Cos'è uno Scanner di Posta? Email Security Gateway Spiegato
Uno **scanner di posta** (email security gateway, email filter, secure email gateway — SEG) è **software o appliance** che ispeziona il traffico email in entrata/uscita per **minacce, violazioni di policy e spam** prima che i messaggi raggiungano le caselle di posta degli utenti o lascino l'organizzazione.
Motori di Rilevamento Principali (Difesa a Strati)
| Motore | Funzione | Tecniche |
|---|---|---|
| Anti-Malware / Antivirus | Blocca virus noti, ransomware, trojan, worm in allegati/link | Firme multi-motore (ClamAV, Kaspersky, Bitdefender, Sophos), Eeuristiche, **Sandboxing (detonazione in VM)**, Blocco tipi file (.exe, .scr, .js, .iso) |
| Anti-Spam | Filtra email di massa non sollecitate (UBE) | RBL/DNSBL (Spamhaus, SorBS), Reputazione Mittente (storia IP/dominio), Analisi contenuto Bayesiana/ML, Verifica SPF/DKIM/DMARC, Filtri Lingua/Geo |
| Anti-Phishing / Protezione BEC | Ferma raccolta credenziali, frode CEO, frode fatture, phishing QR code | Riscrittura URL + analisi al click, Similarità dominio (typosquat, domini cugini), Applicazione rigorosa SPF/DKIM/DMARC, Rilevamento spoofing nome visualizzato, Analisi comportamentale AI/ML (stile scrittura, anomalia richiesta) |
| Filtraggio Contenuti / DLP | Previene esfiltrazione dati, applica compliance (PII, PCI, HIPAA, GDPR) | Corrispondenza pattern Regex/Dizionario/ML (SSN, CC, Cartelle cliniche), Applicazione cifratura, Azioni Quarantena/Cifra/Notifica |
| Advanced Threat Protection (ATP) | Cattura zero-day, fileless, attacchi mirati | Sandbox (analisi dinamica), Static ML (caratteristiche PE/Office/PDF), Feed Intelligence sulle minacce (IOC), Ricerca retroattiva (Message Trace + ZAP) |
| Archiviazione / E-Discovery | Hold legale, compliance, ricerca | Journaling, Archiviazione immutabile (WORM), Indicizzazione full-text, Hold legale, Migrazione PST |
Modelli di Implementazione
- Cloud / SaaS (Dominante): Record MX punta al cloud del vendor (Proofpoint, Mimecast, Microsoft Defender for Office 365, Google Security, Cisco Secure Email, Barracuda, FortiMail Cloud, Hornetsecurity, SpamTitan). **Nessun hardware. Scalabilità istantanea. Integrazione API con M365/Google Workspace.**
- On-Premises Appliance / Virtual Appliance: Hardware/VM in DMZ. MX → Appliance → Mail Server (Exchange, Postfix, Domino). Pieno controllo dati. Alto carico operativo. (Barracuda, FortiMail, Sophos, Scrollout, Proxmox).
- Ibrido: Cloud per filtraggio in entrata/uscita + On-prem archivio/DLP.
- Lato Client (Legacy): Plugin Outlook/Thunderbird. **Non è un gateway.** Solo supplementare.
Flusso Email con Scanner
Internet → [MX: Scanner Cloud] → Scansione (AV/Spam/Phish/DLP) → [Pulito] → Mail Server (M365/Google/Exchange) → Casella Utente ↳ [Malintenzionato] → Quarantena / Blocca / Rimuovi Alleg / Riscrivi URL ↳ [Sospetto] → Digest Utente / Revisione Admin / Detonazione Sandbox Vendor Chiave (2024 Gartner Magic Quadrant Leader / Challenger)
- Microsoft Defender for Office 365 (Piano 1/2): Nativo M365. Migliore integrazione. In rapido miglioramento.
- Proofpoint: Leader enterprise. Superiore BEC/Attacchi mirati. Costo elevato.
- Mimecast: Forte archiviazione + sicurezza. Cloud-nativo. Buona UX admin.
- Cisco Secure Email (ex IronPort): Eredità appliance. Intelligence Talos. Cloud/On-prem.
- FortiMail / Barracuda / Sophos / Trend Micro / Hornetsecurity / SpamTitan / Avanan (Check Point): Mid-market / MSP focalizzati.
Perché è Critico
- **Il 90%+ degli attacchi informatici inizia con l'email** (Verizon DBIR).
- Errore umano (cliccare) è inevitabile. Scanner = **rete di sicurezza**.
- Regolamentare: HIPAA, GDPR, SEC, FINRA richiedono protezione/archiviazione email.
- Perdite Business Email Compromise (BEC) >$50 miliardi a livello globale (FBI IC3).
Conclusione: Uno scanner di posta è il **punto di controllo di frontiera** per la tua email. Moderno = Cloud SEG + Integrazione API + AI/ML + Sandbox + Applicazione DMARC + Formazione Consapevolezza Utenti. Non opzionale.