[ أمن النقل ]
MTA-STS للنطاقات ذات موفري MX المتعددين
التحقق من صحة مسارات MX الأساسية والنسخ الاحتياطي والترحيل عبر مقدمي الخدمة، بما في ذلك أنماط اسم المضيف وأدلة TLS وانتقالات السياسة المخزنة مؤقتًا.
بواسطة فريق البحث EmailAuth · 8 دقائق قراءة
[النقاط الرئيسية]
- يجب أن تغطي السياسة كل المرشحين المتلقيين المقصودين، بما في ذلك النسخ الاحتياطية التي نادرًا ما تستخدم.
- تعد مطابقة نمط MX والتحقق من صحة شهادة SMTP بمثابة فحصين منفصلين.
- تنسيق ترحيل الموفر مع منشور HTTPS وتحديثات الاكتشاف وذاكرة التخزين المؤقت للسياسة الموجودة.
[ الوجبات الجاهزة ]
امتلك مصفوفة واحدة كاملة لتوجيه الاستلام عبر الموردين، وتحقق من كل مرشح واحتفظ بتوقعات السياسة القديمة قابلة للتطبيق أثناء عملية انتقالية خاضعة للرقابة.
[ حسب الدور ]
ماذا يعني هذا بالنسبة لك
اختر دورك للخطوات العملية التالية.
تكنولوجيا المعلومات / مدير البريد
اختبار النسخة الاحتياطية قبل الحاجة إليها
قد لا يمارس التسليم الروتيني الناجح أبدًا مرشحًا ذا أولوية أقل.
الخطوات التالية
- قم بجرد جميع أهداف وتفضيلات MX الموثوقة.
- قم بمطابقة كل اسم مضيف مع السياسة المعتمدة.
- احتفظ بـ STARTTLS لكل مرشح وأدلة الشهادة.
كبير مسؤولي أمن المعلومات / SecOps
قم بمراجعة المضيفين المقبولين بالضبط
يمكن أن يؤدي حرف البدل الواسع إلى توسيع السلطة بينما لا يزال يفتقد أسماء أعمق.
الخطوات التالية
- التحقق من صحة سلوك حرف البدل ذي التسمية الواحدة.
- شهادات منفصلة لمضيف السياسة وشهادات MTA المتلقية.
- قم بمراجعة التنفيذ ومعالجة فشل سياسة التخزين المؤقت.
المؤسس / غير التقنية
التنسيق بين مالكي المزودين
يعد مسار النسخ الاحتياطي تابعًا للأعمال، وليس مجرد قيمة DNS أخرى.
الخطوات التالية
- تعيين مالكي الخدمة الأساسية والاحتياطية.
- الموافقة على تداخل الترحيل وتقاعد المسار.
- طلب أدلة قبل التنفيذ أو إزالة المزود.
[ الأسئلة الشائعة ]
الأسئلة المتداولة
هل تؤدي إضافة خط mx إلى إنشاء مسار تسليم جديد؟
لا. توفر سجلات DNS MX المرشحين؛ تتحقق MTA-STS من صحة أسماء المضيفين ووسائل النقل المقبولة. لا يؤدي إدخال السياسة إلى إنشاء سجل DNS MX أو تغيير تفضيلاته.
هل يجب أن يكون لكل نمط MX مسموح به خط خاص به؟
نعم. يتطلب RFC 8461 سطرًا منفصلاً لمفتاح/قيمة mx لكل نمط. استخدم الأسماء الدقيقة المدعومة أو أنماط أحرف البدل ذات التسمية الواحدة.
يفعل *. هل يتطابق mail.example مع mx.region.mail.example ؟
لا. يتطابق حرف البدل مع التسمية الموجودة في أقصى اليسار فقط. وهو يطابق mx.mail.example ، وليس mail.example الأساسي أو اسمًا يتضمن تصنيفين إضافيين.
هل يثبت تطابق اسم مضيف السياسة أن النسخة الاحتياطية جاهزة؟
لا. يجب على المرشح أيضًا دعم STARTTLS وتقديم شهادة موثوقة صالحة تطابق اسم مضيف MX الخاص به بموجب قواعد المواصفات.
