Identificer, hvad meddelelsen hævder
Et budskab kan efterligne en virksomhed på flere forskellige måder. Det kan placere virksomhedens nøjagtige domæne i den synlige Fra-adresse, bruge en velkendt persons visningsnavn med en ikke-relateret adresse eller sende fra et andet domæne, der er valgt til at ligne virksomheden. Disse er ikke udskiftelige mekanismer. De kræver forskellige beviser og afslører forskellige kontrolgrænser. Kalder alle tre sager a DMARC fejl tilskynder til forkert reparation og kan skjule en hændelse, der kræver virksomhedsbekræftelse frem for en DNS redigering.
RFC 9989 omfatter DMARC til RFC5322 .Fra domæne og tilpasset godkendelse. Det udelukker eksplicit angreb med visningsnavne, indholdsanalyse og godkendelse af andre enheder end domæner. En modtager kan stadig anvende yderligere beskyttelse, men disse beskyttelser bør ikke tilskrives DMARC selv. Denne artikel tilbyder en klassificeringsmetode til defensiv triage, uden reel meddelelsesinspektion eller påstand om en navngivet afsender.
Brug af nøjagtigt domæne kræver en præcis sammenligning
Start med det faktiske domæne i den parsede Fra-adresse, ikke visningsteksten, der vises af mailapplikationen. Sammenlign det med det forretningsdomæne, der er relevant for anmodningen. Bevar den nøjagtige stavemåde og beviskilden i en begrænset undersøgelsesjournal. Hvis domænerne er identiske, er det næste spørgsmål, om pålidelige modtagerbeviser viser tilpasset godkendelse, fejl, fravær af politik eller et ubestemmeligt resultat. Det nøjagtige domæneudseende alene fortæller dig ikke, hvad der skete.
En uautoriseret afsender, der bruger det nøjagtige domæne, kan mislykkes justering, men en kompromitteret autoriseret konto eller tjeneste kan producere tilpasset post. Det samme synlige domæne kan derfor forekomme i meget forskellige hændelser. Et DMARC pas beviser ikke, at beskeden blev godkendt af en person, og en fejl beviser ikke i sig selv ondsindet hensigt. Videresendelse, konfigurationsfejl og ufuldstændige beviser kan komplicere fortolkningen. Angiv det snævre observerede faktum, før du tildeler en årsag.
Visningsnavne er en separat identitetsflade
RFC 5322, afsnit 3.4, adskiller en postkasses valgfrie visningsnavn fra dens adresse. Et vist navn kan identificere en person eller rolle for en læser uden at være domænet vurderet af DMARC . For eksempel kan en fiktiv meddelelse vise "Kontoteam", mens dens adresse tilhører et ikke-relateret eksempeldomæne. Det velkendte mærke er ikke bevis for organisatorisk ejerskab.
En lille skærm eller en sammenklappet visning afslører muligvis ikke alle identitetsfelter ved første øjekast. Den defensive handling er at inspicere den fulde adresse ved hjælp af den modtagende applikations betroede grænseflade og derefter evaluere forretningsanmodningen uafhængigt. Du må ikke opfinde en universel UI-regel eller love, at hver klient fremhæver et misforhold. Standardens skelnen mellem etiket og adresse er stabil; præsentation og beskyttelsesadvarsler afhænger af klienten og modtageren.
Lookalike-domæner kan godkendes
Et andet domæne kan visuelt ligne et betroet domæne på grund af stavning, tegnsætning eller tegnvalg. Hvis dets operatør lovligt kontrollerer sin afsendelsesopsætning, kan e-mail fra dette domæne sendes SPF, DKIM og DMARC for det pågældende domæne. Godkendelsen har ikke nødvendigvis fungeret forkert. Modtagerens genkendelse af den tilsigtede organisation er fejlet eller blevet manipuleret på et andet lag.
Sammenlign det faktiske domæne med en betroet virksomhedsregistrering opnået uden for den tvivlsomme besked. Besøg ikke et medfølgende websted eller svar på den tvivlsomme adresse blot for at fastslå ejerskab. Et velkendt mærkeord indlejret i et længere navn er ikke nok. Bevar fortolkningen af internationaliseret navn omhyggeligt og søg kvalificeret analyse, hvis de viste og underliggende former er forskellige; dette udkast giver ikke en komplet Unicode eller offentlig suffiks klassificeringsalgoritme.
