Exchange サーバー環境におけるスパム対策

2019-12-06

公開日: 2006年12月25日

ダウンロード

『Approaches to Fighting Spam in an Exchange Server Environment』(英語) をダウンロードする

トピック

はじめに

この文書は、中規模ビジネスセキュリティガイダンスの一部として提供されています。 Microsoft は、次の情報を得ることでさらにセキュリティが強化され、より生産性の高いコンピュータ環境が皆様の組織で実現されることを望んでいます。

要点

迷惑メールまたはスパムとして知られている不要な電子メールメッセージは、同時に多くのメールボックスに大量送信するのが目的で 1 か所の送信元から送られます。スパム送信者の狙いは、受信したエンドユーザーがメッセージを開封して実際に読むことで、これによって金儲けをしようとします。スパム送信者はさまざまな手口を使って、メッセージがスパムかどうかの判断を難しくするため、ゲートウェイレベルでは容易に検知することができません。

受信するメッセージの 40% 以上がスパムに分類されると業界では推定しています。このような迷惑メールの増加への対応が、中規模ビジネスにとっての課題になっています。スパムは迷惑なだけではなく、潜在的な生産性の低下、およびスパムに対処するために必要な追加的なリソースなどを考慮すると、コストが多大にかかる問題です。

したがって、スパム対策を講じる際には、実用的なソリューションを組み入れる必要があります。

Microsoft® Exchange Server 2003 Service Pack 2 (SP2) により、Exchange Server が単一または複数の環境で、いくつかのスパム対策を組み合わせたフレームワークが導入されます。このフレームワークは、Exchange Server 2003 Anti-Spam Framework と呼ばれ、接続レベル、プロトコルレベルおよびコンテンツレベルのフィルタ機能から構成されています。

このフレームワークに組み込まれたさまざまな方法により、管理者およびエンドユーザーは、スパムを正確にフィルタリングして分類し、スパムと正当なビジネスの電子メールを区別することができます。

このフレームワークの主な目的は、管理者およびユーザーに、サーバー側およびクライアント側で適用できる十分な柔軟性を持ったソリューションを提供することです。この文書では、これらのアプローチについて詳細に記述しています。また、このフレームワーク内の各アプローチの機能、また各アプローチの連携について実例を示しています。評価や開発計画について、また展開および管理のセクションでは順を追ってのガイドを紹介しています。

注 Microsoft では、スパムに対抗する重要なサービスも提供しています。このサービスは Exchange Hosted Services (EHS) と呼ばれます。 EHS は 4 つの別個のサービスで構成されており、電子メールに組み込まれたマルウェアからの保護、保存に関する規制の準拠、機密性保持のためのデータ暗号化、緊急時やその後の電子メールへのアクセスの確保を可能にして中規模ビジネスを支援します。 Exchange Hosted Services の核心は、データセンターをインターネットバックボーン上の複数の主要なサイトに置く、分散型ネットワークです。各データセンターはフォールトトレラントサーバーを持ち、サイト間およびサーバー間は負荷分散されています。このサービスの詳細な説明は、このガイドでは扱っていません。詳細は「Microsoft Exchange Hosted Services の概要」を参照してください。

概要

この文書では、4 つのメインセクションで構成されており、Exchange サーバー環境におけるスパム対策として実用的なアプローチを提供するためのオプションおよびソリューションを、4 つの主なセクションに分けて詳細に説明しています。これらの 4 つの主なセクションは、「はじめに」、「定義」、「課題」および「ソリューション」です。

はじめに

このセクションでは、この文書の要点をまとめています。また、文書構成の概要と、対象読者についての情報が記載されています。

定義

このセクションでは、Exchange Server 2003 Anti-Spam Framework の定義および概要について詳しく説明します。これらの詳細は、この文書で説明しているソリューションを理解するうえで役に立ちます。

課題

このセクションは、Anti-Spam Framework が提供するさまざまなレベルでどのようにスパムをフィルタリングするかを決定する場合に、中規模ビジネスが直面する課題について記述しています。

