E-posta Güvenliği Çözümleri: Acronis Email Security & Sophos

E-posta, siber saldırıların en yaygın giriş noktalarından biridir ve yerleşik korumalar hedefli tehditleri ele almak için artık yeterli değildir. Üç bulut e-posta güvenliği platformunu (Acronis Email Security, Sophos Email Security ve Barracuda Email Protection) 100 test ve 11 tehdit kategorisiyle test ettik.

Bulut e-posta güvenliği çözümleri kıyaslama sonuçları

Bu araçları nasıl test ettiğimizi ve sonuçları nasıl ölçtüğümüzü öğrenmek için e-posta güvenliği çözümleri kıyaslama metodolojisini okuyun.

E-posta güvenliği çözümlerinin karar kategorilerine göre karşılaştırması

Acronis Email Security

• Acronis en yüksek genel tespit puanına (122/200) sahiptir ve %100 ile GenAI kimlik avına karşı en güçlü performansı gösterir. Sahte yönetim kurulu ön okumaları, Microsoft 365 yeniden onay akışları ve kurgusal yasal NDA'lar dahil olmak üzere on cilalı iş bahanesinin tamamı engellendi.
  • Bu, kıyaslamadaki en zor kategoriydi ve ortalama zorluk derecesi 8.2/10 idi. On e-postanın tamamının yakalanması, Acronis'in bu kıyaslamada yalnızca belirgin dilbilgisi veya biçimlendirme sinyallerine bağlı kalmak yerine anlamsal ve bağlamsal kimlik avı ipuçlarını iyi ele aldığını gösterir.
• Kategori F ve Kategori D de bu tabloyu destekliyor: Acronis, marka/alan adı taklitçiliğinde %89 ve URL kimlik avında %90 puan aldı; buna kimlik doğrulama sonuçları başlığı enjeksiyon testinde BLOCK da dahildir. Toplu sonuçlar, taklitçilik ve URL analizi vakalarının güçlü şekilde ele alındığını göstermektedir.
• Temiz yanlış pozitif kaydı operasyonel olarak önemlidir. Sekiz kontrol mesajının hiçbiri engellenmedi; bu da %61 tespit oranının meşru e-posta kaybında dengeleyici bir maliyet taşımadığı anlamına gelir.
• Olumsuzluklar daha düşük zorluk seviyelerinde yoğunlaşmaktadır. Temel spam (Kategori A, %44) diğer araçlardan daha düşüktür; farmasötik spam, piyango dolandırıcılıkları ve 1 ila 2 zorluk seviyelerinde temel bir romantizm dolandırıcılığında ıskalamalar vardır. Bu boşluk, Acronis'in toplu ve düşük çaba gerektiren trafiğe kıyasla sofistike saldırılara öncelik verdiğini göstermektedir.

Sophos Email Security

• Sophos ikinci en yüksek genel puana (105.5/200) sahiptir. Kategori B’de (%100) EICAR kötü amaçlı yazılım varyantlarında başarı elde etti; her arşiv iç içe geçme varyantını, parola korumalı ZIP’i ve ofset toleransı testini yakaladı.
• Sophos’un en görünür zayıflıkları URL kimlik avı (Kategori D, %58) ve kaçınma teknikleridir (Kategori J, %22). URL kimlik avı açığı dikkat çekicidir çünkü bağlantılar en yaygın kimlik avı dağıtım mekanizmaları arasındadır ve Kategori D saldırganların bunları gizleme veya yönlendirme konusunda çeşitli gerçekçi yollarını test eder.
• Sophos’un %58 puanı, Acronis’in %90 puanıyla karşılaştırıldığında, URL analiz katmanının yönlendirmeler, gizleme ve gövde dışı URL yerleşimlerinde daha az tutarlı olduğunu göstermektedir.

Barracuda Email Protection

• Barracuda’nın 60/200 tespit puanı diğer iki üründen daha düşüktür. Kategori I (GenAI kimlik avı) %0 tespit döndürdü ve Kategori A (Spam: %33) rakipler arasında en düşük puana sahiptir. Bu, Barracuda’nın bu yapılandırmada kıyaslamanın spam, GenAI kimlik avı ve sosyal mühendislik senaryolarına karşı daha az etkili olduğunu göstermektedir.
• Kategori B (EICAR test dizgileri aracılığıyla bilinen kötü amaçlı yazılım tespiti, %89) ve Kategori C (gömülü JavaScript içeren PDF’ler, HTML smuggling ve LNK kısayolları gibi taşıyıcı dosya türleri, %70) diğer satıcılarla rekabet edebilir düzeydedir.
• Barracuda’nın Kategori J (kaçınma teknikleri, %44) sonuçları üç satıcı arasında en iyisini gösterir. Bu, temel içerik denetim motorunun sıfır genişlikli karakterler, kodlanmış konular ve homoglifler gibi özellikleri makul düzeyde ele alabildiğini gösterir.
• Zayıflıklar, modern tehdit koruması için en önemli kategorilerde daha belirgindir. QR kodlu kimlik avı (Kategori E, %13), marka taklitçiliği (Kategori F, %11), BEC (Kategori G, %11) ve gasp (Kategori H, %22) karşılaştırmanın oldukça altındadır.
• On bir zor seviye testinde Barracuda birini engelledi ve kalan onunu ıskaladı.

En iyi 3 bulut e-posta güvenliği çözümü

Acronis Email Security detaylı analiz

Acronis Cyber Protect

Email Security console

Sol menüden Acronis Email Security'i seçtiğimizde Acronis Cyber Protect Cloud arayüzünde aşağıdaki ekranı görürüz. Ardından Email Security konsoluna erişmek için tıklarız.

Henüz herhangi bir kurulum tamamlamadığımız için panomuz menü öğelerini gösterir:

• Incidents: Tespit edilen güvenlik olayları ve saldırı etkinliği.
  • Incident Response: Olayları araştırma ve yanıtlama araçları.
  • Traffic: Taranan e-posta veya web trafiği desenlerine görünürlük.
  • Periodic Reports: Planlanmış güvenlik ve koruma raporları.
• Security Operations: Operasyonel güvenlik kontrolleri ve izleme araçları.
• Detection Setup: Tespit kuralları, tarama ve koruma ayarları için yapılandırma.

Soldaki Ayarlar menüsünden Korunan E-posta Varlıkları bölümüne gideriz.

Henüz varlık olmadığı için sistem bizi yapılandırma akışına yönlendirir. E-posta korumasını yapılandır seçeneğine tıklarız. Sistem, sorunları bildirmek için bir eskalasyon e-posta adresi ister ve hangi e-posta hizmetini kullandığımızı sorar.

Acronis Cyber Protect

Email service configuration

Bu test için MX üzerinden özel bir sağlayıcıyla ilerleyeceğiz. Bunu, Microsoft 365 veya Google Workspace içindeki yerleşik korumalardan etkilenmeden satıcıları doğrudan karşılaştırmak için yapıyoruz.

İlgili e-posta hizmetini seçip Inline bağlantı yöntemini seçiyoruz. Bu, Acronis'in kötü amaçlı e-postaları teslim edilmeden önce tarayıp engellediği anlamına gelir.

Ayrıca Acronis'in hesap devralma, güvenlik veya bağlantı sorunları için kullanabileceği bir eskalasyon kişisi ekliyoruz. Sonraki adım, katılımı, faturalama için doğru kullanıcı sayımını ve yanlışlıkla teslim edilen kötü amaçlı e-postaları kaldırma gibi düzeltme eylemlerini destekleyen Google Workspace uygulamasını etkinleştirmektir.

Bağlı alan adını, aimultiple.com, ekliyoruz ve sistem MX kayıtlarını otomatik olarak alıyor.

Lisans hesaplama yöntemini “According to Reported seats” olarak ayarlıyoruz ve 100 koltuk giriyoruz. Bu ayarlardan sonra MX yapılandırmasına devam etmek için Next ile ilerliyoruz.

Sistem, alan adı sahipliğini doğrulamak için bir TXT kaydı eklememizi ister. Kaydı ekleyip doğrulamayı bekleriz.

Ayrıca yapılandırılmış SMTP hedef sunucularını yönetebilir, TLS'in etkin olduğunu doğrulayabilir ve TXT kaydının doğru yayımlandığını doğrulamak için Verify eylemini kullanabiliriz. Bu sayfa ayrıca sunucu ve TLS ayarlarını düzenlememize veya gerekirse alan adını silmemize olanak tanır.

Kötü amaçlı veya spam olarak değerlendirilebilecek toplam 100 e-posta gönderdik. Pano artık kaç e-postanın tarandığı, kaçının spam olarak sınıflandırıldığı, kaçının kötü amaçlı olarak sınıflandırıldığı ve saldırı türüne göre kaç e-posta alındığı gibi istatistikleri gösteriyor. Ayrıca hangi e-posta adreslerinin en sık saldırıya uğradığını gösteren bir istatistik de var.

Taramalar menüsünde tüm gelen e-postalar için tarama istatistiklerini görebiliriz. Dosya türüne göre dağılım da yararlı bir ayrıntıdır. Ayrıca uygulama genelinde sayfanın üst kısmındaki Son Gün seçeneğine tıklayarak tarih aralığını ayarlayabiliriz.

