حدد ما تطالب به الرسالة
يمكن للرسالة تقليد الأعمال بعدة طرق مختلفة. وقد يضع المجال الدقيق للشركة في العنوان المرئي من، أو يستخدم اسم العرض الخاص بشخص مألوف مع عنوان غير ذي صلة، أو يرسل من مجال مختلف تم اختياره ليشابه العمل التجاري. هذه ليست آليات قابلة للتبديل. إنها تتطلب أدلة مختلفة وتكشف عن حدود تحكم مختلفة. استدعاء جميع الحالات الثلاث أ DMARC يشجع الفشل على الإصلاح الخاطئ ويمكن أن يخفي حادثًا يحتاج إلى التحقق من الأعمال بدلاً من تعديل DNS .
RFC 9989 نطاقات DMARC إلى RFC5322 .من المجال والمصادقة الانحياز. وهو يستبعد بشكل صريح هجمات اسم العرض، وتحليل المحتوى، ومصادقة الكيانات الأخرى غير النطاقات. لا يزال بإمكان المتلقي تطبيق وسائل حماية إضافية، ولكن لا ينبغي أن تُنسب هذه الحماية إلى DMARC نفسه. تقدم هذه المقالة طريقة تصنيف للفرز الدفاعي، دون فحص حقيقي للرسالة أو ادعاء بشأن مرسل محدد.
يحتاج الاستخدام الدقيق للمجال إلى مقارنة دقيقة
ابدأ بالمجال الفعلي في عنوان "من" الذي تم تحليله، وليس نص العرض الذي يعرضه تطبيق البريد. قارنه مع مجال الأعمال ذي الصلة بالطلب. احتفظ بالتهجئة الدقيقة ومصدر الدليل في سجل التحقيق المقيد. إذا كانت المجالات متطابقة، فإن السؤال التالي هو ما إذا كانت أدلة المتلقي الموثوق بها تظهر مصادقة متوافقة أو فشل أو غياب السياسة أو نتيجة غير محددة. لا يخبرك مظهر المجال الدقيق وحده بما حدث.
قد يفشل مرسل غير مصرح به يستخدم المجال المحدد تنسيق، لكن الحساب أو الخدمة المعتمدة التي تم اختراقها يمكن أن تنتج بريدًا متوافقًا. وبالتالي يمكن أن يحدث نفس المجال المرئي في حوادث مختلفة جدًا. لا يثبت تصريح DMARC أن الرسالة تمت الموافقة عليها من قبل شخص ما، ولا يثبت الفشل في حد ذاته وجود نية خبيثة. يمكن أن يؤدي إعادة التوجيه وأخطاء التكوين والأدلة غير الكاملة إلى تعقيد التفسير. اذكر الحقيقة الملحوظة الضيقة قبل تحديد السبب.
أسماء العرض هي سطح هوية منفصل
RFC 5322، القسم 3.4، يميز اسم العرض الاختياري لصندوق البريد عن عنوانه. يمكن أن يحدد اسم العرض شخصًا أو دورًا للقارئ دون أن يكون النطاق الذي يتم تقييمه بواسطة DMARC . على سبيل المثال، قد تعرض رسالة خيالية "فريق الحسابات" بينما ينتمي عنوانها إلى نطاق مثال غير ذي صلة. التسمية المألوفة ليست دليلاً على الملكية التنظيمية.
قد لا تكشف الشاشة الصغيرة أو العرض المطوي كل حقول الهوية للوهلة الأولى. يتمثل الإجراء الدفاعي في فحص العنوان الكامل باستخدام الواجهة الموثوقة للتطبيق المتلقي ثم تقييم طلب العمل بشكل مستقل. لا تخترع قاعدة عالمية لواجهة المستخدم أو تعد بأن كل عميل يسلط الضوء على عدم التطابق. التمييز المعياري بين التسمية والعنوان مستقر؛ يعتمد العرض والتحذيرات الوقائية على العميل والمتلقي.
يمكن للنطاقات المشابهة المصادقة بنجاح
قد يكون النطاق المختلف مشابهًا بشكل مرئي لمجال موثوق به بسبب اختيارات التهجئة أو علامات الترقيم أو الأحرف. إذا كان مشغله يتحكم بشكل شرعي في إعداد الإرسال، فيمكن أن يمر البريد من هذا النطاق SPF, DKIM و DMARC لهذا النطاق. المصادقة لم تتعطل بالضرورة. لقد فشل تعرف المستلم على المنظمة المقصودة أو تم التلاعب به على مستوى مختلف.
قارن المجال الفعلي بسجل أعمال موثوق تم الحصول عليه خارج الرسالة المشكوك فيها. لا تقم بزيارة موقع الويب المقدم أو الرد على العنوان المشكوك فيه لمجرد إثبات الملكية. إن كلمة العلامة التجارية المألوفة المضمنة في اسم أطول ليست كافية. احتفظ بتفسير الاسم الدولي بعناية وابحث عن تحليل مؤهل في حالة اختلاف النماذج المعروضة والنماذج الأساسية؛ لا توفر هذه المسودة خوارزمية تصنيف Unicode كاملة أو لاحقة عامة.
