Stopping business email compromise with AI-driven email security: How VIPRE protects modern enterprises on AWS

通过人工智能驱动的电子邮件安全阻止商业电子邮件妥协：VIPRE 如何在 AWS 上保护现代企业 | AWS 架构博客

通过人工智能驱动的电子邮件安全阻止商业电子邮件妥协：VIPRE 如何在 AWS 上保护现代企业

如果您的组织曾遭遇过传统安全工具无法拦截的复杂电子邮件伪装攻击，那么您需要针对商业电子邮件妥协（BEC）的高级防护。本文将向您展示 VIPRE 如何在其电子邮件安全解决方案中使用人工智能，该方案部署在 AWS 上，面向企业客户。该解决方案能够在邮件到达最终用户之前识别并阻止这些事件，并且可以直接与现有的 Microsoft 365 环境集成。

在本文中，您将了解以下内容：

• 基于人工智能的检测如何识别并阻止 BEC 尝试。
• 为什么基于 AWS 的原生云架构能提供更强的防护。
• 如何在不中断电子邮件流的情况下部署 VIPRE IES。

现代企业面临的电子邮件安全挑战

随着您依赖电子邮件进行关键业务沟通，BEC 给您的组织带来了显著的安全挑战：

• 复杂的伪装：与依赖欺诈链接或附件的传统网络钓鱼不同，BEC 事件利用社会工程学和令人信服的伪装来操控人类行为。根据 VIPRE 安全集团收集的数据，近一半的垃圾邮件（49%）是 BEC 欺诈，犯罪分子假装是公司中的重要人物。他们通常针对首席执行官、人力资源部门和 IT 部门。

• 传统防护的漏洞：依赖邮件交换（MX）记录重定向的传统安全电子邮件网关（SEGs）通常无法识别内部流量、横向移动或邮件线程劫持。这会形成高级攻击者可以利用的安全漏洞。

• 云协作问题：随着您向零信任架构和原生云协作迁移，电子邮件仍然是一个薄弱环节，可能通过各种途径被利用。

VIPRE 需要开发一种解决方案，既能防护这些高级事件，又能与现代云电子邮件环境（如 Microsoft 365）集成。

解决方案概览

为应对复杂的电子邮件风险，VIPRE 开发了 集成电子邮件安全（IES），这是一个完全基于 AWS 的原生云解决方案。该解决方案利用人工智能驱动的检测和原生 Microsoft 365 集成，以防护高级 BEC 事件。

该解决方案包含两个主要组件：

• 机器学习（ML）检测引擎：VIPRE IES 使用多层机器学习技术，分析整个电子邮件结构以识别并阻止复杂事件。这些层包括检测细微伪装的语义相似性模型、检测操控策略的上下文语言模型、意图和主题分析，以及对嵌入链接和附件的高级动态行为分析。

• 原生云架构：基于 AWS 服务构建，VIPRE IES 在生产环境中每天处理超过 50 万封邮件，并设计为可扩展至数百万封，具有低延迟和高可靠性。无服务器架构能够快速扩展以应对需求波动，同时保持安全性和性能。

这种自动化方法无需更改 MX 记录即可防护 BEC 事件，使部署变得简单且无干扰。该解决方案的关键功能包括：

• 原生集成：VIPRE IES 通过安全的 API 与 Microsoft 365 直接集成，实现快速且无缝的部署。

• 实时分析：系统实时分析邮件中的冒充行为、异常模式和欺骗性内容，对可疑邮件进行适当隔离或标记。

• 检测能力：该方案超越传统指标，能够发现操纵的细微迹象，包括紧急触发器、财务请求和数字签名不匹配等。

• 统一管理：集中式仪表板提供风险可视化支持，实现隔离管理，并提供事件模式和趋势的洞察分析。

VIPRE IES 在 AWS 基础设施上使用特定的机器学习模型，可在最小化管理负担的同时识别商务电子邮件妥协（BEC）尝试。

架构与实现

下图展示了解决方案架构。

Figure 1: VIPRE IES 在 AWS 上的架构

VIPRE IES 采用分布式、事件驱动的架构，专门设计用于识别和阻止商务邮件妥协及 AI 生成的钓鱼攻击。该系统以成本效益方式结合 AI 和 ML 技术，分析并中和基于电子邮件的风险。架构由四个关键层级组成：

