[ DNS والمجالات ]
أسماء DKIM CNAME المتدلية بعد إزالة المورد من الخدمة
إيقاف الأسماء المستعارة DKIM التي يديرها المورد مع عمليات التحقق من المحددات النشطة، والتناوب في وضع الاستعداد، والرسائل المتأخرة، والتحكم في الهدف، والوصول المتبقي.
بواسطة فريق البحث EmailAuth · 8 دقائق قراءة
[النقاط الرئيسية]
- يُعد الاسم DKIM وتكوين التوقيع وبيانات اعتماد المورد تبعيات منفصلة.
- تحقق من محددات الاستعداد والرسائل أثناء الرحلة قبل إيقاف عمليات البحث عن المفتاح العام.
- لا تستنتج إمكانية المطالبة المستهدفة أو الإلغاء العالمي الفوري من تغيير DNS .
[ الوجبات الجاهزة ]
أغلق علاقة التوقيع الفعلية، واحتفظ فقط بتبعيات الرسائل المبررة، وتحقق من انسحاب DNS ومصادقة الاستبدال بشكل منفصل.
[ حسب الدور ]
ماذا يعني هذا بالنسبة لك
اختر دورك للخطوات العملية التالية.
تكنولوجيا المعلومات / مدير البريد
تقاعد المحددين بالأدلة
لا تكشف نماذج الرسائل الحديثة عن كل تبعيات التدوير أو قائمة الانتظار.
الخطوات التالية
- جرد الدقيق d=/s= والأهداف المستعارة.
- تحقق من محددات الاستعداد والرسائل المجدولة أو المتأخرة.
- تحقق من الموقّع البديل وحالة DNS للتقاعد.
كبير مسؤولي أمن المعلومات / SecOps
مراجعة التحكم الرئيسي المستمر
يظل هدف المفتاح العام الخارجي معتمدًا على الثقة حتى يتم إيقافه بشكل صحيح.
الخطوات التالية
- التحقق من صحة ضوابط دورة حياة الموفر دون المطالبة بالأهداف.
- تنسيق الوصول إلى التقاعد وأي قرار إلغاء عاجل.
- تجنب التأكيد على اختفاء المفاتيح المخزنة مؤقتًا على الفور.
المؤسس / غير التقنية
إنهاء عملية إبعاد الموردين عبر الفرق
لا يؤدي إغلاق العقد إلى إيقاف سير العمل تلقائيًا أو حذف سجلات DNS .
الخطوات التالية
- تأكد من التطبيقات التي لا تزال تعتمد على المورد.
- الموافقة على الهجرة وتحديد موعد نهائي مبرر للتقاعد.
- تتطلب إغلاق المالك لمهام DNS والتكوين والوصول.
[ الأسئلة الشائعة ]
الأسئلة المتداولة
هل يؤدي حذف حساب المورد إلى إزالة أسماء DKIM CNAME الخاصة به؟
لا تفترض ذلك. إن نشر DNS الخاص بالعميل وتكوين حساب الموفر هما مسؤوليتان منفصلتان؛ التحقق من كلا طرفي العلاقة الخارجية.
هل المحدد الغائب عن البريد الأخير آمن للحذف؟
ليس بالضرورة. يوثق Microsoft 365 المحددات النشطة ووضع الاستعداد للتدوير. تحقق من النموذج الفعلي المدعوم للمورد وسير العمل الأخرى قبل التقاعد.
هل يسمح CNAME نفسه لشخص ما بتوقيع البريد؟
لا. يتطلب التوقيع مفتاحًا خاصًا. يوجه الاسم المستعار اكتشاف المفتاح العام، لذا تظل السيطرة على هدفه تبعية يجب تقييمها بشكل منفصل.
هل يثبت الهدف المفقود وجود خدمة DKIM قابلة للاسترداد؟
لا. لا يؤدي المفتاح أو الهدف المفقود إلى إنشاء سلوك إعادة تعيين الموفر أو التحقق من الملكية. احتفظ بهذا عدم اليقين وابحث عن أدلة موثوقة من المزود.
