メールセキュリティ製品の導入を検討していると、候補に挙がることがあるのがFortinetの「FortiMail」です。
FortiGateは知っているけど、FortiMailはあまり知らない、という人もいるのではないでしょうか。
私も実際にFortiMailを運用してきましたが、なかなか便利な製品だと思っています。
特に助かるのが、迷惑メール対策とメールのトラブル調査です。
「メールが届かないんだけど？」
「取引先から送ったと言われたのに、受信できていない」
「このメール、本当に安全なの？」
こういった問い合わせは、メールサーバーを管理していると結構あります。
FortiMailは、メールを検査するだけでなく、こうした問題の調査にも役立ちます。
今回は、カタログに書かれている機能を紹介するだけでなく、実際に運用して感じたメリット・デメリット、導入時に気をつけたいポイントを紹介します。
FortiMailとは？簡単に説明すると
FortiMailは、Fortinetが提供する企業向けのメールセキュリティ製品です。
簡単に言うと、メールサーバーに届く前に怪しいメールを検査したり、送信メールをチェックしたりする製品です。
主な機能には、以下のようなものがあります。
- 迷惑メール（スパム）の検知
- フィッシングメール対策
- ウイルスやマルウェアの検査
- 添付ファイルの検査・制御
- 不審なURLの検査
- SPF・DKIM・DMARCを利用したメール認証
- メールの隔離やログ調査
- 情報漏えい・誤送信対策
利用できる機能は、製品形態、ライセンス、バージョン、構成によって異なります。
FortiMailには、オンプレミスのアプライアンス、仮想アプライアンス、クラウド型などの選択肢があります。
FortiMailはメールサーバーなの？
ここは少し誤解されやすいところです。
FortiMailにはメールボックスを扱うサーバーモードもありますが、既存のメール環境に追加する場合は、メールゲートウェイとして利用する構成もあります。
例えば、次のような構成です。
インターネット
│
▼
FortiMail
│
│ 迷惑メール・ウイルス検査
│
▼
社内メールサーバー
│
▼
利用者のメールソフトこの構成なら、既存のメールサーバーを大きく変更せずに、メールセキュリティを追加できます。
Microsoft 365と組み合わせる構成もありますが、利用するFortiMailの製品形態によって接続方法や設定は異なります。
実際に運用して感じたFortiMailのメリット
1. 迷惑メールをかなり減らせた
私がFortiMailを運用していて、まず効果を感じたのが迷惑メール対策です。
過去に担当していた環境では、受信メールの多くを迷惑メールが占めていました。
その多くをFortiMailで隔離できていたため、利用者のメールボックスに届く迷惑メールをかなり減らすことができました。
これは結構大きなメリットです。
迷惑メールが多いと、利用者が必要なメールを見落とす原因にもなりますし、不審なURLや添付ファイルを開いてしまうリスクも高くなります。
もちろん、FortiMailを導入すればすべての迷惑メールが止まるわけではありません。
それでも、利用者の目に触れる前に怪しいメールを減らせるのは、メールセキュリティ製品を導入する大きな意味だと思います。
2. 「メールが届かない」の調査がしやすい
個人的には、ここもFortiMailの良いところだと思っています。
メールサーバーを管理していると、利用者から「メールが届かない」という問い合わせが来ることがあります。
ただ、この問い合わせだけでは原因がわかりません。
例えば、
- そもそも送信元からメールが届いていない
- FortiMailでスパム判定されて隔離されている
- ウイルス検査で拒否されている
- メール認証の結果が判定に影響している
- FortiMailから後段のメールサーバーへ配送できていない
など、原因はいろいろ考えられます。
FortiMailでは、メールの送信元・宛先・時刻などを手掛かりにログを検索できます。
そこで確認したいのが、そのメールをFortiMailが受信したのか、どのような判定をしたのか、最終的にどう処理したのかという点です。
例えば、FortiMailで隔離されていることが確認できれば、メールが届かない原因をかなり絞り込めます。
反対に、FortiMailに受信記録がなければ、送信元側やDNS、ネットワーク経路などを調査する必要があります。
