Email security は、さまざまな要素を使って、特定のメール、Web ドメインや URL、または特定のネットワークトラフィックが、フィッシングキャンペーン（Malicious 判定（disposition） が付きます）の一部か、その他の一般的なキャンペーン（例: Spam）の一部かを判断します。
これらの小さなパターン評価は動的です。多くの場合、単一の評価だけで最終判定は決まりません。自動システムは、要素と非要素を組み合わせて、実際のフィッシングキャンペーンと無害なトラフィックを明確に区別します。
Email security は SMTP、IMAP、POP3 などのメールプロトコルを検査し、フィッシング、ビジネスメール詐欺（BEC）、なりすまし、メール経由のマルウェアを検出します。
レイヤー 3、4、7 の Web およびネットワーク基盤を狙う DDoS 攻撃（TCP、UDP、DNS、HTTP/S トラフィックを含む）への対策は、DDoS Protection を参照してください。
- 例: ランサムウェア、トロイの木馬、ウイルス、マルウェア向けの悪意あるペイロードとして、さまざまな実行可能な添付ファイル（EXE、DOC、XLS、PPT、OLE、PDF など）を使う、古典的なキャンペーン手法です。
- 適用する検出: ペイロードのバイナリビットマップと、より上位の属性に対する機械学習（ML）モデルです。シグネチャに依存しない検出を重視し、カバー範囲を最大化します。対象となる実行可能なペイロードでは、エンジンがリアルタイムサンドボックスを起動し、振る舞いを評価して悪意があるかを判定します。
- 例: メッセージ本文内のパスワードを添付ファイルに適用するよう、ユーザーを誘導するキャンペーンです。
- 適用する検出: メッセージ本文からパスワードを抽出するリアルタイムの語彙解析と、ペイロードのバイナリビットマップに対する ML モデルです。シグネチャに依存しない検出でカバー範囲を最大化します。
- 例: メッセージ本文内のパスワードを添付ファイルに適用するようユーザーを誘導するキャンペーンです。本文全体または一部が画像になっています。
- 適用する検出: メッセージ本文からパスワードを抽出するリアルタイム OCR と、ペイロードのバイナリビットマップに対する ML モデルです。シグネチャに依存しない検出でカバー範囲を最大化します。
- 例:
.zipファイルなどの一般的なアーカイブ内にペイロードを置くキャンペーンです。 - 適用する検出: ペイロードに対する ML 検出ツリーに加え、複合ドキュメントでは各アーカイブを構成要素と断片に分解します。
- 例: ソーシャルエンジニアリングで行動を促す URL からマルウェアを埋め込む、典型的なフィッシングキャンペーンです（例: Watering Hole 攻撃、Malvertizing、スクリプト攻撃）。
- 適用する検出: 継続的な Web クローリングのあと、疑わしい一部の URL をリアルタイムでリンククロールします。続けて、URL パターンへの機械学習と、ほかのパターンルールおよびトピックベースの機械学習モデルを組み合わせ、リンクベースの攻撃を広くカバーします。
- 例: URL がリモートの悪意ある添付ファイル（
.docや.pdfなど）へリンクするキャンペーンです。 - 適用する検出: リモートのドキュメントや添付ファイルを抽出したあと、ペイロードに対する ML 検出ツリーと、リンクの即時クロールです。
- 例: 意図的に難読化したまったく新しいドメインで、キャンペーンとして初めて観測されるものです。
- 適用する検出: リンク構造の分析、リンク長の分析、ドメイン経過期間の分析、URL 全体に対するニューラルネットワークモデル、および URL ホストのドメインと IP の評判（自律システムの名前の評判と地理位置情報ベースの評判を含む）です。
- 例: 添付ファイル内にペイロードを隠すキャンペーンです。
- 適用する検出: 添付ファイルから URL を抽出したあと、前述の URL 検出の仕組みを適用します。
- 例: 添付ファイル内にペイロードを隠すキャンペーンです。
- 適用する検出: 添付ファイルを再帰的に分解（アーカイブ形式と複合ドキュメント形式の両方）して URL を抽出し、前述の URL 検出の仕組みを適用します。
- 例: Bitly、Owly などのサービスを複数段階のリダイレクトで使い、最終的な URL を隠すキャンペーンです。
