Un CISO necesita saber si los controles de dominio de la organización cubren los activos previstos y si los servicios legítimos importantes aún funcionan. Un mundial DMARC El porcentaje no responde ninguna de las preguntas por sí solo. Cree un pequeño conjunto de medidas que separe la implementación, la autenticación observada, la actualidad de la evidencia y las excepciones no resueltas.
Las medidas siguientes son recomendaciones operativas. Utilizan el protocolo y los límites de informes de los RFC 9989 y 9990, pero no son puntuaciones de cumplimiento DMARC estandarizadas.
Comience con un inventario propio
Referencias: RFC 9989 §4.10.1, RFC 9989 §5.4.
Defina la población de dominios a partir de un inventario responsable, incluidos dominios de envío, marcas que no envían, servicios delegados y subdominios relevantes. Registre el propietario, el uso previsto, el resultado del descubrimiento de la política y la última fecha de verificación. Cuente los registros explícitos y la política vigente heredada por separado cuando esa distinción sea importante.
Una métrica de implementación podría ser dominios dentro del alcance verificados con una política efectiva prevista dividida por todos los dominios dentro del alcance. Explique qué significa verificado y qué políticas cumplen con el objetivo de la organización. Publicar cualquier registro no equivale a solicitar la ejecución, y solicitar la ejecución no garantiza un trato idéntico por parte de todos los destinatarios.
Medir la operación del servicio legítimo
Referencias: RFC 9990 §3.1.1.8, RFC 9989 §5.3.5, RFC 9989 §5.3.8.
Mantenga un inventario verificado de aplicación a dominio. Para cada servicio crítico, registre las identidades esperadas, el propietario responsable, la prueba representativa más reciente y los resultados alineados observados. Mostrar los servicios no observados durante el período en lugar de otorgarles un pase.
Para políticas válidas aplicables y evaluaciones completadas, calcule una tasa de aprobación basada en observaciones sumando el recuento de mensajes con una aprobación alineada. SPF o DKIM resultado y dividir por las observaciones del mensaje incluido. Estado de cobertura del receptor, ventana de tiempo, tratamiento de duplicados y criterios de clasificación. Separe esa tasa de una métrica de cobertura de servicios, cuyo denominador son las aplicaciones en lugar de los mensajes.
Trabajar a través de un promedio engañoso
Ejemplo sintético: un servicio de marketing tiene 99.990 observaciones aprobatorias, mientras que una ruta de factura verificada tiene diez observaciones fallidas. La tasa de aprobación combinada es del 99,99 por ciento. La tasa de aprobación observada de la ruta de facturación es cero sobre diez y uno de los dos servicios enumerados tiene un problema de autenticación no resuelto.
Esos hechos justifican una investigación urgente sobre la ruta de las facturas a pesar de que la tasa general es alta. No prueban que las diez facturas hayan sido rechazadas ni que cada receptor de facturas haya aportado un informe. Muestre la confirmación del propietario de la factura, la evidencia del mensaje de muestra y el estado de recuperación junto a la métrica.
Agregar medidas de visibilidad y excepción
Realice un seguimiento del último intervalo cubierto y el retraso en la llegada de reporteros importantes. Muestre el volumen observado sin clasificar, las rutas críticas no probadas y las decisiones de propiedad atrasadas. Un cambio en los reporteros contribuyentes puede cambiar un porcentaje sin ninguna mejora del remitente. Marque esos cambios en lugar de mezclarlos en una tendencia.
Para excepciones, mida la antigüedad, la importancia del negocio, la próxima acción y el vencimiento en lugar de solo la cantidad de tickets abiertos. Una sola excepción de larga duración que afecte un flujo de trabajo de pagos puede merecer más atención que muchas observaciones de bajo impacto resueltas rápidamente. No llame ataques bloqueados a todas las fallas de origen desconocido.
Hacer que el resumen del tablero sea auditable
Para cada número publicado, conserve su población, numerador, denominador, revisión de cálculo, fecha de evidencia y propietario responsable. Incluya un desglose de los servicios críticos y las brechas conocidas. Utilice no disponible cuando el denominador sea cero o no haya evidencia.
La declaración de control debe decir qué está configurado, qué se ha observado en funcionamiento y qué sigue siendo incierto. Revisión después de adquisiciones de dominios, migraciones de proveedores o nuevas solicitudes de envío. Un programa de métricas sólido hace que esos cambios sean visibles y crea decisiones de remediación específicas; no convierte un conjunto de datos incompleto en una garantía de seguridad universal.
Continuar la investigación
Utilice el tutorial de informe agregado para los campos subyacentes y el guía de diagnóstico de alineación cuando el éxito de la autenticación sin formato no cumple con DMARC .
Mantenga la ilustración dentro de su evidencia.
El cálculo sintético local da 99.990/100.000 = 99,99% de aprobación general, pero 0/10 = 0% para las facturas. Uno de los dos servicios mencionados sigue siendo problemático en el escenario proporcionado. Este no es un puntaje de cobertura patrimonial medido, un recuento de pérdidas en entregas ni un punto de referencia de la industria.