Защита электронной почты — это набор мер, которые не дают вредоносному или обманному письму дойти до сотрудника и не дают злоумышленнику воспользоваться почтовым доменом компании. Почта остается главным каналом деловой переписки, поэтому по ней же приходят фишинг, вложения с вредоносным кодом и попытки выдать себя за руководителя или поставщика.
Статья полезна специалисту по информационной безопасности (ИБ), администратору почтовой системы и руководителю, который отвечает за риски. В ней разобраны основные угрозы, уровни защиты, порядок настройки и чек-лист для самопроверки. В конце указано, где отработать навыки на практике.
Какие угрозы приходят по почте
Письмо удобно атакующему по одной причине: оно сразу попадает к человеку, а человек может ошибиться. Чаще всего встречаются пять сценариев.
| Угроза | В чем суть | Что ее выдает |
|---|---|---|
| Фишинг | Письмо ведет на поддельную страницу входа и собирает пароль | Ссылка с чужим доменом, срочность, просьба подтвердить доступ |
| Вредоносное вложение | Документ, архив или скрипт запускает код на рабочем месте | Запароленный архив, макросы, неожиданный формат файла |
| BEC (компрометация деловой переписки) | Злоумышленник пишет от имени руководителя или партнера и просит перевести деньги или сменить реквизиты | Нет ссылок и вложений, есть только просьба и давление по срокам |
| Подмена отправителя | Адрес в поле «От» выглядит как адрес вашей компании или партнера | Нет подписи домена, расхождение между видимым и техническим адресом |
| QR-фишинг | Ссылка спрятана в картинке, чтобы обойти анализ текста | Письмо почти без текста, код вместо ссылки |
Фишинг и BEC подробно описаны в статье «Защита от фишинга и BEC: чек-лист для корпоративной почты». Затраты на успешную атаку BEC складываются из суммы перевода и стоимости разбора инцидента, посчитайте их для своей организации.
Из каких уровней состоит защита
Одного средства недостаточно. Надежная защита почты состоит из нескольких уровней, и каждый закрывает свою часть риска.
1. Аутентификация домена
Три записи в DNS защищают ваш домен от подделки: SPF, DKIM и DMARC. SPF перечисляет серверы, которым разрешено отправлять почту. DKIM подписывает письмо. DMARC говорит принимающей стороне, что делать с письмами, которые не прошли проверку. Без этих записей любой может написать «от вас».
Политика DMARC имеет три значения: none (только наблюдать), quarantine (отправлять в карантин) и reject (отклонять). Начинают с none, чтобы по отчетам увидеть все легитимные источники почты, а затем переходят к более строгим значениям.
2. Почтовый шлюз
Шлюз стоит на входе и на выходе. Он проверяет репутацию отправителя, разбирает текст и ссылки, запускает вложения в изолированной среде и принимает решение: доставить, задержать в карантине или отклонить. Именно шлюз определяет, сколько вредоносных писем дойдет до людей и сколько нужных писем будет задержано по ошибке. Принципы работы шлюза описаны в статье «Как работает защита почты: фильтрация, песочница, антифишинг», а критерии выбора — в материале «Как выбрать решение для защиты корпоративной почты».
3. Что остается после доставки
Если письмо все же дошло и сотрудник открыл вложение, дальше работает защита рабочего места. О том, как она связана с почтой, читайте в статье «Что такое EDR».
4. Обучение и порядок действий
Сотрудник должен знать, куда пересылать подозрительное письмо и что делать, если ссылка уже открыта. Короткая инструкция и понятный канал сообщения работают лучше, чем длинная лекция раз в год.
Что проверить на пилоте шлюза
Пилот на ваших письмах дает данные по вашей почте. Проверьте:
- Долю пропущенных угроз. Отправьте набор тестовых писем с вложениями разных типов и ссылками на тестовые страницы и посмотрите, что дошло.
- Долю ложных блокировок. Прогоните через шлюз реальную переписку за неделю в режиме наблюдения и посчитайте письма, которые система задержала бы зря.
- Задержку доставки. Анализ вложений в изолированной среде занимает время. Убедитесь, что оно приемлемо для ваших процессов.
- Удобство карантина. Как быстро сотрудник или дежурный находит письмо и возвращает его при ошибке.
- Отчеты. Какие данные доступны для аудита и разбора инцидентов.
Что делать, если письмо уже открыто
Заранее договоритесь о порядке действий, чтобы сотрудник не искал инструкцию в момент тревоги.
- Сотрудник сообщает о письме в выделенный канал и не удаляет его.
- Дежурный проверяет, кто еще получил такое письмо, и отзывает его из ящиков.
- Если сотрудник ввел пароль на поддельной странице, пароль меняют немедленно и завершают открытые сеансы.
- Если открыто вложение, рабочее место изолируют и передают на разбор. Порядок разбора описан в статье «Расследование инцидентов информационной безопасности».
