Ein Kompromiss DKIM Mit einem privaten Schlüssel kann ein Angreifer Signaturen erstellen, die unter der betroffenen Signaturdomäne überprüft werden. Behandeln Sie das Ereignis als einen Vorfall der Zeichnungsbehörde. Das Ersetzen eines DNS Eintrags ist nur ein Teil der Eindämmung, und DKIM Verifizierung allein kann einen autorisierten Unterzeichner nicht von einem Angreifer unterscheiden, der denselben Schlüssel besitzt.
Ermitteln Sie die betroffene Behörde
Identifizieren Sie die signierende Domäne, die Selektoren, den Schlüsselverwalter und jeden Dienst mithilfe des privaten Schlüssels. Bewahren Sie relevante Audit-Protokolle, Konfigurationen und repräsentative verdächtige Nachrichten auf, ohne das Geheimnis in Tickets oder Chats zu kopieren. Notieren Sie die Entdeckungszeit, das wahrscheinliche Expositionsfenster und das, was bekannt ist und was vermutet wird.
Trennen Sie den Diebstahl privater Schlüssel vom unbefugten Zugriff auf einen Signaturdienst. Ein Angreifer mit Kontozugriff kann nach einer Schlüsselrotation mit dem Signieren fortfahren, sofern dieser Zugriff nicht eingeschränkt wird. Eine Kompromittierung DNS -Verwaltung ist eine weitere Abhängigkeit, die eine eigene Reaktion erfordert. Koordinieren Sie diese Untersuchungen unter der Leitung des Eigentümers des Vorfalls.
Stoppen Sie neuen Missbrauch und widerrufen Sie den alten Verifizierungspfad
Sperren Sie betroffene Signaturrouten oder Anmeldeinformationen über den genehmigten Vorfallprozess. RFC 6376 erlaubt den Widerruf durch Veröffentlichung eines leeren p-Werts. Auch das Abziehen des Schlüssels verhindert den erfolgreichen Abruf, sobald die Abwesenheit sichtbar ist. Wählen Sie die von der Plattform unterstützte Antwort und überprüfen Sie die genaue Wähler und Domäne, bevor Sie sie ändern.
Der Widerruf erfolgt nicht bei jedem Empfänger sofort. Zwischengespeicherte DNS Daten und bereits ausgewertete Nachrichten bilden eine zeitabhängige Grenze. Versprechen Sie nicht, dass DNS Änderung rückwirkend Signaturen in zugestellten E-Mails ungültig macht oder beweist, dass keine missbräuchlichen Nachrichten akzeptiert wurden.
Bei normaler Rotationsüberlappung bleibt die Überprüfung für legitime Nachrichten in der Warteschlange erhalten. Während einer Kompromittierung kann die Überprüfbarkeit des offengelegten Schlüssels auch die Fähigkeit eines Angreifers bewahren. Der Eigentümer des Vorfalls muss die Eindämmung gegen Ausfälle durch verzögerte E-Mails abwägen, anstatt den routinemäßigen Überlappungsplan automatisch anzuwenden.
Stellen Sie die Signierung über einen sauberen Pfad wieder her
Generieren Sie Ersatzschlüsselmaterial durch einen vertrauenswürdigen unterstützten Prozess, nachdem Sie die Gefährdungsursache behoben haben. Bevorzugen Sie einen neuen unterstützten Selektor, damit alte und neue Beweise unterschieden werden können. Wenden Sie aktuelle kryptografische Anforderungen an. Für die RSA-Signierung erfordert RFC 8301 rsa-sha256 anstelle von rsa-sha1 und empfiehlt mindestens 2048-Bit Schlüssel.
Beispielhafte Antwort: Selektor sales1 ist verfügbar und sein Signaturkonto ist enthalten. Ein sauberer Unterzeichner verwendet sales2, während sales1 widerrufen wird. Neue kontrollierte E-Mails werden mit „sales2“ überprüft und mit „Von“ abgeglichen. Mit sales1 signierte verspätete E-Mails können möglicherweise fehlschlagen. Dieses Beispiel beschreibt einen expliziten Kompromiss, keinen abgeschlossenen Vorfall oder eine Garantie für universelles Empfängerverhalten.
