効果的なメールサーバー防御の構築方法

メール通信を保護するための多段階アプローチ

メールサーバー関連のセキュリティについて話すと、メッセージに適用されるセキュリティ対策、さらにはアンチウイルスやアンチスパム保護に限られることが多いです。しかし、これはサーバーを保護するためのより複雑なプロセスの一段階に過ぎません。この記事では、特定のメールサーバーを選択し、それを構成および使用する際に非常に重要なすべてのセキュリティ層を特定し、説明することを目的としています。

1. メールサーバー接続の保護

新しくインストールされたメールサーバーを使用する際、管理者はまず安全な接続を使用していることを確認する必要があります。接続を保護するための主な方法は、暗号化とファイアウォールのようなルールの2つです。

インターネットがデータ転送の好ましい媒体となるにつれて、エンコーディング方法は継続的に開発されてきました。最も一般的に使用される暗号化方法はSSL (Secure Sockets Layer)とTLS (Transport Layer Security)です。しかし、暗号化の不適切な使用はしばしばセキュリティ侵害を引き起こします。最も一般的な例は、保護された情報と保護されていない情報の両方を含むウェブページや、プレーンなログインページを介してのみ保護される通信です。

ファイアウォールのようなルール

サーバーレベルで強制されることが推奨されており、既存のファイアウォールをバックアップするか、利用できない場合はそれを置き換えることができます。これらは、確立された接続とホストされたトラフィックの両方に制限を課すことができます。攻撃（例えば、DOS（サービス拒否））を防ぐために、グローバル（すべてのプロトコルとリスナーに適用）および各リスナーに特化した許可/拒否ルールを作成することをお勧めします。

2. メールサーバープロトコルの保護

メール転送の最初の段階を保護した後、次に行うべきアクションはプロトコルの保護です。

推奨される手順は、各インターフェースに対して複数のリスナーを使用し、それらを特定の許可および拒否ルールと関連付けることです。また、接続および認証エラーの数を制限したり、コマンドの最大数を設定したり、セッションのタイムアウトを設定することで、サーバーをさらなるDOS攻撃から保護することができます。

プロトコルのセキュリティをさらに強化するために、送信者または受信者のアドレスに基づくクライアント制御ルールを推奨します。また、メールメッセージの数やサイズに関する特定の制限も設けるべきです。

認証はプロトコルレベルでも非常に重要です。単純な（プレーン、ログイン、CRAM-MD5）または複雑な（GSSAPI、Kerberos）いずれかの認証方法を実装することで、メールサーバーは通信のセキュリティを強化し、攻撃や不正アクセスに対してより良い備えを持つことができます。

他の効率的なプロトコルレベルのソリューションは、メールサーバーがRFC準拠であることを確認し、メールループを防ぐことです（非常に簡単な方法は、メールごとに「Received」ヘッダーの最大数を設定することです）。

3. メール制御パラメータの保護

異なるアンチスパムおよびアンチウイルスアプリケーションを使用することに加えて、メール制御に基づくセキュリティに関して考慮すべきさらなるアクションがあります。非常に便利なオプションは、グレーリストを使用することです。グレーリスティングは基本的に、メールを一時的に拒否した後に再送信を要求するものです。サーバーは送信者のIPと受信者をリストに保存し、一時的なエラーを返します。すべての有効なサーバーはその後、スパミングスクリプトとは異なり、メールを再送信します。ただし、多くのサーバーはこの時点で一時的なエラーと永久的なエラーを区別できないことに注意してください。

ホスト制御

は、メールサーバーがさらに処理するのは有効なメールのみであることを保証するためのもう一つの簡単な方法です。よく知られている2つの方法は、SPF (Sender Policy Framework)とDNSベースのブラックホールリストです。SPFレコードは、DNSサーバー内のドメインによって公開された公開の詳細です。通常、これらはドメインの実際のアドレスを指し、確認します。SPFチェックを使用することで、スパムやバックスキャッターのメールを効果的に防ぐことができます。