このように、調査する場所を切り分けやすいのは便利です。
ただし、ログの保存期間や検索性能は、モデル、設定、保存容量などによって変わります。
3. SPF・DKIM・DMARCの調査にも役立つ
メールのなりすまし対策で重要なのが、SPF・DKIM・DMARCです。
それぞれ簡単に説明すると、次のようになります。
| 技術 | 主な役割 |
|---|---|
| SPF（Sender Policy Framework） | 送信元IPアドレスが、そのドメインで許可された送信元か確認する |
| DKIM（DomainKeys Identified Mail） | 電子署名によって、メールの正当性を検証する |
| DMARC（Domain-based Message Authentication, Reporting and Conformance） | SPF・DKIMの認証結果とドメインの整合性を利用して、なりすましメールの扱いを決める |
実際の運用では、メール認証の設定に問題がある送信元もあります。
例えば、正規の取引先から届いたメールなのに、SPFの認証結果が想定と違う、といったケースです。
こういうときに重要なのが、単純に「SPFが失敗したから拒否する」と判断しないことです。
メール転送などによってSPFが失敗することもありますし、DMARCはSPF・DKIMの結果だけでなく、ドメインの整合性も関係します。
FortiMailの判定結果やログを確認しながら、なぜそのメールが拒否・隔離されたのかを調査できるのは、運用上のメリットだと感じます。
4. FortiGateを使っている環境では検討しやすい
すでにFortiGateを使っている企業なら、FortiMailも導入候補に入れやすいと思います。
Fortinet製品に慣れていれば、セキュリティプロファイルやログ調査といった考え方も理解しやすいでしょう。
また、構成やライセンスによってはFortiSandboxと連携し、不審な添付ファイルを追加解析することもできます。
ただし、FortiGateを導入しているからといって、FortiMailとの連携がすべて自動的に行われるわけではありません。
導入前に、利用したい機能が対応しているか確認する必要があります。
FortiMailを導入するなら知っておきたいデメリット
1. 設定を厳しくすればよい、というわけではない
メールセキュリティ製品で一番気をつけたいのが、正常なメールの誤検知です。
怪しいメールをブロックするのは大切ですが、正常なメールまで止めてしまうと業務に影響します。
例えば、取引先からの見積書や請求書が届かないと困りますよね。
FortiMailにはさまざまな検査機能がありますが、最初からすべて厳しく設定するのはおすすめしません。
私なら、まずログを確認できる状態にして、どのようなメールが検知されるかを把握します。
そのうえで、隔離・拒否などの処理を段階的に調整します。
セキュリティを強化することと、業務で必要なメールを正常に配送すること。このバランスが重要です。
2. 導入時のメール配送設計が重要
FortiMailをメールゲートウェイとして導入する場合、メールの配送経路が変わります。
そのため、単にFortiMailを設置して終わりではありません。
確認したいのは、例えば次のような項目です。
- MXレコードの変更が必要か
- FortiMailから後段メールサーバーへの配送先
- メールサーバーからFortiMailへの送信経路
- SPF・DKIM・DMARCへの影響
- TLS通信の設定
- 障害時のメール配送とキューの扱い
- メールのループが発生しない構成になっているか
特に注意したいのが、メールの配送経路です。
設定を間違えると、メールが届かなくなるだけでなく、メールループなどの問題が発生する可能性もあります。
導入前には、現在のメール配送経路を図にして整理しておくことをおすすめします。
また、可能であれば販売店やSIerに相談して、検証機や検証環境で事前に動作確認しておくと安心です。
3. 誤検知が発生したときの運用も考えておく
FortiMailを導入すると、管理者には新しい仕事も増えます。
それが、隔離メールの確認や誤検知対応です。
例えば、利用者から「取引先のメールが届かない」と問い合わせがあった場合、ログを確認して、必要に応じて隔離メールの扱いを判断することになります。
