حدد مسار بريد نقطة الإدراك قبل تكوين مصادقة المرسل

حدد ما تفعله خدمة الأمان في طريقك

لا يثبت اسم نقطة الإدراك في وحدة تحكم أمان البريد أن الخدمة تنشئ رسائل مؤسستك أو توقعها باستخدام المجال الخاص بك. ابدأ بالتكامل الذي تم نشره بالفعل. حدد النظام الأساسي لصندوق البريد وطريقة المسح الوارد ونطاق المسح الصادر وأي ترحيل SMTP منفصل. توفر هذه المقالة طريقة تحديد المسار والتحقق منه. لا تشكل أدلة الطرف الأول المتوفرة نقطة إدراك عالمية SPF تضمين أو مجال العميل DKIM يثبت.

وثائق WP الحالية على docs.perception-point.io تحمل العلامة التجارية FortiMail Workspace Security. إنه صفحة الإعداد للخارج Microsoft 365 يصف المسح الصادر من خلال اتصال Microsoft 365 API، المُضاف إلى التكامل الداخلي الحالي. هذه الوظيفة الموثقة هي فحص أمني، وليست دليلاً على هوية إرسال SMTP جديدة. تأكد من تطبيق تعليمات المنتج هذه على النشر قبل استخدام عناصر التحكم الخاصة بها.

ارسم الطريق وقم بتعيين كل مسؤولية

قم بإنشاء تدفق قصير من التطبيق أو صندوق البريد إلى المستلم النهائي. بالنسبة لكل مكون، قم بتسجيل ما إذا كان يقوم بإنشاء الرسالة أو إرسال SMTP أو ترحيل SMTP أو توقيع DKIM أو مسح نسخة ضوئيًا أو اتخاذ قرار التسليم من جانب المستلم. اطلب من مالكي النظام الأساسي تقديم أدلة التكوين بدلاً من الاعتماد على شعار المنتج في تذييل البريد الإلكتروني.

افصل بين ثلاثة أسئلة على الأقل. ما هو النظام الذي ينقل الرسالة إلى المستلم؟ المجال الذي يوقع عليه؟ ما هي الأجهزة الأمنية التي تقوم بالتفتيش عليه؟ قد يؤدي منتج واحد أكثر من دور واحد، ولكن يجب توضيح هذه الأدوار. إذا كانت الرسالة عبارة عن بريد صادر عادي Microsoft 365 يتم رصده من خلال واجهة برمجة التطبيقات، فلا تقم بإضافة نطاق IP الوارد غير المرتبط بالبوابة إلى سياسة المرسل الخاصة بك ببساطة لأن البوابة تحمي المستأجر.

يمكنك أيضًا التمييز بين الرسائل التي تنشئها المؤسسة والإشعارات التي تنشئها خدمة الأمان نفسها. قد يستخدم التقرير أو التنبيه الذي يرسله المنتج مرسلاً مختلفًا ومسارًا من البريد الإلكتروني الخاص بالموظف. لا تستخدم رؤوس التنبيه كدليل على المصادقة لمراسلات العمل، أو العكس.

تفسير أدلة المسح في حدودها

بالنسبة لمسار Microsoft 365 الموثق، يصف الموفر عمليات التحقق من الفحص الخارجي الممكّن ونطاق الاتصال الصادر، مع ظهور النتائج في صفحة عمليات الفحص. تنص على أن المسح الصادر لا يمنع الرسائل الصادرة أو يوفر عزلًا للخارج. ال إجراءات الصعود يحذر أيضًا من أن النطاق المحدد يمكن أن يؤثر على تكوين المسح الحالي. اطلب من مسؤول الأمان مراجعة هذا النطاق قبل تغيير أي شيء.

يمكن لهذه الملاحظات إثبات أنه تم فحص الرسالة ضمن عملية تكامل محددة. أنها لا تنشئ ترخيص SPF ، وهو صالح توقيع DKIM أو DMARC تنسيق على جهاز استقبال خارجي. احتفظ بنتائج المسح ونتائج جهاز الاستقبال في حقول أدلة منفصلة حتى لا يصبح الحكم النظيف بديلاً عن المصادقة.

ال وثائق رأس الحكم يقول أن رؤوس X-PERCEPTION-POINT المدرجة لا تتم إضافتها بواسطة فحص Microsoft 365 أو Google Workspace API ولا تتم إضافتها إلى رسائل البريد الإلكتروني الصادرة. وبالتالي فإن غيابهم لا يعد في حد ذاته دليلاً على فشل المسح الخارجي. ولا يؤدي أيضًا وجودها في رسالة أخرى إلى تحويلها إلى قرار DMARC للمستلم الخارجي.

قم بتكوين المرسل الفعلي فقط بعد تحديد الهوية

بمجرد معرفة مرسل SMTP وخدمة التوقيع، استخدم إجراء تكوين الطرف الأول المطبق لهذه الخدمة. الحصول على سجلات المجال الصادرة وأدلة التنشيط. إذا كان النشر الذي تم التحقق منه يستخدم بالفعل ترحيلًا خارجيًا إضافيًا، فاطلب مصادقة المجال الحالي للترحيل وتعليمات التوقيع لهذا المستأجر بدلاً من الاستقراء من دليل الأمان الداخلي.

يأذن نظام التعرف على هوية SPF بهوية SMTP المعمول بها ويفرض قيودًا على اختيار السجلات والبحث عن نظام أسماء النطاقات (DNS). RFC 7208. يحدد DKIM مجال التوقيع و محدد تحت RFC 6376. يربط DMARC هوية تمرير مصادق عليها بالمجال المرئي من ضمن RFC 9989. لا تعد القائمة المسموح بها لعناوين IP أو موافقة واجهة برمجة التطبيقات أو فحص التهديدات الناجح بديلاً عن عمليات التحقق هذه.