ブラックリストは、公共（無料）またはプライベートのいずれかであり、通常はオープンリレーサーバー、オープンプロキシ、およびスパムフィルタリングのないISPのIPアドレスを含みます。サーバーは、これらのリストを要求し、それに含まれるIPアドレスから開始された接続を受け入れないように設定する必要があります。サーバーの1つが誤ってリストに載った場合、そのリストから削除されるためには、オンラインフォームに記入したり、リストの管理者に連絡したり、より深刻な状況ではIPを変更する必要があるかもしれません。

より複雑な認証方法は、DKIM (Domain Keys Identified Mail Signature)です。Yahooによって実装され、Google、Cisco、Sendmail、PGPによってサポートされているDKIMは、標準の認証方法になる可能性が高いです。メールヘッダーには暗号化された署名が含まれ、さらに暗号化され、送信ドメインによってDNSサーバーに公開された暗号化キーを指します。メールを処理するサーバーは、このキーを使用してメール本文をデコードします。復号が成功すれば、そのメールは有効です。

リレー規則

は、時にはセキュリティが確保されたサーバーとそうでないサーバーの違いを生むことがあります。最初の推奨は、オープンリレーを決して受け入れないことです。これは簡単にブラックリストに載る可能性があります。したがって、送信者アドレス/受信者アドレスに基づくいくつかのリレー規則を実装するか、認証されたユーザーのみにリレーを許可するべきです。メールサーバーを選択する際には、次の機能があることを確認する必要があります：リレー規則の作成を許可し、ドメイン認証が構成可能で、送信インターフェースがカスタマイズ可能で、SSL/TSLおよびさまざまな認証方法と拡張機能をサポートしていること。

4. セキュアな構成と管理

構成と管理は、一般的にはセキュリティ層とは見なされません。しかし、サーバーが提供する構成可能性の機能と、ユーザーによって実際に行われた構成は、MTAを保護する上で重要な役割を果たします。まず、管理者はソリューション、すべての機能、および欠陥（あれば）に精通する必要があります。サーバー実行可能ファイルは、メモリリークのないプログラミングをサポートし、ルート権限をドロップし（Unix系システムのみ）、公開ファイルへのアクセス要求を除いてすべてのアクセス要求をブロックする必要があります。

構成ファイルへのアクセスは、管理者のみに付与されるべきです。さらに、このファイルは常に非常に具体的で、理解しやすく、修正しやすいものであり、すべてのデフォルト値は安全であるべきです。たとえば、オープンリレーを許可するデフォルト値は重大なセキュリティ上の欠陥を示します。

代替管理モジュール（ウェブインターフェース、コマンドラインインターフェース）は、サーバー構成を変更するために提供されるべきです。これらのモジュールへのすべての接続はSSLを介して行われることが非常に重要です。これらのモジュールに安全にアクセスするために、プロプライエタリHTTPサーバーおよびHTMLベースのスクリプト言語を持つメールサーバーを使用することをお勧めします。

私たちの最も完全なセキュリティ推奨は、「スマートホスティング」システムを実装することです。このようなシステムは、異なるマシンにインストールされた複数のメールサーバーで構成され、それぞれが特定のタスクを実行します。最も良い接続とプロトコルセキュリティを提供するサーバーは、ファイアウォール保護に焦点を当てるべきです。2番目のサーバーは、メール制御パラメータ（アンチスパムおよびアンチウイルスアプリケーションを含む）を実行するべきです。3番目のサーバーは、主にドメイン管理に焦点を当てるべきです。しかし、スマートホスティングは、システム内で利用可能なハードウェアおよびソフトウェアリソースよりも多くのリソースを必要とする場合があります。

スマートホスティング

結論

最も重要な点は、完全なセキュリティは存在しないということです。したがって、最適な保護が完璧さに代わるべきです。各セキュリティ層には、潜在的な欠陥や侵害があります。解決策は、可能な限り最良の構成を選択し、それをネットワークのニーズとトポロジーに適応させることです。

さらなる情報、コメント、質問については、ぜひAXIGENサイトを訪れるか、サポートチームに連絡してください（[email protected]）。