Lista di controllo per la sicurezza delle e-mail

Hai rafforzato i tuoi server, bloccato il tuo sito web e sei pronto per affrontare Internet. Ma tutto il tuo duro lavoro è stato vano, perché qualcuno è caduto in un'e-mail di phishing e ha trasferito denaro a un truffatore, mentre un altro utente ha inavvertitamente scaricato e installato malware da un link e-mail che ha aperto una backdoor nella rete. L'e-mail è importante quanto il sito web quando si tratta di sicurezza. Come canale per l'ingegneria sociale, la distribuzione di malware e lo sfruttamento delle risorse, è necessario mettere in atto una combinazione di best practice e formazione degli utenti per ridurre il rischio di una compromissione correlata alla posta elettronica. Seguendo questa lista di controllo per la sicurezza della posta elettronica, è possibile rendere la configurazione della posta elettronica resiliente agli attacchi più comuni e assicurarsi che rimanga tale.

Leggi la nostra guida alle best practice per la sicurezza delle email per consigli approfonditi.

Abilita SPF

Come fai a sapere se un'e-mail proviene davvero da chi dice di provenire? Ci sono un paio di modi per rispondere a questa domanda, e il Sender Policy Framework (SPF) è uno di questi. SPF funziona pubblicando un record DNS di quali server sono autorizzati a inviare e-mail da un dominio specifico.

Esempio di record
TXT SPF"v=spf1 ip4:192.168.0.1/16 -all"
Sintassi del record

1. Un server di posta elettronica abilitato SPF riceve un'e-mail da somebody@example.com
2. Il server di posta elettronica cerca example.com e legge il record TXT SPF in DNS.
3. Se il server di origine dell'e-mail corrisponde a uno dei server consentiti nel record SPF, il messaggio viene accettato.

L'SPF deve essere abilitato su tutti i sistemi di posta elettronica edge per garantire che entrambe le e-mail che arrivano all'organizzazione possano essere controllate per l'SPF e che le e-mail provenienti dall'organizzazione non possano essere impersonate da qualcuno che utilizza un server di posta elettronica non elencato nel record SPF. Il mancato utilizzo di SPF significa che le tue e-mail non possono essere controllate per un server di origine autentico e sono quindi molto meno affidabili di quelle che possono.

Abilita DKIM

Esempio di record TXT DKIM

Esempio di record TXT DKIM

A differenza di SPF, che si applica in base al dominio, DomainKeys Identified Mail (DKIM) aggiunge una firma crittografata su ogni messaggio che può essere convalidato da un server remoto rispetto a un record TXT DNS.

In sostanza, le organizzazioni rivendicano la responsabilità dei messaggi e-mail con la loro firma DKIM. Poiché le firme sono crittografate, sono molto difficili da falsificare; pertanto, la reputazione di un'organizzazione è in gioco per i messaggi inviati con la firma DKIM. Le firme DKIM verranno ignorate dai server di posta che non le supportano, quindi non c'è da preoccuparsi se tutti i destinatari sono compatibili con DKIM. Il mancato utilizzo di DKIM riduce l'integrità della tua email e aumenta la probabilità che il tuo dominio venga inserito nella lista nera.

Abilita DMARC

Esempio di record TXT DMARC

v=DMARC1; p=nessuno; fo=1:d:s; rua=mailto:dmarc@upguard.com; ruf=mailto:dmarc@upguard.com; adkim=s; aspf=r

Sintassi dei record

Il protocollo DMARC (Domain-based Message Authentication, Reporting and Conformance) si basa su SPF e DKIM per gestire la verifica dei domini dei mittenti. Il DMARC fornisce anche report per dare alle organizzazioni visibilità sulla loro politica e-mail. Inoltre, il DMARC specifica cosa fare con un messaggio se i meccanismi di autenticazione SPF e DKIM falliscono. La combinazione di SPF, DKIM e DMARC crea un ambiente di posta elettronica affidabile. Tutti e tre si basano sui record TXT DNS per funzionare, quindi assicurati di leggere il passaggio 11 sulla protezione del DNS. Il mancato utilizzo del DMARC significa che le politiche SPF e DKIM saranno diverse a seconda del luogo in cui viene inviato il messaggio. Il DMARC standardizza questo aspetto includendo istruzioni all'interno dell'e-mail stessa.

