Establece qué hace el servicio de seguridad en tu ruta
Un nombre de Perception Point en una consola de seguridad de correo no establece que el servicio origine los mensajes de su organización ni los firme con su dominio. Comience con la integración que realmente se implementa. Identifique la plataforma del buzón, el método de escaneo entrante, el alcance del escaneo saliente y cualquier retransmisión SMTP separada. Este artículo proporciona un método de verificación e identificación de rutas. La evidencia de primera mano disponible no establece un punto de percepción universal SPF incluir o dominio-cliente DKIM configuración.
La documentación actual de WP en docs.perception-point.io tiene la marca FortiMail Workspace Security. Es Página de incorporación saliente Microsoft 365 describe el escaneo saliente a través de una conexión API Microsoft 365 , agregado a una integración entrante existente. Esa función documentada es una inspección de seguridad, no una prueba de una nueva identidad de envío SMTP . Confirme que estas instrucciones del producto se aplican a la implementación antes de usar sus controles.
Dibuja la ruta y asigna cada responsabilidad.
Cree un flujo corto desde la aplicación o buzón de correo hasta el destinatario final. Para cada componente, registre si genera el mensaje, envía SMTP , transmite SMTP , firma DKIM , escanea una copia o toma una decisión de entrega del lado del destinatario. Solicite a los propietarios de la plataforma que proporcionen evidencia de configuración en lugar de confiar en el logotipo de un producto en el pie de página de un correo electrónico.
Separe al menos tres preguntas. ¿Qué sistema transmite el mensaje al destinatario? ¿Qué dominio lo firma? ¿Qué servicio de seguridad lo inspecciona? Un producto puede desempeñar más de una función, pero esas funciones deben demostrarse. Si el mensaje es correo saliente normal Microsoft 365 observado a través de una API, no agregue el rango de IP entrante no relacionado de una puerta de enlace a su política de remitente simplemente porque la puerta de enlace protege al inquilino.
También distinga los mensajes generados por la organización de las notificaciones generadas por el propio servicio de seguridad. Un informe o alerta enviado por el producto puede utilizar un remitente y una ruta diferentes a los del correo electrónico de un empleado. No utilice los encabezados de una alerta como prueba de autenticación para correspondencia comercial, ni a la inversa.
Interpretar la evidencia escaneada dentro de sus límites.
Para la ruta documentada Microsoft 365 , el proveedor describe comprobaciones de escaneo saliente habilitado y un alcance de conexión saliente, con resultados visibles en la página Escaneos. Indica que el escaneo saliente no bloquea los mensajes salientes ni proporciona cuarentena saliente. El procedimiento de incorporación También advierte que el alcance seleccionado puede afectar la configuración de escaneo existente. Haga que el administrador de seguridad revise ese alcance antes de cambiar algo.
Esas observaciones pueden establecer que un mensaje fue escaneado dentro de una integración nombrada. No establecen autorización SPF , un documento válido firma DKIM o DMARC alineación en un receptor externo. Mantenga los resultados del escaneo y los resultados del receptor en campos de evidencia separados para que un veredicto limpio no sustituya la autenticación.
El documentación de encabezado de veredicto dice que los encabezados X-PERCEPTION-POINT enumerados no se agregan mediante el escaneo Microsoft 365 o Google Workspace API y no se agregan a los correos electrónicos salientes. Por lo tanto, su ausencia no es, por sí sola, una prueba de que el escaneo de salida haya fallado. Su presencia en algún otro mensaje tampoco los convierte en una decisión DMARC de un destinatario externo.
Configure el remitente real solo después de la identificación
Una vez que conozca el remitente SMTP y el servicio de firma, utilice el procedimiento de configuración propio correspondiente a ese servicio. Obtenga sus registros de dominio emitidos y evidencia de activación. Si una implementación verificada realmente utiliza una retransmisión saliente adicional, solicite las instrucciones de firma y autenticación de dominio actuales de la retransmisión para ese inquilino en lugar de extrapolarlas de la guía de seguridad entrante.
SPF autoriza la identidad SMTP aplicable y tiene restricciones de selección de registros y búsqueda de DNS en RFC 7208. DKIM identifica un dominio de firma y selector bajo RFC 6376. DMARC relaciona una identidad autenticada pasajera con el dominio De visible en RFC 9989. Una lista de IP permitidas, un consentimiento de API o un análisis de amenazas exitoso no sustituyen esas comprobaciones.