ソリューション

このセクションでは、不要な迷惑メールがもたらす課題に対処する実践的なソリューションを説明します。この課題に対処するためのアプローチや開発の計画を評価し、また次に挙げる手法の展開および管理を手順を追って説明します。

接続レベルの保護
- IP 接続フィルタリング
- リアルタイムブロックリスト
プロトコルレベルの保護
- 受信者および送信者のブロック
- Sender ID
コンテンツレベルの保護
- Exchange インテリジェントメッセージフィルタ
- Outlook 2003 および Outlook Web Access を使用した迷惑メール対策

Exchange Server 2003 Anti-Spam Framework に加え、ユーザーの意識向上が、Exchange Server 環境のおけるスパム対策では欠かせないと認識することが重要です。これについては、「展開および管理」のセクションの最後で説明します。

対象読者

この文書は、中規模ビジネスの Exchange サーバー環境におけるでスパム対策の計画および導入を担当する、情報技術 (IT) 専門家およびビジネス管理者を主な対象としています。たとえば次のような役割の人が対象です。

システム設計者。サーバーインフラストラクチャ全体の設計、サーバー展開戦略およびポリシーの策定、システム強化、およびネットワーク接続の設計を担当します。
情報技術管理者。技術面での意思決定者や、インフラストラクチャ、デスクトップコンピュータおよびサーバーの配備、サイト全体の Exchange サーバーの管理と運用を担当する情報技術スタッフの監督者です。
システム管理者。 Microsoft Exchange サーバー全体の技術の計画および導入や、新しい技術を使ったソリューションの評価と推奨を担当します。
Exchange メッセージングの管理者。組織におけるメッセージング機能の実装および管理を担当します。

ページのトップへ

定義

Exchange Server 2003 Anti-Spam Framework は、Exchange サーバー環境におけるスパム対策のメカニズムです。 Exchange Server 2003 SP2 のリリースにより、Sender ID フィルタと呼ばれる業界標準の電子メール認証技術が組み込まれて、このフレームワークが強化されています。この技術により、ユーザーの受信トレイに届くスパムの数を減らすことができます。

このセクションでは、Exchange Server 2003 Anti-Spam Framework の詳細について説明します。

Exchange Server 2003 Anti-Spam Framework

Exchange Server 2003 では、スパム対策の保護措置が、接続レベル、プロトコルレベルおよびコンテンツレベルの 3 つの異なるレベルで適用されます。これを次の図に示します。

図 1. スパム対策の 3 つのレベル

接続レベルの保護機能では接続している SMTP ホストを分析し、プロトコルレベルの保護機能ではメッセージの送信者および受信者を分析します。また、コンテンツレベルの保護機能では、メッセージの内容を評価します。これらのスパム対策の保護機能のそれぞれについて、次からの各サブセクションで詳細に説明します。

接続レベルの保護

接続レベルの保護は、スパムを防御する最も有効な保護層です。このレベルの保護が適用されると、スパムメッセージが中規模ビジネスに侵入することはまずありません。次の図に示すように、接続レベルの保護は、受信している各 SMTP 接続について、スパムの送信元である可能性を評価します。

図 2. 接続レベルの保護

画像を画面全体に表示

接続している SMTP ホストが、スパムを送信しているホストまたは通常は SMTP メッセージを送信しないと思われるホストであると特定された場合、接続が拒否されます。したがって、受信メッセージがスパムかどうか調べるための、コストがかかる繰り返し作業をしなくて済むようになります。この目的のために、Exchange Server 2003 には 2 種類の接続レベルフィルタ機能が用意されています。

IP 接続フィルタ

Exchange Server 2003 では、IP アドレスを基に SMTP 接続を明示的に拒否するように指定できます。接続をフィルタリングするためのリストは手動で管理可能なので、このアプローチは Exchange サーバーを保護する最も基本的な方法と言えます。一定の理由で (スパム送信元である可能性など) 特定のホストからの受信 SMTP 接続を拒否したい場合、このレベルで拒否されます。

