العبارة DMARC يمكن أن يصف الالتفافية أحداثًا مختلفة جدًا. إن المرور الصالح من مصدر مفوض بشكل زائد، والتسليم على الرغم من نتيجة فاشلة وخطأ في التنفيذ ليسا نفس الفشل. ابدأ بادعاء قابل للدحض: ما هي الهوية التي تم تأكيدها، وما هو الدليل الذي تم الوثوق به، وما هو القرار الذي اختلف عن القاعدة المتوقعة؟
إعادة بناء القرار الملحوظ
الحفاظ على مجال المؤلف ومجال المغلف ومجالات التوقيع ونتائج المصادقة الموثوقة والتصرف في المتلقي. سجل السياسة ووقت المراقبة. لا تثبت الرسالة التي يتم تسليمها بحد ذاتها مرور DMARC . يتضمن التعامل مع المستلم السياسة المحلية، ولا تعد المعاملة التي يطلبها مالك النطاق ضمانًا شاملاً للتسليم. RFC 9989.
وكذلك منسوخ Authentication-Results السلسلة ليست دليلاً على قرار نظام الاستقبال. قم بإنشاء خدمة المصادقة الموثوقة والقفزة ذات الصلة. RFC 8601. إذا كان الدليل الوحيد عبارة عن لقطة شاشة تشير إلى الموافقة، فاحتفظ بالمطالبة على أنها لم يتم حلها حتى تتوفر الهويات الأساسية وسياق الثقة.
فصل الإفراط في التفويض عن التهرب من القواعد
يدرس BreakSPF مدى التساهل SPF يمكن أن يسمح بذلك الترخيص والوصول إلى البنية التحتية المشتركة انتحال. نموذج التهديد الخاص به يمنح المهاجم مسار مصدر مؤهل؛ يجوز للمستلم بعد ذلك تقييم التفويض المنشور كما هو مكتوب. BreakSPF، القسم III.A والشكل 3.
إذا كان المصدر الذي يتحكم فيه المهاجم ضمن نطاق معتمد ويستخدم هوية مغلف محاذية، فيمكن أن تنجح قاعدة المرور العادية. يكمن الضعف في السلطة الممنوحة أو حدود الخدمة، وليس في تعريف جديد لـ DMARC . على العكس من ذلك، إذا تمت مصادقة هوية غير ذات صلة فقط ولم تتم محاذاة مجال المؤلف، فإن تصريح المرور المطالب به يحتاج إلى تفسير مختلف.
صنف ثلاث نتائج افتراضية
افترض وجود تقييم مرئي واحد من alerts@brand.test وتقييم DMARC مؤهل. هذه فرضيات مكتوبة وليست حوادث مرصودة.
- حالة التفويض: المصدر 192.0.2.99 يقع ضمن نطاق SPF ip4:192.0.2.0/24 المنصوص عليه؛ البريد من يجتاز اختبار bounce@brand.test عامل الحماية من SPF )؛ لا توقيع DKIM. يؤدي مسار نظام SPF المحاذي إلى تمرير DMARC على مستوى الرسالة. اسأل ما إذا كان هذا المصدر يمكن التحكم فيه بالفعل من قبل مرسل غير مقصود ومن المالك الذي منحه السلطة.
- التعامل مع الحالة: البريد من bounce@other.test يمرر نظام التعرف على SPF و DKIM d=other.test passes, but assume neither aligns with brand.test. DMARC fails. If the trusted receiver record separately says delivered, investigate its handling policy; delivery alone has not changed the failed تنسيق نتيجة.
- حالة الدليل: يقول الرأس المنسوخ تمرير، ولكن أصل جهاز الاستقبال الموثوق به والهويات التي تم تقييمها والسياسة المطبقة غير معروفة. لم يتم إثبات انتهاك البروتوكول أو تمريرة جديرة بالثقة. اطلب السجل الأصلي والمستلم.
يمكن للمرسل الإيجابي المعتمد 192.0.2.10 والمصدر الخارجي 198.51.100.10 توفير الضوابط المقترحة عند التحقيق في الحالة الأولى. ip4:192.0.2.10/32 -all السجلات تقبل فقط الأول؛ لا يتبع أي تغيير حقيقي في الإنتاج من هذه البادئة الحسابية. لا يوجد محلل منفذ أو فحص توقيع أو استغلال هنا.
يتطلب القسم 7.4 من RFC9989 DKIM صالحًا لنشر النطاقات p=reject. تعتبر آلية تمرير نظام التعرف على SPF المتوافقة كافية لشرط مرور رسالة معينة، ولكنها ليست توصية لفرض نظام التعرف على هوية المرسل (SPF) فقط.
اجعل النتيجة قابلة للتنفيذ
قم بتسمية الحالة المستنسخة والأدلة التي لا تزال مفقودة. تشير إحدى النتائج المفيدة إلى أن مصدرًا محددًا يتم قبوله بموجب ترخيص محدد ويحدد المالك المسؤول. لا يشير هذا إلى هزيمة كافة حماية DMARC . تحقق مما إذا كانت الخدمة الحقيقية تقيد هويات المستأجر، وما إذا كان المصدر قابلاً للتحكم بالفعل وما إذا كان المتلقي قد طبق النتيجة المطالب بها.
الحفاظ على سيطرة إيجابية معتمدة غير ضارة عند اختبار التخفيف المقترح. قد يؤدي تضييق النطاق أو تغيير الرابط إلى انقطاع المرسلين الشرعيين. اطلب الموافقة على التغيير الخاص بالمسار والتحقق بعد التغيير، واحتفظ بسلوك الموفر الذي لم يتم اختباره في المختبر دون حل بشكل واضح. وهذا يدعم الإصلاح الدقيق دون المبالغة في تحويل النموذج التعليمي إلى ثغرة أمنية في الإنتاج.