Impostazione di un filtro antispam

Questo probabilmente sembra semplice: hai bisogno di un meccanismo per bloccare lo spam. Circa il 50% di tutte le e-mail totali è considerato spam. Questo numero sta effettivamente diminuendo poiché la difesa delle botnet è migliorata. Tuttavia, un filtro antispam è ancora fondamentale per qualsiasi organizzazione. Un'appliance dedicata come quella offerta da Barracuda è in grado di gestire grandi quantità di e-mail e si inserisce facilmente davanti ai server edge. In alternativa, un filtro antispam basato su cloud consente di scaricare i compiti su un provider. Indipendentemente dal filtro antispam scelto, assicurarsi di eseguire le operazioni seguenti:

1. Iscriviti a una lista di blackhole DNS. Questo bloccherà la maggior parte dello spam proprio all'edge.
2. Abilitare il controllo della velocità per evitare che i mittenti remoti sovraccarichino il server.
3. Abilita l'analisi dei contenuti per bloccare o mettere in quarantena euristicamente lo spam probabile.
4. Blocca i mittenti che non superano le ricerche DNS inverse.
5. Filtra gli allegati pericolosi. Vedere il passaggio 8 di questa guida.

Esistono altri modi per proteggersi dallo spam, ma la configurazione di questi 5 su un filtro antispam dedicato dovrebbe ripulire la consegna della posta e avere un numero minimo di falsi positivi. La mancata impostazione di un filtro antispam significa che la maggior parte delle e-mail elaborate dall'organizzazione è spazzatura e le caselle di posta delle persone saranno quasi impossibili da utilizzare.

Disabilita l'inoltro

L'inoltro è il processo di connessione a un server di posta elettronica e l'invio di posta attraverso tale server a una terza parte. Ecco un esempio di come questo possa andare terribilmente storto:

1. Uno spammer si connette a un server di posta elettronica casuale con inoltro aperto configurato accidentalmente.
2. Lo spammer invia migliaia (decine di migliaia, centinaia di migliaia) di e-mail attraverso quel server a vari provider di posta elettronica su Internet.
3. Il server a cui lo spammer si è connesso viene quindi inserito nella lista nera per lo spam, bloccato da diversi importanti vettori di posta elettronica come Yahoo e Gmail, il che impedisce il passaggio di messaggi legittimi provenienti da quel server.
4. Lo spammer cerca un altro server di inoltro aperto da utilizzare, mentre il team responsabile del server di inoltro aperto deve lottare per uscire dalle liste nere.

In genere, l'inoltro deve essere sempre disabilitato. Quando non è disabilitato, dovrebbe essere consentito solo per indirizzi IP specifici di server gestiti o di cui ti fidi completamente. In caso contrario, potresti essere inserito nella lista nera, come nello scenario precedente, e altrimenti sovraccaricare i tuoi server di posta elettronica e impedire la normale consegna della posta da e verso il tuo dominio.

Impostazione di un criterio di limitazione

Nel passaggio 5, abbiamo visto come un inoltro aperto può consentire a uno spammer di inviare enormi quantità di e-mail attraverso un server configurato in modo errato. Ma a volte un utente legittimo diventa uno spammer perché è caduto in una truffa di phishing o ha avuto la password compromessa in altro modo e il suo account viene ora utilizzato da qualcun altro per inviare spam. In entrambi i casi, l'impostazione di una politica di limitazione ragionevole impedirà agli spammer di inviare la quantità di email necessaria per inserire il tuo dominio nella lista nera.

I numeri effettivi variano da ambiente a ambiente, ma è meglio avere un'idea di quanta posta elettronica legittima passa attraverso il tuo sistema ogni giorno e costruire una politica intorno a questo. Se invii e-mail di massa legittime come materiale di marketing, prendi in considerazione l'utilizzo di un servizio di remailer come SendGrid. Questo non solo ridurrà notevolmente le tue possibilità di essere inserito nella lista nera, ma probabilmente avrai anche accesso a metriche e report importanti sulla consegna delle tue e-mail.

