Kontrola DMARC

Většina domén se záznamem DMARC má nastaveno, že nedělá nic. Záznam existuje, kontrolní seznam je odškrtnutý a kdokoli může stále posílat přesvědčivé zprávy jménem domény. Zkontrolujte doménu, kterou ovládáte, a získejte celý záznam i politiku, kterou skutečně nastavuje.

Co DMARC dělá, co SPF a DKIM nedělají

SPF určuje, které servery mohou odesílat za vaši doménu. DKIM podepíše zprávu, aby příjemce poznal, že nebyla změněna. Ani jeden ale neurčuje, co dělat při selhání kontroly - bez DMARC většina příjemců zprávu doručí.

DMARC je tento pokyn. Jde o TXT záznam na _dmarc.vasedomena.cz, který přijímajícímu serveru řekne, co udělat s neúspěšnou zprávou, kam posílat reporty a jak přísně porovnávat doménu v hlavičce s kontrolovanou doménou.

Šest důvodů zkontrolovat vlastní DMARC

Politika, která znamená „všimni si toho a nic nedělej“

Politika	Co příjemce udělá s neúspěšnou zprávou
`p=none`	Doručí ji. Pošle report a nic dalšího
`p=quarantine`	Přesune ji do spamu
`p=reject`	Úplně ji odmítne

p=none je správné místo pro začátek a špatné místo pro setrvání. Několik týdnů sledujte, najděte legitimní odesílatele a teprve potom zapněte vynucení.

Proč nelze přeskočit rovnou na reject

Každá organizace odesílá z více míst, než si pamatuje: helpdesk, fakturační nástroj, newsletter, starý server nebo formulář. Při p=reject se vše neautorizované přestane doručovat. Postup je tedy none, přečtení reportů, povolení legitimních odesílatelů, quarantine a nakonec reject.

Reporty, které nikdo nečte

Záznam může mít dvě reportovací adresy: rua pro denní agregované XML souhrny a ruf pro detailní chybové reporty. Agregované reporty jsou smyslem p=none, ale bez nástroje, který je sesbírá a zobrazí, jsou nečitelné. Záznam bez adresy rua nemůže plnit svou úlohu.

Zarovnání a proč může SPF projít, ale DMARC selhat

SPF kontroluje envelope sender, který čtenář nevidí. DMARC kontroluje doménu v hlavičce From: a vyžaduje, aby SPF nebo DKIM nejen prošly, ale také souhlasily s touto doménou. Nastavení aspf a adkim určuje volnou (r) nebo přísnou (s) shodu.

Subdoména bez vlastní politiky

sp určuje politiku subdomén. Pokud chybí, subdomény obvykle zdědí hlavní politiku. Pozor na p=reject spolu s sp=none: hlavní doména je chráněná, subdomény ale zůstávají otevřené.

Důkaz pro lidi, kteří se ptají jmenovitě

Pojišťovny a firemní zákazníci se na DMARC ptají stále častěji. Datovaný report o záznamu a jeho změně je lepší odpověď než snímek DNS panelu a je to důkaz, který můžete uchovat.

Znáte den, kdy se politika změní

DMARC lze oslabit jednou úpravou, například když se legitimní pošta odmítá. Plánované skeny změnu zachytí a oznámí: politika přešla z quarantine na none, záznam se změnil. Upozornění přijde v aplikaci, e-mailem nebo přes Slack, Teams, Jira či webhook.

Krok 01 · Pojmenujte doménu

Doménu, kterou ovládáte, přidáte do účtu AYAsec. Vlastnictví se ověří před spuštěním a prokázání vyžaduje jeden DNS záznam. Rychlá kontrola výše je bez účtu a pouze omezuje požadavky podle IP.

Krok 02 · Nechte kontrolu proběhnout

DMARC záznamy jsou veřejné, proto se čtou a neaktivně testují. Vyhledá se _dmarc stejně jako u přijímajícího mailového serveru.

Krok 03 · Přečtěte výsledek

Nálezy přijdou seřazené podle závažnosti a se známkou A+ až F. Chybějící záznam a politika, která pouze sleduje stav, nejsou v jednom nerozlišeném seznamu.

Součást čeho to je

DMARC je jedním z poštovních záznamů, které AYAsec kontroluje v DNS skenu spolu s SPF, DKIM, MTA-STS, TLS-RPT a DNSSEC. Je to jeden sken a tato stránka vysvětluje jen jednu jeho část.

DNS tvoří 20 % výsledné známky. HTTP tvoří 30 %, TLS a porty po 20 % a důvěryhodnost domény 10 %. Dohromady je to správa útočné plochy v praxi.

Otázky před kontrolou

Co mohu kontrolovat?

Infrastrukturu, kterou vlastníte nebo máte smluvně povoleno testovat. Rychlá kontrola to za vás neověřuje; účet AYAsec ověří vlastnictví před plánovaným skenem.

Z této domény neposíláme e-maily. Potřebujeme DMARC?

Ano. Doména, která nic neposílá, by to měla říct výslovně - SPF povolující nikoho a DMARC s politikou reject. Zaparkovanou doménu bez záznamů lze snadno napodobit.

Jak dlouho zůstat na p=none?

Alespoň celý cyklus vlastního odesílání, obvykle několik týdnů. Déle než čtvrt roku často znamená, že reporty nikdo nečte.

Rozbije reject něco?

Zastaví odesílatele, kteří nejsou autorizováni. Mohou mezi nimi být zapomenuté vlastní nástroje, proto jsou potřebné předchozí fáze.

Musí projít SPF i DKIM?

Ne. Stačí, aby prošel a byl zarovnaný jeden z nich. DKIM je v praxi odolnější při přeposílání.

Uchováváte výsledky?

Rychlá kontrola zůstává v paměti asi patnáct minut. V účtu AYAsec se každý plánovaný sken uchovává, abyste viděli, kdy se politika oslabila.

Uchovávejte historii, nejen výsledek

Spusťte úplný DNS sken vlastních domén podle plánu a nechte si oznámit, když se politika zhorší.

Začít skenovat zdarma Porovnat plány

Další kontroly

Zobrazit všechny bezplatné bezpečnostní skenery