Taramalar bölümündeki filtreleme oldukça ayrıntılıdır. İşte seçeneklerden bazıları:

• Gönderen adresi/alan adı/IP: Kötü amaçlı veya sahte gönderenleri belirlemek için birincil göstergeler.
• Taklit edilen görünen ad: Görünen adın meşru göründüğü ancak gerçek adresin öyle olmadığı en yaygın kimlik avı tekniklerinden birini doğrudan hedefler.
• Yanıt adresi: Bir başka önemli kimlik avı tehlike işareti. Yanıt adresi gönderen adresinden farklı olduğunda, bu genellikle yanıtları saldırganın kontrolündeki gelen kutusuna yönlendirme girişimine işaret eder.
• Eylem (karantinaya alındı/teslim edildi): Bir tehdidin yakalanıp yakalanmadığını veya alıcıya ulaşıp ulaşmadığını anlamak için gereklidir.
• Konu: Birden fazla hedefte aynı veya neredeyse aynı konu satırlarını kullanan kimlik avı kampanyalarını belirlemek için.
• Alıcı adresi: Bir saldırının kapsamını belirlemek için kritiktir. Kaç kullanıcının hedeflendiğini ve yüksek değerli kişilerin (yöneticiler, finans) aralarında olup olmadığını gösterir.
• Yük (ekler/URL'ler): Aramayı en yaygın kötü amaçlı yazılım dağıtım mekanizmalarını taşıyan e-postalara daraltır.

Sol menüden Security Operations bölümüne gittiğimizde Scans bölümüne ulaşırız. Bu ekrandan taramalarla ilgili ayrıntılara erişebiliriz. Tüm taramalar burada listelenir ve temiz, spam ve kötü amaçlı gibi sonuç kategorilerini de görebiliriz.

Bir e-postanın ayrıntılarını açtığımızda sistemin onu nasıl değerlendirdiğini ve mevcut durumunu görebiliriz. Durumunu şu şekilde değiştirebiliriz:

• Kararı Onayla (İşle): Mevcut kararı kabul edin ve e-postayı buna göre işleyin.
• E-postayı kısıtlı olarak işaretle: E-postayı kısıtlı veya ilke ihlali yapan olarak sınıflandırın.
• E-postayı Spam olarak işaretle: E-postayı istenmeyen veya talep edilmemiş olarak sınıflandırın.
• E-postayı Şüpheli olarak işaretle: E-postayı potansiyel olarak riskli ve dikkat gerektiren olarak işaretleyin.
• E-postayı Temiz (FP) olarak işaretle: E-postayı güvenli olarak işaretleyin ve yanlış pozitif olduğunu belirtin.

Aşağıdaki görünüm kompakt görünümdür. Sağ üst köşedeki Detailed sekmesine tıkladığımızda birçok ek ayrıntı görebiliriz.

Kompakt görünümde, Acronis tarafından karantinaya alınan kötü amaçlı bir kimlik avı e-postasının tarama ayrıntılarını görebiliriz. E-postanın neden kötü amaçlı olarak değerlendirildiğini açıklayan ve şüpheli gönderen alan adı, e-posta bombalama davranışı ve riskli bir URL gibi göstergeleri gösteren yapay zekâ tarafından oluşturulmuş bir genel bakış içerir. Ayrıntılar bölümünde kanalı, yapılan eylemi, tarama zamanını, işlem süresini, kuruluşu ve IR durumunu doğrulayabiliriz.

Acronis Cyber Protect

Scan details compact view

Email Inspector'da konu, gönderen, alıcı, zaman, dönüş yolu ve kaynak IP dahil mesaj meta verilerini inceleyebiliriz. E-posta gövdesi de görüntülenir; böylece sosyal mühendislik girişimini doğrudan değerlendirebiliriz.

Olay değerlendirme kriterleri açık ve şeffaftır. Bir olay için ayrıca Request investigation düğmesine tıklayabilir, “I think this email is clean” seçeneğini seçebilir ve inceleme için Acronis ekibine gönderebiliriz. Aynı e-postayla ilgili önceki taramaları görüntüleyebiliriz.

Screenshots düğmesiyle e-postanın işlenmiş sürümünü görebiliriz; bu yararlı bir özelliktir. Özellikle sistem e-postayı tarayıcıda HTML olarak işlemez; böylece e-postadaki tespit edilmemiş bir güvenlik açığı inceleme sırasında bir ihlali tetikleyemez.

Bu testte gözlemlenen kullanıcı eylemleri, sol menüdeki Audit log bölümünde mevcuttu. Bu kayıtlardan bazıları şunlardır:

• Tarama ekran görüntülerini izleme
• Taramayı işleme
• UI Eylemi

Her kayıt; zaman damgası, eylem, açıklama, yönetici veya ekip, hedef kuruluş ve ilgili e-posta veya hedef nesneyi kaydeder.

Sol menüdeki Detection Setup bölümünde izin listelerini ve engel listelerini ayrıntılı olarak yönetebiliriz; bu oldukça yararlı bir özelliktir:

• Gönderen e-posta adresi/alan adı izin listesi: Bu listedeki adreslerden veya alan adlarından gelen e-postalar her zaman güvenilir kabul edilir ve spam/tehdit filtrelerini atlar. Bu, aksi takdirde yanlış pozitifleri tetikleyebilecek bilinen ortakları veya dahili sistemleri beyaz listeye almak için yararlı olabilir.
• Alıcı e-posta adresi izin listesi: Filtreleme olmadan tüm gelen postaları alması gereken dahili alıcı adreslerini belirtir. Bu, belirli kullanıcıların (ör. tümünü yakalayan bir gelen kutusu) bilinmeyen gönderenlerden bile her zaman e-posta almasını sağlar.
• Gönderen e-posta adresi/alan adı engel listesi: Bu listedeki adreslerden veya alan adlarından gelen e-postalar otomatik olarak reddedilir veya karantinaya alınır. Bilinen spam kaynaklarını, kötü amaçlı alan adlarını veya istenmeyen toplu gönderenleri kalıcı olarak engellemek için kullanılabilir.
• Gönderen IP izin listesi: IP'leri bu listede bulunan posta sunucuları güvenilir kabul edilir ve e-postaları IP tabanlı itibar denetimlerini atlar. Güvenilir üçüncü taraf posta hizmetleri veya şirket içi posta aktarıcıları için kullanılabilir.
• Gönderen IP engel listesi: Bu IP'lerden gelen bağlantılar, gönderen adresinden bağımsız olarak engellenir. Bilinen kötü amaçlı posta sunucularına veya ele geçirilmiş altyapıya karşı etkili olabilir.

• URL izin listesi: E-posta gövdelerindeki bu URL'lerle veya alan adlarıyla eşleşen bağlantılar güvenli kabul edilir ve işaretlenmez.
• URL engel listesi: Bu URL'leri içeren e-postalar işaretlenir, engellenir veya karantinaya alınır.
• Hash izin listesi: Bu kriptografik hash'lerle eşleşen dosya ekleri güvenli kabul edilir ve tarama uyarısı olmadan geçer.
• Hash engel listesi: Hash'i bu listedeki bir girdiyle eşleşen ekler hemen engellenir. Bu, bilinen kötü amaçlı dosyaların yeniden adlandırılsa veya gizlense bile imza tabanlı olarak hassas şekilde engellenmesini sağlar.

Bahsetmeye değer olan ancak özellikle test etmediğimiz bazı özellikler şunlardır:

Tespit kurulumu altında:

• Threat intelligence: Dış tehdit istihbaratı kaynaklarından göstergeleri çeker. Bu özellik, yaygın ticari kötü amaçlı yazılımları, kötü amaçlı URL'leri ve aktif saldırı kampanyalarını yakalamaya yardımcı olur.
• Banners: Politikalara ve kurallara dayalı olarak gelen e-postalara özelleştirilebilir bannerlar ekler.
• VIP Users: Yöneticilerin yüksek değerli kullanıcıların (yöneticiler, finans personeli vb.) bir listesini tutmasına olanak tanır.

Güvenlik operasyonları altında:

Account Takeover (ATO): Ele geçirilmiş Microsoft 365 posta kutularının sinyallerini tespit eder.

Motor; şüpheli posta kutusu kurallarını (e-postaları yönlendirme, yeniden yönlendirme, taşıma veya silme), imkânsız seyahat oturum açmalarını ve alışılmadık konumlardan veya cihazlardan oturum açmaları işaretler. Bu sinyallerden birini tespit ettiğinde konsolda bir vaka açar ve olay yanıt ekibi birlikte araştırmak için yöneticiye ulaşır.

Sophos Email Security detaylı analiz

Sophos Secure Email Gateway

Account activation

Sophos ile başlamak için bir deneme bağlantısı oluşturuyoruz ve aşağıdaki ekrana yönlendiriliyoruz. Barracuda'ya benzer şekilde Sophos bizden bir bölge seçmemizi ister.

Sistem daha sonra hangi ürünü kurmak istediğimizi sorar. Email Security seçeneğini seçiyoruz. Kurulabilecek diğer ürünler arasında Endpoint Protection, Server Protection, Phish Threat, DNS Protection, Zero Trust Network Access, Protected Browser, Mobile, Wireless, Device Encryption, Firewall Management, Cloud Optix ve Switches bulunur.