Brug pålidelige autentificeringsbeviser
An Authentication-Results felt er kun nyttigt inden for modtagerens tillidsgrænse. RFC 8601 forklarer, hvorfor forbrugere skal skelne betroede godkendelsespåstande fra vilkårlige felter i en meddelelse. Kopiering af en linje, der siger pass ud af en videresendt besked eller skærmbillede, fastslår ikke, at den relevante modtager har produceret den. Registrer, hvilken modtager, der vurderede beskeden, og hvordan efterforskeren opnåede resultatet.
Hold det synlige Fra-domæne, konvolutafsender domæne, DKIM -signeringsdomæne og Reply-To-identitet adskilt. Deres forskelle kan have legitime forklaringer og bør ikke automatisk kollapses til et svindelfund. For DMARC skal du identificere den tilpassede godkendelsessti i stedet for at behandle hver SPF eller DKIM -pas som tilstrækkelig. For forretningsanmodningen skal du undersøge den anmodede handling og autoriteten hos den person, der angiveligt har foretaget den.
Et arbejdsark til identitetssammenligning
Forbered en række, der indeholder det betroede forretningsdomæne, synlig displayetiket, parset fra-adresse, svar-til-adresse, hvis den er til stede, godkendte domæner, modtagerresultat, bevis herkomst og foreslået klassificering. Tilføj kolonner for det, der forbliver ukendt, og hvilken uafhængig kanal, der kan bekræfte anmodningen. Minimer personlige identifikatorer i enhver delt version, mens du bevarer, om to domæner var identiske eller forskellige. Ændring af alle værdier til én pladsholder ødelægger den relation, som regnearket er beregnet til at vise.
Brug tre foreløbige kategorier: eksakt domænebrug, visningsnavn-imitation og forskelligt domæne-lighed. Tillad kombinationer og en uløst kategori. En meddelelse kan både bruge et vildledende visningsnavn og et lookalike domæne. Arbejdsarket bør også tillade kompromittering af autoriseret konto som en hypotese, når tilpasset post ser ud til at komme fra den rigtige organisation. Klassificering er en måde at rute undersøgelse på, ikke en endelig bestemmelse af hensigt eller ansvar.
Fiktiv sammenligning med tre budskaber
Forestil dig, at et fiktivt økonomihold modtager tre usædvanlige anmodninger forbundet med Northbridge Eksempel. Den første har Northbridges nøjagtige domæne, men pålidelige modtagerbeviser indikerer, at der ikke er nogen aligned pass. Den anden bruger økonomidirektørens visningsnavn med en ikke-relateret adresse, der godkendes for sit eget domæne. Den tredje bruger et lignende, men anderledes domæne og godkender også for det pågældende domæne. Disse er opfundne observationer, ikke beskeder indsamlet under dette arbejde.
Den første sag fører til en godkendelses- og sendestiundersøgelse. Den anden fører til bekræftelse af vist navn og virksomhedsmyndighed. Den tredje fører til domænesammenligning og personefterligning. Ingen garanterer betaling udelukkende fordi et kendt navn dukker op, og ingen bør "fikses" ved at tilføje den ikke-relaterede afsender til Northbridges SPF rekord. Hvis en fjerde meddelelse passerer justering ved hjælp af Northbridges faktiske domæne, er konto- eller servicekompromis fortsat muligt og kræver dets eget bevis.
Bekræft anmodningen ud over meddelelsen
De IC3 cloud-e-mail BEC rådgivning, udgivet i 2020, anbefaler verifikation gennem kendte kontaktmetoder for mistænkelige forretningsanmodninger. Dens alder er eksplicit: den understøtter den generelle kontrol, ikke en påstand om en aktuel hændelse eller en bestemt modtagers nuværende grænseflade. Brug et nummer eller en arbejdsgang, der allerede er registreret uafhængigt, og bekræft den specifikke ændring, der anmodes om, i stedet for blot at spørge, om nogen har sendt en e-mail.
Det påkrævede redigerede misbrugsscenarie med identitetsbevis, kontrolgrænse og uafhængig virksomhedsverifikation forbliver uopfyldt. Dette manuskripts fiktive sammenligning opfylder det ikke. Ingen konto blev forespurgt, intet mistænkeligt domæne besøgt, og ingen part blev kontaktet. Før frigivelse skal du beholde autoriseret reel bevis, få en kvalificeret anmelder til at validere klassificeringen, bekræfte kildeanvendelighed og produktionsruter, fuldføre tilgængelighedsgennemgang og indhente ejerens godkendelse. Resultatet bør være en forsvarlig forklaring på, hvilken identitet der blev hævdet, og hvad kontrollen faktisk etablerede.