Ambito e prerequisiti
Trellix è un portfolio, non un percorso di posta elettronica. Questa guida copre la personalizzazione di Email Security Cloud DKIM politica documentata da Trellix. Non stabilisce passaggi equivalenti per un apparecchio o un altro prodotto. Conferma che la posta in uscita attraversa questo servizio, identifica il proprietario della policy di dominio ed esporta i record di firma esistenti. Corrente in uscita specifica del locatario SPF le istruzioni devono essere ottenute separatamente; qui non viene affermata alcuna inclusione SPF universale.
Configura il criterio DKIM in uscita
In Configurazione > Criteri, crea un criterio DKIM in uscita. Gestisci la configurazione DKIM e genera chiavi. Pubblicare l'account fornito CNAME target o dati TXT a chiave pubblica, quindi convalidare sia la chiave primaria che quella secondaria. Associa la policy alle policy in uscita del dominio o del gruppo di domini e salva. La firma personalizzata integra la firma standard di Trellix. Gli inquilini del governo degli Stati Uniti non dispongono della copia del nome host e utilizzano la pubblicazione TXT . Gli esempi TXT dell'origine omettono il carattere di sottolineatura utilizzato negli esempi CNAME ; risolvere l'intero proprietario TXT con l'output o il supporto del tenant prima di procedere. Consulta le norme DKIM personalizzate di seguito.
Design originale di accettazione a doppia firma
Utilizza un messaggio di prova esterno per enumerare ogni firma, non solo la prima DKIM-Signature intestazione. Registra d=, s= e il risultato del ricevitore in modo indipendente. Una firma del provider che passa non è sufficiente se il dominio di firma non è in linea con il mittente visibile. Una firma fallita non correlata non nega un'altra firma passante allineata. Quello del ricevente DMARC il risultato e le sue identità valutate costituiscono la prova di accettazione.
Per un visibile fittizio From alerts.example.org , immagina una firma da un dominio di servizio non correlato e un'altra da alerts.example.org . Solo il secondo potrebbe fornire informazioni esatte allineamento. Questo è un esempio di ragionamento inventato, non l'output dell'intestazione Trellix. Il foglio di lavoro lascia deliberatamente vuoti i selettori, i domini e i risultati effettivi.
Pianificare la manutenzione delle chiavi prima della rotazione
Documento quale selettore è attivo, che è in standby, chi può rigenerarlo e se DNS è delegato o gestito manualmente. La pubblicazione manuale TXT crea una dipendenza separata per l'aggiornamento DNS : dopo la pubblicazione di una chiave pubblica sostitutiva, verificarla prima di utilizzare il firmatario corrispondente. Non esporre il materiale della chiave privata in un ticket o in un foglio di lavoro.
Un utile test di fallimento è una policy le cui chiavi vengono convalidate ma che non sono collegate al dominio previsto. Cattura l'associazione e un messaggio da quel dominio esatto per distinguere la disponibilità DNS dall'applicazione della policy. Evitare di considerare un test riuscito da un dominio vicino come una prova per l'intero gruppo di domini. Durante il ripristino, ripristinare l'associazione convalidata precedente o lo stato di firma con il proprietario della posta; non eliminare entrambi i tasti come scorciatoia diagnostica.
Dimostrare l'identità al destinatario
Utilizza una casella di posta esterna controllata e invia attraverso il flusso di lavoro di produzione, con contenuti innocui e senza dati del cliente. Salva il messaggio non elaborato, il timestamp e quello del sistema ricevente Authentication-Results. Ignora le asserzioni di autenticazione inserite da un mittente non attendibile. Registra il dominio Da visibile, Return-Path o identità della busta autenticata e ogni coppia DKIM d= e s=. Un nome visualizzato o un indirizzo di risposta non è l'identità DMARC .
Il passaggio SPF autorizza il server di connessione per l'identità della busta valutata. Il pass DKIM convalida una firma per il dominio di firma. DMARC necessita di un metodo di passaggio il cui dominio si allinei con il visibile Da: l'allineamento rigoroso richiede lo stesso dominio; un allineamento rilassato consente la relazione organizzazione-dominio applicabile. Una firma di proprietà del provider può passare senza autenticare il mittente visibile. Una firma DKIM allineata che passa può soddisfare DMARC anche quando un'altra firma fallisce. Queste regole di protocollo provengono da RFC 7208 , RFC 6376 e RFC 9989, elencati di seguito.
Controlla DNS autorevole prima di diagnosticare le cache. Chiedi a un server autorevole il nome e il tipo esatti, quindi confronta un risolutore ricorsivo dopo la sua durata nella cache. Per DKIM , segui qualsiasi CNAME nella relativa risposta TXT a chiave pubblica. Non pubblicare mai una chiave privata. Mantieni una policy SPF per ciascun nome valutato e controlla il limite di dieci termini che causano la ricerca DNS tra le inclusioni nidificate. Non sostituire una policy SPF condivisa con l'esempio di un provider.
Recupero e accettazione
Sospendere il flusso di lavoro interessato se i test mostrano una nuova regressione. Confronta il record modificato con la versione salvata e annulla solo quella modifica dopo aver controllato gli altri mittenti. Ricontrolla DNS e invialo nuovamente dopo il ripristino; il ripristino di un valore non scarica immediatamente tutti i risolutori. Mantieni disponibili i vecchi record di verifica DKIM mentre i messaggi firmati in precedenza potrebbero essere ancora in transito, a meno che un incidente di sicurezza non richieda la revoca.
Accettare la modifica solo quando DNS , stato dell'applicazione e un messaggio effettivamente ricevuto concordano. Registra il proprietario del flusso, il timestamp della prova e il successivo trigger di revisione. Il solo posizionamento della casella di posta non costituisce prova dell'autenticazione e l'autenticazione riuscita non garantisce il posizionamento della casella di posta. Non rafforzare la politica DMARC di un dominio condiviso sulla base del test di un provider. Inventariare prima le altre fonti legittime.
Individua l'associazione mancante prima di ruotare le chiavi
Il caso scritto TR-01 presuppone che entrambi i selettori generati mostrino Verified per example.org , ma il dominio in uscita previsto non ha alcuna associazione con la nuova policy DKIM personalizzata. Un campione didattico ricevuto ha Da alerts@example.org e solo una firma del dominio del provider non correlato; SPF e qualsiasi altra firma rimangono sconosciute. Il proprietario della policy di posta dovrebbe controllare l'associazione in uscita del dominio e il suo percorso effettivo, non rigenerare entrambe le chiavi. Da questo campione parziale non deriva alcun risultato DMARC completo. Gli identificatori sono illustrativi e non è stato utilizzato alcun tenant, azione di generazione di chiavi, modifica delle policy o messaggio.
Preservare il confine dell'applicazione
La sezione 7.4 RFC 9989 richiede DKIM valido, non solo SPF , per la pubblicazione dei domini p=rejecte mette in guardia sull'interoperabilità della posta indiretta e delle mailing list. Un singolo test di messaggio diretto riuscito non è la prova che ogni percorso legittimo sia pronto per una politica più forte. Mantenere la protezione approvata esistente diagnosticando al tempo stesso il divario effettivo; qualsiasi cambiamento di politica necessita di una propria decisione.