100 e-posta göndereceğiz ve aşağıdaki görüntü panoyu göstermektedir. Taranan gelen e-postaların toplam sayısı, potansiyel tehditler ve tespit edilen tehdit türleri gibi istatistikleri içerir. Giden e-postalar için de istatistikler vardır ancak bu kıyaslamada giden e-posta güvenliğini test etmiyoruz.

Ayrıca e-posta etkinlik eğilimleri, tehdit özetleri ve güvenlik durumu göstergeleri gibi diğer pano öğelerini de görebiliriz.

E-posta ağ geçidi ayarlarını yapılandır seçeneğine tıkladık. Sistem alan adımızı doğrulamamızı ister. Ardından yalnızca gelen veya hem gelen hem giden seçeneğini seçebileceğimiz yararlı bir ayar görürüz. Ayrıca güvenlik sorunlarını önlemek için giden e-postaları da kontrol eder.

Sistem, girmemiz gereken DNS kaydını gösterir. Ardından ekleyip devam ederiz.

TXT kaydını alan adının genel DNS'ine ekliyoruz. TXT değeri bir Sophos alan adı doğrulama token'ıdır ve TTL 600 olarak ayarlanmıştır. DNS kaydını ekledikten sonra yayılmayı bekliyoruz, ardından Sophos'un alan adının sahibi olduğumuzu doğrulaması için Verify seçeneğine tıklıyoruz.

Kaydı ekledik ve alan adımızı doğruladık. Gelen hedef için MX seçtik ve Google Workspace MX kaydını girdik: aspmx.l.google.com.

Barracuda gibi Sophos da MX yönlendirmesi gerektirir. Sophos ve Barracuda'nın aksine Acronis bu süreci bir API aracılığıyla temiz bir şekilde ele aldı ve herhangi bir ayarı değiştirmemiz gerekmedi.

MX ayarlarını tamamladık ve bir test e-postası gönderdik ancak iletilmedi. Biraz araştırdıktan sonra hatanın şu olduğunu gördük: “This email address was not found” ki bu beklenmedikti.

Panele gidip sol menüden Mailboxes bölümünü açmamız ve kullanıcıları tek manuel olarak eklememiz gerekiyor. Bu, genel deneyimi olumsuz etkileyen bir kullanılabilirlik sorunudur; çünkü hem Acronis hem Barracuda hemen çalıştı. Test için kendi e-posta adresimizi ekledik ve o hesapla test etmeye devam ettik.

Raporlar bölümü sol menüdedir. İşte oluşturabileceğimiz raporlardan bazıları:

• Mesaj özeti: Genel e-posta hacmi ve durumu.
• SophosLabs analiz raporu: Kullanıcı/yönetici tarafından bildirilen mesaj kararları.
• Intelix tehdit özeti: Gelen e-postalar için tehdit analizi.
• Tıklama zamanı özeti: Bağlantı tıklama etkinliği raporu.
• Risk altındaki kullanıcılar: En savunmasız çalışanlar.
• Veri kontrolü özeti: Veri kaybı politikası eşleşmeleri.
• Teslimat sonrası özeti: Teslimattan sonra kaldırılan e-postalar.
• Lisans kullanım özeti: E-posta güvenliği lisans kullanımı.

Email Security > Message History bölümüne gittiğimizde tüm gelen e-postaları ve her birinin nasıl sınıflandırıldığını görebiliriz. Bu Message History raporu, Sophos Email Security tarafından işlenen tek e-postaları listeler. Birkaç önemli alan şunlardır:

• Gönderen: E-postanın kimden geliyor göründüğü.
• Alıcılar: Mesajı kimin aldığı.
• Tür: E-postanın sisteme nasıl girdiği, genellikle Gateway.
• Konu: E-posta konu satırı.
• Son Durum: Sophos'un onunla ne yaptığı; Delivered, Deleted veya Quarantined gibi.
• Tarih: E-postanın ne zaman işlendiği.
• Kategori: Sophos'un sınıflandırması; Legitimate, Spam, Malware, Intelix threat veya Authentication gibi.

Kategorilerden bazı örnekler şunlardır:

• Legitimate: İzin verilen normal e-postalar.
• Spam: Şüpheli veya istenmeyen e-postalar; birçoğu karantinaya alınır.
• Malware: Kötü amaçlı içerik barındıran tehlikeli e-postalar; bunlar silinir.
• Intelix threat: Sophos Intelix tarafından analiz edilen ve şüpheli veya tehdit edici bulunan e-postalar.
• Quarantined: E-posta engellendi ve inceleme için karantinaya alındı.
• Deleted: E-posta teslim edilmek yerine kaldırıldı.

Aşağıdaki filtreler kullanıcıların e-posta günlüğünü mesaj kategorisine göre daraltmasına olanak tanır:

• Legitimate: İzin verilen normal e-postalar.
• Secure message: Şifrelenmiş veya korunan e-postalar.
• Data control: Veri kaybı/güvenlik kurallarıyla eşleşen e-postalar.
• Authentication failure: Başarısız SPF, DKIM veya DMARC denetimleri.
• Impersonation: Olası gönderen sahtekârlığı veya kimlik dolandırıcılığı.
• Bulk: Toplu pazarlama veya otomatik e-postalar.
• Spam: İstenmeyen veya şüpheli e-postalar.
• URL/QR Kod: Riskli bağlantılar veya QR kodları içeren e-postalar.
• Intelix threat: Sophos tehdit analizi tarafından işaretlenen e-postalar.
• Unscannable: Sophos'un tam olarak inceleyemediği e-postalar.
• Malware: Kötü amaçlı dosyalar veya içerik barındıran e-postalar.
• Enterprise blocked: Şirket politikası tarafından engellenen e-postalar.

Mailboxes menüsü izlenen posta kutularını gösterir. Bir posta kutusunu açarak hangi politikaların uygulanacağını seçebiliriz. Base Policy – Email Security altında aşağıdaki ayarlar mevcuttur:

Sophos Secure Email Gateway

Base Policy & Email Security,

Authentication, gelen mesajlar için e-posta kimlik doğrulama denetimlerini içerir. Sophos'un DMARC, SPF ve DKIM hatalarını nasıl ele alacağını; gönderen politikasına uyma veya konu satırını bir uyarıyla etiketleme gibi eylemler dahil olmak üzere yapılandırabiliriz.

• Ayrıca başlık anomalileri ve alan adı anomalileri için gönderen denetimlerini içerir; bu, kendi alan adınızdan veya uygun DNS kayıtları olmayan şüpheli alan adlarından geliyor gibi görünen e-postaları tespit etmeye yardımcı olur. Alıcılara gelen mesajların güven düzeyini göstermek ve gönderenlere izin mi verileceğine yoksa engelleneceğine karar vermemize yardımcı olmak için son kullanıcı bannerlarını da etkinleştirebiliriz.

Anti-malware, e-posta mesajları için gelen kötü amaçlı yazılım taramasını yönetir. Kötü amaçlı yazılım tespitleri için Delete gibi varsayılan eylemi seçebilir ve daha derin içerik ile dosya analizi için gelişmiş kötü amaçlı yazılım taramasını etkinleştirebiliriz.

• Ayrıca taranmamış e-postalar ve Sophos'un şüpheli mesajları sınıflandırmak için statik ve dinamik analiz kullanabildiği Intelix Threat Analysis üzerinde kontrol sağlar. Karara bağlı olarak; kötü amaçlı ve şüpheli e-postaları silme, teslim etme veya farklı şekilde ele alma gibi eylemler tanımlayabiliriz.

Anti-spam, Sophos'un spam ve toplu e-postayı nasıl ele aldığını yönetir. Confirmed Spam ve Bulk gibi kategoriler için mesajları karantinaya alma ve son kullanıcı karantinasında görünüp görünmeyeceklerine karar verme dahil eylemler ayarlayabiliriz. Ayrıca, yüksek seviyelerin spam tespitinin agresifliğini artırdığı özelleştirilebilir bir spam yakalama oranı kaydırıcısı içerir.

New domain/sender, yeni kaydedilen alan adları ve yeni gönderenler için korumaları içerir. Kimlik avı kampanyalarında sıklıkla kullanılan yakın zamanda oluşturulmuş alan adlarından gönderilen e-postalar için denetimleri etkinleştirebiliriz. Ayrıca bir alıcı daha önce o gönderenden e-posta almadığında New Sender bannerının gösterilmesine olanak tanır.

Kaynak ülke, e-postaları gönderenin ülkesine göre kontrol etmeye olanak tanır. Listeden belirli ülkeler seçilebilir ve eşleşen e-postalar politikaya uygun olarak karantinaya alınabilir veya başka şekilde ele alınabilir.

• Ayrıca her mesaj atlamasını denetleme seçeneği vardır; bu, bir e-postanın alıcıya ulaşmadan önce izlediği rotayı incelemeye yardımcı olur.

Language, mesaj diline göre filtrelemeyi yönetir. İzin vermek istemediğimiz belirli dilleri seçebilir ve eşleşen mesajları karantinaya alma gibi Sophos'un yapması gereken eylemi seçebiliriz.

