【テクニカル・上級編】【中級者向け】受信メールのヘッダー情報を解析し、SPF/DKIM認証失敗メールを自動で隔離フォルダへ移動するセキュリティツール – Outlook VBA解析バイブル

境界線を再定義せよ：Outlook VBAによるヘッダー解析を用いた高度なメール検疫アーキテクチャ

標準的なOutlookの「仕分けルール」を信じているのであれば、君はまだプロフェッショナルの入り口にすら立っていない。

標準ルールは、`From`、`Subject`、あるいは特定の単語といった「表層的なメタデータ」に基づいた、極めて脆弱なフィルタリングに過ぎない。巧妙に偽装されたフィッシングメールや、ドメインを乗っ取ったなりすまし攻撃に対して、それらが機能することはない。

真の防御とは、メールの「血流」とも言えるTransport Headers（転送ヘッダー）を直接解析し、SPF (Sender Policy Framework) や DKIM (DomainKeys Identified Mail) の認証結果を、通信の物理層に近いレベルで検証することにある。

本稿では、Outlook VBAを単なる「自動化ツール」から、エンタープライズ環境における「軽量な検疫ゲートウェイ」へと昇華させるための、極限の知見を共有する。

1. 抽象化の罠：PropertyAccessorによる真実へのアクセス

多くの開発者は、`MailItem` オブジェクトの公開プロパティ（`Subject` や `SenderEmailAddress`）に依存する。しかし、セキュリティ解析に必要な `Authentication-Results` ヘッダーは、これらのプロパティには露出していない。

我々がアクセスすべきは、MAPIプロパティの深層、具体的には `PR_TRANSPORT_MESSAGE_HEADERS` である。これを利用するには、`PropertyAccessor` オブジェクトを使い、MAPIプロパティタグを直接指定してバイナリまたは文字列として抽出する必要がある。

核心となるプロパティタグ

`http://schemas.microsoft.com/mapi/proptag/0x007D001E`

このタグこそが、メールの全履歴、すなわち認証の成否が刻まれた「真実のログ」への鍵である。

2. 実装：高精度ヘッダー解析エンジンの構築

以下に、`NewMailEx` イベントを利用した、メモリ効率と堅牢性を極限まで高めた実装例を示す。

`NewMailEx` は `NewMail` と異なり、受信したアイテムの `EntryID` を引数として渡す。これにより、大量のメールが同時着信した際のスレッドセーフな処理、およびオブジェクトのライフサイクル管理が容易になる。

Option Explicit

' --- 定数定義: MAPIプロパティタグ ---
Private Const PR_TRANSPORT_MESSAGE_HEADERS As String = "http://schemas.microsoft.com/mapi/proptag/0x007D001E"

' --- セキュリティ設定 ---
Private Const QUARANTINE_FOLDER_NAME As String = "隔離フォルダ_SecurityAlert"

''' <summary>
''' 受信メールイベントハンドラ
''' </summary>
''' <param name="EntryID">受信したアイテムの識別子</param>
Public Sub Application_NewMailEx(ByVal EntryID As String)
    Dim olItem As Object
    Dim olMail As Outlook.MailItem
    Dim isThreat As Boolean
    
    On Error GoTo ErrorHandler

    ' 1. オブジェクトの取得
    Set olItem = Application.Session.GetItemFromID(EntryID)
    
    ' MailItem以外（会議出席依頼等）を除外するガード節
    If Not TypeOf olItem Is Outlook.MailItem Then
        Set olItem = Nothing
        Exit Sub
    End If
    
    Set olMail = olItem

    ' 2. セキュリティ解析の実行
    isThreat = AnalyzeMailSecurity(olMail)

    ' 3. 脅威判定時のアクション
    If isThreat Then
        MoveToQuarantine olMail
    End If

CleanUp:
    ' --- ライフサイクル管理: メモリリークの徹底排除 ---
    ' 大規模運用において、COMオブジェクトの明示的解放は必須である
    Set olMail = Nothing
    Set olItem = Nothing
    Exit Sub

ErrorHandler:
    ' 本来はここを外部ログ（EventLogやDB）へ書き出す設計にする
    Debug.Print "Critical Error in NewMailEx: " & Err.Description
    Resume CleanUp
End Sub

