Ein wachsendes Unternehmen baut Versanddienste schneller auf als E-Mail-Administratoren. Die Finanzabteilung fügt die Rechnungsstellung hinzu, das Marketing fügt Kampagnen hinzu und Produktteams fügen Benachrichtigungen hinzu. Eine nützliche Roadmap verwandelt diese Sammlung in einen eigenen Bestand, richtet eine abgestimmte Authentifizierung ein und verbessert die Richtlinie nur dann, wenn der legitime Versand verstanden wird.
Beginnen Sie mit einer verantwortungsvollen Bestandsaufnahme
Weisen Sie jeder Domain und jedem Sendevorgang einen Geschäftsinhaber und einen technischen Eigentümer zu. Dazu gehören Mitarbeiterpost, Kundensupport, Transaktionsanwendungen, Marketing, Scanner, Überwachung und ruhende Marken. Zeichnen Sie auf, wer das autorisierende DNS kontrolliert, wer jeden Absender konfigurieren kann und wer eine Änderung genehmigen kann. Trennen Sie bekanntermaßen legitimen Datenverkehr vom ungeklärten Datenverkehr, anstatt allem, was ein Bericht enthält, Vertrauen zu gewähren.
Bewahren Sie für jede aktive Route eine repräsentative Stichprobe empfangener Nachrichten auf und identifizieren Sie Absender, Umschlagdomäne, Signaturdomänen und vertrauenswürdige Empfängerergebnisse. Notieren Sie Produkt- und Planbeschränkungen. Das Ergebnis dieser ersten Phase ist eine Liste der Geschäftsabläufe mit Eigentümern und Beweislücken, nicht nur eine Liste von SPF beinhaltet.
Sorgen Sie dafür, dass legitime Identitäten funktionieren
Konfigurieren Sie die unterstützte Domänenauthentifizierung bei jedem Absender mithilfe aktueller Erstanbieteranweisungen und kontogenerierter DNS Werte. Behalten Sie eine gültige SPF Richtlinie für jeden relevanten Eigentümer bei und beobachten Sie deren Suchabhängigkeiten. Ausgerichtet etablieren DKIM wo unterstützt, und überprüfen Sie, ob die Signaturen den Produktionsweg überleben. Ein Pass für eine unabhängige Anbieterdomäne reicht als Nachweis nicht aus Ausrichtung.
Führen Sie einen kontrollierten Testprozess durch, bevor Sie einen kritischen Ablauf ändern. Für das Zurücksetzen von Passwörtern und Zahlungsbelegen sind möglicherweise andere Wiederherstellungspläne als bei einem wöchentlichen Newsletter erforderlich. Gehen Sie nicht davon aus, dass eine Route mit geringem Volumen unwichtig ist. Machen Sie jede nicht unterstützte Identitätseinschränkung sichtbar, indem Sie eine Geschäftsentscheidung über einen Ersatz, eine Umleitung oder eine ausdrücklich akzeptierte vorübergehende Ausnahme treffen.
Nutzen Sie die Beobachtung, um über Richtlinienänderungen zu entscheiden
DMARC verbindet authentifizierte Domänen mit der sichtbaren Von-Domäne. Seine Richtlinien- und Berichtsmechanismen helfen Betreibern, Fehler zu verstehen und die Empfängerbehandlung anzufordern, aber Empfängerentscheidungen bleiben lokal und Berichte stellen keine vollständige Bestandsaufnahme dar. Kombinieren Sie Berichte mit Anwendungseigentümern, DNS Einträgen und kontrollierten Nachrichtentests.
Definieren Sie Weiterentwicklungskriterien, bevor Sie die Durchsetzung verstärken: identifizierte legitime Abläufe, Weitergabe abgestimmter Stichproben, untersuchte unerklärliche Fehler, ein Bereitschaftseigentümer und ein getestetes Rollback. Machen Sie eine willkürliche Anzahl von Überwachungstagen nicht zum Beweis dafür, dass ein saisonaler oder vierteljährlicher Arbeitsablauf sicher ist. Beziehen Sie Subdomänen und Richtlinienbeziehungen zwischen Organisation und Domäne in die Überprüfung ein, anstatt davon auszugehen, dass sich jeder Name gleich verhält.
Sequenzwachstum mit expliziten Gates
Illustrative Roadmap: Erstens: Inventarisieren Sie drei kritische Flüsse und ermitteln Sie, wer DNS besitzt; Als nächstes authentifizieren Sie jeden Fluss und testen die Empfangs- und Zurücksetzungsvorgänge. Überprüfen Sie dann die beobachteten Fehler und testen Sie die beabsichtigte Richtlinie mit einem umkehrbaren Änderungsplan. Fügen Sie schließlich die Genehmigung neuer Absender und regelmäßige Überprüfungen zur Außerbetriebnahme hinzu. Dies ist ein Planungsbeispiel, kein Zeitplan oder das Versprechen, dass jede Organisation in vier Schritten abgeschlossen ist.
Halten Sie für jedes Tor einen Eigentümer, erforderliche Nachweise, Blocker und ein Entscheidungsdatum bereit. Eine Route kann nicht voranschreiten, nur weil eine andere Route passiert ist. Behandeln Sie Fusionen, neue Domains und Anbietermigrationen als neue Beweisereignisse. Wenn ein wesentlicher Dienst nicht angepasst werden kann, lösen Sie diese Abhängigkeit auf, bevor Sie ihn einer strengeren Richtlinie ohne genehmigten Geschäftsplan aussetzen.
Machen Sie die Wartung zu einer Routineaufgabe
Fordern Sie neue Anwendungen auf, vor dem Start ihre sendende Domäne und den Authentifizierungseigentümer zu identifizieren. Überprüfen Sie ungenutzte Selektoren, SPF Autorisierungen und Anbieterzugriff, wenn Dienste eingestellt werden. Bewahren Sie das Vertrauen, das aktive Routen oder Flugnachrichten noch benötigen. Überwachen Sie auf unerwartete Authentifizierungsänderungen und zeichnen Sie nicht nur die Anwesenheit auf.
Halten Sie die Roadmap hinsichtlich des Restrisikos ehrlich. DMARC verhindert nicht, dass ein kompromittiertes legitimes Konto authentifizierten Missbrauch sendet, und eliminiert auch nicht die Täuschung durch Lookalike-Domains. Kombinieren Sie die Domänenauthentifizierung mit Kontosicherheit, Nachrichtenfilterung und Personalverifizierungsverfahren. Melden Sie Fortschritte als verifizierte Abläufe und geschlossene Beweislücken, wobei noch Unbekannte sichtbar sind.
Beachten Sie die Verpflichtungen des Absenders, bevor Sie ihn ablehnen
RFC 9989 Abschnitt 7.4 erfordert die Veröffentlichung von Domains p=reject gültige DKIM Signaturen anzuwenden und sich für DMARC Passage nicht ausschließlich auf SPF zu verlassen. In Abschnitt 8 werden gesondert die Voraussetzungen für die vollständige Teilnahme aufgeführt, einschließlich abgestimmter SPF und DKIM . Der Mechanismus zur Weiterleitung einer einzelnen Nachricht ist daher kein vollständiger Standard für die Bereitstellungsbereitschaft. Abschnitt 7.4 warnt auch vor indirekten Flüssen und empfiehlt, Domains, die Benutzer hosten, die möglicherweise auf Mailinglisten posten, nicht abzulehnen. Die abgestufte Beobachtungsanleitung ersetzt nicht die Überprüfung der tatsächlichen Konjunkturzyklen und betroffenen Pfade.