[新製品・サービス]
TwoFive、企業のメールセキュリティ対策約70項目を調査・スコア化する「MXSCORE/25」
2024年10月24日(木)日川 佳三（IT Leaders編集部）
TwoFiveは2024年10月24日、メールセキュリティ評価サービス「MXSCORE/25」を提供開始した。企業・組織のメールシステムを安全・安定運用するために確認が必要な約70項目を調査してスコアを付け、改善が必要な項目については対策を提案する。メールのドメイン情報さえ分かれば利用可能である。料金は要問い合わせで、スポット契約または年間契約となる。
TwoFiveの「MXSCORE/25（エムエックススコア25）」は、メールシステムのセキュリティ対策をスコアリングするサービスである。企業・組織のメールシステムを安全・安定運用するために確認が必要な約70項目を調査してスコアリングし、改善が必要な項目については対策を提案する。対象のメールドメインさえ分かれば調査可能である（画面1）。
画面1：項目別分析（MXレコード）で評価Cのサンプル画面（出典：TwoFive）拡大画像表示
同サービスは、調査対象となるメールドメインのMTA（メール中継）サーバーやメールボックスサーバー（受信サーバー）、DNSレコードなどについて約70項目以上をチェックし、それぞれについてA、B、C、D、Fの5段階でスコアを付ける。DNSに関しては、DMARC/DKIM/SPFなどの送信ドメイン認証の設定が正しいか、レコード構文に問題がないか、ドメインがBlock Listに登録されていないかを確認する。
ダッシュボードで全体の概況を把握できるほか、項目別の対応状況と推奨する対策が分かる。各種セキュリティ規格の順守状況については、スコアリングに加えて詳細な説明を付与する。ソフトウェアの脆弱性については、最新のCVE情報に基づき、対応の要/不要を含めて判断を支援する。緊急性の高いものは、メール、Slack、アプリケーションのアラートなどで通知する。
調査には、OSINT（公開脅威情報）を活用する。調査項目によっては、MXSCORE/25からメールドメインにメールをテスト送信するなどして確認する。
料金は要問い合わせ。年間契約またはスポット契約で、現状把握や継続的な安全性の確認など目的に応じて利用可能である。調査するメールドメインはウォッチリストとして複数を登録可能で、企業・組織のメインドメインのほか、事業部専用ドメイン、グループ会社のドメインなどの状況を確認できる。
表1は、MXSCORE/25の主なチェック項目である。
| カテゴリ | チェック項目 |
|---|---|
| DNS関連 | ドメインレピュテーション（メールドメインがブロックリストに載っていないか） |
| MTA（IPアドレスがPBL、SBL、XBLなどのメールドメインがブロックリストに載っていないか） | |
| MXレコード（AS番号、IPv4 / IPv6対応、MXのTTL、MXレコード記述など） | |
| SPFレコード（ポリシー、文法、DNSルックアップ回数など） | |
| DKIMレコード（アルゴリズム、鍵長、文法など） | |
| DMARCレコード（ポリシー、文法、PCTタグ） | |
| BIMIレコード（証明書の有無・有効期限、SVG画像、文法など） | |
| メールボックスサーバー | TLS（バージョン、暗号強度、発行者、鍵長、証明書有効期限など） |
| MTAサーバー | バウンスメール（DKIM署名有無） |
| Open Relay（第三者中継状態の確認） | |
| Replay attack（DKIM鍵の最新更新、ヘッダーサインなど） | |
| TLS（バージョン、暗号強度、発行者、鍵長、証明書有効期限など） | |
| その他 | CVE情報（関連する脆弱性情報） |
| LDAPインジェクション対策（IMAP4/POP3/SMTP/Webmail用LDAPフィルタのバイパスチェック） | |
| S/MIME対応情報（バージョン、発行者、鍵長、証明書の有効性など） |