لماذا يمكن أن تظل النسخة الاحتياطية المعطلة دون أن يلاحظها أحد؟
قد يتم تسليم اجتياز المرشح العادي بنجاح إلى الملف الأساسي قبل أن يواجه المرسل النسخة الاحتياطية. ولذلك فإن عمليات التحقق الاحتياطية الصريحة والمعتمدة مفيدة.
هل يمكنني نقل MX قبل أن تسمح السياسات المخزنة مؤقتًا للموفر الجديد؟
وقد يؤدي ذلك إلى تأخير التسليم من المرسلين الذين يطبقون سياسة فرض قديمة. تداخل الخطة وحساب اكتشاف TTL وعمر السياسة الذي تم تقديمه مسبقًا.
هل يوفر وضع الاختبار نفس الفرض الذي يوفره الفرض؟
لا. يمكن لوضع الاختبار الإبلاغ عن حالات فشل السياسة من خلال TLS-RPT حيثما يكون ذلك مدعومًا، بينما قد يستمر التسليم كما لو أن فشل التحقق من الصحة لم يحدث.
هل تثبت تقارير TLS النظيفة أن كل مرشح MX يعمل؟
لا، تعكس التقارير المحاولات التي تمت مراقبتها من قبل المرسلين المشاركين. يمكن أن يؤدي انخفاض حركة المرور والنسخ الاحتياطي غير المستخدم إلى ترك الطرق المهمة دون ملاحظة.
[ مصادر ]
مصادر
- RFC 8461 : SMTP MTA أمان النقل الصارم
الأقسام §3. اكتشاف السياسة · §3.2 سياسات MTA-STS · §3.3 جلب سياسة HTTPS · §3.4 اختيار السياسة للمضيفين الأذكياء والنطاقات الفرعية · §4.1 التحقق من صحة مضيف MX · §4.2 التحقق من صحة شهادة MTA للمستلم · §5. تطبيق السياسة · §8.1 تحديثات السياسة · §8.2 تفويض السياسة · §8.3 إزالة MTA-STS · §8.4 الحفاظ على اجتياز مرشح MX
- RFC 8460 : تقارير SMTP TLS
الأقسام §3. سياسة إعداد التقارير · §4. مخطط التقارير · §5. تسليم التقرير
[ مسرد ]
مسرد
- مرشح MX
- مضيف استقبال يتم أخذه في الاعتبار أثناء اجتياز تسليم SMTP العادي للمرسل.
- نمط السياسة
- اسم مضيف دقيق أو حرف بدل مدعوم في أقصى اليسار يُستخدم للتحقق من صحة مرشح MX .
- تداخل الهجرة
- فترة مخططة تظل خلالها المسارات القديمة والجديدة المقصودة متوافقة مع تاريخ السياسة.
- تغطية TLS-RPT
- مجموعة ملاحظات التسليم الممثلة فعليًا من خلال تقارير المرسلين المشاركين.
مصدر المؤسسة
لماذا كبار المؤسسات المالية والحكومات تقاعدوا من لوحات معلومات أمان البريد الإلكتروني الخاصة بهم.
تبيع لك منصات مصادقة البريد الإلكتروني التقليدية لوحة تحكم وتطلب من مهندسيك القيام بهذا العمل. في البيئات عالية المخاطر، تعني المراقبة اليدوية تأخير التنفيذ، والانحراف في التكوين، ونطاقات الظل غير الخاضعة للمراقبة.
EmailAuth هي منصة مصدر البريد الإلكتروني الوكيل. وكلاؤنا ينفذون p=reject، حافظ على محاذاة المرسلين الخارجيين وانقل نطاقاتك إلى كاملها RFC 9989 الامتثال، وهو معيار DMARC الجديد، مع إمكانية التدقيق البشري في الحلقة.
SaaS · إيجار مخصص · Air-gapped محليًا · تشفير BYOK