Suodattimella on kaksi mahdollista paikkaa
Jokainen yrityssähköposti suodattaa jo postia. Microsoft 365:ssä, Google Workspacessa, Exchange-palvelimessa ja hostatussa palvelimessa on sisäänrakennettu roskapostin ja virusten torjunta. Tämä suodatin on suunniteltu sitä kantavalle alustalle: sen säännöt, raportit ja lokit elävät tällä alustalla ja lähtevät sen mukana sinä päivänä, kun palveluntarjoaja vaihdetaan.
SMTP-yhdyskäytävä. Postilaatikon edelle sijoitettu sähköpostipalvelin. RFC 5321, joka kuvaa postin siirron internetissä, kutsuu ”siirtoagentiksi” (MTA) palvelinta, joka vastaanottaa viestin ja välittää sen eteenpäin. Verkkotunnuksen MX-tietue osoittaa yhdyskäytävään: lähettävät palvelimet ottavat siis ensimmäisenä yhteyttä siihen.
Analyysin jälkeen yhdyskäytävä toimittaa viestin postilaatikkopalvelimelle. Käyttäjät eivät näe sitä. He pitävät sähköpostiohjelmansa, verkkosähköpostinsa ja puhelimensa.
Käytännön seuraus: yhdyskäytävä ei riipu postilaatikosta. Sähköpostipalvelimen voi vaihtaa vaihtamatta suodatinta tai suodatinta voi vahvistaa vaihtamatta palvelinta. Ne ovat kaksi erillistä hankintaa, joista päätetään erikseen.
Ennen toimitusta vai sen jälkeen
Suodatin voi toimia kahdessa vaiheessa, eikä valinta ole yhdentekevä.
- Ennen toimitusta. Viesti analysoidaan sen kulkiessa läpi. Jos se arvioidaan vaaralliseksi, se ei tule postilaatikkoon. Haitallinen liite voidaan poistaa ja korvata tiedotteella. Epäilyttävä viesti menee karanteeniin sen sijaan, että se toimitettaisiin.
- Toimituksen jälkeen. Viesti on jo postilaatikossa, kun analyysi valmistuu tai kun uutta tietoa saapuu, esimerkiksi muutamaa tuntia myöhemmin ilmoitettu linkki. Työkalun on silloin käytävä poistamassa se. Sillä välin käyttäjä on voinut avata sen, klikata tai välittää liitteen.
Molempia tapoja yhdistetään usein: analyysi ennen toimitusta ja sen jälkeen klikkaushetkellä jatkuva suojaus, koska vastaanottohetkellä puhdas sivusto voidaan myöhemmin muuttaa haitalliseksi. Kumpikaan ei väitä pysäyttävänsä kaikkea.
Klytic tekee analyysin ennen postilaatikkoa yksinkertaisesta syystä: mitä ei toimiteta, sitä ei tarvitse jälkikäteen poistaa. Tämä ei poista inhimillisen valppauden tarvetta, kun uskottava viesti läpäisee kaikki tarkistukset, kuten toimitusjohtajahuijauksessa.
Miksi tietoturva-MTA sijoitetaan palvelimen eteen
- Työkalu, jonka tehtävä tämä on. Yhdyskäytävä ei hallinnoi kalentereita eikä tallennustilaa. Sen säännöt koskevat lähettäjää, sisältöä ja liitteitä, ja niitä säädetään verkkotunnuskohtaisesti.
- Suojaus, joka pysyy paikallaan. Se säilyy postilaatikkopalvelimen vaihdon yli ja voi kattaa useita palvelimia kerralla: tytäryhtiön, vanhan sähköpostijärjestelmän ja uuden alustan.
- Päätös luettavissa samassa paikassa. Jokaisessa viestissä on päätöksen peruste riippumatta siitä, mikä palvelin sen sitten vastaanottaa.
- Toinen mielipide. Sähköpostin integroitu suodatin toimii edelleen yhdyskäytävän takana.
