En afvisningspolitik kan være en nyttig del af beskyttelsen af et afsendende domæne. Den kan ikke fastslå, at enhver besked, en person modtager, er sikker, at enhver modtager vil foretage den samme handling, eller at en godkendt afsender handler ærligt.
Det praktiske spørgsmål er ikke, om et domæne har nået et bestemt politikmærke. Det er, hvilken efterligningsrute kontrollen adresserer, og hvilke beviser der understøtter den næste beslutning. Et sikkerhedsprogram skal have denne grænse angivet klart, før en dashboardprocent bliver et ledelseskrav.
Beskriv den kontrollerede identitet
Under RFC 9989 §5.3.5, DMARC vurderer brug af domænet i den synlige Fra-adresse mod beståelse, justeret SPF eller DKIM bevis. En politik gælder for dette domæneforhold. Det godkender ikke et vist navn, godkender ikke en betalingsanmodning eller bedømmer et linket websted; RFC 9989 §5.4 gør det klart, at valideret domænebrug ikke er en værdipåstand om en besked.
En politik om afvisning udtrykker domæneejerens anmodede vurdering for meddelelser, der ikke valideres. Modtagerens endelige håndtering afhænger også af dens egen analyse. RFC 9989 RFC 9989 §7.4 kræver specifikt, at modtagere overvejer mere end en offentliggjort afvisningspolitik, især hvor legitim indirekte post er involveret.
Disse grænser gør ikke kontrollen uvigtig. De gør dens dækning målbar. Bruge vejledningen til valg af politik at forbinde politikken med domænets faktiske formål.
Test fire forskellige angrebshistorier
Følgende scenarier er illustrative. De er ikke kundehændelser eller målte angrebsresultater.
- Scenarie: En afsender bruger en organisations eksakte From-domæne uden en passerende tilpasset identitet; Hvad domænebeviset kan vise: DMARC fejl kan informere håndtering under den gældende politik; Kontrol stadig nødvendig: Modtageranalyse, overvågning og hændelsesrespons
- Scenarie: En afsender bruger et andet domæne med et overbevisende direktørnavn; Hvad domænebeviset kan vise: Det andet domæne kan muligvis godkendes med succes; Der er stadig behov for kontrol: Registrering af personefterligning og brugerrapportering
- Scenarie: En legitim konto overtages og sendes gennem en godkendt rute; Hvad domænebeviset kan vise: Meddelelsen kan have gyldig tilpasset godkendelse; Kontrol stadig nødvendig: Kontosikkerhed og undersøgelse
- Scenarie: En leverandør sender en bekræftet meddelelse med anmodning om en svigagtig bankkontoændring; Hvad domænebeviset kan vise: Leverandørens domænebrug kan validere; Der er stadig behov for kontrol: Uafhængig bekræftelse af betalingsændringer
En enkelt"phishing blokeret" nummer ville skjule disse forskelle. Mærk tests efter identitet, rute og forventet kontrol. For en sikker øvelse skal du bruge autoriserede testkonti og syntetisk indhold; der er ingen grund til at udsætte en reel modtager for en svigagtig instruktion for at etablere protokolgrænsen.
Tjek legitim post, før du ændrer politik
En restriktiv politik kan påvirke legitim kommunikation, hvis autentificering mangler, eller hvis identiteter er forkert tilpasset. Inventar hver virksomhedstjeneste, dens ejer og den konto eller rute, der sender den. Tilføj bevis for modtaget meddelelse sammen med DNS tilstand.
En syntetisk parathedsmatrix kunne vise fakturering verificeret, støtte verificeret og en kvartalsvis skattemeddelelse, der stadig afventer en afsendelsestest. Den korrekte udgivelsesbeslutning er at løse den kritiske manglende stream, ikke at skaffe den et gennemsnit, fordi fakturering tegner sig for det meste volumen.
Behandl ukendte kilder som uløste, indtil beviser identificerer dem. En velkendt cloud-udbyder beviser ikke godkendelse, og en mislykket rapportrække beviser ikke et angreb. En vedligeholdt afsenderopgørelse giver de undersøgelser et sted at lande.
Konto for videresendelse og postlister
En besked kan forlade sin oprindelige rute gennem et alias, videresender eller mailingliste. Videresendelse ændrer forbindelseskilden, som den endelige modtager ser under RFC 7208 §10.3; ændringer af dækket indhold kan påvirke DKIM verifikation under RFC 6376 §3.7. Den resulterende fejl kan vedrøre en legitim besked.
Strøm RFC 9989 §7.4 advarer mod afvisning for domæner til generelle formål, hvis brugere kan sende til internet-mailinglister. Det kræver også, at domæner, der udgiver afvisning, anvender gyldige DKIM signaturer i stedet for udelukkende at stole på SPF . Et transaktionsdomæne og et personalekorrespondancedomæne kan derfor have brug for forskellige politiske beslutninger.
En leveret test gennem én speditør er bevis for den rute og tidspunkt. Det fastslår ikke, at enhver liste, modtager eller fremtidig modifikation opfører sig identisk. Registrer både arbejdsruten og usikkerheden.
Hold ændringsregistreringen knyttet til kravet
Før en godkendt politikændring skal du bevare den tidligere registrering, foreslåede forskel, domæneomfang, ejer, beviser, der er gennemgået og gendannelseshandling. Sammenlign derefter de observerede legitime strømme, returnerede fejl og tilgængelige rapporter. Registrer faktiske resultater i stedet for at antage, at en vellykket DNS udgivelse beviser vellykket kommunikation.
For en syntetisk øvelse kan ændringsnotatet sige, at et dedikeret kvitteringsdomæne blev overvejet for en stærkere vurdering, efter at dets kendte tjenester og indirekte ruter var blevet gennemgået. Det skal ikke sige, at al phishing blev elimineret. Beviserne understøtter en beslutning om det pågældende domæne og dets dokumenterede mailstrømme.
Rapportér resterende risiko i et nyttigt sprog
En klar ledelseserklæring navngiver domænet, overvåget population, verificerede legitime tjenester, nuværende politik og resterende svagheder. Det holder forfalskede domænefund adskilt fra kontokompromittering, lignende domæner og transaktionsbedrageri.
Nyttige opfølgningshandlinger omfatter fjernelse af forældede afsendelsestilladelser, forbedring af kontobeskyttelse, validering af følsomme anmodninger gennem en kendt uafhængig kanal og vedligeholdelse af en rapporteringsproces for mistænkelig post. Disse handlinger adresserer forskellige fejlstier; deres værdi skal ikke tilskrives DMARC rekord alene.
Resultatet at sigte efter er præcist: legitim brug af det valgte From-domæne forstås og vedligeholdes, fejl undersøges, og politikken passer til domænets brug. Hold de resterende svindelscenarier synlige, så en stærkere domænepolitik ikke bliver et falsk løfte om hver besked.
Optag en beslutning, der kan revideres
For de fire scenarier skal du holde separate resultater for eksakt domænefejl, et andet autentificeret domæne, kontoovertagelse og en bekræftet anmodning om betalingsændring. Opsummer dem ikke i et ukvalificeret DMARC succeskrav. De foreslåede opfølgende kontroller er operationelle anbefalinger, ikke garantier eller DMARC -protokolkrav. Ingen hændelse, angrebssimulering eller politikimplementering blev udført.