メールサーバーを守るには？メールセキュリティの配置と設定

ITトレンドがおすすめする製品・サービス

■サーバー構成への組み込み方別

• メールサーバーの手前に置くゲートウェイ型：使えるメールバスター、OneOfficeメールソリューション、IIJセキュアMXサービス、SEG on AWS（あんしんクラウドメールフィルター）、matriXscan、InterScanMessagingSecurity、SecurityGateway
• クラウドメールとAPIで連携する型：Techvan Cloud App Security、TrendMicroCloudAppSecurity

■強化したい対策別

• 送信ドメイン認証の管理：DMARC/25Analyze、Valimail
• サーバー間の通信経路の暗号化：matriXscan、SecurityGateway
• 不正な大量送信の検知：使えるメールバスター
• 第三者による不正中継の防止：SecurityGateway

メールサーバーで起こりうるセキュリティ上の問題

メールサーバーは社外と常にやり取りするため、攻撃の入口や踏み台として狙われる可能性があります。対策を考える前提として、サーバーで起こりうる代表的な問題を3つ確認しておきましょう。

第三者に中継される不正中継

不正中継とは、社外の第三者が自社のメールサーバーを経由して、無関係な宛先へメールを送る状態です。中継の制限が不十分な設定のままだと、迷惑メールの送信元として利用されるおそれがあります。

迷惑メールの送信に使われると、自社のサーバーのIPアドレスが受信側の拒否リストに登録され、取引先にメールが届きにくくなる場合があります。社外から社外への中継を許可していないか、サーバーの設定を定期的に確認しましょう。

アカウントの乗っ取りと不正送信

社員のメールアカウントのパスワードが漏えいすると、第三者が正規の利用者としてサーバーにログインし、メールを送信できてしまいます。正規のアカウントから送られるため、取引先は本物のメールと見分けにくくなります。

対策として、ログイン時の多要素認証や、短時間に大量のメールを送信したアカウントを検知する仕組みが役立つ場合があります。普段と異なる国や時間帯からのログインを記録し、管理者が確認できるかも確かめておきましょう。

通信経路での盗聴や改ざん

メールはサーバー同士で中継されながら届くため、経路の途中で暗号化されていない区間があると、内容を盗み見られる可能性があります。特に、社外のサーバーとの間で暗号化を使えない場合の扱いは、設定によって異なります。

受信側のサーバーが暗号化に対応していないとき、暗号化なしで送るのか、送信を止めるのかは、取引先との関係も踏まえて決める必要があります。重要な情報を送る相手については、暗号化の対応状況を事前に確認しておくと安心です。経路の暗号化だけでは、届いた後のメールの内容までは守れない点にも注意が必要です。

メールセキュリティ製品をサーバーのどこに置くか

メールセキュリティ製品は、メールサーバーとの位置関係によって大きく3つの方式に分けられます。守れる範囲や設定変更の大きさが異なるため、自社のサーバー構成にあう方式を選ぶことが大切です。

メールサーバーの手前に置くゲートウェイ型

ゲートウェイ型は、社外から届くメールをいったん検査用のサーバーで受け取り、問題がないものだけをメールサーバーへ渡す方式です。MXレコード（メールの宛先サーバーを示すDNSの設定）を検査用サーバーに向けて切り替えます。

メールサーバーの種類を問わずに導入できる点が特徴で、送信メールも同じ経路を通せば、誤送信対策や暗号化をまとめて行えます。一方、検査用サーバーが止まるとメールの流れも止まるため、冗長化の検討が欠かせません。

メールサーバーに導入するソフトウェア型

ソフトウェア型は、社内で運用しているメールサーバーに、検査用のソフトウェアを追加する方式です。メールの経路やDNSの設定を変えずに済むため、構成の変更を最小限にしたい場合に検討されます。

ただし、検査の処理がメールサーバーと同じ機器で動くため、メールの量が増えるとサーバーの負荷が上がる可能性があります。対応するメールサーバーの種類とバージョンは製品ごとに決まっているので、導入前にベンダーへ確認しましょう。

クラウドメールとAPIで連携する型

Microsoft 365やGoogle Workspaceなどのクラウドメールでは、API（システム同士をつなぐ仕組み）を使う方式もあります。メールボックス内のメールを連携先のサービスが検査するため、自社でサーバーを用意する必要はありません。

MXレコードを変えずに導入できる場合が多い一方、メールが受信箱に届いた後で検査する仕組みの製品もあります。検査のタイミングと、危険と判定したメールをどう扱うかを確認し、ゲートウェイ型との違いを把握しておきましょう。

メールサーバー側で整えたいセキュリティ設定

メールセキュリティ製品を導入しても、メールサーバーやDNSの設定が不十分だと防げない攻撃があります。製品の検査とは別に、サーバー側で確認しておきたい設定を3つ紹介します。

SPFやDKIM、DMARCによる送信ドメイン認証

送信ドメイン認証とは、届いたメールが本当にそのドメインから送られたかを、受信側が確かめるための仕組みです。SPFは送信を許可するサーバーを、DKIMは電子署名を使ってメールの正当性を示し、DMARCは認証に失敗したメールの扱いを指定します。

自社のドメインでこれらを設定していないと、自社を装ったなりすましメールを取引先が見分けにくくなります。メール配信サービスなど、自社以外から自社ドメインで送るサーバーがある場合は、それらもSPFに含める必要があります。