Mitä se maksaa: yksi välittäjä lisää reitillä. Se on ilmoitettava postilaatikkopalvelimelle, muuten tämä näkee kaiken postin saapuvan yhdestä osoitteesta ja arvioi todellisen lähettäjän väärin. Myös SPF, DKIM ja DMARC on tarkistettava. Sivu Nykyisen sähköpostinne suojaaminen kuvaa nämä asetukset.
Asia koskee kaikkia
ANSSI:n mukaan sähköposti on ”työaseman tärkein tartuntareitti”, ja sähköpostijärjestelmät ovat ”yksi tärkeimmistä hyökkäysreiteistä, koska ne ovat hyvin laajasti käytössä ja alttiina internetille”. Tietojenkalastelu, haitallinen liite, väärä maksumääräys: kohteeksi joutumiseen riittää sähköpostiosoite, ja mikroyritys on kohteena siinä missä suuri konserni.
ANSSI on nostanut sähköpostin suojaamisen yhdeksi digitaalisen tietoturvan kymmenestä kultaisesta säännöstään, ja sen toimenpideluettelo suosittaa roskapostin ja tietojenkalastelun torjuntaratkaisun käyttöönottoa. Sen opas tietojärjestelmän liittämisestä internetiin muistuttaa, että sähköpostin ammattikäyttö on hyvin yleistä ”yksikön koosta ja toimialasta riippumatta”, ja että roskapostin torjunnan ja haitallisen sisällön etsinnän mekanismit ”on otettava käyttöön”.
Postin tietoturvasuodatus ei siis ole enää valinnainen. Todellinen kysymys on, mihin se sijoittuu ja mitä se osaa pysäyttää ennen kuin viesti saapuu postilaatikkoon.
Yhdyskäytävä lisää sähköpostin suodattimeen analyysin, joka ei riipu postilaatikkojenne ohjelmistotoimittajasta, saman politiikan useille palvelimille tai yhtiöille sekä päätökset, jotka voidaan selittää.
Mikään suodatin, integroitu tai eteen sijoitettu, ei korvaa ANSSI:n muistuttamia toimintatapoja: älä klikkaa epäilyttävää linkkiä tai liitettä, älä vastaa epäilyttävään sähköpostiin, tarkista asia toista kanavaa pitkin ja ota kaksivaiheinen tunnistautuminen käyttöön.
Mitä yhdyskäytävä näkee ja mitä se säilyttää
Päätöksen tekemiseksi yhdyskäytävä lukee koko viestin: ilmoitetun lähettäjän ja lähettävän palvelimen, todennuksen tulokset (SPF, DKIM, DMARC), tekstin, linkit ja liitteet. Niiden perusteella se tekee päätöksen: toimitus, karanteeni, hylkäys tai tuntemattoman lähettäjän viivästys.
Lukeminen ei ole säilyttämistä. Oikea kysymys palveluntarjoajalle on: mitä jää jäljelle ja kuinka pitkäksi aikaa? Klytic MTA:n vastaus erottaa kolme tapausta sekä päätöksen jäljen.
| Tilanne | Mitä säilytetään | Kesto |
|---|
| Normaali toimitus | Analyysin henkilötiedot (lähettäjä, vastaanottajat, aihe, sisältö, liitteiden nimet) poistetaan. Jäljelle jäävät aikaleima, lähettäjän verkkotunnus, pisteet ja päätös. | Poisto oletuksena 2 päivän jälkeen, aika säädettävissä |
| Vaarallinen viesti karanteenissa | Koko viesti salattuna | Vapautuslinkin voimassaoloaika, 7 päivää |
| Postilaatikkopalvelin ei tavoitettavissa | Viesti salattuna (AES-256-GCM) jonossa | Toimitukseen tai määräajan umpeutumiseen asti |
| Kaikki päätökset | Pisteet ja peruste ilman sisältöä | Tekniset tiedot säilytetään tilastoja varten |
”Viestejä ei tallenneta normaalikäytössä” tarkoittaa siis: toimitetusta postista ei jää pysyvää kopiota. Se ei tarkoita ”nolla tietoa”. Yhdyskäytävä säilyttää päätöstensä jäljen ja muutaman päivän ajan analyysin yksityiskohdat. Aikarajat kuvataan oppaassa Sähköpostin tietoturvalokien säilyttäminen ja tarkastelu.