SMTP 接続は明示的に許可することが可能です。スパム送信元と特定され、ブロックされている SMTP ホストからのメールを受信したい場合は、本来は拒否されるその SMTP ホストからのメッセージの受信を許可するように指定できます。

リアルタイムブロックリスト

より動的に接続レベルの保護を行うには、リアルタイムブロックリスト (RBL) を使用します。ブロックリストは IP アドレスのリストで、既知のスパム送信元、オープンリレー、SMTP ホストとして含まれない範囲 (Microsoft MSN® ダイヤルアッププールに含まれる IP アドレスなど) などの IP アドレスが含まれます。

サードパーティのブロックリストプロバイダは各プロファイルに合致する IP アドレスを収集しています。送信ホストがブロックリストサービスの加入者と SMTP セッションを開始すると、サービス加入者は接続しているホストの IP アドレスを使って、一種のドメインネームシステム (DNS) クエリをブロックリストプロバイダに発行します。次に、ブロックリストプロバイダは、接続しているホストがリストにあるかどうかを示すコードを返します。このコードを使って、接続している SMTP ホストがどのリストに載っているかを示すこともできます。

リアルタイムブロックリストフィルタ機能のプロセスは次のとおりです。また下の図にそのプロセスを示します。

SMTP ホストは、Transmission Control Protocol (TCP) のポート 25 を使って Exchange Server 2003 サーバーに接続します。
Exchange Server 2003 サーバーは、構成されたブロックリストプロバイダにクエリを送信して、接続している SMTP ホストがブロックリストにないことを確認します。
接続している SMTP ホストがブロックリストにない場合は、接続が許可されます。ブロックリストにある場合は、接続が切断されます。

図 3. リアルタイムブロックリストフィルタリングの仕組み

画像を画面全体に表示

Exchange Server 2003 SP2 以前では、ファイアウォールまたは中間 SMTP ホストが Exchange と送信元の間に存在する場合 (Exchange は境界ネットワークの背後に配置されています）、接続フィルタ機能は使用できませんでした。Exchange Server 2003 SP2 以前の接続フィルタリングは、接続しているホストのみを対象としているためです。中間ホスト (ファイアウォールまたは他の SMTP 機器) が送信ホストと Exchange と間に存在している場合、この中間ホストのみが対象となります。

Exchange Server 2003 SP2 のリリースにより、Exchange サーバーは中規模ビジネスのあらゆる位置に設置が可能となり、どの位置でも接続を正しくフィルタできます。この機能は、Exchange システムマネージャで境界 IP の一覧および内部 IP の範囲を設定することにより実現されます。これにより、Sender ID およびリアルタイムブロックリスト機能は、ファイアウォールなどの中間 SMTP ホストに接続している IP アドレスを分析します。

プロトコルレベルの保護

図 4. プロトコルレベルの保護

画像を画面全体に表示

SMTP メッセージが接続レベルの保護を通過すると、次の防御層は SMTP プロトコルレベルに用意されています。送信 SMTP ホストと受信 SMTP ホストの間の SMTP ダイアログを分析して、送信者および受信者が許可されているかを確認し、送信者の SMTP ドメイン名を割り出します。

受信者および送信者のブロック

手動でスパムを減らすには、メッセージを受信したくない送信者やドメインを個別に定義する方法があります。送信者のブロック機能により、ブロックする個別の SMTP アドレスまたはドメインを指定できます。 Exchange Server 2003 では、送信者のアドレスが空白のメッセージを無効にできます。またフィルタされたメッセージのアーカイブも可能です。