STARTTLSやMTA-STSによる経路の暗号化

サーバー同士の通信を暗号化する仕組みとして、STARTTLSがあります。これは通信の途中から暗号化に切り替える方式で、相手のサーバーが対応していれば暗号化して送受信できます。

STARTTLSだけでは、暗号化を省いた通信に誘導される攻撃を防ぎきれない場合があるため、受信側が暗号化を必須とする方針を示すMTA-STSという仕組みもあります。自社のサーバーやメールセキュリティ製品がどこまで対応しているかを確認しておきましょう。設定にはDNSやWebサーバーの準備も必要なため、情報システム部門や委託先と分担を決めて進めます。

送信時の認証と中継範囲の制限

社員がメールを送るときは、SMTP認証（送信時にIDとパスワードで本人確認を行う仕組み）を必須にし、認証された利用者だけが送信できるようにします。あわせて、中継を許可する送信元を社内のネットワークや認証済みの利用者に限定します。

古い複合機や業務システムからメールを送っている場合、認証に対応しておらず、例外として中継を許可していることがあります。例外の一覧を作り、許可する送信元を必要な範囲に絞っておくと、設定の抜けに気づきやすくなります。機器の入れ替えにあわせて、認証に対応した送信方法へ切り替えることも検討しましょう。

ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でメールセキュリティ製品の一括資料請求が可能です。浮いた時間で、じっくりと製品の比較検討を進めましょう。

メールセキュリティ用サーバーに求める要件

ゲートウェイ型やソフトウェア型のメールセキュリティを自社のサーバーで動かす場合は、処理能力や容量の見積もりが必要です。導入後にメールが滞らないよう、サーバー要件の考え方を確認しておきましょう。

メールの量と添付ファイルの大きさ

必要なサーバーの性能は、1日に送受信するメールの通数だけでなく、ピーク時の通数や添付ファイルの大きさにも左右されます。添付ファイルの中身まで検査する設定では、処理に時間がかかる場合があります。

現在のメールサーバーのログから、時間帯ごとの通数や平均的なメールサイズを集計し、ベンダーに伝えて必要な構成を相談するとよいでしょう。将来の社員数の増加も見込み、余裕を持たせた構成にしておくと安心です。

冗長化と停止時のメールの扱い

検査用サーバーが1台だけの構成では、故障や更新作業のたびにメールの送受信が止まる可能性があります。対策として、複数台で処理を分担する構成を検討します。1台構成にする場合は、送信元のサーバーが再送を試みる期間のうちに復旧できるかを確認しておきます。

あわせて、停止中に届くはずだったメールがどこに滞留し、復旧後に自動で配送されるかも確認しておきましょう。障害を管理者に通知する方法と、復旧の手順を手順書にまとめておくと対応が滞りにくくなります。

ログと隔離メールを保存する容量

検査用サーバーには、送受信の記録や、迷惑メールとして隔離したメールが蓄積されます。保存期間を長く設定するほど必要なディスクの容量が増えるため、社内規程で求められる保存期間から逆算して容量を決めます。

容量が不足すると、古いログが自動で削除されたり、新しいメールを隔離できなくなったりする場合があります。ディスクの使用量を監視し、一定の割合を超えたら通知される設定にしておきましょう。

サーバー構成別に見るメールセキュリティ製品一覧

メールサーバーの手前に置く製品、クラウドメールとAPIで連携する製品、送信ドメイン認証を管理する製品を一覧にまとめました。自社のサーバー構成にどう組み込むかを考える際の比較に使ってください。

サーバーへの組み込み方で選ぶメールセキュリティ

MXレコードの切り替えでメールサーバーの前段に置ける製品を中心に、APIで連携する製品や送信ドメイン認証を管理する製品も紹介します。冗長化の方法や対応する接続方式もあわせて確認してください。

使えるメールバスター

使えるねっと株式会社

資料請求リストに追加

製品詳細ページへ ＞

《使えるメールバスター》のPOINT

1. かんたん設定でメールセキュリティ向上
2. フィッシング・ビジネスメール詐欺・ウイルス攻撃に効果的
3. Office365等の主要メールサービスにも対応

OneOfficeメールソリューション

株式会社TOKAIコミュニケーションズ

資料請求リストに追加

製品詳細ページへ ＞

製品・サービスのPOINT

1. 最新の脅威から会社を守る！アンチスパム・ウイルス対策
2. 選べる機能でメールセキュリティを万全に
3. お使いのメールサーバはそのままにゲートウェイ型でも利用可能！

IIJセキュアMXサービス

株式会社インターネットイニシアティブ

資料請求リストに追加

製品詳細ページへ ＞

《IIJセキュアMXサービス》のPOINT

1. 多層フィルタによってあらゆる脅威を強力ブロック
2. 脅威対策と誤送信対策をワンストップに実現
3. Microsoft 365 と連携し、セキュリティ機能を強化

まとめ

メールサーバーのセキュリティは、メールセキュリティ製品の配置と、サーバー側の設定の両面で整えます。ゲートウェイ型やソフトウェア型、API連携型では、守れる範囲やサーバーへの影響が異なります。送信ドメイン認証や経路の暗号化、中継の制限は製品とは別に確認が必要です。自社のサーバー構成にあう方式や対応範囲は製品によって異なるため、複数の製品の資料請求をして比較してみてください。