The impersonation protection özelliği VIP, marka ve genel taklit girişimleri için denetimleri etkinleştirir.

URL ve QR kodu koruması için, e-postaları kötü amaçlı URL'ler ve QR kodları açısından denetleyebiliriz. Sophos, kullanıcılar etkileşime geçmeden önce tehditleri tespit etmek için bağlantıları tarayabilir ve QR kodlarından URL'leri çıkarabilir. Ayrıca bağlantıların kullanıcı tıkladığında yeniden yazıldığı ve denetlendiği Time of Click URL Protection özelliğini yönetir.

Sol menüdeki Quarantined Messages bölümü, içinde tehdit tespit edilen tüm e-postaları gösterir. Şunlara göre filtreleyebiliriz:

• Anti-malware: Kötü amaçlı yazılım taraması sırasında işaretlenen e-postalar. Bu, tehlikeli ekler, kötü amaçlı içerik veya Sophos'un tam olarak inceleyemediği öğeler içeren mesajları kapsar:
  • Malware: Kötü amaçlı dosyalar, bağlantılar veya içerik barındırdığı doğrulanan e-postalar. Bunlar genellikle silinir veya karantinaya alınır.
  • Unscannable: Sophos'un örneğin şifreleme, bozulma, parola korumalı ekler veya desteklenmeyen dosya türleri nedeniyle düzgün şekilde inceleyemediği e-postalar.
• Anti-spam: Spam tespit kuralları aracılığıyla sınıflandırılan e-postalar:
  • Bulk: Bültenler, pazarlama kampanyaları veya otomatik bildirimler gibi toplu gönderilen e-postalar.
  • Confirmed Spam: Spam olduğundan emin olunan e-postalar. Bunlar genellikle karantinaya alınır veya engellenir.
  • Suspected Spam: Şüpheli görünen ancak spam olduğu doğrulanmayan e-postalar. Politikaya bağlı olarak karantinaya alınabilir, etiketlenebilir veya teslim edilebilir.
  • Impersonation: Güvenilir bir kişiden, markadan, alan adından veya dahili gönderenden geliyormuş gibi davranan e-postalar.
  • Disallowed Country: Politika tarafından kısıtlanan bir ülkeden geldiği için engellenen veya karantinaya alınan e-postalar.
  • Disallowed Language: Tespit edilen dil politika tarafından izin verilmediği için engellenen veya karantinaya alınan e-postalar.
  • BATV: Sahte geri dönüş mesajlarını veya geri saçılım spamını tespit etmeye yardımcı olmak için kullanılan Bounce Address Tag Validation ile ilgili e-postalar.
  • New domain/NRD: Kimlik avı veya kısa ömürlü saldırı kampanyalarında sıklıkla kullanılan yeni kaydedilmiş alan adlarından gelen e-postalar.
• Authentication: SPF, DKIM veya DMARC hataları gibi gönderen kimlik doğrulama denetimlerine göre filtrelenen e-postalar.

Bir e-postaya tıkladığımızda neden karantinaya alındığını açıklayan mesajları görebiliriz. Onu silebilir ve göndereni engelleyebilir, mesajı karantinadan serbest bırakabilir veya serbest bırakıp gelecekte benzer mesajlara izin verebiliriz.

Sophos

Raw Header

Raw Header bölümünde e-posta için tüm başlık bilgilerini görüntüleyebiliriz. Ayrıca eklerini ve mesajda bulunan URL'leri de görüntüleyebiliriz. Bu, değerlendirmemizde yeterince ayrıntılı görünmedi. Bu açıdan Acronis ve Barracuda daha kapsamlı ve bilgilendirici bir deneyim sağladı.

Message sekmesinde e-posta içeriğini olduğu gibi görüntüleyebiliriz; bu güvensiz olabilir. E-posta içeriğini Acronis'te gözlemlediğimiz gibi bir ekran görüntüsü olarak görebilseydik daha iyi olurdu.

Burada 23 e-posta var çünkü bunlar spam olarak işaretlenmişken bazıları doğrudan reddedilmiştir. Kısacası sistem, spam olarak işaretlenen e-postaları karantinaya alır.

Tüm gelen e-postaları dışa aktarmak istediğimizde bunu doğrudan rapor ekranlarından yapamayız. Email Logs bölümünden özel bir rapor oluşturup açmamız, Generate Report seçeneğini seçmemiz, CSV'yi seçmemiz ve son olarak her şeyi CSV olarak dışa aktarmamız gerekir. Bu iş akışı gereksiz yere dolaylı ve kullanıcı dostu değil.

Barracuda Email Protection detaylı analiz

Barracuda'dan bir deneme aldıktan sonra panele gittik, Email Protection için Open seçeneğine tıkladık ve devam ettik.

Available in your trial altında dahil edilen ana ürünleri görebiliriz:

• Email protection: E-posta tehditlerini önler, teslimattan önce ve sonra e-postayı güvence altına alır ve e-posta olay yanıtını otomatikleştirir.
• Cloud-to-cloud backup: Microsoft 365 verilerini yedekler.
• Data inspector: OneDrive ve SharePoint'te hassas verileri ve tespit edilmemiş kötü amaçlı yazılımları bulur.
• Security awareness training: Çalışanları e-posta güvenliği tehditleri konusunda eğitir.
• Cloud archiving service: Uyumluluk ve e-keşif için e-posta saklamayı uygular.

Barracuda Cloud Archiving Service

Trail dashboard

Henüz herhangi bir alan adı veya ilgili ayar yapılandırmadığımız için sistem bizi doğrudan kurulum sihirbazına yönlendirdi; bu, e-posta ayarlarını yapılandırmak için yararlı bir özelliktir.

Next seçeneğine tıkladığımızda sistem bizi bir Microsoft 365 hesabı bağlamaya zorladı. Ancak Google Workspace kullanıyoruz ve hizmeti bu ortam için değerlendiriyoruz.

Daha sonra Barracuda'nın Google Workspace'i desteklediğini gördük. Standart kurulumla devam ettik.

Barracuda Cloud Archiving Service

Data region selection

Sistem bir veri bölgesi seçmemizi istedi. Bu, GDPR uyumluluğu için önemli bir özelliktir; bu yüzden Almanya'yı seçip devam ettik.

Barracuda daha sonra alan adımıza ait bir e-posta adresi girmemizi ve MX kayıtlarımızı doğrulamamızı istedi. Doğrulama düğmesine tıkladık ve ek bir işlem yapmadık. Sistem kayıtları başarıyla doğruladı.

Yapılandırmamızın ilerleyen aşamalarında Barracuda'nın Google Workspace ile yerel bir entegrasyonu olmadığını gördük. Bunun yerine mevcut MX kayıtlarımızı değiştirmemiz için bize yeni MX kayıtları verdi. Bu MX kayıtlarını güncellediğimizde gelen e-postalar önce Barracuda'ya ulaşıyor gibi görünüyor.

Barracuda daha sonra uygunsuz e-postaları filtreler ve kabul edilebilir olanları iletir. Google Workspace entegrasyonu için MX kaydı değişikliği gerektirmek kötü bir yaklaşımdır.

Bundan sonra MX kayıtlarını güncelleyip doğruladık. Kurulumu tamamlayıp e-postalar göndermeye başladık.

E-postaları gönderirken Barracuda'nın bazı SMTP isteklerini reddettiğini ve bazı ekleri kabul etmediğini gözlemledik. Aynı testi Acronis ile yaptığımızda tüm e-postalar teslim edildi ve sistemde görünürdü. Burada Barracuda, bazı e-postaları panoda görünmeden önce reddediyor.

Bunları gerçekten kötü amaçlı oldukları için reddetse de bu otomatik süreç sonucunda görünürlüğü kaybediyoruz. Başka bir deyişle, bir saldırının gelip gelmediğini ve reddedildiğini bile bilmeyebiliriz. Bu, güvenlik bağlamlarında görünürlük her şey olduğundan Barracuda'yı e-posta güvenliği için kullanma açısından bir zorluktur. Bir ürün olayları keyfi olarak reddedip görünmez yaparsa güvenlik ekibine zarar verir.

Bu zorluklara rağmen tüm test e-postaları gönderildi. Barracuda panosunda, taranan tüm e-postaların listelendiği Message Log ekranına yönlendiriliyoruz.

Message Log bölümü üstte bir filtreleme alanı içerir. Filtreleme seçenekleri şunlardır:

• Search: Mesajlar, alıcılar, gönderenler ve diğer alanlarda metin araması.
• Domains: Sonuçları seçilen alan adına göre filtreler.
• Direction: E-posta yönüne göre filtreler; Inbound veya Outbound.
• Date/time range: Sonuçları belirli bir zaman aralığıyla sınırlar.
• Action taken: Yapılan eyleme göre filtreler; ör. Allowed, Blocked, Deferred.
• Delivery status: E-postanın teslim edilip edilmediğine, başarısız olduğuna, karantinaya alındığına vb. göre filtreler.
• Reason: Bir eylemi tetikleyen tespit nedenine göre filtreler (ör. Score, DMARC, Antivirus, Content Protected).
• Results: Sayfa başına kaç kaydın görüntüleneceğini denetler.