受信者フィルタ機能により、特定の受信者に送信されたメッセージをフィルタできます。また、ディレクトリにない受信者をフィルタすることもできます。ただし、ディレクトリにない受信者のフィルタリングを有効にすると、ディレクトリハーベスト攻撃 (DHA) として知られている、SMTP 電子メールアドレスのハーベスト攻撃に対し脆弱になります。この状態では、RFC2821 RCPT TO: コマンドに応答する Exchange サーバーは、有効な SMTP アドレスを見つけるために解析されてしまいます。 SMTP プロトコルでは SMTP セッション中に 250 2.1.5 応答を返して、受信可能な受信者を承認します。電子メールが受信者リストに存在しない受信者に送信された場合、Exchange サーバーは 550 5.1.1 User unknown エラーを返します。したがって、スパム送信者は、よく使われる名前や辞書に載っている言葉などを使用する自動化プログラムを作成して、特定のドメインに送信する電子メールアドレスを作ることが可能です。この自動化プログラムは、250 2.1.5 を RCPT TO: SMTP コマンドに返すすべての電子メールアドレスを収集して、550 5.1.1 User unknown エラーを返すすべての電子メールアドレスを破棄します。次にスパム送信者は、有効な電子メールアドレスを売ったり、一方的に送り付けるメールの宛先として使用することが可能です。

この脅威は、タールピッティングという手法で軽減することが可能です。 Microsoft Windows Server™ 2003 SP1 の SMTP タールピット機能により、管理者はいくつかの SMTP プロトコル応答を返す前に遅延を構成して挿入することが可能です。攻撃をしてくるホストは、この応答を待つほど長い時間待機しません。

詳細は、Microsoft サポート技術情報「Microsoft Windows Server 2003 の SMTP タールピット機能」を参照してください。

Sender ID

Exchange Server 2003 のスパム対策に加えられた最新の機能の 1 つが、Sender ID フィルタです。 Exchange Server 2003 SP2 に組み込まれているこの機能は、送信している SMTP ホストが、送信に使用している電子メールアドレスから特定されるドメインからメッセージを送信することを許可されているかどうかを検証します。多くのスパムメッセージは、正当な電子メールアドレスから送られたように偽装されています。電子メールの受信者に、電子メールが正当な機関 (銀行の担当者、カスタマーサービスなど) からのものであると思わせることにより、ユーザーは気付かないうちに貴重な情報を開示してしまい、身元情報の盗難につながります。 Sender ID は、なりすましメッセージを低減または排除します。

Sender ID が機能するためには、2 つの部分が必要です。第一は、SPF (Ssender Policy Framework) レコードとして知られている DNS レコードです。 SPF レコードは、あるドメインの SMTP アドレスの送信が許可されているサーバーを定義するものです。 SPF レコードを使用するために Sender ID の構成を行う必要はありません。第二は、Exchange Server 2003 SP2 などの Sender ID をサポートする SMTP ホストです。

SPF レコードを DNS ゾーンに追加することにより、他の組織は Sender ID を使用して、あるドメインからのものであると主張している受信メッセージが実際にそのドメインの SPF レコードで許可されているサーバーから送られているかを検証できます。次の手順および図は、このプロセスの仕組みについて説明しています。最初のものは SPF レコードがない場合、次のものは SPF レコードを使用した場合です。

スパムを送信している SMTP ホスト、fabrikam.com から Exchange Server 2003 にメッセージが送られます。Sender ID は有効になっています。送信元のアドレスは、susanf@nwtraders.com です。
Exchange サーバーは、nwtraders.com の SPF レコードがあるか DNS に問い合わせます。
nwtraders.com には SPF レコードが存在しないため、メッセージは Sender ID を通過して受信を許可されます。

図 5. Sender ID/SPF レコードがなく、組織に侵入するスパム

画像を画面全体に表示

Northwind Traders 社が、nwtraders.com DNS ゾーンに SPF レコードを追加すると次のようになります。

スパムを送信している SMTP ホスト、fabrikam.com から Exchange Server 2003 にメッセージが送られます。Sender ID は有効になっています。送信元のアドレスは、susanf@nwtraders.com です。
Exchange サーバーは、nwtraders.com の SPF レコードがあるか DNS に問い合わせます。
送信している IP アドレス (208.217.184.82) が、SPF で定義された、nwtraders.com からの電子メールの送信を許可されている IP アドレスのリスト (131.107.76.156) に存在しないため、メッセージは Sender ID によって処理されます。

