そのメール送信方法は迷惑です / bad manner of sending mail

社内勉強会で発表した時の資料です。（公開用のため若干修正あり）

Transcript

1. そのメール送信方法は迷惑です 山下 雅喜 @ymstmsys 第11回 クラウド技術勉強会 LT (2019-09-26) 1
2. システムからメールを送りたい • ユーザ登録時のメールアドレス確認 • ログインパスワードのセルフ再設定 • システムからの通知 • 監視アラート メール送信機能のあるOSS・製品を RHEL / CentOS 系サーバで動かせば、 メールサーバを気にしなくてもメールを送れる！ 2 第11回 クラウド技術勉強会 LT (2019-09-26)
3. メールを正しく送信する方法 必須事項 • From アドレスやドメインを自分で管理しているものにする • エラーメール (MAILER-DAEMON) を受信し、適切に対応する 強く推奨 • 送信ドメイン認証 (SPF, DKIM, DMARC など) を適切に設定する (ドメインを管理している場合) • メールシステムの SMTP サーバとアカウントを適切に利用する (メールアドレスのみ管理している場合) 3 第11回 クラウド技術勉強会 LT (2019-09-26)
4. ダメな事例1 : 顧客メールシステムの切替後に届かなくなった • 切替前から From アドレスを詐称して送信していた • 新メールシステムでは詐称チェックが厳しくなり弾かれるようになった 送信元サーバ (自部署管理) From: xxx@顧客ドメイン 送信先メールサーバ (顧客管理) クラウド移行 4 第11回 クラウド技術勉強会 LT (2019-09-26)
5. ダメな事例2 : 送信元サーバのIPがブラックリスト入り • 送信先である顧客メールシステム (Outlook.com) のブラックリストに、 2台いる送信元サーバの片方のIPアドレスが追加されていた (メールが届いたり届かなかったりして気づくのが遅れた) • エラーメールの対応も送信ドメイン認証の設定もしていなかった 送信先メールサーバ (顧客管理) 送信元サーバ (自部署管理) ブラックリスト ・a.a.a.a ・b.b.b.b ・サーバ2号機のIP From: no-reply@独自ドメイン 5 第11回 クラウド技術勉強会 LT (2019-09-26)
6. ダメな事例3 : エラーメールでセキュリティ事故発生？ • 自アプリのメール送信機能の From アドレスが @mydomain.com になっていた (保有ドメインは mydomain.jp で、mydomain.com は第三者のドメイン) • このアドレスのままメール送信機能を使うと、メール内容がエラーメールとして 第三者に送信されることに 送信元サーバ From: xxx@mydomain.com 送信先メールサーバ mydomain.comサーバ (第三者) エラーメール 6 第11回 クラウド技術勉強会 LT (2019-09-26)
7. メールを正しく送信する方法（再掲） 必須事項 • From アドレスやドメインを自分で管理しているものにする • エラーメール (MAILER-DAEMON) を受信し、適切に対応する 強く推奨 • 送信ドメイン認証 (SPF, DKIM, DMARC など) を適切に設定する (ドメインを管理している場合) • メールシステムの SMTP サーバとアカウントを適切に利用する (メールアドレスのみ管理している場合) 7 第11回 クラウド技術勉強会 LT (2019-09-26)
8. AWSで簡単にメールを正しく送信する • 独自ドメインを取得し、Route 53でDNSゾーンを管理する • SESを中継サーバとしてメールを送信する (Route 53にDKIMを設定する) • エラーメールはWorkMailで受信する Route 53 (DNS) SES (中継サーバ) WorkMail (受信サーバ) From: xxx@独自ドメイン 送信元サーバ 送信先メールサーバ エラーメール 8 第11回 クラウド技術勉強会 LT (2019-09-26)
9. まとめ • 正しい方法でメールを送らないと、いつの間にか届かなくなって困ることに • Fromアドレスを正しく設定しないと、セキュリティ事故が起きる • 知識があれば、正しく送るのは難しくない 9 第11回 クラウド技術勉強会 LT (2019-09-26)