Barracuda Cloud Archiving Service

Incorrectly classified email

Yanlış sınıflandırıldığını bildirebiliriz. Örneğin bir e-posta güvenli ancak yanlışlıkla zararlı olarak sınıflandırılmış. E-postayı güvenli olarak bildirdik.

Başka bir e-posta engellendi ancak pano ek ayrıntı sağlamıyor. Bu nedenle Barracuda bu alanda yetersiz kalıyor. Engelleme puanına ek olarak mesajın neden engellendiğine ilişkin daha fazla bilgi görebilseydik daha yararlı olurdu.

Soldaki Domains bölümünde, posta korumasına dahil etmek istediğimiz alan adlarını görüntüleyebilir, ekleyebilir ve silebiliriz; bunlar standart işlevlerdir.

Soldaki Inbound menüsünde Barracuda bu denetimler için kullanılan filtreleri sağlar. Bu filtreleri yapılandırabiliriz.

Örneğin Anti-Spam/antivirus ayarları altında şunları yapılandırabiliriz:

• Use Barracuda reputation block list: Gelen postayı Barracuda'nın bilinen kötü amaçlı gönderenler veritabanına karşı denetler. Block, Quarantine veya Off olarak ayarlanabilir.
• Scan email for viruses: Tüm gelen e-postalarda virüs taramasını etkinleştirir veya devre dışı bırakır.
• Use Barracuda real-time system: E-postaları Barracuda'nın canlı tehdit istihbaratı akışıyla çapraz referanslar. Engellenebilir, Karantinaya alınabilir veya kapatılabilir. İsteğe bağlı olarak şüpheli içeriği daha fazla analiz için Barracuda Central'a gönderir.
• Enable cloudscan: Spam puanlamasını Barracuda'nın bulut motoruna devreder. Puanlar 1 ile 10 arasında değişir; eşiği aşan e-postalar yapılandırılan eylemi tetikler.
• Email categorization: Gelen e-postaları türe göre sınıflandırır ve kategori başına bir eylem uygular. Kategoriler arasında Corporate Email, Transactional Email, Marketing Materials and Newsletters, Mailing Lists ve Social Media bulunur; her biri bağımsız olarak Allow, Quarantine, Block veya Off olarak ayarlanır.
• Bulk email detection: Toplu/seri gönderilen e-postaları tespit eder ve bunlara göre eylem yapar. Off olarak ayarlandığında toplu e-postalar ayrıca filtrelenmez.
• Bulk email exemptions: Belirli e-posta adreslerinin veya alan adlarının toplu e-posta tespitini atlamasına izin verir; gönderen veya alıcı başına tanımlanır.

Barracuda Cloud Archiving Service

Rate Limit

Rate Limit sayfaları, bir gönderen IP adresinin her 30 dakikalık dönemde kaç e-posta gönderebileceğini tanımlar; bu yararlı bir ayardır. Tek bir gönderen IP'sinden e-posta kötüye kullanımını ve ani yüksek hacimli saldırıları önleyebilir.

Bir IP adresinin 30 dakikalık dönemde kaç e-posta gönderebileceğini sınırlayarak sistem şunların etkisini azaltabilir:

• Spam kampanyaları
• Kimlik avı patlamaları
• Kötü amaçlı yazılım dağıtımı
• Ele geçirilmiş gönderen hesapları veya sunucuları
• Hizmet reddi tarzı e-posta taşması

IP Whitelist/Blacklist sayfasında belirli IP adreslerinden gelen e-postalar için taramayı atlayabilir veya bunları doğrudan engelleyebiliriz.

Regional Policies bölümünde coğrafi engelleme veya beyaz listeye alma uygulayabiliriz. Ayrıca içerik diline göre e-postaları engelleyebilir veya izin verebiliriz.

Recipient Policies bölümünde alıcı e-posta adresine göre tarama veya atlama kurallarını yapılandırabiliriz.

Barracuda gönderenler için de benzer politikalar sağlar. Gönderene göre istisnalar uygulayabiliriz.

Ayrıca DMARC, DKIM ve SPF gibi standart e-posta güvenliği denetimlerine dayalı istisnalar tanımlayabileceğimiz bir pano da vardır.

Content Policies bölümünde dosya adına veya dosya türüne göre e-postaları tarayıp taramayacağımızı veya atlayacağımızı yapılandırabiliriz. Ayrıca düzenli ifadeler kullanarak mesaj gövdesi içeriğine göre tarama veya atlama kuralları tanımlayabiliriz.

Barracuda, normal virüs tarayıcısına ek olarak abonelik olarak Advanced Threat Protection sağlar. Advanced Threat Protection (ATP), standart virüs tarayıcılarının gözden kaçırabileceği tehditleri tespit etmek için e-posta eklerini güvenli bir bulut ortamında analiz eden bulut tabanlı bir tarama hizmetidir. Gelen mesajlara uygulanır ve çoğu MIME dosya türünü destekler.

ATP'de üç mod vardır:

1. Deliver First, Then Scan, e-posta geldiğinde eki gerçek zamanlı olarak taramaya çalışır. Tarama zamanında tamamlanır ve bir tehdit tespit edilirse e-posta engellenir. Tarama zamanında bitmezse e-posta sonucu beklemeden hemen teslim edilir. Tarama arka planda çalışmaya devam eder ve daha sonra bir tehdit bulunursa alıcı bilgilendirilir; ancak e-posta gelen kutusuna ulaşmıştır. Bu, alıcının tehdit tanımlanmadan önce enfekte bir eki açabileceği anlamına gelir.
2. Scan First, Then Deliver, teslimattan önce eki tarar. Bir tehdit tespit edilirse e-posta engellenir. Temizse teslim edilir. Tarama bekleyen e-postalar Message Log'da neden olarak “Pending Scan” ile görünür. Bir mesaj dört saatten fazla ertelenmiş kalırsa karantinaya alınır. Bu mod daha güvenlidir ancak teslimatı geciktirebilir.
3. Disabled: ATP tamamen kapatılır.

Buradaki temel ödünleşim hız ile güvenlik arasındadır. “Deliver First” teslimat hızına öncelik verir ancak bir risk penceresi sunar. “Scan First” bu riski ortadan kaldırır ancak ekli mesajları geciktirebilir veya erteleyebilir.

Reports bölümünde Barracuda e-posta güvenliği hakkında ayrıntılı raporlar oluşturur:

• Gelen/giden trafik özeti: Tüm gelen ve giden e-posta etkinliğine genel bakış; ertelenen, engellenen, karantinaya alınan ve izin verilen olarak ayrılır.
• Gelen engellenen e-postaların dökümü: Gelen e-postaların neden engellendiğinin ayrıntılı dökümü.
• En çok gelen e-posta gönderenleri/alıcıları: Gelen e-postanın en sık gönderenlerini/alıcılarını gösterir.
• En çok engellenen gelen gönderenlerin dökümü: E-postaları en sık engellenen gönderenleri nedenleriyle listeler.
• En çok engellenen gelen alıcıların dökümü: Engellenen e-postalar tarafından en sık hedeflenen dahili alıcıları gösterir.
• En çok giden e-posta gönderenleri: En yüksek hacimde giden e-posta gönderen dahili kullanıcılara genel bakış.
• En çok engellenen giden gönderenler: Giden e-postaları en sık engellenen dahili kullanıcıları gösterir.

Ayrıca otomatik raporlar planlayabiliriz; bu yararlı bir özelliktir. Panoları kontrol etmek için tekrar oturum açmak yerine tehditler, karantinaya alınan mesajlar, spam eğilimleri, kötü amaçlı yazılım tespitleri, taklit girişimleri, politika eylemleri ve kullanıcı riski hakkında düzenli özetler alabiliriz. Planlanmış raporlar kullanıcıların kimlik avı e-postalarındaki artış, belirli kullanıcılara yönelik tekrarlanan saldırılar veya engellenen kötü amaçlı eklerdeki artış gibi kalıpları erken belirlemesine de yardımcı olabilir.

Soldaki Syslog menüsü, tüm bu kayıtları seçtiğimiz bir günlük sunucusuna iletmemize olanak tanır. Bu, SIEM entegrasyonları için yararlı bir özelliktir.

Genel olarak ürün geniş bir özellik yelpazesi sunar ancak bu testte tehdit tespitinde düşük performans gösterir. Yapılandırmanın önemli bir kısmı kullanıcıya bırakılmıştır; bu da özellikle Google Workspace veya Microsoft 365 Compliance Center kullanan kuruluşlar için katma değerin bu yükü haklı çıkarıp çıkarmadığı sorusunu gündeme getirir.

Bulut e-posta güvenliği çözümlerinin temel özellikleri

Bulut e-posta güvenliği platformlarının farklılaştırıcı yetenekleri

Kullanıcı odaklı güvenlik (insan katmanı)

Birçok olay bir kullanıcı eylemiyle başlar. Bu nedenle modern e-posta güvenliği platformları, filtrelemeye güvenmek yerine davranışı yönlendiren araçlar içerir.

• Bağlamsal uyarı bannerları, bir mesaj şüpheli göründüğünde kullanıcıları uyarabilir.
• Eğitim de daha uyarlanabilir hale geliyor. Genel simülasyonlar yerine kullanıcılar, etkileşim kalıplarına göre uyarlanmış rehberlik alır.

