Un RSSI doit savoir si les contrôles de domaine de l'organisation couvrent les actifs prévus et si les services légitimes importants fonctionnent toujours. Un mondial DMARC Le pourcentage ne répond à aucune des deux questions à lui seul. Créez un petit ensemble de mesures qui séparent le déploiement, l’authentification observée, l’actualité des preuves et les exceptions non résolues.
Les mesures ci-dessous sont des recommandations opérationnelles. Ils utilisent le protocole et les limites de reporting des RFC 9989 et 9990, mais il ne s'agit pas de scores de conformité DMARC standardisés.
Commencez avec un inventaire détenu
Références : RFC 9989 §4.10.1, RFC 9989 §5.4.
Définissez la population de domaines à partir d'un inventaire responsable, y compris les domaines d'envoi, les marques non-expéditeurs, les services délégués et les sous-domaines pertinents. Enregistrez le propriétaire, l'utilisation prévue, le résultat de la découverte de la politique et la dernière date de vérification. Comptez séparément les enregistrements explicites et les politiques efficaces héritées lorsque cette distinction est importante.
Une métrique de déploiement pourrait être vérifiée dans les domaines concernés avec une politique efficace prévue divisée par tous les domaines concernés. Expliquez quels moyens vérifiés et quelles politiques répondent à l'objectif de l'organisation. Publier un dossier n’équivaut pas à demander l’exécution, et demander l’exécution ne garantit pas un traitement identique de la part de chaque destinataire.
Mesurer le fonctionnement du service légitime
Références : RFC 9990 §3.1.1.8, RFC 9989 §5.3.5, RFC 9989 §5.3.8.
Maintenez un inventaire vérifié des applications et des domaines. Pour chaque service critique, enregistrez les identités attendues, le propriétaire responsable, le dernier test représentatif et les résultats alignés observés. Afficher les services non observés sur la période plutôt que de leur accorder un laissez-passer.
Pour les politiques valides applicables et les évaluations terminées, calculez un taux de réussite basé sur l'observation en additionnant le nombre de messages avec un taux de réussite aligné. SPF ou DKIM résultat et division par les observations de message incluses. Indiquer la couverture du récepteur, la fenêtre horaire, la gestion des doublons et les critères de classification. Séparez ce taux d’une mesure de couverture de service, dont le dénominateur est constitué d’applications plutôt que de messages.
Travailler avec une moyenne trompeuse
Exemple synthétique : un service marketing compte 99 990 observations réussies, tandis qu'un itinéraire de facturation vérifié compte dix observations défaillantes. Le taux de réussite combiné est de 99,99 pour cent. Le taux de réussite observé pour le parcours de facturation est de zéro sur dix, et l'un des deux services répertoriés présente un problème d'authentification non résolu.
Ces faits justifient une enquête urgente sur l'acheminement des factures, même si le tarif global est élevé. Ils ne prouvent pas que les dix factures ont été rejetées ou que chaque destinataire de factures a rédigé un rapport. Affichez la confirmation du propriétaire de la facture, un exemple de message de preuve et l'état de récupération à côté de la métrique.
Ajouter des mesures de visibilité et d’exception
Suivez le dernier intervalle couvert et le décalage d’arrivée des journalistes importants. Affichez le volume observé non classifié, les itinéraires critiques non testés et les décisions de propriété en retard. Un changement dans les rapporteurs contributeurs peut modifier un pourcentage sans aucune amélioration de l'expéditeur. Marquez ces changements plutôt que de les intégrer dans une tendance.
Pour les exceptions, mesurez l’âge, la criticité de l’entreprise, la prochaine action et l’expiration plutôt que seulement le nombre de tickets ouverts. Une seule exception de longue durée affectant un flux de paiement peut mériter plus d’attention que de nombreuses observations à faible impact rapidement résolues. N’appelez pas toutes les défaillances de source inconnue bloquées comme attaques.
Rendre le résumé du conseil auditable
Pour chaque nombre publié, conservez sa population, son numérateur, son dénominateur, sa révision de calcul, sa date de preuve et son propriétaire responsable. Incluez une analyse approfondie des services critiques et des lacunes connues. À utiliser indisponible lorsque le dénominateur est zéro ou que la preuve est absente.
La déclaration de contrôle doit indiquer ce qui est configuré, ce qui a été observé en fonctionnement et ce qui reste incertain. Examen après les acquisitions de domaines, les migrations de fournisseurs ou les nouvelles applications d'envoi. Un programme de mesure solide rend ces changements visibles et crée des décisions correctives spécifiques ; cela ne transforme pas un ensemble de données incomplet en une garantie de sécurité universelle.
Poursuivre l'enquête
Utilisez le procédure pas à pas du rapport agrégé pour les champs sous-jacents et le guide de diagnostic d'alignement lorsque le succès de l'authentification brute ne satisfait pas DMARC .
Conserver l’illustration dans sa preuve
Le calcul synthétique local donne 99 990/100 000 = 99,99 % de réussite globale mais 0/10 = 0 % pour les factures. L'un des deux services nommés reste problématique dans le scénario fourni. Il ne s’agit pas d’un score de couverture successorale mesuré, d’un nombre de pertes de livraison ou d’une référence du secteur.