Microsoft: منع إدخالات DNS المتدلية وتجنب الاستيلاء على النطاق الفرعي
ما المدة التي يجب أن يظل فيها المفتاح القديم منشورًا؟
لا يوجد فاصل عالمي في هذا الدليل. اعتمد القرار على الرسائل الفعلية الموضوعة في قائمة الانتظار والموقعة بالفعل، وسلوك الخدمة، وقرار المخاطر الخاص بمالك الأمان.
هل يجب أن يظل المفتاح المخترق متاحًا للرسائل المتأخرة؟
لا، قد يبرر حادث أمني الإلغاء بشكل أسرع على الرغم من انقطاع التسليم. ويجب على مالك الأمن المسؤول أن يقرر هذا الرد وينسقه.
هل يؤدي حذف CNAME إلى إبطاله في كل مكان على الفور؟
لا. قد تحتفظ وحدات الحل العودية بالاسم المستعار أو البيانات الأساسية المخزنة مؤقتًا. تحقق من الإزالة الرسمية وسجل ملاحظات ذاكرة التخزين المؤقت دون الوعد باختفاء عالمي فوري.
ما الذي يثبت أن المسار البديل جاهز؟
احتفظ بالرسالة المستلمة الخاضعة للرقابة مع هوية التوقيع المقصودة ومسار المرور المتوافق مع العنصر المرئي من. إن حفظ DNS أو شارة الموفر وحدها غير كافية.
[ مصادر ]
مصادر
- RFC1034
الأقسام §3.6 الأسماء المستعارة والأسماء الأساسية · §4.2 كيف يتم تقسيم قاعدة البيانات إلى مناطق · §4.3.4 التخزين المؤقت للاستجابة السلبية
- RFC2308
الأقسام §2. الردود السلبية · §5. تخزين الإجابات السلبية مؤقتًا
- RFC9989
الأقسام محاذاة المعرف · اكتشاف سياسة DMARC
- RFC6376
الأقسام §3.5 حقل رأس DKIM-Signature · §3.6 الإدارة الرئيسية والتمثيل · §5. إجراءات الموقع · §6. إجراءات التحقق
- Microsoft: منع إدخالات DNS المتدلية وتجنب الاستيلاء على النطاق الفرعي
الأقسام ما هو الاستيلاء على النطاق الفرعي؟ · منع إدخالات DNS المتدلية · معالجة إدخالات DNS المتدلية
- Microsoft: قم بتكوين DKIM للمجالات المخصصة
الأقسام بناء جملة سجلات DKIM CNAME · تدوير مفاتيح DKIM · تكوين توقيع DKIM للنطاقات المخصصة
[ مسرد ]
مسرد
- محدد الاستعداد
- محدد يتم الاحتفاظ به لتدوير المفتاح المستقبلي المدعوم من قبل الموفر بدلاً من التوقيع الحالي.
- موعد التقاعد
- النقطة المعتمدة لإزالة عملية بحث قديمة بعد مراجعة تبعيات الرسائل والمخاطر الأمنية.
- تبعية اكتشاف المفتاح
- علاقة بحث DNS التي يحصل المتلقي من خلالها على المفتاح العام لتوقيع DKIM .
مصدر المؤسسة
لماذا كبار المؤسسات المالية والحكومات تقاعدوا من لوحات معلومات أمان البريد الإلكتروني الخاصة بهم.
تبيع لك منصات مصادقة البريد الإلكتروني التقليدية لوحة تحكم وتطلب من مهندسيك القيام بهذا العمل. في البيئات عالية المخاطر، تعني المراقبة اليدوية تأخير التنفيذ، والانحراف في التكوين، ونطاقات الظل غير الخاضعة للمراقبة.
EmailAuth هي منصة مصدر البريد الإلكتروني الوكيل. وكلاؤنا ينفذون p=reject، حافظ على محاذاة المرسلين الخارجيين وانقل نطاقاتك إلى كاملها RFC 9989 الامتثال، وهو معيار DMARC الجديد، مع إمكانية التدقيق البشري في الحلقة.
SaaS · إيجار مخصص · Air-gapped محليًا · تشفير BYOK