Birleşik güvenlik ve platform entegrasyonu

Uç nokta ve kimlik sistemleriyle entegrasyon, koordineli yanıtları mümkün kılar. Örneğin bir e-posta kimlik bilgisi hırsızlığına yol açarsa sistem, gelen kutusunun ötesinde eylemler tetikleyebilir.

Merkezi panolar ekiplere genel güvenlik durumlarına dair daha net bir görünüm sunar ve araçlar arasındaki iletişim kopukluğunu azaltır.

Veri koruma, şifreleme ve uyumluluk

E-posta genellikle sözleşmeler, finansal ayrıntılar ve diğer hassas verileri taşır. Bu bilgileri korumak tehdit tespitinden fazlasını gerektirir.

• Şifreleme, mesajların iletim sırasında ve beklemede gizli kalmasını sağlar. Veri kaybı önleme politikaları, kazara veya kasıtlı olsun yetkisiz paylaşımı önlemeye yardımcı olur.
• Uyumluluk özellikleri; denetim izleri ve saklama politikaları dahil düzenleyici gereklilikleri destekler. Bu, özellikle sınırlar ötesinde faaliyet gösteren ve katı yasal veya sektöre özgü kurallara tabi verileri işleyen kuruluşlar için geçerlidir.

Kıyaslamalarımızı ve veri odaklı içgörülerimizi kaçırmayın. Düğme Google'ı açar; AIMultiple'ı seçmeniz, Google arama sonuçlarında AIMultiple'ı daha sık görmek istediğinizi onaylar.

Tercih edilen kaynak olarak ekle

Bulut e-posta güvenliği kıyaslama metodolojisi

Üç e-posta güvenliği ürününü kıyasladık: Acronis Email Security (Perception Point destekli), Sophos Email Security ve Barracuda Email Protection.

Kıyaslama 100 uçtan uca test içeriyordu ve dört ilkeyi izledi.

1. Kapsam odaklı: Her test, satıcının kamuya açık olarak sağladığını iddia ettiği bir yeteneğe karşılık gelir.
2. Zorluk ağırlıklı: Basit bir 1/10 testini kaçırmak ciddi bir ürün boşluğuna işaret eder. 9/10 testini kaçırmak daha anlaşılırdır çünkü bu vakalar uzman düzeyinde tespit sorunlarını yansıtır. Puanlama yöntemi, tüm ıskalamaları eşit ele almak yerine bu vakaları ayırır.
3. Yeniden üretilebilir: Kıyaslama, kendi kendine yeten bir PHP test düzeneğiyle çalıştırılır ve ayrı bir doğrulama paketi tarafından denetlenir. Herhangi bir test e-postası gönderilmeden önce doğrulayıcı, test yüklerinin eksiksiz, geçerli ve doğru yapılandırılmış olduğunu doğrulamak için 1.800'den fazla denetim yapar.
4. Etik: Kötü amaçlı yazılım testleri EICAR antivirüs test dizgisini kullanır. Kimlik avı URL'leri atıl veya var olmayan canary altyapısına işaret eder. Tüm test posta kutuları test ekibine aittir.

Testleri, her satıcının kamuya açık iddialarının en az bir kez sınanacağı şekilde seçtik. Birebir karşılaştırmayı adil tutmak için üç satıcının da tespit ettiğini iddia ettiği tehditlere öncelik verdik. Ayrıca ilgili olduğu durumlarda daha az sayıda satıcıya özgü vaka da ekledik. Örneğin konuşma ele geçirme temel bir Barracuda iddiasıdır ve deepfake tarzı GenAI tuzakları çoğunlukla yapay zekâ öncelikli satıcılar tarafından tanıtılır.

Kıyaslama on bir kategori halinde düzenlenmiştir. Her kategori farklı bir tespit mekanizmasını test eder. Test sayıları parantez içinde gösterilir; toplam 100 test vardır.

Kategori A: Spam (9 test)

Bu kategori toplu farmasötik reklamlarını, kripto para pump-and-dump e-postalarını, piyango dolandırıcılıklarını, maaş günü kredilerini, flört platformu açılış mesajlarını ve B2B SEO soğuk erişimini kapsar.

Bu kategorideki çoğu test bilinçli olarak kolaydır. Graymail pazarlama ve B2B soğuk erişimi olmak üzere iki test, agresif filtreleme meşru iş e-postasını engelleyebileceği için yanlış pozitif sınırına daha yakındır.

Kategori B: EICAR test dizgisi kullanan bilinen kötü amaçlı yazılım (9 test)

Bu kategori, yaygın ve iç içe geçmiş ek biçimlerinde EICAR teslimatını test eder:

• Düz .txt eki,
• Normal ZIP,
• Parola korumalı ZIP, parola e-posta gövdesinde yer alır,
• Başka bir ZIP'in içine yerleştirilmiş ZIP,
• Uzantı ve içerik uyuşmazlığı işlemeyi test etmek için .exe uzantılı EICAR,
• .tar.gz, üç seviyeli özyinelemeli arşiv,
• tar sarmalayıcısı olmayan tek dosyalık .gz,
• Ofset toleransını test etmek için dört kilobayt ön eklenmiş çöp veriyle EICAR.

Bu testler; arşiv açma, biçim desteği ve e-posta gövdesinden parola çıkarma işlemlerini sınar. Bunlar modern e-posta ağ geçitleri için temel yeteneklerdir.

Kategori C: Taşıyıcı dosya türleri (10 test)

Bu kategori, kötü amaçlı davranışı taşımak veya tetiklemek için yaygın olarak kullanılan dosya biçimlerini test eder. Set şunları içerir:

• Gömülü JavaScript ve OpenAction tetikleyicisi olan PDF,
• Base64 kodlu bir blob üzerinde URL.createObjectURL kullanan HTML smuggling,
• Onload betiği ve uzak XHR içeren SVG,
• Bağımsız değişken bloğunda PowerShell yükü bulunan Windows .lnk kısayolu,
• PDF/ZIP polyglot dosyası,
• VBScript içeren HTML Application .hta,
• XMLHTTP ve ADODB.Stream kullanan Windows Script Host JavaScript dropper,
• EICAR içeren ISO 9660 görüntüsü,
• Internet Shortcut .url dosyası,
• Excel Internet Query .iqy dosyası.

Bu, daha ayırt edici kategorilerden biridir çünkü ürün sonuçları bu taşıyıcı türleri arasında büyük farklılık gösterir.

Kategori D: URL kimlik avı (10 test)

Bu kategori; doğrudan bağlantılar, yönlendirmeler, gizleme ve gövde dışı konumlar genelinde URL analizini ölçer. Şunları içerir:

• Şüpheli bir TLD'de doğrudan kimlik avı URL'si,
• Bitly ile kısaltılmış hedef,
• Google'ın açık yönlendiricisi ve t.co üzerinden çok atlamalı yönlendirme zinciri,
• раypal.com içinde Kiril “а” kullanan Punycode IDN homoglifi,
• Sıfır genişlikli karakterler ve bir piksellik beyaz metin kullanan HTML gizli URL,
• PDF açıklaması içinde bulunan URL,
• Kimlik avı bağlantısıyla Base64 kodlu HTML taşıyan URI,
• Gerçek ana bilgisayarın sorgu dizesinde gömülü olduğu aşırı uzun URL,
• Meşru görünümlü bir ana bilgisayarda açık yönlendirme parametresi,
• Kimlik avı hedefini google.com/amp/s/ arkasına gizleyen Google AMP önbellek URL'si.

Kategori E: QR kodlu kimlik avı (8 test)

Bu kategori, ürünlerin QR kodları içinde gizlenen kimlik avı URL'lerini çıkarıp inceleyip inceleyemediğini test eder. Set şunları içerir:

• MFA yeniden kaydı için satır içi PNG QR kodları,
• DocuSign imzalama,
• Maaş bordrosu erişimi,
• Kargo yeniden teslimat bildirimi
• Sesli mesaj erişimi
• Banka 2FA sıfırlama.

Ayrıca kaçınma varyantlarını da içerir: e-posta gövdesinde QR içeriği olmadan PDF içine gömülü bir QR kodu, SVG ile sarılmış görüntü olarak teslim edilen bir QR kodu ve bir <img> etiketi yerine CSS background-image data URI'si olarak ayarlanmış bir QR kodu.

Bu vakalar, tarayıcının en bariz HTML kapsayıcıları dışındaki görüntüleri inceleyip incelemediğini test eder.

Kategori F: Marka ve alan adı taklitçiliği (9 test)

Bu kategori gönderen, alan adı, marka ve başlık taklitçiliğini test eder ve şunları içerir:

• Genel bir Gmail hesabından görünen ad sahtekârlığı,
• m1crosoft-account.com kullanan typosquat alan adı,
• Apple için IDN punycode homoglifi
• microsoft.support-team-portal.tk üzerinden alt alan adı kötüye kullanımı
• Gerçek logo ve Segoe UI biçimlendirmesi kullanan Microsoft marka kiti taklidi
• Gönderen ve From başlığı uyuşmazlığı
• Yerel banka taklitçiliği
• Typosquatting yapan bir e-ticaret şirketi
• Saldırganın mesaja sahte spf=pass, dkim=pass ve dmarc=pass değerleri eklediği Authentication-Results başlığı enjeksiyonu.