- Правила шлюза дополняют признаками письма, чтобы похожие не доходили.
Как настроить защиту: порядок работ
Внедрение удобнее разбить на этапы. Так вы быстрее увидите эффект и не нарушите рабочую переписку.
- Опишите текущее состояние. Какие домены и серверы отправляют почту, есть ли записи SPF, DKIM и DMARC, где стоит фильтрация.
- Включите аутентификацию домена. Начните с DMARC в режиме наблюдения, изучите отчеты, затем ужесточайте политику.
- Подключите почтовый шлюз. Запустите его в режиме, при котором письма проверяются и помечаются, но не блокируются. Это даст картину без риска для переписки.
- Настройте политики. Определите, какие вердикты ведут в карантин, а какие в отклонение; заведите исключения для нужных партнеров.
- Назначьте владельца карантина. Кто-то должен разбирать задержанные письма каждый день, иначе ложные срабатывания превратятся в жалобы.
- Проверьте на тестовых письмах. Отправьте чистое письмо, письмо с подозрительной ссылкой и письмо с вложением и убедитесь, что вердикты соответствуют ожиданиям.
- Включите блокировку и наблюдайте. Следите за долей ложных срабатываний и дорабатывайте правила.
Чек-лист для самопроверки
- Для основного домена опубликованы SPF, DKIM и DMARC, а политика DMARC не стоит в режиме «только наблюдать» бессрочно.
- Входящая почта проходит через шлюз, а доступ к почтовому серверу открыт только для шлюза.
- Вложения проверяются в изолированной среде, а запароленные архивы попадают под отдельное правило.
- Ссылки анализируются в момент доставки и в момент клика.
- QR-коды в письмах проверяются.
- У карантина есть ответственный и срок разбора.
- Сотрудники знают, как сообщить о подозрительном письме.
- Ведется журнал инцидентов: что пришло, кто открыл, что сделали.
Что измерять
Достаточно четырех показателей: сколько вредоносных писем остановлено, сколько легитимных писем задержано по ошибке, сколько времени уходит на разбор карантина и сколько сотрудников сообщили о подозрительных письмах. Первые два показателя смотрите вместе: ужесточение политики увеличивает число остановленных писем и число ложных блокировок одновременно. Если сотрудников, сообщающих о письмах, становится больше, это хороший знак: люди заметили угрозу и знают, куда о ней сказать.
Частые ошибки
- Включить жесткую блокировку в первый день и сорвать переписку с партнерами.
- Настроить DMARC и забыть про отчеты, которые показывают чужие попытки подмены.
- Считать, что шлюз заменяет обучение сотрудников. Он закрывает не все угрозы.
- Не назначить владельца карантина.
- Не проверять систему после изменения политик.
Как получить практику
Технический курс уровня BCE «Внедрение и администрирование BI.ZONE Mail Security» занимает 40 часов и построен на онлайн-материалах и лабораторных работах. Вы отправляете тестовые письма, находите их в карантине и настраиваете правила обработки. Для тех, кто работает с готовой системой, предусмотрен курс уровня BCS «Работа с BI.ZONE Mail Security» со сценарными лабораториями, он готовится к запуску осенью 2026 года. Все материалы по продукту собраны на хабе обучения по BI.ZONE Mail Security. Формат стенда описан на странице «Практика на киберполигоне», а выбрать формат подготовки поможет страница «Курсы информационной безопасности».
Читайте также
- Что такое Mail Security: как защитить корпоративную почту и как выбрать решение
- Secure DNS против фишинга: как блокировать угрозы до открытия сайта
- Что такое DLP: как защитить данные от утечек
- Кто такой инженер ИБ: чем занимается и как им стать
Частые вопросы
Чем почтовый шлюз отличается от антивируса?
Антивирус защищает рабочее место и проверяет файлы на устройстве. Шлюз работает раньше: он останавливает письмо до доставки и анализирует и текст, и ссылки, и вложения.
Достаточно ли встроенной защиты почтового сервиса?
Встроенные средства закрывают базовые сценарии. Для организации, где почта связана с финансами, договорами и персональными данными, обычно добавляют отдельный шлюз и настраивают политики под свои процессы. Решение зависит от оценки рисков.
Как понять, что защита работает?
По тестовым письмам и по показателям. Тестовые письма проверяют вердикты, а показатели — динамику ложных срабатываний и пропущенных угроз.
Нужно ли обучать сотрудников, если стоит шлюз?
Да. Часть атак, прежде всего BEC, не содержит ни вредоносных вложений, ни подозрительных ссылок, и опознать ее может только внимательный человек.
Где потренироваться настраивать защиту почты?
На стенде с готовым продуктом, где ошибка не затрагивает рабочую переписку. Курсы по BI.ZONE Mail Security описаны в разделе «Как получить практику».