Käsittele DNS -hallintaa osana sähköpostin luottamusta
DNS kaappaus on luvaton muutos tietoihin tai ratkaisupolkuun, johon asiakas luottaa. Sähköpostitiimille tärkeä kysymys ei ole vain, onko verkkotunnuksen verkkosivusto siirtynyt. Selvitä, mitä viranomaista, tiliä tai ratkaisijaa se vaikutti, mitkä postiin liittyvät nimet muuttuivat ja mitä vastaanottajat ovat saattaneet havaita vaikutuksen alaisena. Puhdas vastaus nyt ei osoita, että aikaisemmissa toimituspäätöksissä olisi käytetty samoja tietoja.
Pidä arvovaltainen haltuunotto erillään välimuistin myrkytyksestä ja paikallisen ratkaisun uudelleenohjauksesta. Ne voivat aiheuttaa samanlaisia oireita, mutta vaativat eri toipumisomistajia. Rekisterinpitäjätili voi vaikuttaa delegointiin; arvovaltainen hosting-tili voi muuttaa vyöhykkeen sisältöä; vaarantunut päätepiste voi käyttää odottamatonta ratkaisijaa. NIST DNS käyttöönottoopas erottaa uhkat arvovaltaisille, rekursiivisille ja tynkäpalveluille. Tämä ero on hyödyllisen tapahtumakartan lähtökohta.
Tunnista luottamusraja, joka siirtyi
Vertaa tunnettua rekisteröinnin ja delegoinnin lähtötasoa nykyiseen viralliseen palveluun. Kirjaa, kuka hallinnoi rekisterinpitäjää, DNS isännöintiä, allekirjoitusinfrastruktuuria ja palautusyhteystietoja. Tarkista, onko muutos valtuutettu, ennen kuin kutsut sitä haitalliseksi: suunnitellut siirrot, delegoidut aliverkkotunnukset ja jaetut näkymät voivat aiheuttaa oikeutettuja eroja. Säilytä epävarmuus, kun tietueita tai tililokeja ei ole saatavilla.
Arvovaltaisella hierarkialla on merkitystä, koska luotettavan näköinen vyöhykevienti entiseltä toimittajalta ei välttämättä enää kuvaa julkista delegointia. RFC 1034 kohta 4.2 selittää vyöhykkeiden rajat ja delegoinnin. Tapahtumatodisteiden tulee tunnistaa kussakin havainnossa käytetty palvelin ja polku, ei vain toistettava vastausteksti. Kuvakaappaus ilman kysyttyä nimeä, tietuetyyppiä ja aikaleimaa on heikko todiste siitä, mikä on muuttunut.
Käytä vakiintuneita tapausmenetelmiä suojataksesi tilit, joita asia koskee, säilyttääksesi asiaankuuluvat lokit ja koordinoidaksesi palauttamista. Nämä toimet edellyttävät organisaation lupaa; Tämä artikkeli ei ohjaa muutoksia live-palveluun. Vältä tuhoamasta hyödyllisiä todisteita poistamalla tilejä, korvaamalla kaikki tietueet tai tyhjentämällä jokaisen välimuistin, ennen kuin tapahtuman omistaja on tallentanut vahingoittuneen tilan.
Seuraa erilaisia seurauksia saapuvalle ja lähtevälle postille
Luvaton MX muutos voi ohjata uudelleen saapuvan postin jakeluyritykset. Se, toimittaako tietty lähettäjä todella, riippuu valitusta reitistä, kuljetussuojauksista ja tuloksena olevasta yhteydestä. Älä päättele, että postilaatikon sisältö on luettu pelkästään MX eron perusteella. Määritä vaikutusväli ja tarkista toimitustodisteet ennen altistumisvaatimuksen tekemistä.
Lähtevillä henkilöllisyystarkistuksilla on erilaisia riippuvuuksia. SPF arvioi, onko yhteysosoite valtuutettu arvioidulle toimialueelle käyttämällä DNS käytäntöä kohdassa RFC 7208. Jos vastustaja hallitsee tätä käytäntöä, SPF passi saattaa kuvastaa luvatonta käytäntöä laillisen yrityksen valtuutuksen sijaan. Korvaaminen a DKIM julkinen avain voi vaikuttaa vahvistukseen, mutta avaimen julkaiseminen ei muuta vanhoja viestien allekirjoituksia tai paljasta aiempaa yksityistä avainta. Avainten haku- ja vahvistusprosessi on kuvattu kohdassa RFC 6376 kohdat 3.6 ja 6.1.2.