Prendi in considerazione la limitazione di queste cose:

1. Numero di destinatari per mittente al giorno
2. Numero di e-mail per mittente all'ora
3. Numero di destinatari per e-mail

Esistono altri modi per limitare la posta elettronica, ma limitando le azioni di cui sopra a quelle effettivamente utilizzate dalla tua azienda, puoi evitare che un account o un server compromesso danneggi la reputazione del tuo dominio abbastanza da inserirti nella lista nera.

Limita il dominio e-mail locale

Di tanto in tanto vedrai e-mail di phishing che sembrano provenire dal tuo dominio, ma che hanno avuto origine da qualche parte su un server di posta Internet. Per evitare che ciò accada, puoi limitare le email che provengono dal tuo dominio in modo che siano consentite solo dal tuo sistema di posta. Ciò significa che tutte le e-mail provenienti da Internet che dichiarano di provenire dal tuo dominio verranno bloccate. Ciò aumenta la sicurezza perché è più probabile che le persone cadano in una truffa di phishing che afferma di provenire dal proprio dominio.

Prima di implementare questo passaggio, considera se ci sono e-mail legittime provenienti da Internet dal tuo dominio. Alcuni esempi di ciò potrebbero essere:

1. Utilizzo di un servizio di remailer (la posta passa dai tuoi utenti, al remailer Internet di terze parti, quindi di nuovo alla tua organizzazione)
2. Servizi cloud impostati per l'invio come utenti
di dominio 3. Moduli di applicazione Web che attivano le e-mail inviate da un server Web Internet con un indirizzo e-mail di dominio

A seconda del sistema di posta elettronica, è possibile consentire l'invio di e-mail da host specifici, bloccandola comunque da Internet in generale. In caso contrario, possono essere inviate e-mail di phishing agli utenti che sembrano provenire dal dominio di posta elettronica, inducendo facilmente qualcuno a fornire la password o altre informazioni importanti.

Impostazione delle restrizioni degli allegati

Gli allegati e-mail sono stati a lungo un efficace sistema di distribuzione di malware, quindi è importante limitare i tipi di allegati che arrivano attraverso il tuo server. I tipi di file più pericolosi sono gli eseguibili, quindi estensioni come .exe, .bat, .vbs, .jar, .swf e così via dovrebbero essere sempre bloccate. Questi file possono essere trasferiti con altri metodi e/o compressi in un archivio se devono essere condivisi per motivi legittimi. È meglio consentire solo i tipi di file desiderati, come documenti d'ufficio, PDF e immagini, a seconda delle esigenze aziendali. In caso contrario, gli utenti possono installare inavvertitamente malware o compromettere in altro modo i sistemi di allegati dannosi.

Il filtro antispam edge menzionato nel passaggio 4 dovrebbe essere in grado di eseguire la scansione degli allegati in entrata e in uscita alla ricerca di virus. Ciò contribuirà a proteggere i tipi di file legittimi infetti. Inoltre, anche gli archivi crittografati o altrimenti non scansionabili dovrebbero essere bloccati. I file zip protetti da password potrebbero essere utili, ma se lo scanner antivirus non è in grado di capire di cosa si tratta, non dovresti lasciarli entrare nella tua organizzazione.

Anche le dimensioni dell'allegato devono essere limitate. Anche questo dipende dalla tua organizzazione, ma il limite medio di allegati e-mail è raramente superiore a 25 MB. Quindi, anche se il tuo limite è più alto, le e-mail con allegati di grandi dimensioni verranno probabilmente bloccate dal server remoto. Esistono molti modi migliori per condividere file su Internet rispetto alla posta elettronica. La mancata limitazione delle dimensioni degli allegati può portare a enormi quantità di caselle di posta utente, che ridurranno le prestazioni e renderanno le migrazioni, i backup e altre operazioni meno affidabili per tali caselle di posta, soprattutto negli ambienti Microsoft Exchange.

Garantisci la visibilità e la cronologia dei registri

Indipendentemente dal fatto che si utilizzi Exchange, Postfix o anche un servizio di posta elettronica ospitato, la gestione della posta elettronica si riduce alla disponibilità e alla capacità di utilizzare i file di registro. Le attività amministrative più comuni, come determinare se un'e-mail è stata recapitata, e le complesse migrazioni dei server si basano su un uso rapido ed efficiente dei log.

