正解：イ
各選択肢の解説
ア社員の送信時にSMTP-AUTHで利用者を認証し、認証できない送信を自社のサーバで拒否する。
誤り。SMTP-AUTHは、自社のメールサーバを使って送る人を認証する仕組みです。 詐称メールは攻撃者が自前のサーバから送っているので、自社のサーバを通らず、 ここでの認証では止められません。受信側が確かめる手段も増えません。
イ自社のメールを送る正規のサーバのIPアドレスを、SPFレコードとして自社ドメインのDNSに公開する。
正解。受信側はメールを送ってきたサーバのIPアドレスを、DNSに公開された SPFレコードと照合できます。載っていないサーバからのメールは詐称の疑いと判断できます。
ウOP25Bと同じ考え方で、社内のPCから外部の25番ポートへ直接送るメールを遮断する。
誤り。OP25Bは、ISPが動的IPアドレスの利用者から外部の25番ポートへの直接送信を 止める迷惑メール対策です。止められるのは自分のネットワークの内側からの送信で、 外部の攻撃者が自社を名乗って送るメールには効きません。
エ取引先のメールサーバとの間の通信をTLSで暗号化し、経路上での盗み見を防ぐ。
誤り。TLSで守れるのは経路上の盗聴や改ざんです。送信者を詐称したメールも 暗号化された経路で届きうるので、送ったサーバが正規かどうかの確認にはなりません。
理解を深めるために
差出人の住所を、本人が「出せる場所の一覧」で公表しておく
封筒の差出人欄は誰でも書けます。そこで、会社があらかじめ「当社の郵便はこの郵便局からしか 出しません」と公表しておけば、受け取った人は消印を見て、偽物を見分けられます。 送信ドメイン認証は、この「公表」を送信側のドメインが行い、「照合」を受信側が行う仕組みです。
なぜ送信側が対策するのか
メールの送信者のドメイン名は、送る側が自由に書けてしまいます。詐称メールを受け取るのは取引先ですが、 本物かどうかを判断する材料は、名乗られたドメインの持ち主（自社）しか用意できません。
- SPF: 自社のメールを送る正規のサーバのIPアドレスをDNSに公開する。 受信側は、送ってきたサーバのIPアドレスと照合する
- DKIM: 送信側のサーバがメールに電子署名を付け、検証用の公開鍵をDNSに公開する。 受信側は署名を検証し、送信元ドメインと改ざんの有無を確かめる
どちらも受信側が照合して初めて効くので、取引先のサーバが検証していることも前提です。 また、SPFが照合するのは配送上の送信者（エンベロープの送信者）のドメインで、 画面に表示される差出人（ヘッダーのFrom）とは別のことがあります。 両者をそろえて判定し、失敗時の扱いを受信側に示すにはDMARCを組み合わせます。
混同しやすいものとの違い
| 仕組み | 何を防ぐか |
|---|---|
| SPF・DKIM（送信ドメイン認証） | 受信側が、メールが正規の送信元から来たかを確かめる |
| SMTP-AUTH | 自社のサーバを使って送る人を認証し、無断の利用を防ぐ |
| OP25B | ISPの利用者から外部の25番ポートへの直接送信を止める |
| TLS | 経路上での盗聴・改ざんを防ぐ |
試験では、守りたいのが「自社サーバの無断利用」「経路」「受信側から見た送信元の正しさ」の どれかで見分けます。他人が自社を名乗るのを見破らせたいなら送信ドメイン認証です。