detecting-spearphishing-with-email-gateway

メールゲートウェイによるスピアフィッシングの検知

概要

スピアフィッシングは、一般的なスパムフィルターを回避するために、個人を狙って作成された調査済みの内容を用いる攻撃です。Microsoft Defender for Office 365、Proofpoint、Mimecast、Barracuda などのメールセキュリティゲートウェイ（SEG）は、振る舞い分析、URL デトネーション、添付ファイルのサンドボックス化、なりすまし検知などの高度な検知機能を提供します。本スキルでは、これらのゲートウェイを設定し、標的型フィッシング攻撃を検知してブロックする方法を扱います。

使用するタイミング

• メールゲートウェイによるスピアフィッシングの検知が必要なセキュリティインシデントを調査するとき
• この領域の検知ルールや脅威ハンティングクエリを作成するとき
• SOC アナリストが、この種の分析に必要な構造化された手順を必要とするとき
• 関連する攻撃手法に対するセキュリティ監視のカバレッジを検証するとき

前提条件

• メールセキュリティゲートウェイの管理コンソールへのアクセス権
• メールフローのアーキテクチャ（MX レコード、トランスポートルール）の理解
• SPF/DKIM/DMARC 認証の理解
• 一般的なスピアフィッシングの手法と偽の口実に関する知識

主要な概念

スピアフィッシングの特徴

• 標的となる受信者: 特定の個人。多くの場合、経営幹部や経理担当者
• 調査された口実: 実在のプロジェクト、同僚、イベントへの言及
• なりすまし: 信頼される送信者（CEO、ベンダー、パートナー）を装う
• 少量の送信: パターンベースの検知を避けるため、送信数が少ない
• 緊急性のある文面: 早急な対応を促すプレッシャーをかける

ゲートウェイの検知レイヤー

1. レピュテーションフィルタリング: IP、ドメイン、URL のレピュテーションスコアリング
2. 認証チェック: SPF、DKIM、DMARC の検証
3. コンテンツ分析: メール本文の NLP ベースの分析
4. なりすまし検知: 表示名とドメインの類似性の照合
5. URL 分析: リアルタイムの URL デトネーションとリダイレクトの追跡
6. 添付ファイルのサンドボックス化: 隔離環境での添付ファイルの振る舞い分析
7. 振る舞い分析: 通信パターンの異常検知

ワークフロー

ステップ 1: なりすまし防止の設定

Microsoft Defender for Office 365:
  Security > Anti-phishing policies > Impersonation settings
  - Enable user impersonation protection for VIPs
  - Enable domain impersonation protection
  - Add protected users (CEO, CFO, HR Director)
  - Set action: Quarantine message

Proofpoint:
  Email Protection > Impostor Classifier
  - Enable display name spoofing detection
  - Configure lookalike domain detection
  - Set Impostor threshold sensitivity

ステップ 2: URL 保護の設定

• Safe Links / URL の書き換えを有効化する
• クリック時点の URL デトネーションを有効化する
• 新規登録ドメイン（30 日未満）をブロックする
• URL のリダイレクトチェーンの追跡を有効化する

ステップ 3: 添付ファイルのサンドボックス化の設定

• Safe Attachments / 添付ファイルのサンドボックス化を有効化する
• 動的配信を設定する（本文は配信し、添付ファイルは保留する）
• サンドボックスのデトネーションタイムアウトを 60 秒以上に設定する
• 外部送信者からのマクロ有効の Office ドキュメントをブロックする

ステップ 4: カスタム検知ルールの作成

scripts/process.py を使用して、メールゲートウェイのログを分析し、スピアフィッシングのパターンを特定して、カスタム検知ルールを生成します。

ステップ 5: アラートと対応アクションの設定

• なりすまし試行に対するリアルタイムアラート
• 確度の高い検知に対する自動隔離
• 安全に関するヒントを含むユーザー通知
• 相関分析のための SIEM との統合

ツールとリソース

• Microsoft Defender for Office 365: https://security.microsoft.com
• Proofpoint Email Protection: https://www.proofpoint.com/us/products/email-security
• Mimecast Email Security: https://www.mimecast.com/products/email-security/
• Barracuda Email Protection: https://www.barracuda.com/products/email-protection

検証

• なりすまし防止が、偽装された VIP の表示名を正しく特定すること
• URL デトネーションが、テスト用のフィッシングメールに含まれる悪意のあるリンクを検出すること
• 添付ファイルのサンドボックス化が、武器化されたドキュメントを検出すること
• カスタムルールが、既知のスピアフィッシングのパターンで発動すること
• SIEM 統合が、ゲートウェイのアラートを受信すること