Reitti vaihe vaiheelta
- Lähettävä palvelin hakee verkkotunnuksenne MX-tietueen. Se löytää yhdyskäytävän ja toimittaa viestin sille.
- Yhdyskäytävä tarkistaa lähettäjän (todennus, maine), viestin (linkit, teksti, tunnettu kuvio) ja sitten liitteet.
- Puhdas viesti: se toimitetaan sähköpostiinne, oli se mikä tahansa: Microsoft 365, Google Workspace, Exchange, Klytic Mail tai muu palvelin.
- Vaarallinen viesti: se menee salattuun karanteeniin. Vastaanottajalle ilmoitetaan, ja hän voi vapauttaa sen linkillä, jos kyse on virheestä.
- Hylätty viesti: lähettävä palvelin saa hylkäysilmoituksen ja ilmoittaa käyttäjälleen.
- Postilaatikkopalvelimenne ei vastaa: viesti odottaa salattuna ja toimitetaan heti, kun palvelin palaa.
Tämä reitti perustuu SMTP:n normaaliin toimintaan: palvelin, joka saa tilapäisen virheen, pitää viestin ja yrittää uudelleen. Opas sähköpostin migraatio ilman käyttökatkoa selittää, miksi tämä mekanismi estää postin katoamisen MX-tietueen vaihdon aikana.
Usein kysyttyä
Tarvitseeko pieni yritys tietoturvasuodatusta?
Kyllä. Sähköpostihyökkäykset eivät valitse kohdettaan koon mukaan. Yhdyskäytävä on tapa ottaa suodatus käyttöön vaihtamatta sähköpostia: katso Nykyisen sähköpostinne suojaaminen.
Korvaako yhdyskäytävä Microsoft 365:n tai Google Workspacen suodattimen?
Ei. Integroitu suodatin jatkaa työtään sen takana. Ohjelmistotoimittajat kuvaavat, miten yhdyskäytävä ilmoitetaan, jotta niiden oma analyysi pysyy oikeana: katso Nykyisen sähköpostinne suojaaminen.
Hidastaako yhdyskäytävä postia?
Analyysi lisää yhden vaiheen. Näkyvä tapaus on tarkoituksellinen: tuntematon lähettäjä voidaan asettaa hetkeksi odottamaan, mikä karsii automaattiset lähetykset, jotka eivät koskaan yritä uudelleen.
Voiko sähköpostijärjestelmää vaihtaa ja pitää yhdyskäytävän?
Kyllä. MX-tietue osoittaa edelleen yhdyskäytävään; vain toimituspalvelin vaihtuu. Siirtymän kulku kuvataan oppaassa sähköpostin migraatio ilman käyttökatkoa.
Mitä virheellisesti sivuun siirretylle viestille tapahtuu?
Se on karanteenissa, ei poistettu. Katso Karanteeni, väärät positiiviset ja ilmoitukset.
Mikä ero on omistettuun tai omiin tiloihin asennettuun sähköpostiin?
Se on postilaatikon kysymys, ei suodattimen. Sitä käsitellään oppaassa sähköposti pilvessä, omistettuna vai omissa tiloissanne.
Klyticin asema
Klytic MTA on tällainen yhdyskäytävä. Sen voi tilata erikseen ilman Klytic Mailia, ja se toimittaa postin Klytic Mailiin, Microsoft 365:een, Google Workspaceen, Exchangeen tai mihin tahansa muuhun sähköpostipalvelimeen.
