يجب أن يوضح سجل مخاطر مصادقة البريد الإلكتروني خدمة الأعمال التي يمكن أن تتضرر والقرار الذي يقلل من هذه المخاطر. "DMARC "مفقود" هو نتيجة فنية، وليس بيان مخاطر كامل. قم بربط الحالة بتهديد موثوق أو مسار فشل، والعملية المتأثرة، والضمانات الحالية والمالك المسؤول.
وصف الخدمة والسيناريو
لكل إدخال، قم بتسجيل الخدمة والمجال ومالك التطبيق والحالة الفنية ووقت الدليل والنتيجة المحتملة. أبقِ حالة عدم اليقين واضحة. يمثل المرسل غير المراقب ثغرة في الأدلة، في حين أن المرسل الشرعي غير المحاذي الذي تم التحقق منه يمثل عيبًا في المصادقة. ولا يثبت أي منهما تلقائيًا أن المهاجم قد استغل الخدمة.
RFC 9989 يحدد مصادقة المجال و تنسيق سلوك. لا تثبت وسائل الحماية الخاصة بها أن كل طلب مصادق عليه مشروع. يجب أن يميز سجل المخاطر بين الانتحال المباشر لنطاقك والحساب المصرح به المخترق أو المجال المشابه الذي يمر المصادقة لنفسه.
فصل المخاطر الكامنة والمتبقية
قم بوصف السيناريو قبل الضوابط، ثم اشرح ما الذي تغير في كل وسيلة وقائية موجودة. بالنسبة لتعليمات الفاتورة، يمكن للتحقق من رد الاتصال بالدفع معالجة طلبات الأعمال الاحتيالية التي لا يمكن لمصادقة المجال وحدها حلها. لا تلمح إلى أن وجود سياسة رد اتصال مكتوبة يثبت أن الأشخاص يتبعونها باستمرار.
استخدم تعريفات الاحتمالية والتأثير المتفق عليها من قبل المنظمة. تجنب تقديم دقة مخترعة مثل احتمال الاحتيال السنوي بنسبة 17.3% بدون دليل. عندما تكون البيانات غير كافية، استخدم التقييم النوعي مع مبرراته وسبب المراجعة. قم بتسجيل من لديه السلطة لقبول المخاطر المتبقية، بدلاً من التعامل مع التوقيع الفني لمسؤول البريد على أنه قبول تجاري.
استخدم مثالاً مرتبطًا
لنفترض أن الإدخال الافتراضي R-1 يتعلق بكشوف المرتبات. الشرط هو عدم وجود دليل النجاح الحالي المتوافق على خدمة هامة مسجلة. والنتيجة المحتملة هي عدم وجود إخطارات كشوف المرتبات في حالة فشل المسار غير المختبر أثناء التنفيذ. هذا سيناريو مشروط، وليس ادعاء بأن الموظفين فاتتهم رسائل. يمتلك قسم الشؤون المالية الخدمة، ويمتلك فريق البريد التحقيق والإغلاق يتطلب اختبار المسار الحالي بالإضافة إلى تأكيد مالك الخدمة.
يغطي R-2 انتحال شخصية دفع الفواتير من خلال مجال مشابه مملوك للمهاجم. التحكم المقترح هو التحقق المستقل من خلال طريق اتصال موثوق به بالفعل. إن نشر سياسة أقوى على نطاق الضحية لا يفي باختبار إغلاق R-2. بالنسبة لكل إدخال، اطلب النتيجة والمالك والقرار وأدلة الإغلاق الصريحة قبل التعامل مع السجل المقترح على أنه كامل. هذه قاعدة مراجعة موصى بها، وليست بمثابة تحقق من الصحة تم تنفيذه أو إثبات أن عنصر التحكم يعمل.
إبقاء السجل قابلاً للتنفيذ
اختر العلاج بشكل صريح: العلاج، أو تجنب النشاط المحفوف بالمخاطر، أو نقل تعرض محدد عند الاقتضاء، أو قبول المخاطر المتبقية من خلال عملية اتخاذ القرار المصرح بها. قم بتعيين تاريخ الاستحقاق ومشغل المراجعة. خطة العلاج ليست دليلاً على اكتمالها؛ الاحتفاظ بالاختبار الفعلي أو سجل القرار بشكل منفصل.
توضح هذه الإدخالات الافتراضية سيناريوهات مختلفة، وليست هجمات ملحوظة أو مخاطر عمل مقبولة. يمكن لمراجعة الاكتمال تحديد المجالات المفقودة، ولكنها لا تستطيع التحقق من صحة تصنيف المخاطر أو إثبات فعالية الضمانات الحقيقية. احتفظ بالأدلة الفعلية وقرار القبول المعتمد منفصلاً عن العلاج المقترح.
قم بمراجعة السجل بعد عمليات الترحيل والمرسلين الجدد والحوادث وتغييرات الأعمال. أغلق فقط السيناريو المحدد الذي يفي دليله بالاختبار المذكور، واحتفظ بما يكفي من التاريخ لشرح سبب إغلاقه.
يصف NIST SP 800-30 Rev. 1 القسمان 2.3 و3.2 عوامل الخطر وأساليب التقييم وتوثيق نتائج التقييم. إنهم يدعمون توضيح الاحتمالية والتأثير وعدم اليقين؛ حقول التسجيل الخاصة بالبريد الإلكتروني والأمثلة المذكورة أعلاه هي تطبيق مقترح، وليست قائمة مراجعة امتثال محددة. دليل تقييم المخاطر.