Überprüfen Sie die Erholung und bewahren Sie die Unsicherheit
Testen Sie jede betroffene Route, nicht nur ein Postfach. Speichern Sie Rohnachrichten und vertrauenswürdige Ergebnisse, überprüfen Sie den neuen Selektor und bestätigen Sie Ausrichtung und stellen Sie sicher, dass kompromittierte Anmeldeinformationen das Signieren nicht mehr autorisieren. Überprüfen Sie die Anbieterprotokolle und Empfängerberichte für den Expositionszeitraum. Beachten Sie, dass die Berichte nicht jeden Empfänger abdecken oder nachweisen, wer die einzelnen Nachrichten gesendet hat.
Halten Sie einen Zeitplan für Eindämmung, DNS Beobachtungen, Ersatzbereitstellung und Kundenauswirkungsbewertung aufrecht. Bewahren Sie den Zugriff auf forensische Kopien unter Kontrolle. Schließen Sie den Vorfall nur mit einem identifizierten Eigentümer ab, um die weitere Untersuchung durchzuführen und einen Schlüsselverwahrungs- oder Zugangsfehler zu beheben. Eine erfolgreiche neue Signatur beweist, dass die Wiederherstellungsroute funktioniert. Es allein stellt nicht den vollen Umfang des früheren Missbrauchs dar.
Trainieren Sie vor einem Notfall eine Tischplatte
In dieser synthetischen Zeitleiste enthält das Dienstkonto A den Umsatz1 und das saubere Konto B den Umsatz2. In Minute Null enthalten Sie A. In Minute eins veröffentlichen Sie den Widerruf von sales1. In Minute zwei hat ein fiktiver Resolver immer noch seinen alten zwischengespeicherten Schlüssel, sodass alte Signaturen dort möglicherweise noch überprüfbar bleiben. Beginnen Sie in Minute drei mit der sauberen Sales2-Route. Sammeln Sie in Minute 30 die pro Route empfangenen Ergebnisse und Zugriffsnachweise, anstatt die Wiederherstellung nur über DNS zu deklarieren. Diese Zeitangaben veranschaulichen die Reihenfolge, nicht ein versprochenes Ausbreitungsintervall.
Diese schriftliche Tabelle schlägt fünf erforderliche Wiederherstellungsbeobachtungen vor: alter Zugriff deaktiviert, Gefährdungsursache eingedämmt, neuer Schlüssel veröffentlicht, neue Signatur verifiziert und neue Signatur ausgerichtet. Ein Szenario, in dem neue E-Mails weitergeleitet werden, der alte Zugriff jedoch weiterhin aktiv ist, schlägt beim Wiederherstellungsgate fehl. Ein Szenario, das alle fünf Punkte erfüllt, passiert das modellierte Tor. Beide Beobachtungssätze sind synthetisch; Es wurde kein Tabletop-Programm, Mandanten- oder Nachrichtentest ausgeführt. Während eines realen Vorfalls sind tatsächliche Eindämmung, Cache-Beobachtungen, Genehmigungen und Nachrichtentests weiterhin erforderlich.
Weisen Sie jedem ungelösten Wiederherstellungstor einen Besitzer zu
Im schriftlichen Fall KEY-01 wird davon ausgegangen, dass der Ersatzselektor sales2 eine passiv ausgerichtete Signatur für From sales@example.org mit d=example.org, das alte Dienstkonto jedoch weiterhin aktiv bleibt. Der Eigentümer des Vorfalls muss die Wiederherstellung offen halten und sich mit der Zugriffsbeschränkung befassen. Ein erfolgreicher Signaturtest eines Mail-Administrators kann diese Lücke nicht schließen. Alte Resolver-Caches und frühere Missbrauchsbereiche bleiben unbekannt. Bei den Identitäten und Ergebnissen handelt es sich um festgelegte Lehrannahmen, nicht um einen ausgeführten Vorfall.