[Exchange] Exchange Online (EOP) 스팸 메일 관리 및 필터링 동작 원리

1. Exchange Online 스팸 관리 참고 사이트

EOP는 보다 정확한 스팸 차단을 위해 글로벌 신뢰도 DB(데이터베이스)를 적극적으로 활용합니다.

IP 주소와 URL의 평판을 확인하기 위해 주로 다음 사이트들의 데이터를 참고합니다.

 

1-1. IP 차단 목록 확인

• Spamhaus (스팸하우스): http://www.spamhaus.org/lookup/

1-2. URL 신뢰도 (URL Reputation) 확인

메일 본문에 포함된 링크(URL)의 악성 여부를 판단하기 위해 다음 사이트들을 참고합니다.

• Spamhaus: http://www.spamhaus.org/lookup/
• SURBL: http://www.surbl.org/surbl-analytic
• URIBL: https://admin.uribl.com/
• Invaluement: http://dnsbl.invaluement.com/lookup/

 

2. EOP의 대량 스팸 메일(Bulk Mail) 필터링 과정

EOP는 대량으로 전송되는 스팸 메일을 식별하기 위해 다음과 같은 검사 과정을 거칩니다.

2-1. 발신자 IP 식별

MS는 대량 메일 전송자의 IP 주소 목록을 보유하고 있습니다. 수신된 메일의 IP가 이 블랙리스트에 포함되어 있다면, 메시지 헤더(X-forefront-Antispam-Report)에 SRV:BULK라는 스탬프를 찍어 대량 메일임을 표시합니다.

2-2. 백엔드 스팸 패턴 검사

IP뿐만 아니라 백엔드 시스템에는 대량 스팸 메일에서 흔히 발견되는 패턴을 분석하는 내부 규칙이 존재합니다. 메일 내용이 이 스팸 규칙 중 하나와 일치할 경우에도 동일하게 SRV:BULK 스탬프가 추가됩니다.

 

3. 그레이메일(Greymail)이란?

대량 메일 중에는 그레이메일(Greymail)이라는 개념이 있습니다. 뉴스레터나 마케팅 메일처럼 다수에게 발송된다는 점에서는 스팸과 비슷해 보이지만, 결정적인 차이점이 있습니다.

 

3-1. 스팸과의 차이점 

그레이메일은 수신자가 사전에 동의하거나 가입하여 요청한 메일입니다. 합법적인 기업, 조직, 개인이 발송하며 악의적인 목적(피싱, 멀웨어 등)이 없습니다.

• 관리의 필요성: 어떤 사용자는 이 뉴스레터를 유용하게 읽지만, 어떤 사용자는 귀찮은 스팸으로 여길 수 있습니다. 따라서 M365 테넌트 관리자는 EOP 스팸 필터링 정책을 통해 조직의 성격에 맞게 이러한 대량 메일(Bulk Mail)의 처리 수준을 유연하게 제어할 수 있습니다.

 

4. 스팸 방지 메시지 헤더 분석하기

M365 조직의 EOP를 통과하여 수신된 모든 메일의 헤더에는 스팸 방지 관련 정보가 기록됩니다. 메일의 '원본 보기'를 통해 다음 헤더 값들을 확인하면 메일의 처리 결과를 자세히 알 수 있습니다.

• X-Forefront-Antispam-Report
  • 메시지에 대한 전반적인 정보와 EOP가 해당 메시지를 스팸으로 판단했는지, 정상으로 판단했는지에 대한 처리 결과 값을 포함합니다. (예: 앞서 언급한 SRV:BULK 값 등)
• X-Microsoft-Antispam
  • 대량 메일(Bulk) 및 피싱(Phishing) 여부에 대한 추가적인 세부 정보가 기록되어 있습니다. BCL(대량 메일 신뢰도 수준) 수치 등을 확인할 수 있습니다.
• Authentication-results
  • 발신자 위조 방지 기술인 SPF, DKIM, DMARC 등 이메일 인증의 통과(Pass) 또는 실패(Fail) 결과가 포함되어 있습니다.