Sähköpostitodennusriskirekisterissä tulee selvittää, mikä yrityspalvelu voi kärsiä ja mikä päätös vähentää sitä. "DMARC puuttuu" on tekninen havainto, ei täydellinen riskilausunto. Yhdistä ehto uskottavaan uhkaan tai vikapolkuun, vaikuttaneeseen prosessiin, olemassa oleviin suojatoimiin ja vastuulliseen omistajaan.
Kuvaa palvelu ja skenaario
Merkitse jokaisen merkinnän kohdalla palvelu, verkkotunnus, sovelluksen omistaja, tekninen kunto, todisteiden aika ja todennäköinen seuraus. Pidä epävarmuus selkeänä. Havainnoimaton lähettäjä on todisteiden aukko, kun taas varmennettu, kohdistamaton laillinen lähettäjä on todennusvirhe. Kumpikaan ei automaattisesti todista, että hyökkääjä on käyttänyt palvelua hyväkseen.
RFC 9989 määrittää verkkotunnuksen todennuksen ja linjaus käyttäytymistä. Sen suojaukset eivät varmista, että jokainen todennettu pyyntö on laillinen. Riskirekisterin on erotettava verkkotunnuksesi suora toisena henkilönä esiintyminen vaarantuneesta valtuutetusta tilistä tai a samankaltainen verkkotunnus joka läpäisee todennuksen itselleen.
Erottele luontainen ja jäljellä oleva riski
Kuvaile skenaariota ennen valvontaa ja selitä sitten, mitä kukin olemassa oleva suojaus muuttaa. Laskuohjeiden osalta maksun takaisinsoittovahvistus voi käsitellä vilpillisiä yrityspyyntöjä, joita verkkotunnuksen todennus ei yksin pysty ratkaisemaan. Älä anna ymmärtää, että kirjallisen takaisinsoittokäytännön olemassaolo osoittaa, että ihmiset noudattavat sitä johdonmukaisesti.
Käytä organisaation sovittuja todennäköisyys- ja vaikutusmääritelmiä. Vältä esittämästä keksittyä tarkkuutta, kuten 17,3 %:n vuotuista petoksen todennäköisyyttä ilman todisteita. Jos tiedot eivät ole riittäviä, käytä laadullista luokitusta perusteluineen ja arvostelulaukaisineen. Kirjaa ylös, kenellä on valtuudet hyväksyä jäljellä oleva riski sen sijaan, että käsittelet sähköpostin ylläpitäjän teknistä kirjautumista yrityksen hyväksynnäksi.
Käytä linkitettyä esimerkkiä
Oletetaan, että hypoteettinen merkintä R-1 koskee palkkasummaa. Edellytyksenä on, että rekisteröidyn kriittisen palvelun nykyinen kohdistettu hyväksymistodistus puuttuu. Mahdollisena seurauksena ovat palkanlaskennan ilmoitukset, jos testaamaton reitti epäonnistuu täytäntöönpanon aikana. Tämä on ehdollinen skenaario, ei väite, että työntekijät ovat jääneet huomaamatta. Rahoitus omistaa palvelun, postitiimi omistaa tutkinnan ja sulkeminen vaatii nykyisen reittitestin sekä palvelun omistajan vahvistuksen.
R-2 kattaa laskun maksun toisena henkilönä esiintymisen hyökkääjän omistaman lookalike-verkkotunnuksen kautta. Sen ehdotettu ohjaus on riippumaton tarkastus jo luotetun yhteysreitin kautta. Vahvemman käytännön julkaiseminen uhrin verkkotunnuksessa ei täytä R-2:n sulkemistestiä. Vaadi jokaisen merkinnän osalta havainto, omistaja, päätös ja nimenomaiset sulkemistodisteet, ennen kuin käsittelet ehdotetun rekisterin täydellisenä. Tämä on suositeltu tarkistussääntö, ei suoritettu vahvistus tai todiste siitä, että ohjausobjekti toimii.
Pidä rekisteri toimintakykyisenä
Valitse hoito nimenomaisesti: korjaa, vältä riskialtista toimintaa, siirrä määritetty altistuminen tarvittaessa tai hyväksy jäljellä oleva riski valtuutetun päätösprosessin kautta. Aseta eräpäivä ja tarkistuskäynnistin. Hoitosuunnitelma ei ole todiste valmistumisesta; säilytä varsinainen testi- tai päätöstietue erikseen.
Nämä hypoteettiset merkinnät kuvaavat erilaisia skenaarioita, eivät havaittuja hyökkäyksiä tai hyväksyttyjä liiketoimintariskejä. Täydellisyyden tarkastelu voi tunnistaa puuttuvat kentät, mutta ei voi vahvistaa riskiluokitusta tai varmistaa, että todelliset suojatoimet toimivat. Pidä varsinainen todiste ja valtuutettu hyväksymispäätös erillään ehdotetusta hoidosta.
Tarkista rekisteri siirtojen, uusien lähettäjien, tapausten ja liiketoimintamuutosten jälkeen. Sulje vain se skenaario, jonka todisteet täyttävät esitetyt testit, ja säilytä tarpeeksi historiaa selittääksesi, miksi se suljettiin.
NIST SP 800-30 Rev. 1 osioissa 2.3 ja 3.2 kuvataan riskitekijöitä, arviointimenetelmiä ja dokumentoidaan arviointihavainnot. Ne tukevat todennäköisyyden, vaikutuksen ja epävarmuuden ilmaisemista; yllä olevat sähköpostikohtaiset rekisterikentät ja esimerkit ovat ehdotettua sovellusta, eivät määrättyä vaatimustenmukaisuuden tarkistuslistaa. Riskinarviointiopas.