Co to jest secure email gateway (SEG)?

Secure email gateway to warstwa filtrująca ustawiona przed serwerem pocztowym firmy, która sprawdza każdą wiadomość, zanim ją przepuści. Jeśli w wynikach weryfikacji ciągle widzisz skrót SEG i chcesz wiedzieć, co to jest secure email gateway w praktyce, to punkt kontrolny, przez który przechodzi poczta przychodząca i wychodząca firmy. Po drodze bramka szuka zagrożeń i egzekwuje zasady. Serwer pocztowy za nią nigdy nie widzi wiadomości, którą bramka postanowi zablokować.

SEG to tylko skrót

SEG oznacza secure email gateway, po polsku bramkę bezpieczeństwa poczty. Gdy zaczniesz zwracać na to uwagę, skrót zobaczysz częściej niż pełną nazwę. Obu określeń używa się zamiennie. Gdy narzędzie do weryfikacji oznacza adres jako leżący za SEG albo raport dostarczalności wspomina o filtrowaniu SEG, chodzi o warstwę filtrującą opisaną tutaj. Termin brzmi bardziej technicznie niż sam pomysł. To strażnik ustawiony przed firmową pocztą.

Co właściwie robi bramka

Bramka istnieje po to, by nie wpuszczać złej poczty i nie wypuszczać poczty z poufnymi danymi. Po stronie przychodzącej skanuje pocztę pod kątem spamu, złośliwego oprogramowania i phishingu. Potem przenosi do kwarantanny albo odrzuca wszystko, co narusza regułę. Po stronie wychodzącej pilnuje ochrony przed wyciekiem danych i zgodności z przepisami. Zatrzymuje wiadomości, które ujawniłyby dane klientów albo naruszyłyby regulacje. Wiele bramek obsługuje też szyfrowanie i długoterminowe archiwizowanie.

Firma wdraża bramkę, bo robienie tego wszystkiego na samym serwerze pocztowym jest trudniejsze w zarządzaniu i łatwiej o błąd. Bramka zbiera reguły w jednym miejscu, przez które musi przejść każda wiadomość.

Bramki, które spotkasz najczęściej

Na tym rynku dominuje kilku dostawców. Proofpoint, Mimecast, Barracuda i Cisco IronPort to nazwy, które najczęściej spotkasz na domenach firmowych, a za nimi jest wielu mniejszych. W sumie wykrywamy 15 secure email gateways.

Różnią się funkcjami i ceną, ale z zewnątrz zachowują się tak samo. Każda stoi przed prawdziwym systemem pocztowym i decyduje, co do niego trafi. Dlatego obecność konkretnego dostawcy mówi ci, że firma wybrała ten produkt, i niewiele więcej o adresach za bramką.

Bramka to nie dostawca skrzynek

Łatwo pomylić bramkę z firmowym systemem pocztowym, ale to osobne warstwy. Firma może mieć skrzynki w Microsoft 365 albo Google Workspace i mimo to postawić przed nimi bramkę innego dostawcy. Jedna firma dostarcza wtedy warstwę bezpieczeństwa, a druga utrzymuje skrzynki. Dlatego bramka na drodze poczty nie mówi ci, który dostawca naprawdę utrzymuje skrzynkę. Produkt bezpieczeństwa ustawiony z przodu nic nie mówi o skrzynce za nim. Oba wybory podejmuje się niezależnie, często w różnych zespołach i z różnych budżetów.

Jak bramka zmienia drogę wiadomości

Normalnie wiadomość trafia bezpośrednio do serwera pocztowego domeny. Gdy jest bramka, domena kieruje ruch pocztowy na bramkę, więc każda przychodząca wiadomość trafia najpierw tam. Bramka ją sprawdza i tylko wtedy, gdy wiadomość przejdzie kontrolę, przekazuje ją do prawdziwego serwera, na którym jest skrzynka.

Odbiorca nic z tego nie zauważa. Dla wszystkich z zewnątrz bramka jest systemem pocztowym domeny, bo tylko ona odpowiada. Niektóre bramki idą o krok dalej i celowo odraczają nieznanych nadawców. Zatrzymują pierwszy kontakt i odpowiadają normalnie dopiero przy kolejnej próbie.

Dlaczego bramki zakłócają weryfikację

Weryfikacja polega na zadaniu serwerowi pocztowemu bezpośredniego pytania i odczytaniu bezpośredniej odpowiedzi. Bramka przerywa ten łańcuch. Odpowiada w imieniu domeny, więc może przyjąć wiadomość albo zatrzymać ją do sprawdzenia, w ogóle nie sprawdzając, czy skrzynka za nią istnieje.

Weryfikator, który pyta o konkretny adres, może więc dostać odpowiedź akceptującą albo wymijającą. Taka odpowiedź odzwierciedla politykę bramki, a nie stan skrzynki. Odraczanie pogarsza sprawę, bo zatrzymana pierwsza próba wygląda jak nierozstrzygnięty wynik, nawet gdy skrzynka jest całkowicie prawdziwa. Na standardowe sprawdzenie odpowiada niewłaściwa strona.

Pomoże konkretny przykład. Weryfikator sprawdza adres w domenie chronionej przez bramkę. Bramka, zgodnie z własnymi regułami dla nieznanych nadawców, przyjmuje to sprawdzenie albo je odracza. W obu przypadkach weryfikator zapisuje odpowiedź, która przyszła od bramki, a nie od serwera, który wie, czy skrzynka istnieje. Prawdziwej skrzynki nikt nie sprawdził, a mimo to sprawdzenie ma odpowiedź do zgłoszenia.

Bramka nic nie mówi o tym, czy skrzynka jest prawdziwa

To warto zapamiętać. Obecność bramki mówi, że firma poważnie traktuje bezpieczeństwo. Nie mówi absolutnie nic o tym, czy konkretny adres za bramką należy do prawdziwej, aktywnej skrzynki. Martwy adres i działający adres mogą leżeć za tą samą bramką i z zewnątrz wyglądać identycznie. Właśnie dlatego adresy chronione przez bramkę tak często trafiają do tej samej nierozstrzygniętej grupy co domeny catch-all.

Dla marketera ma to znaczenie z powodu zasięgu. Na liście B2B spora część twoich najlepszych kontaktów, tych z większych i bardziej dbających o bezpieczeństwo firm, leży właśnie za takimi bramkami. Jeśli skreślisz je wszystkie, stracisz całą korporacyjną część listy. Jeśli wyślesz bez sprawdzenia, blokady obniżą twoją reputację nadawcy. Pojedynczy adres możesz najpierw sprawdzić w weryfikatorze email. Jeśli twoja lista jest pełna takich adresów, zobacz, jak obsługujemy adresy e-mail chronione przez bramki SEG (po angielsku).