不正なメール送信を防ぐためのSendGridの取り組み
この記事は Creating Transparency With an Inbox Protection Rate の抄訳です。
インターネットの進化に伴い、企業の日常業務や大学、あるいはEコマースの必需品として、メールの重要性は増してきています。そして、サイバー攻撃者は「メールを使えば世界中どこでもセキュリティの甘いところへアタックできる」ということに気づきました。
こういった背景から、メールはいま世界中のセキュリティ専門家達に注目されています。最近では、世界中で送信されているメールの「スパム性」に関する以下のような研究結果がありました。
- 毎日64億通もの偽のメール（なりすましメール）が世界中で送信されている。（出典：Valimail社のEmail Fraud Landscape Report）
- 2018年上半期に送信されたメールのうち、「問題なし」として実際に受信ボックスまで届いたのは、全体の3分の1（32%）未満だった。また、101通に1通は悪意のあるメールだった。（出典：FireEye社のEmail Threat Report）
- 8月某日、Talos社(Cisco)のサイトで計測したところ、このネットワークを通過したおよそ3,000億通のメールのうち約85%はスパムであり、正当なメールはわずか440億通だった。
- ということは、世界中で配信されている正当なメールのうち、およそ5%はSendGridから配信されていることになる。
SendGridで採用している指標「受信ボックス保護率」について
SendGridでは Inbox Protection Rate（受信ボックス保護率）というものを採用しています。これは、SendGridのサーバを経由して送信された正当なメールの割合を示すものです。
30日ごとの計測値では、SendGridが処理したメールのうち99.97%が正当なメールでした。
ここでの「正当なメール」は、正当なビジネスで作成された非フィッシングメールのことを指しています。受信ボックス保護率は、メール受信者からの評価やそれがスパムかどうかといったことを測るものではないという点に注意してください。受け手から見たメールの好ましさやスパム性は主観的なものですが、フィッシングメールかどうかについては客観的に判断することができます。
また、SendGridではこのように外部へ送信するメッセージだけでなく、通常のメール送信の過程でSendGridが受け取るメールについても分析しています。宛先のメールボックスプロバイダやドメイン所有者から送られてくるバウンス通知は、「送信者に問題がないか」「メール送信機能が悪用されていないか」といったことを判断するのに非常に役立ちます。
例えば、2週間でSendGridが処理した200億通を超えるメールを分析したところ、メールボックスプロバイダによってフィッシングあるいは悪意のあるコンテンツと判断されたことによるバウンスは、0.0023%未満であることが分かりました。
なぜこのような話をするのか
メールのエコシステムにおいて、SendGridをはじめとするAPI駆動のメールプラットフォームは本質的にオープンネットワークであり、パブリッククラウドやホスティング企業と同じくセルフサービスモデルにするのが好都合です。しかし、セルフサービスモデルはユーザ自身が操作できる部分が大きく、適切に保護しなければエコシステム全体に害を及ぼしかねません。
SendGridの創設者は、API駆動のプラットフォームをセルフサービスモデルで構築・スケールさせるには、「コンプライアンス」と「悪用を減らすこと」に相当注力しなければならないということに早くから気づいていました。インターネットの匿名性は、サイバー攻撃者にとって少なからず都合が良いのです。
そもそも、メールは協業のためのオープンシステムとして設計されたものであり、セキュアなコミュニケーションチャネルとして作られたものではありません。
どのようなセルフサービスモデルでも同じですが、新規顧客を受け入れる際はかなり慎重に、注意深く審査を行う必要があります。サイバー攻撃者がプラットフォームを悪用し、スパムを送信できるような事態は、絶対に防がなければなりません。SendGridでは長年、サイバー攻撃者による登録を防ぐための登録時審査や、悪意のあるメールをチェックして配信を止めるための高度なフィルタなどを開発してきましたが、その中で生まれたのが「受信ボックス保護率」という指標です。
受信ボックス保護率を高く維持するための取り組み
コンプライアンス
SaaSビジネスではスコア内の「9」がいかに続くか（99.999…）で稼働率や可用性を評価しますが、SendGridではシステムを通過した正当なメールの量で評価します。コンプライアンスツールなどにベンチマークを設定しておけば、スパマーやサイバー犯罪者がどのように攻撃を展開し、SendGridが送信するメールへどのような影響を及ぼしているのかをより深く理解することができます。
コンプライアンスは目的ではありません。74,000を超えるSendGridの有料顧客だけでなく、そのメールを受け取る何十億という人を保護するため、現在進行形でその役割を果たしています。
SendGridは、90日で世界のインターネットユーザの1/2（およそ20億人）にリーチしています。（SendGrid データ分析チーム調べ）
SendGridのコンプライアンス機能は分野や部門をまたいでおり、160名以上が仕事の一部としてコンプライアンスに携わっています。専門のコンプライアンスチームには、脅威となり得る行為者や新規ユーザをチェックすることを目的とした者だけではなく、プロダクトマネージャや開発者もいます。