図 6. Sender ID/SPF レコードにより、組織内で認識されるスパム

画像を画面全体に表示

Sender ID を実装することにより、SPF レコードを持つドメインから送られているようになりすましたスパムを大幅に低減できます。ただし、Sender ID による保護は、SPF レコードを持つ組織に対してのみ有効である点に注意してください。

Microsoft.com では、接続レベルのフィルタを通過したうちの 59% の受信メッセージが、プロトコルレベルのフィルタでブロックされました。

コンテンツレベルの保護

図 7. コンテンツレベルの保護

画像を画面全体に表示

接続レベルおよびプロトコルレベルのフィルタを適用し、受信メッセージがスパムではないかを判断できるようにしたら、次の防御層はメッセージの内容の分析です。ここでは、迷惑メールであることを示すようなスパムに共通の手がかりを捜します。スパム送信者は、メッセージがコンテンツフィルタを通過してユーザーの受信トレイに届くことを目的に、スパム検知を回避する新しい方法や工夫をこれまで試みてきました。

Exchange インテリジェントメッセージフィルタ

インテリジェントメッセージフィルタ (IMF) は、特に Exchange 用に設計されたコンテンツフィルタです。このフィルタは Microsoft Research の特許取得済みのマシンラーニングテクノロジである、Microsoft SmartScreen® テクノロジを基にしています。 SmartScreen は現在、MSN、Microsoft Hotmail®、Microsoft Office Outlook® 2003 および Exchange で使用されています。 IMF は、何百万ものメッセージを基に、正当な電子メールメッセージとスパムの特徴を見分けるように設計されています。 IMF は、受信メッセージが正当なものであるか、またはスパムであるかの可能性を判断します。他の多くのフィルタリングテクノロジと異なり、IMF は、統計的に信頼できる電子メールメッセージのサンプルから得られる特徴を使用します。スパムに加え、正当なメッセージのサンプルを組み込むことにより、判断が誤る可能性を減らします。 IMF は、正当なメールと迷惑メール両方の特徴を見分けるため、正確性が向上しています。

IMF は、インターネットからの受信 SMTP メッセージを許可する Exchange サーバーにインストールされます。 IMF がインストールされている Exchange サーバーに、外部のユーザーが電子メールメッセージを送信すると、IMF はメッセージ本文のコンテンツを評価し、各メッセージに対し、そのメッセージがスパムである可能性に基づいてレベルを割り当てます。このレベルは 1 から 9 まであり、メッセージのプロパティに保存されます。これを SCL (Spam Confidence Level) レベルと言います。このレベルは、メッセージが他の Exchange サーバーに送信される場合も保持されます。このプロセス全体を次の図に示します。

図 8. Exchange インテリジェントメッセージフィルタのプロセス

画像を画面全体に表示

IMF がメッセージに SCL を割り当てると、管理者により設定される 2 つのしきい値に従って次のように評価されます。

ゲートウェイブロッキング設定 : 次の値以上の SCL レベルを持つメッセージをブロックする メッセージの SCL レベルが設定されたしきい値以上の場合、次のいずれかの処理が実行されます。
- 保存
- 削除
- 何もしない
- 拒否
迷惑メールの保存設定 : Move messages with an SCL rating greater than メッセージの SCL レベルがこのしきい値を超える場合、このメッセージはユーザーの受信トレイの迷惑メールフォルダに配信されます。ただし、送信者がこのユーザーの差出人セーフリストに含まれている場合は適用されません。

フィッシング対策

フィッシングとは、ユーザーの身元情報を盗み出すことを目的とした詐欺メールの一種です。フィッシング詐欺では、アカウント情報の確認を依頼する電子メールメッセージを送るなどの方法でユーザーを信用させ、ユーザーのクレジットカード番号、パスワード、アカウントデータなどの貴重な個人情報を開示させようとします。

Exchange Server 2003 SP2 では、IMF にフィッシング対策技術が追加されており、フィッシングメッセージには適切な SCL レベルが付けられて処理されます。