استخدم أدلة المصادقة الموثوقة
ان Authentication-Results يكون هذا الحقل مفيدًا فقط ضمن حدود ثقة المستلم. RFC 8601 يشرح لماذا يجب على المستهلكين التمييز بين تأكيدات المصادقة الموثوقة والحقول العشوائية الموجودة في الرسالة. إن نسخ السطر الذي يقول "تمرير رسالة أو لقطة شاشة مُعاد توجيهها" لا يثبت أن المتلقي المعني هو من قام بإنتاجها. سجل أي متلقي قام بتقييم الرسالة وكيف حصل المحقق على النتيجة.
احتفظ بالمجال المرئي من، مرسل المغلف المجال ومجال توقيع DKIM وهوية الرد مميزة. قد يكون لاختلافاتهم تفسيرات مشروعة ولا ينبغي أن تتحول تلقائيًا إلى نتيجة احتيال. بالنسبة إلى DMARC ، حدد مسار المصادقة المحاذي بدلاً من التعامل مع كل مرور SPF أو DKIM على أنه كافٍ. بالنسبة لطلب العمل، قم بفحص الإجراء المطلوب وسلطة الشخص الذي يفترض أنه قام به.
ورقة عمل مقارنة الهوية
قم بإعداد صف يحتوي على مجال الأعمال الموثوق به، وعلامة العرض المرئية، والعنوان المحلل، وعنوان الرد إذا كان موجودًا، والمجالات المعتمدة، ونتيجة المتلقي، ومصدر الدليل، والتصنيف المقترح. أضف أعمدة لما لا يزال غير معروف وأي قناة مستقلة يمكنها التحقق من الطلب. قم بتقليل المعرفات الشخصية في أي إصدار مشترك مع الحفاظ على ما إذا كان النطاقان متطابقين أو مختلفين. يؤدي تغيير كافة القيم إلى عنصر نائب واحد إلى تدمير العلاقة التي من المفترض أن تظهرها ورقة العمل.
استخدم ثلاث فئات مؤقتة: الاستخدام الدقيق للنطاق، وتقليد اسم العرض، والتشابه بين المجال المختلف. السماح بالمجموعات والفئة التي لم يتم حلها. يمكن أن تستخدم الرسالة اسم عرض مضللًا واسمًا مضللًا المجال المشابه. يجب أن تسمح ورقة العمل أيضًا بتسوية الحساب المعتمد كفرضية عندما يبدو أن البريد المتوافق يأتي من المؤسسة الحقيقية. فالتصنيف هو وسيلة لتوجيه التحقيق، وليس تحديدًا نهائيًا للنوايا أو المسؤولية.
مقارنة خيالية بثلاث رسائل
تخيل أن فريقًا ماليًا خياليًا يتلقى ثلاثة طلبات غير عادية مرتبطة بمثال Northbridge. يحتوي الأول على نطاق Northbridge الدقيق ولكن تشير أدلة المتلقي الموثوق بها إلى عدم وجود تمرير محاذي. يستخدم الثاني اسم العرض الخاص بالمدير المالي مع عنوان غير ذي صلة يقوم بالمصادقة للمجال الخاص به. يستخدم الثالث مجالًا مشابهًا ولكنه مختلف ويقوم أيضًا بالمصادقة على هذا المجال. هذه ملاحظات مخترعة، وليست رسائل تم جمعها خلال هذا العمل.
الحالة الأولى تؤدي إلى المصادقة والتحقيق في مسار الإرسال. والثاني يؤدي إلى التحقق من اسم العرض وسلطة العمل. والثالث يؤدي إلى مقارنة المجال ومعالجة انتحال الشخصية. لا شيء يضمن الدفع لمجرد ظهور اسم مألوف، ولا ينبغي "إصلاح" أي شيء عن طريق إضافة المرسل غير المرتبط إلى Northbridge سجل SPF. إذا نجحت رسالة رابعة في المحاذاة باستخدام المجال الفعلي لـ Northbridge، فسيظل حل الحساب أو الخدمة ممكنًا ويتطلب دليلاً خاصًا بها.
التحقق من الطلب خارج الرسالة
ال IC3 سحابة البريد الإلكتروني BEC الاستشارية، الذي تم نشره في عام 2020، يوصي بالتحقق من خلال طرق الاتصال المعروفة لطلبات الأعمال المشبوهة. عمره واضح: فهو يدعم التحكم العام، وليس ادعاءً بشأن حادث حالي أو الواجهة الحالية لمستقبل معين. استخدم رقمًا أو سير عمل تم تسجيله بالفعل بشكل مستقل، وتحقق من التغيير المحدد المطلوب بدلاً من مجرد السؤال عما إذا كان شخص ما قد أرسل بريدًا إلكترونيًا.
لا يزال سيناريو إساءة الاستخدام المنقح المطلوب مع أدلة الهوية وحدود المراقبة والتحقق المستقل من الأعمال غير محقق. المقارنة الخيالية لهذه المخطوطة لا تفي بها. لم يتم الاستعلام عن أي حساب، ولم تتم زيارة أي نطاق مشبوه، ولم يتم الاتصال بأي جهة. قبل الإصدار، احتفظ بالأدلة الحقيقية المعتمدة، واطلب من مراجع مؤهل التحقق من صحة التصنيف، وتأكيد قابلية تطبيق المصدر وطرق الإنتاج، وإكمال مراجعة إمكانية الوصول، والحصول على موافقة المالك. وينبغي أن تكون النتيجة تفسيراً يمكن الدفاع عنه للهوية التي تم تأكيدها وما هي الضوابط التي أنشأتها فعلياً.