1. Creare un criterio di conservazione dei log. Questo sarà il periodo di tempo in cui ci si può ragionevolmente aspettare che l'utente torni indietro e disponga dei dati di registro. Questo dovrebbe soddisfare le esigenze della tua azienda, oltre a soddisfare tutti i requisiti legali per il tuo settore. La mancata adozione di questo criterio può causare il caos all'interno di un'organizzazione in caso di emergenza. Le aspettative delle imprese devono essere realistiche e ben documentate.
2. Assicurati di avere abbastanza spazio su disco per i tuoi registri. Amministrazione dei sistemi 101, giusto? Tuttavia, molti server di produzione sono costruiti secondo specifiche che tengono conto solo delle risorse dell'applicazione e non tengono conto delle esigenze terziarie come la registrazione, il backup o il monitoraggio. È necessario spazio sufficiente per supportare i criteri di conservazione dell'azienda.
3. Prendi in considerazione l'utilizzo di strumenti di visualizzazione dei registri in grado di riassumere in modo efficiente le enormi quantità di dati in un dashboard o in un altro formato conveniente. Ma anche se ne usi uno, assicurati di sapere come leggere anche i registri grezzi, è meglio non imparare in caso di emergenza.

Ogni parte del tuo ambiente di posta (filtri antispam, server perimetrali, server di database, mta) avrà probabilmente dei log, quindi assicurati di sapere quali informazioni si trovano dove e come accedervi. Exchange dispone di un proprio set di registri che devono essere monitorati e risolti se necessario.

Prendi in considerazione la crittografia delle e-mail

L'unico modo per garantire la privacy end-to-end per le e-mail è crittografare l'e-mail stessa tra il mittente e il destinatario. L'e-mail crittografata consente a un mittente e a un destinatario di scambiare chiavi pubbliche per la crittografia, conservando le chiavi private per la decrittografia, il che significa che solo il proprietario della chiave privata può accedere al contenuto dell'e-mail. Sono disponibili diverse opzioni di crittografia, tra cui PGP e S/MIME. La maggior parte dei client di posta elettronica moderni supporta la crittografia delle e-mail basata su certificati, ma tieni presente che, a differenza di molte altre misure finora, la crittografia richiede la configurazione sia per il mittente che per il destinatario. Per funzionare, i certificati devono essere considerati attendibili da ciascuna parte. Poiché la crittografia può ridurre la facilità d'uso, crittografa i messaggi solo quando il contenuto garantisce una privacy rigorosa.

Abilita DNSSEC

Poiché molti elementi cruciali della sicurezza delle e-mail si basano sui record DNS, è importante assicurarsi che il DNS stesso sia protetto. Lo spoofing DNS è un tipo di attacco in cui un hacker reindirizza un indirizzo DNS valido all'IP di un server dannoso. Per esempio:

1. Qualcuno va su www.example.com in un browser
2. Il loro computer esegue una ricerca DNS per www.example.com
3. Example.com la cache DNS è stata avvelenata, quindi restituisce l'IP del server
di un hacker 4. Nel browser
viene caricata una pagina web impostore dal server dell'hacker 5. Le credenziali utente vengono inserite nella pagina falsa e memorizzate nel database dell'hacker

Esistono molti altri modi per sfruttare il DNS, ma il DNSSEC li impedisce firmando la risposta DNS utilizzando la crittografia a chiave pubblica. Ciò significa che verranno restituite solo le risposte DNS autenticate. Quando si considerano i casi di SPF, DKIM e DMARC di cui sopra, dovrebbe essere chiaro come la protezione dei record DNS sia essenziale per la sicurezza della posta elettronica: se i record TXT per questi servizi vengono falsificati, ciò mina completamente la sicurezza che forniscono.

Educa la tua comunità

Indipendentemente dalle misure tecnologiche messe in atto, in ultima analisi, la sicurezza si riduce alle persone e alle loro pratiche quotidiane. Una cultura che si preoccupa davvero della sicurezza e la vede come un obiettivo aziendale avrà molto più successo nell'implementazione della tecnologia di sicurezza rispetto a una che la vede solo come un ostacolo o un costo.