ここで気をつけたいのが、安易に送信元ドメイン全体を許可リストに登録しないことです。
例外設定を増やしすぎると、せっかく導入したセキュリティ機能の効果が弱くなる可能性があります。
誤検知が発生した場合は、まず判定理由を確認してから、必要最小限の範囲で調整するのがよいと思います。
4. ライセンス費用と保守費用がかかる
FortiMailは、導入時の製品費用だけでなく、継続的な費用も考える必要があります。
例えば、
- ハードウェアまたは仮想アプライアンスの費用
- セキュリティサービスのライセンス
- FortiCareなどの保守
- FortiSandboxなどの追加機能
- 導入設計や構築作業
- 運用・保守の工数
などです。
必要な契約や費用は、利用する製品形態やサービスによって異なります。
また、ライセンスの有効期限が切れた場合に、どの検査機能へ影響するかも確認しておきたいところです。
費用を比較する際は、初期費用だけでなく、3年または5年程度の総保有コストで考えることをおすすめします。
FortiMail Cloudという選択肢もある
FortiMailにはクラウド型の選択肢もあります。
オンプレミス型の場合、機器の設置、ファームウェア更新、障害対応、冗長化などを考える必要があります。
クラウド型なら、サービス提供側が担当する基盤管理の範囲が広がるため、自社で管理する機器を減らせるメリットがあります。
ただし、クラウド型でもメール配送設定、ポリシー調整、誤検知対応、利用者からの問い合わせ対応などは必要です。
「クラウドだから運用不要」というわけではありません。
社内に専任のメール管理者が少ない場合は、オンプレミス型とクラウド型の両方を比較してみるとよいでしょう。
FortiMailを導入する前に確認しておきたいこと
私なら、導入前に以下の項目を整理します。
| 確認項目 | 確認する理由 |
|---|---|
| 1日の送受信メール数 | 必要な処理性能やサービス規模を判断する |
| 現在のメール配送経路 | 導入時の経路変更を把握する |
| 迷惑メールの発生状況 | 導入効果を比較するための基準にする |
| 誤検知時の対応方法 | 正常メールが止まった際の業務影響を減らす |
| 障害時の配送方法 | メール配送を継続できる構成を検討する |
| ログ保存期間 | トラブル調査に必要な履歴を確保する |
| ライセンス・保守費用 | 継続的な運用コストを把握する |
特におすすめなのが、導入前の迷惑メール数や問い合わせ件数を記録しておくことです。
導入後に比較できれば、FortiMailによってどれくらい改善したのかを説明しやすくなります。
FortiMailはどんな企業に向いている？
私がFortiMailをおすすめしたいのは、次のような環境です。
- 迷惑メールが多く、利用者からの問い合わせが多い
- メールのなりすまし対策を強化したい
- 添付ファイルや不審なURLの検査を強化したい
- 既存のメールサーバーにセキュリティ機能を追加したい
- FortiGateなどのFortinet製品をすでに利用している
- メールのログ調査を効率化したい
ただし、Microsoft 365を使用している場合は、標準機能やMicrosoft Defender for Office 365などの既存・追加機能との比較も必要です。
FortiMailを追加することで何が改善されるのか、機能が重複しないか、運用負荷が増えすぎないかを確認してから判断するのがよいでしょう。
まとめ：FortiMailはメールの調査にも役立つ製品
FortiMailは、迷惑メールやマルウェアを検知するだけの製品ではありません。
実際に運用してみると、メールの配送状況や検知理由を調査する際にも役立ちます。
私が特に便利だと感じたのは、次の2点です。
1つ目は、利用者に届く迷惑メールを減らせたこと。
2つ目は、メールが届かないときに、ログから原因を調査しやすいこと。
一方で、導入時の配送設計や誤検知への対応は重要です。
メールは業務に欠かせないものなので、セキュリティを強化した結果、正常なメールまで届かなくなっては困ります。
FortiMailを検討している場合は、カタログの機能だけでなく、実際のメール配送経路や運用体制まで含めて検討することをおすすめします。
個人的には、「怪しいメールを止める」だけでなく、「メールのトラブルを調査しやすくする」ことも、FortiMailを導入するメリットの一つだと思っています。
コメント