【実務・中級編】【中級者向け】受信メールのヘッダー情報を解析し、SPF/DKIM認証失敗メールを自動で隔離フォルダへ移動するセキュリティツール – Outlook VBA解析バイブル

【極限の知見】Outlook VBAによる「防御型」自動化：ヘッダー解析を用いたSPF/DKIM認証失敗メールの隔離実装

業務自動化の世界において、「メールを仕分ける」というタスクは初歩中の初歩だ。しかし、多くの開発者が陥る罠がある。それは、「ユーザーに見えているプロパティ（Sender名やSubject）だけでロジックを組んでしまう」という致命的な設計ミスだ。

偽装された送信者名、改ざんされた表示名。これらに依存した自動化は、セキュリティツールとしては失格である。真に堅牢なツールを構築したいのであれば、メールの「外装」ではなく、その「内部構造（ヘッダー情報）」に直接アクセスし、プロトコルレベルの認証結果を解析しなければならない。

本記事では、中級者へのステップアップとして、MAPIプロパティを直接叩き、正規表現を用いてSPF/DKIM認証の成否を判定する「防御型」自動化ツールの設計・実装手法を伝授する。

1. 設計思想：なぜ「プロパティ」ではなく「ヘッダー」なのか

一般的なVBA開発者は、`MailItem.SenderEmailAddress` を参照して条件分岐を行う。しかし、これは攻撃者にとって最も容易に突破できる脆弱な設計だ。

真に信頼すべき情報は、メールサーバーが受信時に付与する `Authentication-Results` ヘッダーに含まれる情報である。ここには、SPF（Sender Policy Framework）やDKIM（DomainKeys Identified Mail）の検証結果が、サーバーの署名付きで刻印されている。

採用するアーキテクチャ

1. イベント駆動型設計: `NewMailEx` イベントを利用し、受信の瞬間に処理をトリガーする。
2. MAPIプロパティ・アクセス: `PropertyAccessor` を使い、標準オブジェクトでは取得できない生のインターネットヘッダーを抽出する。
3. 正規表現による解析: 複雑なヘッダー文字列から、特定の認証ステータス（`spf=fail` や `dkim=fail`）をピンポイントで抽出する。
4. 疎結合なモジュール構成: 判定ロジックとアクション（移動）を分離し、保守性を高める。

2. 実装の核心：MAPIプロパティの取得

Outlookの `MailItem` オブジェクトは、ユーザー向けの情報を抽象化したものに過ぎない。生のヘッダーを取得するには、`PropertyAccessor` を介して、特定のMAPIプロパティタグを指定する必要がある。

インターネットメッセージヘッダーを格納しているプロパティタグは以下の通りだ：
`http://schemas.microsoft.com/mapi/proptag/0x007D001E` (PR_TRANSPORT_MESSAGE_HEADERS)

これを知っているかどうかが、プロとアマチュアの分水嶺となる。

3. プロダクション・コード例

以下に、そのまま実務に投入できるレベルのコード構造を示す。
注意: このコードを動かすには、VBAエディタの「ツール」→「参照設定」から “Microsoft VBScript Regular Expressions 5.5” にチェックを入れておくこと。

Module: `modSecurityEngine` (ロジック層)

Option Explicit

' プロパティタグの定数定義
Private Const PR_TRANSPORT_MESSAGE_HEADERS As String = "http://schemas.microsoft.com/mapi/proptag/0x007D001E"

''' <summary>
''' メールのヘッダーを解析し、セキュリティリスクを判定する
''' </summary>
''' <param name="itm">解析対象のMailItem</param>
''' <returns>リスクあり(True) / なし(False)</returns>
Public Function IsSecurityRisk(ByVal itm As Outlook.MailItem) As Boolean
    On Error GoTo ErrorHandler
    
    Dim strHeaders As String
    Dim regEx As New RegExp
    Dim matches As MatchCollection
    
    ' 1. MAPIプロパティから生ヘッダーを取得
    ' PropertyAccessorはオブジェクトのライフサイクルに依存するため、エラーハンドリングが必須
    strHeaders = itm.PropertyAccessor.GetProperty(PR_TRANSPORT_MESSAGE_HEADERS)
    
    ' 2. 正規表現の設定
    ' SPFまたはDKIMが 'fail' または 'softfail' となっている箇所を探す
    ' パターン解説: (spf|dkim)=(fail|softfail)
    With regEx
        .Global = True
        .IgnoreCase = True
        .Pattern = "(spf|dkim)=(fail|softfail)"
    End With
    
    ' 3. 解析実行
    Set matches = regEx.Execute(strHeaders)
    
    ' 判定結果の格納
    If matches.Count > 0 Then
        IsSecurityRisk = True ' リスクあり
    Else
        IsSecurityRisk = False ' リスクなし
    End If
    
