想像一下：你的公司剛剛成為一場大規模資料外洩的受害者。罪魁禍首不是一種複雜的惡意程式，零日漏洞，或是被入侵的防火牆，而是來自一位副總的帳號，以一個不明的IP地址登入，透過一封乾淨無瑕的純文字電子郵件請求緊急匯款。

在現代的威脅環境中，攻擊者已經意識到一件重要的事：為何要強行闖入，當你只需要登入即可？

隨著組織轉向雲端，電子郵件安全與身份管理的界線完全模糊。傳統的電子郵件安全正在失敗，因為它們只是尋找壞檔案，而攻擊者卻忙於竊取良好的身份。以下是雲端電子郵件安全應該如何運作，以對抗以身份為主的攻擊。

核心問題：傳統電子郵件安全的幻影

幾十年來，安全電子郵件閘道（SEG）就像企業網路的保全一樣，負責檢查進來的流量，查找已知的壞籍、惡意附件以及可疑的網址。

但在雲端優先的世界裡（像是Microsoft 365和Google Workspace），周邊不再存在。

攻擊者利用可信的基礎設施：釣魚網站托管在合法的SharePoint或Google Drive連結上。

無需載荷的攻擊主導：商業電子郵件妥協（BEC）和供應商電子郵件妥協通常不包含任何連結和附件，而是完全依賴社會工程與身份冒充。

攻擊在「家裡」發生：如果攻擊者透過會話劫持攻擊竊取用戶的憑證，他們可以在內部發送惡意電子郵件。傳統的SEG根本無法看到這一切。

什麼是以身份為主的攻擊？

以身份為主的攻擊針對的是人員元素和保護他們的身份驗證機制。它們不是利用軟體漏洞，而是利用信任。常見的策略包括：

• 會話劫持/ Cookie盜竊：透過竊取有效的會話令牌來繞過多因素驗證（MFA）。
• 憑證重用：在多個平台上使用洩露的密碼。
• 類似域名和顯示名稱偽造：創建一個看起來與公司高層或可信供應商相同的電子郵件地址（例如，[email protected]，而不是company.com）。

現代雲端電子郵件安全的藍圖

要在充滿以身份為主的威脅的世界中生存，電子郵件安全不再能孤軍奮戰。它必須從周邊過濾器演變為一個整合的、身份意識的行為引擎。以下是實際的樣貌：

1. 從閘道轉向基於API的架構

現代電子郵件安全必須通過原生API位於雲端電子郵件提供商內，而不是在前面。基於API的解決方案擁有完全的可見性。它們可以掃描內部電子郵件，分析歷史通訊模式，甚至在威脅到達收件箱後回溯補救威脅。

2. 建立動態的「行為基準」

安全工具不應只是尋找壞的事情，而是必須深入了解什麼是正常的。透過與身份提供者（如Okta、Entra ID或Ping Identity）的整合，以身份為主的電子郵件安全平台建立用戶行為的基準：

• 這位用戶通常什麼時候登入？
• 他們通常使用哪些設備和地點？
• 他們通常與誰進行溝通，其語氣或寫作風格又是什麼？

如果一位高層突然從新的IP地址發送電子郵件給財務部，要求匯款，並使用了他們從未用過的語言，系統應自動標記這封郵件，即使MFA檢查通過。

3. 持續的風險基礎身份驗證

身份驗證不是登錄時的一次性事件。如果用戶的電子郵件行為突然改變（例如，他們開始將敏感郵件大規模轉發到外部地址），電子郵件安全引擎必須將這個風險數據回饋給身份提供者（IdP）。這會觸發自動響應，例如強制重新驗證提示、提升MFA，或完全終止活動會話。

4. 供應鏈和供應商風險檔案

你可能擁有世界級的安全，但你的供應商呢？攻擊者經常會對第三方供應商進行攻擊，並利用他們合法的電子郵件帳戶發起對你的攻擊。

現代電子郵件安全必須持續映射你的組織供應鏈，分析外部合作夥伴的聲譽和通訊頻率，以便偵測到何時一個受信任的供應商的身份被劫持。

前進的道路：對郵箱實施零信任

採用以身份為主的電子郵件安全方法意味著應用零信任的核心原則：永遠不相信，始終驗證。

以身份為主的安全箴言：將每封郵件視為不僅僅是一個數據片段，而是一個身份的聲明。

當你的電子郵件安全解決方案能夠立即將消息的內容與發送身份的上下文進行交叉檢查時，攻擊者的計劃將不再奏效。是時候停止單一關注周邊，開始確保定義你業務的身份了。