• 数据摄入层 基于 Amazon Simple Queue Service (Amazon SQS)、Amazon Simple Storage Service (Amazon S3) 和 Amazon Elastic Container Service (Amazon ECS)，实现解耦和弹性扩展。

• AI 和 ML 检测流水线 中，语义分析和动态沙箱通过 Amazon ECS 上的自定义 BERT 模型（搭配 NVIDIA GPU）评估邮件的真实意图，实现高性能邮件分析。

• 响应管理与修复层 基于 Amazon Managed Streaming for Apache Kafka (Amazon MSK) 和 Amazon ECS，作为分析流水线生成风险事件后的即时执行引擎。

• 搜索与分析层 使用 Amazon Relational Database Service (Amazon RDS)、Amazon OpenSearch Service 和 Amazon MSK，提供具备亚秒级延迟的实时分析和搜索能力。

数据摄入

可靠处理数百万封电子邮件带来了重大挑战，尤其是在面对不可预测的流量高峰时。VIPRE 的摄入机制利用 AWS 服务构建了一个高度弹性的系统，无论流量规模如何，均能保持性能和可用性。

• 每个入站电子邮件流都被视为独立任务。原始负载会立即提交到 Amazon S3 作为对象。Amazon S3 提供 99.999999999%（11 个 9）的耐久性，为电子邮件负载存储提供可靠基础。

• 实际处理任务（指向 Amazon S3 对象的轻量级引用）随后被排队到 Amazon SQS（一个全托管消息队列服务）。这种解耦支持可靠的消息处理，缓冲流量高峰，并将摄入过程与下游处理分离。

• 由 Amazon ECS 与 AWS Fargate（用于无服务器容器管理）编排的无状态微服务，从 Amazon SQS 获取任务，提取 Amazon S3 负载，并启动检测流水线。

基于分层智能的 AI 和 ML 检测

在摄入电子邮件数据后，解决方案通过多阶段工作流执行分析，多个引擎并行运行，各阶段通过扇入/扇出模式进行协调。根据引擎的运行方式，大致执行以下四类分析：

• 静态分析：此类引擎将邮件视为被动数据进行分析。定义、规则、签名、启发式方法和分类器可通过热重载功能进行更新。

• 行为分析：从邮件正文提取的各种对象（链接、附件）会在受控环境（也称为沙箱）中打开，系统会监控其执行过程，并通过机器学习分类器和其他引擎识别异常行为。机器学习分类器会进行版本管理，并与沙箱Docker镜像一起分发。启发式规则更新则通过Amazon S3及其事件功能实现。

• 语义分析：电子邮件文本会经过一个文本理解流水线，该流水线使用多个双向Transformer模型执行自然语言处理（NLP）任务，如实体识别和共指解析、意图摘要、零样本分类以及语义相似性匹配。所使用的模型均进行严格版本管理，部署在存储于Amazon Elastic Container Registry（Amazon ECR）中的Docker镜像中，基于PyTorch框架，并计划在NVIDIA GPU上执行。启发式规则和分类嵌入数据集可通过存储在Amazon S3中的Apache Parquet格式包进行独立更新，Amazon Managed Workflows for Apache Airflow（Amazon MWAA）负责协调数据流水线工作流。

• 应用上下文智能：在分析过程中，全局（与客户无关）和本地（与客户相关）数据流会被关联并注入，用于上下文丰富和检测。全局层面：从邮件中提取的工件会与最新出现的风险和IoC进行比对，并通过声誉和分类数据源进行验证。本地层面：发送方声誉、信任列表、角色等信号会被注入分析上下文。系统收集的情报（发现的风险，无论来源）会反馈到安全数据湖中，从而实现对新兴风险的快速识别。Amazon CloudWatch提供对整个检测流水线的集中监控和治理。

响应管理与修复

该层作为平台的控制平面，根据可自定义的VIPRE IES操作规则定义，将检测结果转化为自动化操作。管理员可以针对聚合威胁模型定义特定的匹配表达式，以触发精确的修复工作流。