Evite las listas de permitidos amplias como atajo de diagnóstico. Puede cambiar el tratamiento de seguridad local y al mismo tiempo ocultar la falla original. Si el problema es el rechazo del receptor, conserve el código de rechazo, la hora, el sistema del destinatario previsto y un identificador de mensaje redactado. Si el problema es la cobertura de seguridad, examine el alcance del análisis y el registro de análisis coincidente. Resuelva la falla específica en lugar de tratar cada problema de entrega como una solicitud de cambio SPF .
Hoja de trabajo de implementación de Perception Point
Complete esta hoja de trabajo antes de proponer registros de autenticación:
- Nombre del producto que aparece en el inquilino y contrato: ____; documentación aplicable: ____.
- Plataforma de buzón, inquilino y región de implementación: ____.
- Método de integración entrante: ____; Método y alcance del escaneo saliente: ____.
- Aplicación generadora de mensajes y propietario: ____; Remitente o retransmisión SMTP : ____.
- Servicio de firma DKIM y propietario: ____; evidencia que lo conecta con la ruta: ____.
- Notificación versus clasificación de mensajes comerciales: ____.
- Prueba controlada ID del mensaje y hora UTC: ____; registro de escaneo correspondiente: ____.
- Receptor externo, visible Desde y dominio de envolvente: ____.
- DKIM d= y s=: ____; Resultados confiables SPF , DKIM y DMARC : ____.
- Cambio DNS propuesto y fuente real del remitente: ____; Suposiciones no respaldadas: ____.
- Decisión piloto, propietario de recuperación y revisor humano: ____.
Si se desconoce el remitente SMTP o el propietario de la firma, la hoja de trabajo no está lista para un cambio DNS . Continúe la investigación de solo lectura y solicite al administrador responsable la evidencia de ruta que falta.
Diagnóstico ficticio de encabezados de veredicto faltantes
Solo ejemplo ficticio: Summit Design permite el escaneo de API saliente y envía un mensaje controlado. Su administrador no ve ningún encabezado de veredicto de X-PERCEPTION-POINT y asume que el mensaje ha omitido la protección. La limitación del encabezado documentada explica por qué esa expectativa no es adecuada para esta ruta. El equipo verifica la entrada de escaneo coincidente del mensaje para determinar la cobertura de seguridad y luego examina por separado los resultados de autenticación del receptor externo para el remitente del buzón real.
Agregar IP de servicios de seguridad a la política SPF de la organización no respondería a ninguna de las preguntas sin evidencia de que esas IP transmiten el mensaje saliente. El equipo deja DNS sin cambios mientras confirma la ruta. No se probó ninguna implementación de Summit, consola de escaneo, zona DNS o mensaje recibido para este manuscrito.
Alcance y puertas restantes
El tema original de la configuración amplia del remitente permanece en suspenso. Este candidato identifica el límite entre el escaneo documentado y las capacidades de envío no verificadas al dominio del cliente; no afirma que esas capacidades estén universalmente ausentes. La aplicabilidad real del producto, la propiedad de enrutamiento y firma, las instrucciones emitidas por el inquilino cuando sea relevante, el escaneo en vivo y la evidencia del receptor, la revisión realizada, la aprobación humana de las PYME y la publicación siguen pendientes.
Registre el efecto de alcance antes de editar el escaneo
Para la integración documentada de la API Microsoft 365 , el proveedor advierte que una nueva selección de dominios, grupos o usuarios reemplaza el alcance entrante, interno y saliente existente. Con una integración entrante en línea existente, la selección afecta únicamente a la cobertura saliente. Trate esto como una decisión de cobertura de seguridad que requiere su propietario, no una solución de autenticación.
Separe la aceptación de mensajes de la implementación de políticas
Un resultado SPF alineado aprobado puede satisfacer la evaluación de un mensaje, pero no justifica por sí solo mover un dominio completo para rechazarlo. RFC 9989 La sección 7.4 requiere DKIM válido para la publicación de dominios p=reject y advierte sobre la interoperabilidad del correo indirecto. Haga un inventario de todos los remitentes legítimos y rutas indirectas antes de que el propietario de la política apruebe su aplicación. No se ejecutó ningún cambio DNS , operación de inquilino o prueba de mensaje recibido para este artículo.