En autentificeret meddelelse kan stadig indeholde en svigagtig anmodning. Det udsagn giver ikke SPF, DKIM eller DMARC uvæsentlig. Det definerer deres grænse.
E-mail-godkendelse leverer beviser om domæneidentiteter og meddelelseshåndtering. Virksomhedsautorisation svarer på et andet spørgsmål: Var denne person eller dette system berettiget til at fremsætte denne anmodning, og burde organisationen handle på det? En sikker proces kræver begge dele.
Spørg, hvad passet faktisk beviser
Under RFC 9989 §5.3.5 og RFC 9989 §5.4, betyder et DMARC -pas på meddelelsesniveau, at modtageren har fundet mindst én passerende SPF eller DKIM sti, hvis autentificerede domæne er justeret med domænet i From. Det beviser ikke:
- hvilken person der kontrollerede kontoen;
- at kontoen ikke var kompromitteret;
- at en faktura eller bankændring er legitim;
- at et link eller en vedhæftet fil er harmløs;
- at domænet er det brand, modtageren havde i tankerne.
Den præcise erklæring er nyttig: meddelelsen præsenterede et Fra-domæne og producerede kvalificerende godkendelsesbeviser relateret til det pågældende domæne. Undgå at konvertere det til den bredere påstand om, at afsenderen eller beskeden er sikker.
Klassificer identitetsmisbruget, før du vælger et svar
Forskellige angreb kan ligne ens i en indbakke, men sidder på forskellige sider af godkendelsesgrænsen.
- Mønster: Eksakt domæneforfalskning; Hvilken autentificering kan vise: Ingen tilpasset gennemkørselsvej, underlagt modtagerbeviser og håndtering; Kontrol- og responsfokus: DMARC -politik, afsenderdækning, modtagerkontrol og undersøgelse
- Mønster: Lookalike domæne; Hvad autentificering kan vise: Lookalike'en kan godkende sit eget domæne med succes; Kontrol- og responsfokus: Domæneovervågning, brugertips, filtrering, rapportering og forholdsmæssig misbrugshandling
- Mønster: Bedrag af visningsnavn; Hvilken godkendelse kan vise: Et ikke-relateret domæne kan godkendes, mens det præsenterer et velkendt navn; Kontrol- og responsfokus: Visningsnavnanalyse, kontekst, brugerrapportering og uafhængig verifikation
- Mønster: Kompromitteret autoriseret konto; Hvilken godkendelse kan vise: Det rigtige domæne kan bestå godkendelse; Kontrol- og responsfokus: Kontosikkerhed, sessions- og loginundersøgelse, indeslutning og virksomhedsbekræftelse
- Mønster: Kompromitteret leverandør; Hvilken autentificering kan vise: Leverandørens rigtige domæne kan passere; Kontrol- og responsfokus: Koordinering af leverandørhændelser, transaktionskontrol og bekræftelse af alternativ kanal
DMARC er stærkest imod uautoriseret brug af den domæneidentitet, det dækker. Det skaber ikke ejerskab af visuelt lignende domæner, verificerer sandheden af et vist navn eller beslutter, om en rigtig konto blev brugt med korrekt autoritet.
Følg en fiktiv hændelse med betalingsændringer
Følgende scenarie er syntetisk. Den er designet til at vise beviskæden uden at antyde en kundehændelse.
En økonomimedarbejder modtager en henvendelse fra accounts@supplier.example beder om at ændre bankoplysninger. Forudsat en gældende politik viser betroede modtagerresultater et tilpasset DKIM -pas for supplier.example, så beskeden passerer DMARC . Trådhistorien og skrivestilen fremstår også bekendt.
Medarbejderen godkender ikke ændringen ud fra disse signaler. De ringer til et tidligere bekræftet leverandørnummer og får at vide, at postkassen var kompromitteret. Organisationen fryser den ønskede ændring, bevarer den originale besked og giver leverandøren tidsstempler og relevante overskrifter.
Autentificering fungerede som designet: den viste, at meddelelsen brugte leverandørens autentificerede domæne. Den uafhængige verifikationskontrol stoppede en uautoriseret transaktion, som domænegodkendelse ikke kunne afgøre.
Bevar protokolbeviser og forretningsbeviser
For en følgehændelse skal du beholde en adgangskontrolleret original meddelelse, før du producerer en redigeret kopi. RFC 8601 §7.1 definerer betroede resultatgrænser; redigeringer af signeret materiale kan påvirke genbekræftelse under RFC 6376 §3.7. Nyttigt teknisk bevis kan omfatte de betroede Authentication-Results, relevante modtagne felter, Fra, Svar-Til, Return-Path, DKIM signaturer, meddelelsesidentifikatorer, tidsstempler og modtagelogs.
Nyttigt forretningsbevis omfatter anmodningen, den påtænkte handling, etablerede godkendelsesregler, kontaktmetode, der bruges til verifikation og resultatet. Hold fakta adskilt fra slutninger. Et råpas er ikke bevis på kompromis, og en DMARC fejl er ikke bevis på, at der er sket skade.
Under RFC 9990 §3.1, kan samlede DMARC rapporter hjælpe domæneejere med at forstå observerede godkendelses- og dispositionsmønstre. De er ikke en komplet registrering af individuelle meddelelser, og de giver normalt ikke det nødvendige indhold til at afgøre, om en bestemt anmodning blev godkendt. Under RFC 9989 §5.3.9, fejlrapporter, hvor de genereres, kræver omhyggelig privatliv og adgangshåndtering og er ikke universelt tilgængelige.
Byg uafhængig verifikation ind i følsomme arbejdsgange
Virkningsfulde handlinger bør bruge kontroller, der ikke udelukkende afhænger af den indkommende besked. Eksempler omfatter:
- verificering af ændringer i bankoplysninger gennem en tidligere godkendt kanal;
- at kræve dobbelt godkendelse for betalinger over definerede tærskler;
- forhindrer en e-mail-tråd i at levere både anmodningen og bekræftelseskontakten;
- brug af autentificerede portaler til udveksling af følsomme data;
- behandle presserende hemmeligholdelse, usædvanlig timing eller kontrolomgåelse som risikosignaler.
Disse er forretningskontroller, ikke erstatninger for godkendelse. Autentificering reducerer tvetydighed om domænebrug, mens transaktionskontrol reducerer konsekvensen af en autentificeret, men uautoriseret anmodning.
Kommuniker grænsen uden at svække programmet
At sige, at DMARC ikke stopper hver phishing teknikken er præcis. At sige, at det derfor er ineffektivt, er det ikke. En håndhævet politik kan reducere vellykket uautoriseret brug af et beskyttet domæne, forbedre modtagerbeviser og gøre ejerskabet af legitime afsendelsesstier eksplicit.
Det rigtige budskab er lagdelt: Beskyt domænet, beskyt konti, opdag lookalikes og vildledende præsentationer, og bekræft selvstændigt følsomme handlinger. Brug DMARC identitetsguide for resultatet på domæneniveau og afsenderens opgørelse for ejerskab af autoriseret service.
Hold konklusionen inden for beviserne
Den fiktive sag om betalingsændring bevarer to uafhængige resultater: domænegodkendelse bestået; den foreslåede transaktion blev ikke godkendt efter separat verifikation. Rapporter ikke kompromis fra et pas alene. Bevar kun autoriserede hændelsesoplysninger og hold en betroet bekræftelseskontakt uden for den indkommende anmodning. Ingen leverandør blev kontaktet, og ingen transaktion eller hændelse blev udført.