- Essential: todennus ja maine (SPF, DKIM, DMARC myös edelleenlähetetyille viesteille, verkkotunnusten ikä, estolistat), roskapostin ja virusten torjunta, tietojenkalastelun torjunta, samannäköiset verkkotunnukset ja näyttönimi, haitalliset makrot ja PDF-tiedostot, salattu karanteeni ja vapautus, lähetysten DKIM-allekirjoitus, peruutus ennen lähetystä, lähetysten S/MIME-allekirjoitus sähköpostille, joka ei tue sitä, jos asiakas ottaa sen käyttöön ja luovuttaa avaimensa (varmenteen toimitus on lisäpalvelu), epäselvien viestien ratkaiseminen tekoälyllä sekä pisteet ja peruste otsakkeissa.
- Advanced: kaikki Essentialin toiminnot sekä toimitusjohtajahuijaus ja taloudelliset huijaukset, linkkien uudelleenanalyysi klikkaushetkellä, haitalliset HTML-tiedostot, DMARC-konsoli ja SIEM-järjestelmään vietävät lokit.
Palvelu otetaan käyttöön Klyticin pilvessä, omistetulla instanssilla tai palvelimillanne. Klyticin pilvi hostataan millä tahansa sovellettavaa lainkäyttöaluetta vastaavalla maantieteellisellä alueella palvelujen saatavuuden mukaan, erityisesti Euroopassa tai Mauritiuksella. Käyttöönotto kestää yleensä 24–48 tuntia: Klytic valmistelee määritykset, minkä jälkeen te muutatte verkkotunnuksenne MX-tietueen tai Klytic tekee sen puolestanne.
Mitä Klytic MTA ei tee: se ei korvaa sähköpostijärjestelmäänne, sen tilejä eikä oikeuksia, ja se näkee vain sen kautta kulkevan postin. Microsoft 365:n ja muiden sähköpostijärjestelmien osalta katso Nykyisen sähköpostinne suojaaminen.
Tämä sivu kuvaa yleisen arkkitehtuurin. Tarkat asetukset riippuvat sähköpostijärjestelmästänne ja verkkotunnuksistanne.
Lähteet
Tarkistettu lokakuussa 2026.
- RFC 5321, Simple Mail Transfer Protocol: SMTP-palvelimet toimivat siirtoagentteina (MTA); välipalvelimet osoitetaan yleensä DNS:n MX-tietueella. rfc-editor.org
- Klytic, Klytic MTA -sivu: Essential- ja Advanced-pakettien moduulit, lisäpalvelut, käyttöönottotavat, käyttöönotto MX-tietueen kautta, viestien säilytys rajattu jonoon ja karanteeniin. klytic.com
- ANSSI, ”10 règles d’or en matière de sécurité numérique”: 6. sääntö, ”Suojatkaa sähköpostinne”, kuvaa tietojenkalastelun ja suosittaa varomaan epäilyttäviä linkkejä ja liitteitä, tarkistamaan asiat toista kanavaa pitkin ja ottamaan käyttöön kaksivaiheisen tunnistautumisen. cyber.gouv.fr
- ANSSI, ”Guide d’hygiène informatique”, versio 2.0, syyskuu 2017, toimenpide 24 ”Protéger sa messagerie professionnelle”: ”Sähköposti on työaseman tärkein tartuntareitti.” messervices.cyber.gouv.fr
- ANSSI, MonServiceSécurisé, toimenpideluettelo, toimenpide ”Mettre en œuvre une solution d’anti-spam et d’anti-hameçonnage”: ”Sähköpostijärjestelmät ovat yksi tärkeimmistä hyökkäysreiteistä, koska ne ovat hyvin laajasti käytössä ja alttiina internetille.” monservicesecurise.cyber.gouv.fr
- ANSSI, ”Recommandations relatives à l’interconnexion d’un système d’information à Internet”, ANSSI-PA-066, versio 3.0, 19. kesäkuuta 2020, luku 5 ”Sécurisation du service de messagerie électronique”: sähköpostista ”on tullut yksi tärkeimmistä tietoteknisten hyökkäysten reiteistä” (tietojenkalastelu, haitalliset liitteet); § 5.2.3, roskapostin torjunnan ja haitallisen sisällön etsinnän mekanismit ”on otettava käyttöön”. messervices.cyber.gouv.fr