تجنب القائمة المسموح بها الواسعة كاختصار تشخيصي. يمكنه تغيير معالجة الأمان المحلية مع إخفاء الفشل الأصلي. إذا كانت المشكلة تتعلق برفض جهاز الاستقبال، فاحتفظ برمز الرفض والوقت ونظام المستلم المقصود ومعرف الرسالة المنقح. إذا كانت المشكلة تتعلق بالتغطية الأمنية، فافحص نطاق الفحص وسجل الفحص المطابق. قم بحل الفشل المحدد بدلاً من التعامل مع كل مشكلة في التسليم كطلب تغيير لنظام التعرف على SPF .

ورقة عمل نشر نقطة الإدراك

أكمل ورقة العمل هذه قبل اقتراح سجلات المصادقة:

• اسم المنتج الموضح في المستأجر والعقد: ____; الوثائق المعمول بها: ____.
• منصة صندوق البريد والمستأجر ومنطقة النشر: ____.
• طريقة التكامل الداخلي: ____; طريقة المسح الخارجي ونطاقه: ____.
• تطبيق إنشاء الرسائل ومالكه: ____; مرسل أو مرحل SMTP : ____.
• خدمة توقيع DKIM ومالكها: ____؛ الأدلة التي تربطه بالطريق: ____.
• الإخطار مقابل تصنيف رسائل العمل: ____.
• معرف رسالة الاختبار المتحكم فيه ووقت UTC: ____; سجل المسح المقابل: ____.
• جهاز الاستقبال الخارجي، مجال من والمغلف المرئي: ____.
• DKIM d= and s=: ____; نتائج SPF و DKIM و DMARC الموثوقة: ____.
• تغيير DNS المقترح ومصدر المرسل الفعلي: ____; الافتراضات غير المدعومة: ____.
• القرار التجريبي ومالك الاسترداد والمراجع البشري: ____.

إذا كان مرسل SMTP أو مالك التوقيع غير معروف، فإن ورقة العمل ليست جاهزة لتغيير DNS . استمر في التحقيق للقراءة فقط واسأل المسؤول المسؤول عن دليل المسار المفقود.

التشخيص الخيالي لرؤوس الحكم المفقودة

مثال خيالي فقط: يتيح Summit Design فحص واجهة برمجة التطبيقات الصادرة ويرسل رسالة يتم التحكم فيها. لا يرى مسؤولها أي رأس حكم X-PERCEPTION-POINT ويفترض أن الرسالة تجاوزت الحماية. توضح قيود الرأس الموثقة سبب عدم ملاءمة هذا التوقع لهذا المسار. يقوم الفريق بالتحقق من إدخال المسح الضوئي المطابق للرسالة للتأكد من التغطية الأمنية، ثم يقوم بشكل منفصل بفحص نتائج مصادقة جهاز الاستقبال الخارجي لمرسل صندوق البريد الفعلي.

لن تؤدي إضافة عناوين IP الخاصة بخدمة الأمان إلى سياسة نظام SPF الخاصة بالمؤسسة إلى الإجابة على أي من السؤالين دون وجود دليل على أن عناوين IP هذه تنقل الرسالة الصادرة. يترك الفريق DNS دون تغيير أثناء تأكيد المسار. لم يتم اختبار نشر القمة أو وحدة التحكم في الفحص أو منطقة DNS أو الرسالة المستلمة لهذه المخطوطة.

النطاق والبوابات المتبقية

ويظل موضوع تكوين المرسل الواسع الأصلي معلقًا. يحدد هذا المرشح الحدود بين المسح الموثق وإمكانيات الإرسال لمجال العميل التي لم يتم التحقق منها؛ ولا تدعي أن هذه القدرات غائبة عالميًا. يظل قابلية تطبيق المنتج الفعلي، والتوجيه والتوقيع على الملكية، والتعليمات الصادرة عن المستأجر حيثما كان ذلك مناسبًا، والمسح المباشر وأدلة المتلقي، والمراجعة المقدمة، وموافقة الشركات الصغيرة والمتوسطة البشرية والنشر معلقة.

سجل تأثير النطاق قبل تحرير المسح

بالنسبة لتكامل Microsoft 365 API الموثق، يحذر الموفر من أن مجموعة جديدة من المجالات أو المجموعات أو المستخدمين تحل محل النطاق الوارد والداخلي والصادر الحالي. مع التكامل الداخلي المضمن الموجود، يؤثر التحديد على التغطية الصادرة فقط. تعامل مع هذا على أنه قرار تغطية أمنية يتطلب من مالكه، وليس إصلاحًا للمصادقة.

قبول رسالة منفصلة عن طرح السياسة

يمكن لنتيجة SPF المتوافقة أن تلبي تقييم الرسالة، ولكنها لا تبرر وحدها نقل النطاق بأكمله للرفض. RFC 9989 يتطلب القسم 7.4 DKIM صالحًا لنشر النطاقات p=reject ويحذر من إمكانية التشغيل التفاعلي للبريد غير المباشر. قم بجرد جميع المرسلين الشرعيين والطرق غير المباشرة قبل أن يوافق مالك السياسة على التنفيذ. لم يتم تنفيذ أي تغيير DNS أو عملية مستأجر أو اختبار الرسالة المستلمة لهذه المقالة.