SendGridの健全かつ自動化された不正利用防止プログラムは、いくつかのエリアに分けて防御しています。最も大きなものは以下の3つです。（注目すべきは、この3エリアすべてにおいて機械学習や人工知能ベースのシステムが導入され、自動的に防御をしているという点です）
- LIFECYCLE
- 悪意のあるサインアップの阻止
- 機械学習を活用した登録時審査
- 怪しげな挙動の特定や抑止 など
- BEHAVIOR
- トラフィックの監視と制限
- 送信異常の検知 など
- CONTENT
- ほぼリアルタイムな機械学習
- 悪意のあるコンテンツの検出と抑止
- 悪意のあるコンテンツの分析 など
ニューラルネットワーク
SendGridでは、「フィッシャーマン」と呼ばれるニューラルネットワークを構築し、正当なメールと詐欺メールを区別できるようにしています。
ニューラルネットワークは、大規模なデータでディープラーニングをするよう設計された機械学習システムです。学習やモデル化のためのデータセットには、メールに関するたくさんの情報や特性を使用しています。フィッシャーマンの使命は、悪意のあるコンテンツを識別し、SendGridから送信されるフィッシングメールを阻止することです。
コンテンツベースのパターン認識は、コンプライアンスの一部にすぎません。SendGridのコンプライアンスチームでは、スパムやフィッシング攻撃に関する挙動を調査し、彼らがどのようにしてプラットフォームに侵入し、悪用しているのかを突き止めました。こうしてできた一連のルールと防御は、サイバー攻撃者がアカウントを開設したり有効にしたりする前に発見できるように設計され、UVS（＝User Vetting Service：ユーザ審査サービス）と名付けられました。
特許の取得
UVSはさまざまな業界のデータソースにも接続されており、脅威などに関する情報を広く集めています（※サイバー攻撃者は、複数のSaaSで悪事を働いてからSendGridに来ることもあります）。UVSによる登録時審査と、フィッシャーマンによるコンテンツ認識をさらに強化するのが、「トラフィック・コップ（警官）」です。トラフィック・コップは、新規アカウントのメール送信を監視し、異常な、あるいは大規模なメール送信の流量を絞り、場合によっては停止させます。
何年も前、メールボックスプロバイダやISPはレピュテーションシステムの開発を始めました。このシステムの目的は、メールの送信元IPアドレスがスパムやフィッシングで用いられているものなのか、それともクリーンなものなのかを判断することです。スパマーは、自身のIPアドレスがブロックされてしまう前にできるだけ多くのメールを流そうと、新しいIPアドレスを短時間でローテーションして大量に消費しました。その結果、メールボックスプロバイダは、レピュテーションのない新しいIPアドレスに対する評価を根本的に変えました。使用履歴のない新しいIPアドレスの評価は「良い」から「疑わしい」になり、データが十分たまるまでは受信ボックスへの到達が制限されたのです。これにより、正当な送信者が新しいIPアドレスを使う際は、少ない配信から徐々に量を増やし、レピュテーションを高めなくてはならなくなりました。
トラフィック・コップは、レピュテーションを構築するための標準的かつ健全な送信の範囲を逸脱したものを、異常として検知します。そして、正当なユーザに影響を与えてしまう深刻かつ不必要な行為を阻止するために、是正措置を講じることもあります。
トラフィック・コップ構築のアルゴリズムとプロセスは、SendGridの主要データサイエンティストであるDr. Aaron Beachと共同創設者のTim Jenkinsが、2017年に特許を取得しました。
SendGridは、メールボックスプロバイダ、脅威に関するデータプロバイダ、および、メールセキュリティ関連の情報収集会社によって生成された、数え切れないほど多くの情報を処理しています。メールは、マーケターがユーザの行動を理解するための高機能なチャネルとして進化しました。また、SPF、DKIM、DMARCの登場とともに、セキュリティ専門家達は危険なメール送信の状況を把握するため、世界中のサイバー攻撃者をカタログ化して識別するための製品やそのデータ投入の仕組みを進化させました。
万人のためのコンプライアンス
SendGridのコンプライアンスにおけるインフラ、プロセス、人員は、それぞれが完全に独立した状態で稼働するようなものではなく、コンプライアンスの成果とビジネス目標のバランスを取る必要があります。自動的に機能するツールを開発する際は、悪意のある者（あるいはその予兆）を特定するだけではなく、正当なユーザのこともよく理解し、誤検出を抑えなければなりません。
コンプライアンスの遵守において重要なのは、正当なユーザに可能な限り気持ちよく利用してもらい、一部のサイバー攻撃者の行いによって被害を与えてしまうようなことがないよう制御することです。
ビジネスの規模を拡大するということは、その成長にしっかりと責任を持つということです。規模の拡大にあたり、SendGridではコンプライアンスを強化し続けてきました。SendGridのコンプライアンスは、SendGridだけではなく、地球上のほぼ全ての受信ボックスを保護することにも繋がっているのですから。
メールセキュリティについて詳しくは、Phishing, Doxxing, Botnets, and Other Email Scams: What You Need to Knowをチェックしてみてください。