''' <summary>
''' ヘッダー解析ロジック: SPF/DKIMの認証失敗を検知
''' </summary>
Private Function AnalyzeMailSecurity(ByRef mail As Outlook.MailItem) As Boolean
    Dim headers As String
    Dim regEx As Object
    Dim matches As Object
    Dim isFail As Boolean
    
    isFail = False
    
    On Error Resume Next
    ' PropertyAccessorを使用して生のヘッダーを取得
    headers = mail.PropertyAccessor.GetProperty(PR_TRANSPORT_MESSAGE_HEADERS)
    If Err.Number <> 0 Then
        ' ヘッダーが取得できない場合は、未知の脅威として扱うか、スキップするかをポリシーで決定する
        AnalyzeMailSecurity = False
        Exit Function
    End If
    On Error GoTo 0

    ' 正規表現オブジェクトの初期化 (VBScript.RegExp)
    Set regEx = CreateObject("VBScript.RegExp")
    With regEx
        .Global = True
        .IgnoreCase = True
        ' パターン: Authentication-Results 内の spf=fail または dkim=fail を捕捉
        ' 複雑なヘッダー構造に対応するため、非貪欲なマッチングを検討
        .Pattern = "(spf|dkim)=fail"
    End With

    ' 解析実行
    Set matches = regEx.Execute(headers)
    
    ' マッチングが存在すれば、認証失敗とみなす
    If matches.Count > 0 Then
        isFail = True
    End If

    AnalyzeMailSecurity = isFail
    Set regEx = Nothing
End Function

''' <summary>
''' 隔離フォルダへの移動処理
''' </summary>
Private Sub MoveToQuarantine(ByRef mail As Outlook.MailItem)
    Dim targetFolder As Outlook.Folder
    Dim ns As Outlook.NameSpace
    
    Set ns = mail.GetStore
    
    ' 隔離フォルダの取得（存在しない場合は作成するロジックが必要）
    On Error Resume Next
    Set targetFolder = ns.GetDefaultFolder(olFolderInbox).Parent.Folders(QUARANTINE_FOLDER_NAME)
    On Error GoTo 0
    
    If targetFolder Is Nothing Then
        ' 運用環境では、フォルダの自動生成は権限エラーのリスクがあるため、
        ' 事前に管理者によって作成されていることを前提とするのがアーキテクトの流儀である
        MsgBox "隔離フォルダが見つかりません。システム管理者に連絡してください。", vbCritical
        Exit Sub
    End If

    ' 移動実行
    mail.Move targetFolder
End Sub

3. エンジニアリング・ディープダイブ：なぜこの設計なのか

3.1 メモリ管理とオブジェクトのライフサイクル

VBAはCOM（Component Object Model）上で動作している。`MailItem`のような重いオブジェクトをループやイベント内で適切に解放（`Set obj = Nothing`）しない場合、Outlookのプロセスメモリは指数関数的に増大し、最終的に`OutOfMemory`エラー、あるいはOutlook自体のクラッシュを招く。特に`NewMailEx`は、メールの流量に比例して呼び出されるため、「使い終わったら即座に捨てる」という原則を徹底しなければならない。

3.2 正規表現による非構造化データの構造化

メールヘッダーは、RFCに準拠しているとはいえ、実際には非常に「汚い」文字列である。改行コードの混在、大文字小文字の揺れ、不要な空白。これらを愚直な`InStr`関数で解析するのは、素人の仕事だ。`VBScript.RegExp`を用い、パターンマッチングによって非構造化データから特定の「意味（認証失敗）」を抽出する手法が、最も堅牢かつ拡張性が高い。

3.3 システム間連携への展望（レガシーからの脱却）

このVBAコードを単なる「メール移動」で終わらせてはならない。シニアエンジニアであれば、ここで検知した情報を、Windows Event Logへ書き出す、あるいはADO (ActiveX Data Objects) を用いて社内のセキュリティDBへ即座にインサートするといった、システム間連携の設計を視野に入れるべきだ。

これにより、Outlookという「エンドポイント」での検知が、全社的な「インシデントレスポンス」へと昇華される。

結言

VBAは、決して「古い技術」ではない。適切に制御され、低レイヤーのプロパティを掌握し、メモリ管理を徹底したとき、それは極めて強力な、エッジコンピューティングの役割を果たす。

君たちが書くコードの一行一行が、組織の境界線を守る防壁となる。その重みを忘れないことだ。