カスタムの重み付け

Exchange Server 2003 SP2 には、カスタムの重み付け機能が提供されています。これは、電子メールの本文、件名、あるいはその両方に含まれるフレーズに基づいて、管理者が IMF の動作をカスタマイズできる機能です。

カスタムの重み付け機能を実装するには、MSExchange.UceContentFilter.xml という XML (Extensible Markup Language) ファイルを、IMF がインストールされているサーバーの MSExchange.UceContentFilter.dll および .dat ファイルと同じディレクトリに挿入します。 SMTP 仮想サーバーが起動して IMF が初期化されると、この XML ファイルが読み込まれます。

この XML ファイルは、IMF が重みを付けることができるフレーズを定義します。この機能を使用して IMF をカスタマイズすることができます。これにより、IMF が付ける SCL レベルとは異なるレベルをフレーズに与え、それに基づいてメッセージを許可または拒否することが可能です。

Microsoft.com の場合、接続レベルおよびプロトコルレベルのフィルタ機能を通過した受信メールの 38% が IMF によってブロックされています。

Outlook 2003 および Outlook Web Access を使用した迷惑メール対策

メッセージがサーバーによるスパム対策防御を通過すると、Outlook 2003 クライアントは IMF の迷惑メール保存設定値以上のSCL 値を持ったメッセージを処理します。このサーバー設定を超えるメッセージは、Outlook 2003 の受信トレイの迷惑メールフォルダに送信されます。

Exchange Server 2003 を使用する Outlook 2003 および Outlook Web Access では、ユーザーは、常に電子メールメッセージを受信したい差出人を指定する差出人セーフリストを作成できます。また、常に電子メールメッセージを拒否したい差出人を指定する、受信拒否リストの作成も可能です。メールボックスストアでは、メッセージに割り当てられている SCL レベルの値にかかわらず、Exchange は差出人セーフリストに存在する差出人からのメッセージはすべて受信トレイに、受信拒否リストに存在する差出人からのメッセージはすべて迷惑メールフォルダに配信します。ただし、電子メールメッセージがゲートウェイのしきい値でブロックされた場合、そのメッセージはメールボックスストアに配信されないため、ユーザーの受信トレイにも配信されません。

ページのトップへ

課題

不要で迷惑な広告メールや、時には攻撃的であったり、詐欺まがいの場合もあるメールが大量に送られてくるスパムは、電子メールを通信や正当な電子商取引のチャネルとして使用する全体的な機能を圧迫しています。

多くの個人や地域で、スパムは非常に大きな問題となっています。正当なビジネスの電子メールはスパムの山に埋もれてしまい、受信トレイは通信を保存する有効な領域ではなくなっています。中規模ビジネスにおいては、サーバーの消費、ネットワークの消費、およびディスクの使用率という点から見て、スパムはメッセージングのコストを増加させるだけです。

中規模ビジネスにとって、どのように正当な電子メールメッセージを許可し、スパム電子メールをブロックするかが課題となっています。中規模ビジネスでは、Exchange Server 環境におけるスパム対策が求められています。

Microsoft Exchange Server 2003 SP2 は、スパムを低減するいくつかのフィルタ機能を使用しています。これらのフィルタ機能は多層化されたスパム対策ソリューションとなっており、この文書で先に簡単に説明したように、接続レベル保護、プロトコルレベル保護およびコンテンツレベル保護で構成されています。これらのスパム対抗措置は柔軟性があります。 IT 管理者やユーザーは、それぞれのメカニズムを理解すると、スパムに対する保護レベルを調節できるようになり、中規模ビジネスにおいて、電子メールのアクセスとスパムのフィルタリングとのバランスを取ることが可能になります。

Exchange の管理者および実装担当者が、これらのフィルタ機能それぞれの仕組みと、これらが連携し、ユーザーの受信トレイに届くスパムの数を全体として減らす方法について理解することは重要です。次の図は、スパムに対する多層防御の仕組みを示しています。

図 9. Exchange Server 2003 Anti-Spam Framework

画像を画面全体に表示

ページのトップへ