Kontrola DMARC
Väčšina domén s DMARC záznamom má nastavené, aby nerobila nič. Záznam existuje, kontrolný zoznam je odškrtnutý a ktokoľvek môže stále posielať presvedčivé správy v mene domény. Skontrolujte doménu, ktorú ovládate, a získajte celý záznam aj politiku, ktorú skutočne nastavuje.
Sledované, nielen skontrolované
Toto je jeden sken jednej vrstvy spustený raz. V AYAsec sa rovnaká kontrola spúšťa podľa plánu nad každým aktívom, ktoré vlastníte, a upozorníme vás v deň, keď známka klesne.
Čo DMARC robí, čo SPF a DKIM nerobia
SPF určuje, ktoré servery môžu odosielať za doménu. DKIM podpíše správu, aby príjemca zistil, že nebola zmenená. Ani jeden však neurčuje, čo urobiť pri zlyhaní kontroly - bez DMARC väčšina príjemcov správu doručí.
DMARC je tento pokyn. Je to TXT záznam na _dmarc.vasadomena.sk, ktorý prijímajúcemu serveru hovorí, čo urobiť s neúspešnou správou, kam posielať reporty a ako prísne porovnávať doménu v hlavičke s kontrolovanou doménou.
Šesť dôvodov skontrolovať vlastný DMARC
01
Politika, ktorá znamená „všimni si to a nič nerob“
| Politika | Čo príjemca urobí s neúspešnou správou |
|---|---|
p=none | Doručí ju. Pošle report a nič viac |
p=quarantine | Presunie ju do spamu |
p=reject | Úplne ju odmietne |
p=none je správne miesto na začiatok a nesprávne miesto na zotrvanie. Najprv sledujte niekoľko týždňov, nájdite legitímnych odosielateľov a až potom zapnite vynútenie.
02
Prečo nemožno preskočiť rovno na reject
Každá organizácia odosiela z viac miest, než si pamätá: helpdesk, fakturačný nástroj, newsletter, starý server alebo formulár. Pri p=reject sa všetko neautorizované prestane doručovať. Postup je preto none, prečítanie reportov, povolenie legitímnych odosielateľov, quarantine a nakoniec reject.
03
Reporty, ktoré nikto nečíta
Záznam môže mať dve reportovacie adresy: rua pre denné agregované XML súhrny a ruf pre detailné chybové reporty. Agregované reporty sú pointou p=none, ale bez nástroja, ktorý ich zozbiera a zobrazí, sa nedajú čítať. Záznam bez adresy rua nevie plniť svoju úlohu.
04
Zarovnanie a prečo môže SPF prejsť, ale DMARC zlyhať
SPF kontroluje envelope sender, ktorý čitateľ nevidí. DMARC kontroluje doménu v hlavičke From: a vyžaduje, aby SPF alebo DKIM nielen prešli, ale aj súhlasili s touto doménou. Nastavenia aspf a adkim určujú, či je zhoda voľná (r) alebo prísna (s).
05
Subdoména bez vlastnej politiky
sp určuje politiku subdomén. Ak chýba, subdomény zvyčajne zdedia hlavnú politiku. Pozor na p=reject spolu s sp=none: hlavná doména je chránená, ale subdomény zostávajú otvorené.
06
Dôkaz pre ľudí, ktorí sa pýtajú menom
Poisťovne a firemní zákazníci sa čoraz častejšie pýtajú na konkrétnu hodnotu politiky DMARC. Datovaný report o zázname a jeho zmene je lepšia odpoveď než snímka DNS panelu a je to dôkaz, ktorý si môžete uchovať.
Poznajte deň, keď sa politika zmení
DMARC možno oslabiť jednou úpravou, keď sa legitímna pošta odmieta. Plánované skeny zmenu zachytia a oznámia: politika prešla z quarantine na none, záznam sa zmenil. Upozornenia prídu v aplikácii, e-mailom alebo cez Slack, Teams, Jira či webhook.
Krok 01 · Pomenujte doménu
Doména, ktorú ovládate, pridaná do účtu AYAsec. Vlastníctvo sa overí pred spustením a preukázanie vyžaduje jeden DNS záznam. Rýchla kontrola vyššie je bez účtu a iba obmedzuje požiadavky podľa IP.
Krok 02 · Nechajte kontrolu prebehnúť
DMARC záznamy sú verejné, preto sa čítajú, nie aktívne testujú. Vyhľadá sa _dmarc rovnako, ako by to urobil prijímajúci mailový server.
Krok 03 · Prečítajte výsledok
Nálezy prídu zoradené podľa závažnosti a so známkou A+ až F. Chýbajúci záznam a politika iba sledujúca stav nie sú v jednom nerozlíšenom zozname.
Súčasť čoho to je
DMARC je jedným z poštových záznamov, ktoré AYAsec kontroluje v DNS skene spolu s SPF, DKIM, MTA-STS, TLS-RPT a DNSSEC. Je to jeden sken a táto stránka vysvetľuje iba jednu jeho časť.
DNS tvorí 20 % výslednej známky. HTTP tvorí 30 %, TLS a porty po 20 % a dôveryhodnosť domény 10 %. Spolu je to správa útočnej plochy v praxi.
Otázky pred kontrolou
Čo môžem kontrolovať?
Infraštruktúru, ktorú vlastníte alebo máte zmluvne povolené testovať. Rýchla kontrola to za vás neoveruje; účet AYAsec overí vlastníctvo pred plánovaným skenom.
Neposielame z tejto domény e-maily. Potrebujeme DMARC?
Áno. Doména, ktorá nič neposiela, by to mala povedať explicitne - SPF povoľujúci nikoho a DMARC s politikou reject. Zaparkovanú doménu bez záznamov možno ľahko napodobniť.
Ako dlho zostať na p=none?
Aspoň celý cyklus vlastného odosielania, zvyčajne niekoľko týždňov. Dlhšie než štvrťrok často znamená, že reporty nikto nečíta.
Rozbije reject niečo?
Zastaví odosielateľov, ktorí nie sú autorizovaní. Medzi nimi môžu byť zabudnuté vlastné nástroje, preto sú potrebné predchádzajúce fázy.
Musí prejsť SPF aj DKIM?
Nie. Stačí, aby prešiel a bol zarovnaný jeden z nich. DKIM je v praxi odolnejší pri preposielaní.
Uchovávate výsledky?
Rýchla kontrola zostáva v pamäti približne pätnásť minút. V účte AYAsec sa každý plánovaný sken uchováva, aby ste videli, kedy sa politika oslabila.
Uchovávajte históriu, nielen výsledok
Spustite úplný DNS sken vlastných domén podľa plánu a nechajte si oznámiť, keď sa politika zhorší.