Gli utenti devono essere istruiti sui concetti di base della sicurezza della posta elettronica, come ad esempio:

Come evitare gli attacchi di phishing
Quali file devono essere inviati tramite e-mail e quali metodi di trasferimento file alternativi sono disponibili
Come evitare minacce alla sicurezza come malware e link dannosi
Come rilevare l'ingegneria sociale e quali informazioni è possibile condividere
Come identificare gli hack e le tattiche comuni dei criminali informatici.
Come identificare le minacce ransomware.
Come proteggere le informazioni sensibili e i dati sensibili
Cosa fare se l'email aziendale è compromessa
Come creare password complesse
I rischi della compromissione del numero di telefono (SIM swapping)

La formazione sulla consapevolezza delle minacce alla sicurezza informatica può essere condotta da una parte esterna o, una soluzione più conveniente, è quella di eseguirla da soli. Con l'aiuto di ChatGPT, questo è relativamente facile.

Questo potrebbe essere un corso di base richiesto come condizione per l'assunzione, magari aggiornato a intervalli per assicurarsi che le pratiche stiano al passo con il cambiamento. Senza un programma come questo, e il supporto dei vertici aziendali per una cultura della sicurezza, nessuna delle altre misure menzionate qui avrà molta importanza perché una pratica negligente dell'utente finirà per creare backdoor nella rete e/o una violazione dei dati.

Tuttavia, anche con la migliore formazione sulla consapevolezza degli attacchi informatici, è ancora possibile commettere errori e compromettere gli account di posta elettronica. Pertanto, dovrebbero essere messe in atto reti di sicurezza per ridurre l'impatto sulla tua attività in caso di errore di uno dei nostri dipendenti. Alcuni esempi di controlli di sicurezza che dovrebbero sempre accompagnare la formazione sulla consapevolezza delle minacce includono:

Autenticazione a più fattori o autenticazione a due fattori
Controlli di prevenzione della perdita di dati
Soluzioni per la sicurezza delle password (come i gestori di password)
Firewall
Software antivirus
Protocolli di autenticazione delle e-mail
VPN
Software di gestione della superficie di attacco (per rilevare le vulnerabilità che gli hacker potrebbero sfruttare durante una campagna di phishing)

Test regolari

La visibilità è il fattore più importante quando si tratta di rafforzare un server. Senza sapere cosa sta succedendo, cosa è cambiato e cosa deve cambiare, ci sono poche speranze di mantenere un server sicuro nel tempo. Testare regolarmente le configurazioni in base ai criteri aziendali darà ai team IT la possibilità di correggere le falle di sicurezza prima che vengano sfruttate.

Inoltre, i test di configurazione regolari spingono i data center a standardizzare i processi e a semplificare i flussi di lavoro: visualizzazioni solide e dati storici sulle tendenze consentono di prendere decisioni migliori e più rapide quando si tratta di apportare nuove modifiche. Nessuno degli altri passaggi avrà un impatto così forte sulla sicurezza se non vengono testati di routine.

La sicurezza delle e-mail è un argomento ampio, ma seguendo questi 13 passaggi puoi essere ragionevolmente sicuro di esserti protetto dagli attacchi più comuni. La reputazione è legata alle e-mail, quindi l'adozione di misure per garantire che solo le comunicazioni autorizzate provengano dal dominio della tua azienda protegge non solo le loro risorse digitali.

Come mezzo di ingegneria sociale, l'adozione di misure per educare le persone sulle truffe di phishing e altre attività di posta elettronica dannose completerà piacevolmente un filtro antispam ben configurato per prevenire violazioni dei dati e l'installazione di malware.

Il test continuo della configurazione garantisce che le modifiche potenzialmente pericolose vengano rilevate e risolte in modo tempestivo. Il risk grader esterno gratuito di UpGuard analizza la sicurezza dei siti web e delle e-mail insieme al rischio aziendale per determinare il punteggio CSR di un'organizzazione.

Guarda il video qui sotto per scoprire come UpGuard ha ridotto il rischio di violazioni dei dati con un'efficace gestione della superficie di attacco.