[Exchange] Exchange Online Protection(EOP) 메일필터링 흐름

1. Exchange Online Protection(EOP)이란?

EOP(Exchange Online Protection)는 스팸, 맬웨어 및 기타 이메일 위협으로부터 조직을 보호하는 클라우드 기반의 이메일 필터링 서비스입니다.

• 기본 제공: EOP는 Exchange Online 사서함이 있는 모든 Microsoft 365 조직에 기본적으로 포함되어 제공됩니다.
• 독립 실행형 지원: 클라우드 사서함뿐만 아니라, 온프레미스(On-premises) Exchange 환경을 보호하기 위해서도 독립 실행형(Standalone) EOP 솔루션으로 사용할 수 있습니다.

 

2. EOP의 작동 방식: 4단계 메일 필터링 흐름

외부 인터넷에서 들어오는 이메일이 사용자 사서함에 도달하기까지 EOP는 아래와 같은 다단계 필터링 과정을 거치게 됩니다.

1단계: 연결 필터링 (Connection Filtering)

수신된 메시지가 EOP에 인입되면 가장 먼저 연결 필터링을 거칩니다.

이 단계에서는 메일을 보낸 발송자 IP의 평판(Reputation)을 확인합니다. 또한 관리자가 사전 정의한 IP 허용 목록(Allow List) 및 차단 목록(Block List)도 이 단계에서 우선적으로 적용되어, 대부분의 무작위 스팸 메일은 초기 단계에서 연결이 거부(Reject)됩니다."

* 테넌트 허용/차단 목록(Tenant Allow/Block List)을 사용하면 발신자(도메인 및 이메일 주소)뿐만 아니라, 악성 URL, 파일 해시(Hash), 스푸핑(Spoofing) 발신자에 대해서도 허용 또는 차단 항목을 세밀하게 지정할 수 있습니다.

또한, 차단 항목은 사용자의 수신 허용 목록보다 우선하여 적용됩니다.

 

2단계: 맬웨어 검사 (Anti-Malware)

연결 필터링을 통과한 메시지는 본문 및 첨부파일에 대한 맬웨어 검사를 받습니다. 맬웨어가 발견될 경우 해당 메시지는 안전하게 격리소(Quarantine)로 전달됩니다.

• 관리 포인트: 강력한 보안을 위해 맬웨어로 판별된 메일은 기본적으로 관리자만 접근 및 관리할 수 있습니다. 단, 관리자가 필요에 따라 별도의 '격리 정책'을 구성할 경우, 일반 사용자가 차단된 내역을 확인하거나 관리자에게 해제 요청을 발송하도록 제한적인 권한을 부여할 수는 있습니다. (사용자의 직접 해제는 불가)

3단계: 정책 필터링 (Policy Filtering / Mail flow rules)

다음으로 메시지는 조직에서 자체적으로 정의한 메일 흐름 규칙(전송 규칙)에 대해 평가받습니다.

• 예시: "특정 외부 도메인이나 특정 발신자로부터 메시지가 도착하면 보안 관리자에게 알림을 보낸다"와 같은 맞춤형 라우팅 및 검사 규칙이 이곳에서 적용됩니다.

4단계: 콘텐츠 필터링 (Anti-Spam)

마지막으로 메시지는 유해한 콘텐츠가 포함되어 있는지 확인하는 콘텐츠 필터링을 거칩니다. 이 단계에서 스팸, 피싱(High/Low Confidence), 스푸핑(Spoofing) 여부가 최종적으로 판별됩니다. 특히 고신뢰도 피싱(High Confidence Phishing)으로 분류된 악성 메일은 맬웨어와 마찬가지로 강력한 보안 정책이 적용되어, 일반 사용자가 우회하거나 직접 해제할 수 없도록 격리 조치됩니다.

• 후속 조치: 필터링 결과에 따라 메시지를 격리소로 보내거나, 사용자의 정크 메일(Junk Mail) 폴더로 이동시키는 등 스팸 방지 정책에 따라 설정된 최종 작업이 수행됩니다.

 

*EOP동작에 대한 상세 내용이 포함된 블로그. https://blog.ahasayen.com/eop-exchange-online-protection-architecture/