- 適用する検出: メッセージ配信時点で短縮 URL をリアルタイムにクロールし、最終的なターゲット URL を取得したあと、URL 検出手法を適用します。こうした短縮サービスは動的で、時刻や送信元によってターゲット URL が変わるため、事前にはクロールしません。
- 例: QR コード画像の添付を使い、マルウェア配布や認証情報窃取向けの悪意あるペイロードリンクを届けるキャンペーンです。
- 適用する検出: QR コードに見える画像を URL に解決したあと、前述の URL 検出の仕組みを適用します。
- 例: ソーシャルエンジニアリングで行動を促す URL からマルウェアを埋め込む、典型的なフィッシングキャンペーンです（例: Watering Hole 攻撃、Malvertizing、スクリプト攻撃）。
- 適用する検出: メッセージ本文内の URL にヒューリスティックを適用します。事前クロールで未検出のもののうち、厳格な基準で疑わしいと判断した URL をリアルタイムでクロールします。
- 例: 既知のブランド（Office 365、PayPal、Dropbox、Google など）を装った、フォームベースの認証情報送信攻撃です。
- 適用する検出: 継続的な Web クローリング、主要ブランドの囮に対するコンピュータービジョン、ML モデル、インフラストラクチャの関連付けです。
- 例: 送信者ドメインを、受信者のドメインまたは既知のパートナードメインに見せかけるキャンペーンです。
- 適用する検出: ヘッダーの不一致、メール認証の評価、送信者評判の分析、同形異義文字（ホモグラフ）の分析、Punycode 操作の評価です。
- 例: ドメインの類似性を利用してエンドユーザーを混乱させるキャンペーンです（例:
sampledomain.comに対するsampledoma1n.comやsampledomaln.com）。 - 適用する検出: ヘッダーの不一致、メール認証の評価、送信者評判の分析です。
- 例: 誤った、または無効な送信者 Auth レコード（SPF / DKIM / DMARC）を利用し、受信側の認証ベースの制御を回避するキャンペーンです。
- 適用する検出: 公開されている SPF / DKIM / DMARC レコードと送信者認証レコードを照合し、メッセージ全体の属性と組み合わせて評価します。
- 例: 組織内の経営層や高価値ターゲットを狙う、またはその人物を装って他の従業員を攻撃するキャンペーンです。
- 適用する検出: 表示名を既知の経営層名と、Levenshtein アルゴリズムを含む複数の照合モデルで比較します。一致し、かつ未知のドメインから送信されている場合にフラグを付けます。
- 例: オフラインでの行動喚起（電話してほしい、送金してほしい、請求書など）を使う、典型的な BEC キャンペーンです。
- 適用する検出: メッセージの語彙分析、件名の分析、単語数の評価、送信者の分析です。
- 例: 配信時点では悪意あるペイロードがなく URL もクリーンですが、遅延して（3〜4 時間後）有効化され、クリック時にエンドユーザーが侵害されるキャンペーンです。
- 適用する検出: URL の書き換え、または DNS ブロックです。
- 例: 侵害された IP アドレス空間やボットネットから主に発生する、大量のボリュームベースのスパムキャンペーンです。
- 適用する検出: 送信者と IP の評判、履歴、量の分析です。
- 例: 商品販売を主目的とする一般的なスパムです。
- 適用する検出: 送信者の評判、履歴、量の分析、および商業目的かどうかを見るメッセージ内容の分析です。
- 例: Web から直接、または Web 経由で標的化される攻撃です（例: LinkedIn、Malvertizing など）。
- 適用する検出: Web プロキシやファイアウォールなど、Web および DNS サービスとネットワークデバイスとの連携です。
- 例: 社内ネットワークの外にいるリモート従業員がフィッシングされるケースです。
- 適用する検出: 従業員のメール保護と、リモートユーザーへの Web および DNS サービスの適用です（通常は MDM 連携または常時接続 VPN ソリューション経由）。
- 例: ネットワーク内の横展開向けの C2 通信、または外部ホストからダウンロードされる悪意あるフィッシングです。エンドユーザーが組織外で感染し、ネットワークへ戻ったあと、C2 ホストが感染エンドポイントを使い、現在いる IP アドレス空間に応じたインプラントをダウンロードするケースでよく見られます。
- 適用する検出: ネットワークデバイス連携（ファイアウォール）と、既存のオーケストレーションサービス内の API ベース連携です。