스팸메일과 전쟁한지도 벌써 2주가 됐네요

이런 저런 사연이 있어 대표메일쪽으로 스팸이 와르르 들어오기도 하고

CEO 지시사항이기도 하고 해서 최근에 스팸메일에 대응 하기 위한 방법을 여러가지 고민했었습니다.

저희는 모사의 UTM장비에 라이센스를 얹어서 스팸메일 대응을 하는 방향으로 생각을 했습니다.

혹시나 홍보처럼 보일까봐 일단은 빼놨습니다. 잘 아시는 분들이면 왠지 거기인가 하실지도 모르겠네요.

기 구축된 메일서버는 그룹웨어사 제공인데 뭔가 원하는 만큼의 매칭이나 대응이 안될뿐더러 화이트리스트 방식으로 할 수 없는 이상 블랙리스트로 계속해서 추가를 해야 하는건 그만큼의 시간 인력손실 각이 나올거라고 봤습니다.

해당 업체쪽에서 스팸솔루션을 가격 주신걸 봤는데 금액적으로 도입하고 한두개라도 들어오면 도입하고도 혼날 금액이라 고민하던 중에 가격적인 절충안을 찾은 건데 쉽지가 않습니다.

일단 현재 방식은 UTM에서 스팸에 대해 자체적으로 해당 업체가 구축한 DB를 기반으로 스팸이 날아오는 IP들의 집합이 있어서 해당 발송지면 무조건적 차단 (Block IP)와 메일의 내용을 기본적으로 체크해서 이상징후가 보이면 처리를 하는 방식입니다.

• ■설치 당일

• ○세팅을 다 뒤집으면서 해야 하니 쉬운일이 아니지만 그래도 정리를 기반으로 엔지니어 분들이 고생해서 정리를 하는데 성공 했습니다.
  

• ■2일차

• ○설치 다음날부터 해외에서 오던 메일이 전부 정리됐습니다. 

• ○왠만한 해외의 이상발송 메일은 빈틈없이 막아냅니다. 솔직히 기대 이상이었습니다.
  

• ■3일차

• ○잘되니까 불안합니다.
  

• ■4일차

• ○로그를 보는데 이상한게 보입니다. 외부공격이 아닌 내부에서 다량의 메일이 스팸으로 나갑니다

• ○약 3천여건, 내부에서 업무상 VPN을 쓸수밖에 없다고 주장(?) 하시는 분의 컴퓨터에서 발송이 확인됐습니다.

• ○해당 사용자에게 이야기 드리고 정리했습니다. 돈값을 하는듯 합니다.
  

• ■5일차

• ○해외의 현장에서 아웃룩을 사용하는데 문제가 있다는 연락을 받았습니다

• ○그룹웨어에서 웹메일을 이용하는건 딱히 접속차단을 걸지 않았지만, 아웃룩을 이용해서 Pop3, IMAP, SMTP 이용하는데 있어서 해당 현장 IP가 Block IP로 걸렸습니다.

• ○엔지니어분과 통화 후 기존 정책보다 먼저 해당 IP에서 올경우는 그냥 통과하는 것으로 정책을 변경했습니다.
  

• ■6일차

• ○혹시 몰라 회사 내에 공지를 올렸습니다. 해외에서 아웃룩 이용에 문제 있으면 연락주세요

• ○해외 현장에서 여전히 안된다고 연락이 옵니다. 본인들 IP를 명확히 몰라서 생긴 문제였습니다.

• ○현장 하나에서 여러개의 인터넷 회선을 끌어다 쓰신다고 하네요 -_-
  

• ■8일차

• ○내부 보고는 진행됐고 대금지급 준비하는 과정에서 다른 이야기 하나가 나옵니다

• ○받아야 할 중요메일을 못받으면 어떻게 하지?

• ○로그를 남기기는 하는데 공격들어오는 이상한 로그를 제외하고 확실히 믿을만한 곳이라면 화이트리스트로 넘겨주는 방법을 선택하기로 했습니다.

• ○대신 해당 화이트리스트에서도 메일필터링은 진행하며 이상함이 보인다면 Spam이라는 태깅을 달아 메일 제목에 붙이도록 진행했습니다.
  

• ■9일차

• ○해외 현장에서 또 전화가 왔습니다. IP를 뭐 쓰는지 리스트업이라도 좀 해주시지....

• ○로그를 전부 뽑아내서 지속적으로 들어오는 IP대역에 대해서는 C클래스 기준으로 전부 차단을 진행합니다. 혹시 몰라서 스팸메일서버 혹은 이상한 곳이 맞는지를 찾기 위해 해당 사이트를 이용했습니다.

• ■https://anti-hacker-alliance.com/ <- IP를 넣으면 관련 위치나 스팸서버 등재여부등을 보여줍니다.

• ○제 기준에서는 국외에서 7개 이상이면 거의 100%라고 판단하고 진행했습니다.

• ○혹시 몰라 현장이 있는 국가의 경우는 제외를 했습니다.
  

• ■10일차

• ○로그의 양이 현저히 줄어들기 시작합니다. 좀더 분석이 편해집니다.

• ○이제 안전하다고 추정되는 주요(회사와 아주 중요한 관계인) 거래처들의 발송지 IP정보를 분석해서 화이트리스트에 추가합니다.

• ○중간중간 오작동이 나는지 계속 봅니다.
  

• ■11일차

• ○이상한 메일이 하나 둘 보입니다.

• ○이전에도 썼던 해외에서 한국어로 작성한 듯한 메일입니다.

• ○첨부파일을 그림파일로 대체하고 링크를 연결해서 얼핏 보면 낚일뻔 한 수준입니다.

• ○다행히 업무담당자들이 센스있게 잘 대처하셨습니다.

• ○영어는 커버가 되는데 한국어로 오는건 커버를 못하는것 같습니다.
  

• ■12일차

• ○특별히 큰 문제는 없어보입니다. 주말이 지나갑니다.
  

• ■15일차

• ○Spam 태그를 걸어놔서 메일서버가 그걸 보고 전달을 튕겨버리는 일이 일어납니다.

• ○Spam 태그 거는걸 제거했습니다. 괜찮을까 모르겠습니다.

• ○그 와중에 한국어로 된 스팸 두개를 발견했습니다. 

• ○메일의 내용은 평이하고 첨부는 대용량 메일의 링크처럼 위장해서 옵니다.

• ○UTM장비가 아무리 뛰어나다고 해도 Naver, Daum, OneDrive에 올려진 파일 링크를 보고 차단을 때려버릴 수 없는 문제가 나와버립니다. 

계속해서 지켜보고 화이트리스트, 블랙리스트 등재 로그분석을 하고 있는데 진작 안한거도 문제였지만 좋은 솔루션을 쓴다고 해도 결국 메일을 보는 개인들이 주의를 해야 한다는게 결론 같습니다.

카카오(다음), 네이버, Gmail등으로 보내버리는데 저렇게 들어오는건 진짜 어떻게 해도 막기가 쉽지 않은것 같습니다.

생각이 많아집니다. 성능은 확실히 좋아서 외산은 잘막는데 한국어 특성상 쉽게 커버가 안되는것 같습니다.

혹시 다른 회사에서는 어떤식으로 대응하고 계시는지도 궁금합니다.