Son vaka, aşağı akış ayrıştırıcılarının gerçek yukarı akış sonuçlarını doğrulamak yerine saldırgan tarafından sağlanan kimlik doğrulama başlıklarına güvenip güvenmediğini test eder.

Kategori G: Yük olmadan BEC ve hedefli kimlik avı (9 test)

Bu kategori, kötü amaçlı ekler veya bağlantılar olmadan sosyal mühendisliğe odaklanır ve şunları içerir:

• Bir Gmail hesabından gönderilen CEO havale talebi,
• Satıcı E-posta Uzlaşması bankacılık değişikliği bahanesi,
• Çalışan self-servis maaş yönlendirmesi,
• CFO taklitçisinden çevrimiçi hediye kartı dolandırıcılığı
• Re:Re: konusu ve sahte In-Reply-To başlıkları kullanan konuşma ele geçirme,
• Sahte bir hukuk bürosundan gizli kanıt talebi,
• Ekli özgeçmişle harici işe alım uzmanı erişimi,
• WhatsApp iki faktörlü kimlik doğrulama devralma bahanesi,
• Gizlilik dilini aciliyetle birleştiren M&A içeriden bilgi bahanesi.

Kategori H: Gasp ve dolandırıcılıklar (9 test)

Bu kategori yaygın dolandırıcılık ve gasp kalıplarını kapsar. Testler şunları içerir:

• Eski bir sızdırılmış parola kullanan e-posta,
• PDF içinde kötü amaçlı ödeme bağlantısı olan sahte fatura,
• Ön ödeme ücreti mektubu,
• Vergi dairesinden müsadere tehdidi,
• Bir web sitesine karşı DDoS gaspı,
• Kilit açma bağlantısı içeren sahte Apple iCloud kilit bildirimi,
• Kurye gümrük ücreti dolandırıcılığı
• Doxing gaspı,
• Gümrükte mahsur kalan akraba dolandırıcılığı.

Kategori I: GenAI kalitesinde kimlik avı (10 test)

Bu kategori, eski sistemlerin sıklıkla güvendiği bariz ipuçlarını ortadan kaldıran cilalı kimlik avı e-postalarını test eder. Set şunları içerir:

• Yapılandırılmış adımlar ve marka düğmesi içeren BT yardım masası yeniden doğrulama e-postası,
• Gizlilik dili ve çalışma alanı bağlantısı içeren sahte yönetim kurulu ön okuması,
• Yedi gün içinde yeniden onay gerektiren Microsoft 365 kiracı politikası güncellemesi,
• İK Davranış Kuralları e-imza talebi,
• Kurgusal bir toplantıdan sonra müşteri başarısı takibi,
• Toplantı özeti taklitçiliği,
• Kurgusal bir karşı taraftan yasal NDA,
• CISO tarzı kritik CVE danışma bildirimi,
• Ambargo dili içeren yatırımcı ilişkileri kazanç önizlemesi,
• Tek seferlik SSO oturum açma gerektiren takvim çakışması çözücü.

Bu kategorideki her e-posta, yetkin bir anadili İngilizce olan iş mesajı gibi okunacak şekilde yazılmıştır. Testler; bozuk dilbilgisi, garip ifadeler ve bariz marka uyuşmazlıkları gibi eski kimlik avı ipuçlarından bilinçli olarak kaçınır.

Kategori J: Kaçınma teknikleri (9 test)

Bu kategori, yüzeysel içerik denetimini bozabilecek gizlemeyi test eder ve şunları içerir:

• Tetikleyici kelimelerin içinde sıfır genişlikli Unicode karakterler,
• Kimlik avı mesajının tamamının taranabilir gövde metni olmayan bir PNG olarak işlendiği OCR atlatması,
• Ek dosya adında sağdan sola geçersiz kılma karakteri,
• Çift uzantılı dosya adı,
• İşlenen metin zararsız görünürken DOM'un kimlik avı içeriğini barındırdığı CSS gizli tuzak,
• RFC 2047 kodlu kelime konusu,
• Ana bilgisayarda onaltılık kodlu karakterler içeren URL,
• Latin “e” yerine Kiril “е” kullanan konu homoglifi,
• Bir data-* HTML özelliğinde gizlenen ve tıklama anında satır içi JavaScript tarafından alınan URL.

Kategori K: Kontrol seti ve yanlış pozitif testi (8 test)

Kontrol seti, uyarı olmadan geçmesi gereken meşru iş e-postalarını içerir ve şunları kapsar:

• Dahili ekip bildirimleri,
• Aylık gider raporları,
• Toplantı takipleri,
• Haftalık özetler,
• Meşru dahili paylaşım için kullanılan parola korumalı ZIP dosyaları,
• Eğitim hatırlatıcıları,
• BT bakım bildirimleri,
• Bire bir planlama e-postaları.

Bu mesajlardan birini işaretleyen herhangi bir ürün yanlış pozitif cezası alır.

E-posta güvenliği kıyaslama sınırlamaları

Tek seferlik bir kıyaslamanın ötesinde altyapı veya koşullar gerektirdikleri için birkaç kategoriyi hariç tuttuk:

• Time-of-click URL flipping: Bu saldırı, teslim anında zararsız görünen ve daha sonra bir kimlik avı hedefine yönlendiren bir URL sunar. Bunu test etmek, içeriğini değiştiren durum bilgisine sahip bir HTTP sunucusu ve bir kullanıcı tarafı tıklama eylemi gerektirir.
• Account takeover and lateral phishing: Bu, kıyaslama kurulumunun dışında olan dahili bir posta kutusunun kontrolünü gerektirir.
• Sandbox-aware dynamic malware: Sanallaştırmayı tespit eden ve patlatmadan kaçınan gerçek polimorfik örnekler etik nedenlerle hariç tutuldu.
• Live phishing-kit landing pages: Tüm URL'ler atıl ana bilgisayarlara çözümlenir. Kıyaslama, tıklama sonrası deneyimi test etmez.

Grup S göndereni, hizasız From başlıklarına izin veren bir SMTP aktarıcısı gerektirir. Bulut SMTP hizmetleri bu testleri genellikle ağ düzeyinde reddeder. İzin veren bir aktarıcı bulunmadığında kıyaslama, geriye 38 içerik odaklı test bırakan Grup L'ye düşer.

İki gönderenli mimari

Birçok e-posta güvenliği testi, içerik odaklı ve gönderen kimliği odaklı saldırılar arasındaki önemli ayrımı gözden kaçırır. Bazı tehditler, kim gönderirse göndersin mesaj gövdeleri veya ekleri nedeniyle tehlikelidir. Diğerleri ise e-postanın temsil etmediği birinden geliyor gibi görünmesi nedeniyle tehlikelidir. Bu iki sınıf farklı gönderim kurulumları gerektirir.

Kıyaslamayı iki gönderen grubuna ayırdık.

• Grup L, Legit, 38 test: Bu e-postalar kimliği doğrulanmış bir SMTP hizmetinden gönderilir. Gönderen alan adı için SPF, DKIM ve DMARC doğru hizalanır. Görünen ad; Finans, BT Yardım Masası veya test edenin gerçek adı gibi teste göre değişir ancak From adresi kimliği doğrulanmış gönderen adresi olarak kalır.
  • Grup L; K, B, C, J ve URL'nin gönderenden bağımsız olarak tehdit olduğu iki URL kimlik avı testi gibi içerik odaklı kategoriler için kullanılır.
• Grup S, Spoof, 62 test: Bu e-postalar, From-alan adı hizalamasını zorunlu kılmayan izin veren bir SMTP aktarıcısı üzerinden gönderilir. From adresi test vakası ne belirtiyorsa odur; bu nedenle SPF ve DMARC hizalaması tasarım gereği başarısız olur.
  • Grup S; A, D'nin çoğu, E, F, G, H ve I gibi gönderen kimliği odaklı kategoriler için kullanılır.

Bu ayrım gerçek saldırgan davranışını yansıtır. Kimlik avı operatörleri genellikle ucuz sanal sunucular ve atılabilir alan adları kullanır; çünkü doğrulanmış alan adlarına sahip Gmail, Office 365 ve AWS SES gibi yaygın bulut SMTP hizmetleri, hizasız bir From başlığıyla posta gönderilmesini engeller.

Şekil 1: Bir SMTP aktarıcı sunucusunun nasıl çalıştığını gösteren şekil. Bir SMTP aktarıcı sunucusu, bir gönderenden e-postaları alan ve bunları gönderenin kendi posta sağlayıcı alan adı dışındaki alıcı sunuculara ileten üçüncü taraf bir posta sunucusudur.

Zorluk ağırlıklandırması

Her testin 1 ile 10 arasında bir zorluk derecesi vardır. Derecelendirme, yetkin bir e-posta güvenliği ürününün testi ne kadar zor bulması gerektiğini gösterir.