DMARC luottaa todennettuun tunnisteeseen, joka on linjassa tekijän verkkotunnuksen kanssa. Se ei ole riippumaton hyväksyttyjen työntekijöiden tai myyjien rekisteri. Kaapatun verkkotunnuksen todennusmateriaali voi horjuttaa ohimenevän tuloksen taustalla olevia oletuksia. Verkkotunnuspolitiikka myös informoi vastaanottajan käsittelystä sen sijaan, että taata yleinen lopputulos, kuten kohdassa selitetään RFC 9989 kohdat 4.4 ja 5.4.
Ymmärrä, mitkä suojat kattavat minkäkin riskin
DNSSEC tarjoaa DNS tietojen alkuperätodennuksen ja eheyden, kun validoinnilla on käyttökelpoinen luottamusketju. Se ei takaa, että valtuutetun allekirjoitusjärjestelmän kautta tehty muutos kuvastaa omistajan aikomusta. Haitallinen muokkaus, joka on hyväksytty ja allekirjoitettu vaarantuneen virallisen hallintapolun kautta, saattaa silti vahvistua. RFC 4033 jakso 3 määrittää DNSSEC tarjoamat palvelut; tilin suojaus ja hyväksyntähallinta koskevat eri tasoa.
Myös liikennepolitiikka tarvitsee oman analyysinsä. Olemassa oleva MTA-STS käytäntö voi rajoittaa sallittuja MX isäntiä ja TLS -tarkistusta lähettäjien käyttöönotolle, mutta alkuperäisellä etsinnällä ja käytännön välimuistilla on rajoituksia. DANE SMTP riippuu DNSSEC-todennettuista tiedoista ja sopiva TLSA levyjä. Kumpaakaan mekanismia ei pitäisi kuvata yleiseksi vastalääkkeeksi hallinnollisen toimialueen haltuunotolle. Ota yhteyttä RFC 8461 § 10 ja RFC 7672 osa 2 erillisten luottamusmalliensa vuoksi.
Kuvitteellinen esimerkki kiistanalaisesta MX muutoksesta
Kuvitteellisessa Esimerkki Workshops -organisaatiossa hälytys ilmoittaa, että example.com on nyt eri MX kohde. Sähköpostin järjestelmänvalvojan vanha DNS paneeli näyttää edelleen odotetun arvon. Ehdotetussa tutkimuksessa verrattaisiin delegointia, tämänhetkisiä arvovaltaisia vastauksia ja rekisterinpitäjän muutostietueita ennen kuin päätettäisiin, onko paneeli yksinkertaisesti enää arvovaltainen.
Oletetaan, että tapahtumatietue määrittää myöhemmin luvattoman delegoinnin muutoksen. Vastauksen omistaja koordinoisi hyväksytyn viranomaisen palauttamista ja arvioi aikaikkunan lähettäjän lokien ja kuljetuspolitiikan todisteiden perusteella. Liittymättömän lähtevän viestin todennus ei sulkeisi saapuvan altistumisen kysymystä. Tämä skenaario on keksitty, eikä se sisällä havaittuja tapauksia, palveluntarjoajan tilin käyttöä tai testattua palautusta.
Määrittele palautuminen yhden vastauksen palauttamisen lisäksi
Säilytä hyväksytty tietueero, riippuvuuskartta ja palautusmateriaali ja tarkista sitten palautettu arvovaltainen polku ja valitut rekursiiviset näkymät. Tarkista kaikki avaimet, valtuustiedot tai käytäntöjen päätepisteet, joihin todellinen kompromissi liittyy, olettamatta, että jokainen salaisuus paljastettiin. Määritä omistajuus toistumisen ja ratkaisemattomien altistumiskysymysten seurantaan.
Sulje tapahtuma vain nimenomaisten kriteerien perusteella: hallintoa valvotaan, tarkoitettuja tietueita palvellaan, riippuvat palvelut varmistetaan ja todisteiden väli ymmärretään. Välimuistissa olevat vastaukset ja jonossa olevat sähköpostit voivat kestää näkyvän korjauksen kauemmin. Alkuperäinen hyväksyntä ja muutoksen jälkeinen hakutodisteet puuttuvat täältä, joten tämä koulutusselitys ei ole valmis kaappausarviointi tai vakuutus siitä, että jokin verkkotunnus on turvallinen.