在内联模式下，该服务作为最终网关，确保高严重性风险（如确认的恶意软件或严重的网络钓鱼）被隔离，防止其进入终端用户的收件箱。这种即时干预可最大限度缩短风险的潜伏时间，立即消除隐患。

该服务提供精细的流程来管理隔离的消息，包括：

• 管理员释放：管理员可全面查看审计日志、引擎评分和原始负载，以安全释放误报内容。

• 终端用户自助释放：对于低风险类别（例如群发邮件），用户会收到安全的元数据摘要，可直接通过门户自助释放相关项目。这可减少管理负担，同时确保所有用户操作均被完整审计以供审查。

交付后修复（回撤）

除了内联拦截功能，系统还通过与邮件服务商的原生API集成，执行程序化撤回操作。这使得服务能够在邮件投递后立即从用户收件箱中撤回恶意邮件，中和“定时炸弹”威胁，防止横向移动。

通过平衡即时内联执行与灵活的发布工作流程，响应和补救服务在不干扰合法商业通信的前提下，最大化保护效果。

搜索与分析

这一层形成闭环，将持续的安全遥测数据流转化为安全运营人员可操作的实时情报。

• 系统中所有状态变更和判定结果均作为事件发布到Amazon MSK集群。Amazon MSK提供了高度耐用、有序且可扩展的事件流，能够处理海量数据的高速度。

• 事件被消费后，通过上下文元数据（例如用户、组别配置）进行丰富，然后提交到Amazon关系型数据库服务（Amazon RDS）。Amazon RDS提供自动备份和高可用性，作为长期、可审计的系统记录。

• 系统通过变更数据捕获（CDC）实时从Amazon RDS流式传输更新，实现即时搜索结果。这种低延迟管道将数据填充到Amazon OpenSearch Service，支持对安全遥测数据进行亚秒级分析查询。

• 搜索与分析服务提供强大的API，为VIPRE的仪表板和交互式报告提供支持。这些功能可执行亚秒级复杂分析查询，为安全团队提供实时的安全态势和风险可视化。查询和结果严格限定在客户端租户ID范围内，强制实施多租户隔离，确保数据分离保障，同时支持快速事件响应。

实际防护：VIPRE IES如何阻止高级别的BEC事件

VIPRE IES的AI检测成功识别并阻止了传统电子邮件安全系统可能遗漏的复杂BEC和其他隐蔽事件。以下是其在实际场景中的运作方式：

• “紧急电汇”事件：会计或财务部门的员工收到一封看似来自CEO或CFO的邮件。邮件营造出紧迫感，声称一项关键业务交易需要立即向新供应商电汇资金。VIPRE IES的意图感知AI将邮件分类为财务请求，检测语言模式中的紧迫性触发点，并识别用户伪装及其他风险指标，自动隔离该邮件。

• “机密或法律事务”事件：员工收到一封看似来自高级领导或法务部门的邮件，主题为“机密法律事务——律师-客户特权”。邮件要求员工提供敏感信息。VIPRE IES的语义分析引擎标记了使用情绪化、高压语言以制造虚假紧迫感和机密感的行为。

• “线程劫持”事件：当供应链合作伙伴的电子邮件账户被入侵，攻击者将欺诈性付款指令插入合法邮件线程时，VIPRE的对话线程评分和域名分析会立即识别这些复杂事件，防范利用伪造邮件线程的场景。

• “钓鱼二维码（quishing）”场景：在“钓鱼二维码”攻击中，攻击者会将二维码图像嵌入到电子邮件中，通常会营造出紧迫感，例如“安全更新”或“密码过期”，诱使收件人使用移动设备扫描该二维码，从而将他们引导至钓鱼网站。VIPRE IES通过使用多层高级分析技术来应对此类攻击，包括使用图像分析解码URL，然后在隔离的云沙箱中对URL进行实时行为分析。

这些用例展示了VIPRE IES如何通过应用多层人工智能和机器学习检测技术，分析邮件上下文、发件人行为和通信模式，从而提供针对现代商务电子邮件攻击（BEC）全方位的防护能力。

