سیستم‌های امنیتی ایمیل امروزی اغلب بر پایه قوانین و قواعد از پیش تعیین‌شده عمل می‌کنند؛ مشابه سیستم حقوقی “کد مدنی” (Civil Law) که در آن قاضی تنها مجری قوانین مکتوب است. این رویکرد، اگرچه نظم و قطعیت ایجاد می‌کند، اما یک نقطه ضعف بزرگ دارد: این سیستم‌ها تنها تا زمانی به‌روز هستند که قوانین آن‌ها به‌روز باشد. زمانی که فناوری یا روش‌های کلاهبرداری جدیدی ظهور می‌کنند که در قوانین پیشین پیش‌بینی نشده‌اند، سیستم‌های امنیتی دچار بن‌بست می‌شوند.
در امنیت ایمیل، “امضاها” (Signatures) همان قوانین مکتوب هستند. وقتی حمله‌ای مشاهده می‌شود، یک قانون برای آن نوشته می‌شود و از آن لحظه، شما در برابر آن حمله محافظت می‌شوید. اما این روش در برابر حملات “زیرو دِی” (Zero-day) که هیچ قانونی برای آن‌ها وجود ندارد، ناتوان است. حتی مدل‌های تشخیص ناهنجاری (Anomaly Detection) و رفتاری (Behavioral Models) نیز در واقع کتاب‌های قوانین ضخیم‌تری هستند که بر اساس آنچه قبلاً رخ داده آموزش دیده‌اند، اما همچنان فلسفه آن‌ها تغییر نکرده است.
بزرگترین چالش، حملاتی است که از تمام فیلترها عبور می‌کنند. زمانی که حساب ایمیل یک تأمین‌کننده (Supplier) هک می‌شود، پیام از یک دامنه واقعی و با اعتبار (Reputation) بالا ارسال می‌شود. در این حالت، تمام بررسی‌های امنیتی نتیجه “پاک” می‌دهند، زیرا زیرساخت مورد استفاده، معتبر است. گزارش‌های بررسی نشت داده‌ها نشان می‌دهد که حملات مربوط به اشخاص ثالث (Third-party) به شدت در حال افزایش است. در چنین شرایطی، سیستم‌های احراز هویت (Authentication) دقیقاً همان کاری را انجام می‌دهند که برای آن طراحی شده‌اند: تأیید می‌کنند که فرستنده همان کسی است که ادعا می‌کند، اما نمی‌توانند تشخیص دهند که آیا این پیام باید مورد اعتماد باشد یا خیر.
حملات “تقلب در ایمیل تجاری” (Business Email Compromise – BEC) نمونه بارز این موضوع هستند. مهاجمان به جای شکستن قوانین، از چیزی استفاده می‌کنند که قوانین هرگز برای پوشش آن نوشته نشده‌اند. برای مقابله با این تهدید، امنیت باید از حالت “تشخیص” (Detection) به سمت “استدلال” (Reasoning) حرکت کند.
تفاوت اصلی در این است که یک سیستم مبتنی بر استدلال، برخلاف سیستم‌های مبتنی بر الگو، می‌تواند بر اساس اصول و شواهد، با موقعیت‌های جدید برخورد کند. این به معنای کنار گذاشتن قوانین (Signatures) نیست؛ بلکه به معنای داشتن یک لایه هوشمند است که می‌تواند شواهد را بسنجد: آیا رابطه بین فرستنده و گیرنده با درخواست پیام همخوانی دارد؟ آیا ماهیت پیام با رفتارهای معمول سازگار است؟
این رویکرد با مفهوم “اعتماد صفر” (Zero Trust) در تضاد نیست. در حالی که Zero Trust بر مدیریت دسترسی‌ها تمرکز دارد، سیستم‌های مبتنی بر استدلال بر روی “صدور حکم” (Verdict) تمرکز می‌کنند؛ یعنی تعیین اینکه آیا یک پیام واقعاً همان چیزی است که ادعا می‌کند یا خیر. همچنین، در تصمیمات حساس مانند تغییر جزئیات بانکی یا انتقال وجه، سیستم نباید تنها به یک حکم خودکار بسنده کند، بلکه باید موضوع را به انسان (Human-in-the-loop) ارجاع دهد تا تصمیم نهایی توسط فرد مسئول اتخاذ شود.
اگر تعداد حملاتی که از زیرساخت‌های مورد اعتماد (مانند حساب‌های هک شده یا اعلان‌های معتبر Microsoft یا DocuSign) به کاربران شما می‌رسد بالا است، مشکل از اجرای قوانین نیست؛ بلکه مشکل این است که قوانین شما برای توصیف این تهدیدات هرگز نوشته نشده‌اند.
