Un CISO deve sapere se i controlli di dominio dell'organizzazione coprono le risorse previste e se importanti servizi legittimi continuano a funzionare. Un globale DMARC la percentuale non risponde a nessuna delle domande da sola. Costruisci un piccolo insieme di misure che separino la distribuzione, l'autenticazione osservata, l'aggiornamento delle prove e le eccezioni non risolte.
Le misure seguenti sono raccomandazioni operative. Utilizzano il protocollo e i limiti di reporting nelle RFC 9989 e 9990, ma non sono punteggi di conformità DMARC standardizzati.
Inizia con un inventario di proprietà
Riferimenti: RFC 9989 §4.10.1, RFC 9989 §5.4.
Definisci la popolazione dei domini da un inventario responsabile, inclusi domini di invio, marchi non di invio, servizi delegati e sottodomini pertinenti. Registrare il proprietario, l'uso previsto, il risultato dell'individuazione della policy e la data dell'ultima verifica. Contare separatamente i record espliciti e la politica effettiva ereditata laddove tale distinzione è importante.
Una metrica di distribuzione potrebbe essere verificata nei domini compresi nell'ambito con una politica effettiva prevista divisa per tutti i domini compresi nell'ambito. Spiegare quali mezzi verificati e quali politiche soddisfano l'obiettivo dell'organizzazione. Pubblicare qualsiasi documento non equivale a richiedere l'esecuzione, e richiedere l'esecuzione non garantisce un trattamento identico da parte di ogni destinatario.
Misurare il funzionamento legittimo del servizio
Riferimenti: RFC 9990 §3.1.1.8, RFC 9989 §5.3.5, RFC 9989 §5.3.8.
Mantieni un inventario verificato da applicazione a dominio. Per ciascun servizio critico, registrare le identità previste, il proprietario responsabile, l'ultimo test rappresentativo e i risultati allineati osservati. Visualizzare i servizi non rispettati nel periodo anziché concedere loro un pass.
Per le policy valide applicabili e le valutazioni completate, calcolare una percentuale di superamento basata sull'osservazione sommando i conteggi dei messaggi con un superamento allineato SPF O DKIM risultato e dividendolo per le osservazioni del messaggio incluso. Copertura dello stato del destinatario, finestra temporale, gestione dei duplicati e criteri di classificazione. Separare tale tasso da una metrica di copertura del servizio, il cui denominatore sono le applicazioni anziché i messaggi.
Lavora attraverso una media fuorviante
Esempio sintetico: un servizio di marketing ha 99.990 osservazioni passanti, mentre un percorso fattura verificato ha dieci osservazioni fallite. Il tasso di superamento combinato è del 99,99%. La percentuale di superamento osservata del percorso della fattura è pari a zero su dieci e uno dei due servizi elencati presenta un problema di autenticazione irrisolto.
Questi fatti giustificano un’indagine urgente sul percorso delle fatture anche se il tasso principale è elevato. Non provano che tutte e dieci le fatture siano state respinte o che ogni destinatario della fattura abbia inviato un rapporto. Mostra la conferma del titolare della fattura, la prova del messaggio di esempio e lo stato di recupero accanto alla metrica.
Aggiungi misure di visibilità ed eccezione
Tieni traccia dell'ultimo intervallo coperto e del ritardo di arrivo per i giornalisti importanti. Mostra il volume osservato non classificato, i percorsi critici non testati e le decisioni sulla proprietà scadute. Una modifica nei reporter contributori può modificare una percentuale senza alcun miglioramento del mittente. Contrassegna tali cambiamenti anziché fonderli in una tendenza.
Per le eccezioni, misura l'età, la criticità aziendale, l'azione successiva e la scadenza anziché solo il numero di ticket aperti. Una singola eccezione di lunga durata che incide su un flusso di lavoro di pagamento può meritare più attenzione di molte osservazioni di basso impatto risolte rapidamente. Non chiamare attacchi bloccati tutti gli errori di origine sconosciuta.
Rendere verificabile il riepilogo del consiglio
Per ogni numero pubblicato, conserva la popolazione, il numeratore, il denominatore, la revisione del calcolo, la data di prova e il proprietario responsabile. Includere un'analisi approfondita dei servizi critici e delle lacune note. Utilizzare non disponibile quando il denominatore è zero o l'evidenza è assente.
La dichiarazione di controllo dovrebbe indicare cosa è configurato, cosa è stato osservato durante il funzionamento e cosa rimane incerto. Revisione dopo acquisizioni di domini, migrazioni di provider o nuove richieste di invio. Un programma metrico efficace rende visibili tali cambiamenti e crea decisioni di riparazione specifiche; non trasforma un set di dati incompleto in una garanzia di sicurezza universale.
Continua l'indagine
Usa il procedura dettagliata sul report aggregato per i campi sottostanti e il guida alla diagnosi dell'allineamento quando il successo dell'autenticazione grezza non soddisfa DMARC .
Mantieni l'illustrazione all'interno delle sue prove
Il calcolo sintetico locale fornisce 99.990/100.000 = 99,99% di passaggio complessivo ma 0/10 = 0% per le fatture. Uno dei due servizi denominati rimane problematico nello scenario fornito. Non si tratta di un punteggio misurato di copertura patrimoniale, di un conteggio delle perdite di consegna o di un benchmark di settore.