结果与影响

部署VIPRE IES后，其先进的检测能力与原生AWS架构的结合，在以下三个关键领域产生了倍增效应：

1. 中和复杂的BEC电子邮件

通过利用AWS计算的弹性，以大规模运行深度AI和机器学习语义分析，VIPRE IES成功阻止了绕过传统安全工具的复杂BEC事件。这通过实时识别恶意意图，显著降低了组织面临财务欺诈和电汇诈骗的风险。

这些能力已在实际生产环境中得到验证。在VIPRE欧洲（EU）和北美（NA）生产环境的一个24小时样本周期内，VIPRE IES扫描了517,726封邮件（EU地区376,847封，NA地区140,879封），检测到5,508次BEC攻击（EU地区3,853次，NA地区1,655次）。BEC攻击约占所有扫描邮件的1%。每一次检测都代表系统识别出的潜在欺诈尝试。这种分析深度也具备高效处理能力。在禁用动态沙箱时，P95消息处理延迟（每小时平均）范围为1.4至15秒；在启用完整沙箱分析时，延迟范围为39至78秒。这在保持实时防护的同时，不会影响合法邮件的正常流转。

1. 提升运营效率并减少警报疲劳

IES检测模型的精准性，结合Amazon SQS、Amazon MSK和Amazon ECS的高吞吐量处理能力，使安全团队能够专注于调查真实风险，而非管理误报。这有效减少了警报疲劳，支持更主动的防御姿态。

1. 加速防护响应时间

由于平台基于云原生、以API驱动的架构，部署速度显著加快。无需更改MX记录，解决方案可在数分钟内部署，而非数天，从而在保持现有邮件基础设施的同时加速防护。这种敏捷性还能够立即提供对传统网关常忽略的内部风险的可见性。

除了立即缓解BEC和零日威胁，平台的原生集成还通过强大的加密、细粒度基于角色的访问控制（RBAC）和全面的审计日志，支持严格的企业合规要求。这些安全改进有助于在组织各层级（从终端用户到高管团队）重建对电子邮件通信的信任。

结论

现代电子邮件威胁已超越传统安全工具的防护能力，在您的防御体系中形成危险的盲区。基于 AWS 服务并结合先进的 AI 和 ML 技术，VIPRE IES 提供了一款云原生解决方案，可有效防御复杂的商务电子邮件攻击（BEC）。通过将基础设施的“繁重工作”交由 AWS 云的全球覆盖能力和弹性扩展处理，VIPRE IES 构建出既精准又强大的安全防护体系。

VIPRE Security 与 AWS 联合打造了这款精准且可扩展的解决方案，专门应对特定的电子邮件安全挑战。通过免除 MX 记录更改需求并直接集成 Microsoft 365，VIPRE IES 提供了加速实现价值的部署路径。

要开始提升电子邮件安全防护：

• 审查当前电子邮件安全状况，识别商务电子邮件攻击防护的薄弱环节。
• 在 AWS Marketplace 探索 VIPRE IES，了解部署选项。
• 联系 AWS 和 VIPRE 团队，讨论您的具体安全需求。

了解 AWS 安全最佳实践和云原生电子邮件防护：

• AWS Well-Architected Security Pillar
• Amazon SQS
• Amazon ECS
• AWS 上的人工智能和机器学习
• 零信任架构
• Amazon S3
• AWS Fargate
• Amazon MSK
• Amazon RDS
• Amazon OpenSearch Service
• Amazon CloudWatch
• Amazon ECR
• Amazon MWAA

了解更多

• 探索 VIPRE IES

VIPRE Security Group

VIPRE Security Group 是一家领先的互联网安全解决方案提供商，致力于保护企业和家庭用户免受网络风险。25 年来，VIPRE 一直运营着全球最大的情报云之一，为用户提供了针对当今最严峻在线威胁的卓越防护。获奖产品组合包括下一代防病毒终端云和 EDR 解决方案、MDR、渗透测试、高级电子邮件安全产品、数据泄露意识培训、实时恶意软件分析情报以及安全意识和合规培训。