強固なセキュリティを施すことができるのです。

法令遵守やBCPに対応するセキュリティサービス

ホスティングサービスにおけるメールセキュリティの最近の動きとして、法令遵守やBCP（緊急時企業存続計画：Business Continuity Plan）への対応が挙げられます。法令遵守に対応するサービスには「メール監査」があります。メール監査は企業内から送信されるメールに対して行うセキュリティ対策で、顧客情報や財務情報などの機密情報に関するキーワードなどをあらかじめ設定しておき、該当するメールが送信されたときに監査を行うというものです。

送信メールの件名や本文からキーワードが検出されたときはメールサーバ上に保留し、担当者などにアラートが送られます。当該メールを担当者がチェックすることで、メール経由での情報漏えいや誤送信を防ぐことができ、社内メールの私的利用の規制にも活用できます。また、アラートを送る条件に送信先の数を設定すれば、ウイルス感染PCが大量送信するウイルスメールを検知することもできます。もちろん、日本版J-SOXや個人情報保護、内部統制やコンプライアンスといった法令遵守に適用できるというメリットもあります。

BCP対策には「メールアーカイブ」が挙げられます。これは、企業ドメインで送受信されるメールをすべて保存しておくというもの。これによって災害や障害が発生した際でもメールをバックアップしておくことができます。保存されたメールは圧縮（アーカイブ）して容量を抑え、ブラウザ経由の管理画面から特定の日付のメールを容易に確認したり、件名や本文、アドレスなどにより検索することができます。

メールアーカイブはBCP対策だけでなく、情報漏えいなどのインシデントが発生したときの証跡として原因究明に役立てられるほか、メール監査と同様に内部統制やコンプライアンスにおいても有効です。サーバを社外にアウトソーシングするホスティングサービスは、利用するだけでもBCP対策になるというメリットがあるので、アーカイブサービスを活用することでセキュリティを多重にかけることにもなるのです。

仮想化やクラウド環境におけるメールセキュリティ

クラウド時代を迎えて、メール環境の変化にあわせてメールセキュリティも変わりつつあります。ホスティングとクラウドは相性がいいので、利用者にとって大きな変化があるとは考えにくいですが、性能や機能、使い勝手は大幅に向上していくと考えられます。これは、セキュリティベンダがクラウド環境に対応するセキュリティソリューションを次々に発表しているためです。こういったセキュリティソリューションをホスティング事業者が導入することで、さらに精度が高くきめ細かいセキュリティ対策が可能になるでしょう。

その一方で改ざんやなりすまし、標的型攻撃など、メールにおける脅威も進化が進んでいます。とくに2009年から活発になった標的型攻撃は、特定の企業や団体に標的を絞って攻撃を行います。この場合、社名はもちろん差出人や送信先の部署や個人名まで実在する名称を使用するため、従来の対策では保護が難しくなっています。

この攻撃では不正な添付ファイルや不正なWebサイトへのリンクによって「ドロッパー」と呼ばれるマルウェアをダウンロードさせ、そのドロッパーがユーザに気づかないようにOSの設定を変更したりバックドアを開いてサイバー犯罪者からの指示を待機します。その後、指示によって次々にマルウェアをダウンロードして社内ネットワーク経由で感染を広げ、最終的には感染したPCを乗っ取ってしまいます。目的は管理者が社内システムにアクセスするためのアカウント情報で、サイバー犯罪者はこのアカウントで企業の機密情報を盗み出し、金銭を得ようとするのです。

こういった最新の脅威に対抗するために、「⁠次世代メールセキュリティ」と呼ばれる対策が広がりつつあります。次世代メールセキュリティとは、メールサーバ、メール配送システム、ゲートウェイなどによって構成され、ウイルス対策や迷惑メール対策、メールフィルタリング、メール監査、アーカイブ、Webメールなどが統合されています。とくにメールフィルタリングでは、差出人や添付ファイルのチェックはもちろん、本文に記載されたURLアドレスが正規のものであるかも確認し、不正なサイトへのアクセスもブロックします。

また、これらの対策機能はコンポーネント化されているため、企業は必要な機能のみを実装することが可能になります。さらに、標的型攻撃ではOSやアプリケーション、ブラウザ、プラグインなどに存在する脆弱性を狙って悪意ある動作を行います。Webサーバやメールサーバの脆弱性対策を用意している事業者もあるため、こういったメニューを活用することも有効な対策となります。

このように、次世代のメールセキュリティはコンポーネント化と多様な保護手法がポイントとなります。ホスティング事業者向けのセキュリティソリューションも増えたため、事業者がどういったメールセキュリティを提供しているのかをチェックすることも重要な要素となるでしょう。