    Exit Function

ErrorHandler:
    ' ヘッダーが存在しない、あるいはアクセス権限がない場合の処理
    Debug.Print "Error parsing headers for: " & itm.Subject & " - " & Err.Description
    IsSecurityRisk = False
End Function

''' <summary>
''' 隔離フォルダへの移動処理
''' </summary>
Public Sub QuarantineMail(ByVal itm As Outlook.MailItem)
    On Error GoTo ErrorHandler
    
    Dim targetFolder As Outlook.Folder
    Dim quarantineFolderName As String
    quarantineFolderName = "⚠️SECURITY_QUARANTINE" ' 隔離用フォルダ名
    
    ' 隔離フォルダの取得（存在しない場合は作成する設計が望ましい）
    Set targetFolder = GetOrCreateFolder(itm.Parent, quarantineFolderName)
    
    ' 移動実行
    itm.Move targetFolder
    Debug.Print "Mail Quarantined: " & itm.Subject
    
    Exit Sub

ErrorHandler:
    Debug.Print "Critical Error in Quarantine: " & Err.Description
End Sub

''' <summary>
''' フォルダの存在確認および作成（堅牢性のためのユーティリティ）
''' </summary>
Private Function GetOrCreateFolder(ByVal parentFolder As Outlook.Folder, ByVal folderName As String) As Outlook.Folder
    Dim fld As Outlook.Folder
    On Error Resume Next
    Set fld = parentFolder.Folders(folderName)
    On Error GoTo 0
    
    If fld Is Nothing Then
        Set fld = parentFolder.Folders.Add(folderName)
    End If
    Set GetOrCreateFolder = fld
End Function

Class Module: `clsApplicationEvents` (イベント監視層)

Option Explicit

Public WithEvents objItems As Outlook.Items

''' <summary>
''' 新着メール受信時のイベントハンドラ
''' </summary>
Private Sub objItems_NewMailEx(ByVal EntryID As String)
    Dim objNamespace As Outlook.NameSpace
    Dim objItem As Object
    Dim objMail As Outlook.MailItem
    
    Set objNamespace = Application.GetNamespace("MAPI")
    Set objItem = objNamespace.GetItemFromID(EntryID)
    
    ' 受信したアイテムがMailItemであることを確認（会議出席依頼などを除外）
    If TypeOf objItem Is Outlook.MailItem Then
        Set objMail = objItem
        
        ' セキュリティ解析エンジンの呼び出し
        If modSecurityEngine.IsSecurityRisk(objMail) Then
            modSecurityEngine.QuarantineMail(objMail
        End If
    End If
End Sub

Standard Module: `modMain` (起動用)

Option Explicit

Dim AppEvents As New clsApplicationEvents

''' <summary>
''' 監視ツールの起動
''' </summary>
Public Sub StartSecurityMonitor()
    Dim objNS As Outlook.NameSpace
    Set objNS = Application.GetNamespace("MAPI")
    
    ' 受信トレイのItemsを監視対象に設定
    Set AppEvents.objItems = objNS.GetDefaultFolder(olFolderInbox).Items
    
    MsgBox "Security Monitor Started.", vbInformation
End Sub

4. プロフェッショナルのための「運用・保守」の心得

このコードをプロダクション環境に投入する際、以下の3点に留意せよ。これを行わない者は、エンジニアではなく単なる「スクリプト書き」だ。

① ログの外部出力

VBAの `Debug.Print` は開発中には有用だが、運用環境では無意味だ。判定結果やエラー内容を、テキストファイルやCSVとしてローカル、あるいはネットワーク共有フォルダに書き出すロジックを追加せよ。これにより、「なぜあのメールが隔離されたのか」というユーザーからの問い合わせに即座に回答できる。

② パフォーマンスへの配慮

`NewMailEx` は高負荷な環境（大量のメールが短時間に届く環境）では、処理が追いつかずにOutlookがフリーズする原因になり得る。解析ロジックを極限まで軽量化すること、そして可能であれば、解析処理自体を別プロセスや別スレッドへ逃がす設計を検討すべきだが、VBAの制約下では「いかに無駄なオブジェクト生成を避けるか」が勝負となる。

③ 誤検知（False Positive）への備え

SPF/DKIMの判定は、送信側のサーバー設定不備によって「正当なメール」が失敗判定されるケースが多々ある。隔離フォルダに移動したメールを、ユーザーが「安全である」と判断した際に、簡単に元の場所に戻せるような「復旧手順」または「復旧用スクリプト」もセットで提供するのが、真のアーキテクトの仕事だ。

結論

VBAによる自動化は、単なる「作業の短縮」に留まってはならない。それは「システムの信頼性を高めるための手段」であるべきだ。
MAPIプロパティを理解し、正規表現で構造を解析する。この一歩踏み込んだアプローチこそが、ビジネスの現場で真に求められる「プロフェッショナルな自動化」への入り口である。