• 1 ila 2, önemsiz: Bunlar anlamlı bir gizleme olmayan ders kitabı imzalarıdır. Bunları kaçırmak temel bir tespit boşluğuna işaret eder. Örnekler arasında farmasötik spam, ZIP içinde düz EICAR ve bir 419 Nijerya mektubu bulunur.
• 3 ila 4, iyi bilinen: Bunlar modern ürünlerin yakalaması gereken tanıdık kalıplardır. Örnekler arasında PDF JavaScript, sızdırılmış parola şantajı ve CEO görünen ad sahtekârlığı bulunur.
• 5 ila 6, orta: Bu vakalar; modern yapay zekâ, sandboxing veya bilgisayar görüşü gibi daha güçlü analizler gerektirir; HTML smuggling, IDN homoglif URL'leri ve satır içi QR kodlu kimlik avı dahil.
• 7 ila 8, ileri: Bunlar; PDF/ZIP polyglotları, çok atlamalı yönlendirme zincirleri, marka kiti görsel taklitçiliği ve yalnızca görüntü içeren OCR atlatma tuzakları gibi güçlü ürünlerin tutarlı şekilde ele aldığı uç durumlardır.
• 9 ila 10, uzman: Bunlar, yakalamanın güçlü bir sonuç olduğu ve kaçırmanın sektör genelinde yaygın olduğu gerçekten zor vakalardır. Örnekler arasında sahte konu başlıklı konuşma ele geçirme, GenAI kalitesinde bir müşteri başarısı takibi ve daha önce bilinmeyen bir karşı taraftan sahte yasal NDA bulunur.
• Kontrol testleri: K kategorisi mesajları geçmelidir. Bu kategorideki herhangi bir tespit yanlış pozitif olarak sayılır.

Kategori ortalamaları amaçlanan zorluk eğrisini izler: A spam ortalaması 2.2/10, B EICAR ortalaması 2.8/10, H gasp ortalaması 3.8/10, C taşıyıcı dosyalar ortalaması 5.0/10, F marka taklitçiliği ve J kaçınma ortalaması 5.6/10, D URL kimlik avı ortalaması 5.8/10, E QR kodlu kimlik avı ortalaması 6.8/10, G BEC ortalaması 6.8/10 ve I GenAI kimlik avı ortalaması 8.2/10.

Kıyaslama puanlaması

Her ürün, test başına beş karardan birini alır:

• BLOCK: Mesaj karantinaya alınır veya reddedilir (2 puan).
• WARN: Ürün bir banner ekler, e-postayı gereksiz klasöre gönderir veya eki çıkarır (0.5 puan).
• LATE: Mesaj önce teslim edilir, ardından teslimattan sonra kaldırılır (1 puan).
• MISS: Mesaj uyarı olmadan gelen kutusuna ulaşır (0 puan).
• FP: Bir kontrol seti mesajı yanlışlıkla işaretlenir (-2 puan ceza).

Tespit oranı; toplam puanın saldırı testleri için mümkün olan maksimum puana bölünmesi ve ardından yüzde olarak ifade edilmesiyle hesaplanır. Mümkün olan maksimum puan, saldırı testi sayısının ikiyle çarpımına eşittir.

Yanlış pozitif oranı ayrıca raporlanır. Meşru postayı engelleyerek %90 tespit oranına ulaşan bir ürün, hiç yanlış pozitif olmadan %80 tespit oranına ulaşan bir üründen daha fazla operasyonel risk oluşturur.

Yeniden üretilebilirlik ve araçlar

Kıyaslama, kendi kendine yeten tek bir PHP betiğinden çalışır. Betik; özel bir çok parçalı oluşturucuyla bellekte 100 MIME mesajı oluşturur. Yükleri yerel olarak üretir: ZIP'ler, AES-256 şifreli ZIP'ler, tar.gz dosyaları, tek dosyalık .gz dosyaları, JavaScript eylemleri olan PDF'ler, HTML smuggling örnekleri, onload JavaScript'li SVG dosyaları, doğru Shell Link CLSID'li Windows .lnk dosyaları ve UTF-16LE bağımsız değişken bloğu ile minimal bir ISO 9660 disk görüntüsü.

Betik, her testi gönderen grubuna göre doğru SMTP yolundan gönderir.

Her mesaj şu izleme başlıklarını içerir: X-Bench-Id, X-Bench-Run, X-Bench-Product, X-Bench-Category, X-Bench-Case ve X-Bench-Group. Bu başlıklar her testi gelen kutuları, karantina konsolları ve ürün günlükleri genelinde izlenebilir kılar.

Ayrı bir doğrulama düzeneği, iletimden önce 1.800'den fazla sağlamlık denetimi çalıştırır. Her testin gerekli alanlara sahip olduğunu, her zorluk derecesinin [1, 10] aralığında veya kontroller için sıfır olduğunu ve EICAR'ın; parola korumalı ve üç katmanlı iç içe arşivler dahil her B kategorisi ekinde mevcut ve kurtarılabilir olduğunu doğrular.

Doğrulayıcı ayrıca PDF'lerin geçerli %PDF- başlıkları ve %%EOF işaretçileri içerdiğini, PNG'lerin geçerli imzalar ve IEND yığınları içerdiğini, SVG'lerin iyi biçimlendirilmiş XML olarak ayrıştırıldığını, LNK dosyasının doğru Shell Link CLSID'ye ve beklenen PowerShell bağımsız değişken dizesine sahip olduğunu, ISO 9660 Birincil Birim Tanımlayıcısı'nın sektör 16'da doğru \x01CD001 imzasıyla göründüğünü ve grup çıkarımının belgelenen Grup L ve Grup S ayrımıyla eşleştiğini denetler.

Manuel karar girişinden sonra üçüncü bir betik, ürün başına CSV'leri işler. Test başına yan yana karar tablosu, kategori başına tespit oranları, toplam puanlar, tespit oranı yüzdeleri, yanlış pozitif sayıları ve üç adli alt tablo içeren karşılaştırmalı bir rapor üretir:

1. Önemsiz ama kaçırılan vakalar; en az bir MISS ile zorluk ≤ 2 olarak tanımlanır
2. Yüksek zorlukta ancak yakalanan vakalar; en az bir BLOCK ile zorluk ≥ 8 olarak tanımlanır
3. Tüm yanlış pozitif olaylar

Etik ve operasyonel kısıtlar

Gerçek kötü amaçlı yazılım oluşturulmadı veya iletilmedi. Kötü amaçlı ekler; EICAR antivirüs test dizgisini, Avrupa Bilgisayar Antivirüs Araştırma Enstitüsü tarafından tanımlanan 68 karakterlik bir test belgesini veya zararsız göstericileri kullanır. Örnekler arasında JavaScript'i app.alert çağıran bir PDF, EICAR dizgisi üzerinde URL.createObjectURL kullanan bir HTML sayfası ve onload'u var olmayan bir endpoint'i çağıran bir SVG bulunur.

Canlı kimlik avı altyapısı kullanılmadı. Test URL'leri üç güvenli hedeften birine çözümlenir: RFC 2606'da tanımlanan .invalid rezervasyonlu TLD, kontrolümüz altında olan ve 404 sunan yer tutucu .tk alan adları veya kıyaslama için kaydedilmiş ve hiçbir içerik sunmayan m1crosoft-account.com ve xn--pple-43d.com gibi parodi ana bilgisayarlar.

Kimlik bilgisi toplama sayfası dağıtılmadı. Tüm test posta kutuları test ekibine aittir ve onlar tarafından izlenir. SMTP kimlik bilgileri kıyaslamayla sınırlandırılmıştır ve her çalışmadan sonra değiştirilir.

Bu benchmarkı kaynak gösterin

Yayınlayacağınız yere uygun formatı seçin. Bağlantılı sürümü CMS'inize yapıştırmak, geri bağlantıyı korur.

@misc{dogan2026,
  author = {Dogan, Sedat},
  title  = {{E-posta Güvenliği Çözümleri: Acronis Email Security & Sophos}},
  year   = {2026},
  month  = sep,
  howpublished    = {\url{https://aimultiple.com/email-security-solutions}},
  note   = {AIMultiple. Erişim tarihi: 30 Eylül 2026}
}

Sedat Dogan

CTO

Takip Et

Sedat, yazılım geliştirme, ağ altyapısı ve siber güvenlik alanlarında 20 yıllık deneyime sahip bir teknoloji ve bilgi güvenliği lideridir. Sedat:
- Programlama dilleri ve sunucu mimarileri konusunda kapsamlı uzmanlığa sahip, 20 yıllık deneyime sahip bir beyaz şapkalı hacker ve geliştirme gurusudur.
- Erken aşama teknoloji şirketlerine yatırım yapan bir VC'de ve 125.000 işletmeye hizmet veren bölgesel bir dijital ödeme platformu olan Ödeal'da yönetim kurulu danışmanıdır.
- Yedi ulusal seçimin teknoloji altyapısını ve siber güvenliğini yönetmiş ve Twitter dahil küresel teknoloji liderleri tarafından siber güvenlik Onur Listesi'nde tanınmıştır.

Tam Profili Görüntüle

Yorum yapan ilk kişi olun

E-posta adresiniz yayınlanmayacak. Tüm alanlar gereklidir. Yorumlar orijinal dilinde bırakılır.

Ad

E-posta Adresi

Yorum

0/450

Yorumu Gönder