ルート内でセキュリティ サービスが何を行うかを確立する
メール セキュリティ コンソールのパーセプション ポイント名は、サービスが組織のメッセージを発信していること、またはメッセージにドメインで署名していることを証明するものではありません。実際にデプロイされる統合から始めます。メールボックス プラットフォーム、受信スキャン方法、送信スキャン範囲、および個別のSMTPリレーを特定します。この記事では、ルートの特定と検証方法を説明します。入手可能な第一者による証拠は普遍的な認識点を確立していない SPF または顧客ドメインを含む DKIM 設定。
docs.perception-point.io上の現在の WP ドキュメントには、FortiMail Workspace Security というブランドが付けられています。その Microsoft 365アウトバウンド オンボーディング ページ では、既存の受信統合に追加されたMicrosoft 365 API 接続を介した送信スキャンについて説明します。文書化された機能はセキュリティ検査であり、新しいSMTP送信 ID の証拠ではありません。コントロールを使用する前に、これらの製品手順が展開に適用されることを確認してください。
ルートを描き、それぞれの責任を割り当てる
アプリケーションまたはメールボックスから最終受信者までの短いフローを作成します。各コンポーネントについて、メッセージの生成、 SMTPの送信、 SMTPの中継、 DKIMの署名、コピーのスキャン、または受信者側の配信決定を行ったかどうかを記録します。電子メールのフッターにある製品ロゴに頼るのではなく、構成の証拠を提供するようプラットフォーム所有者に依頼してください。
少なくとも 3 つの質問に分けてください。どのシステムがメッセージを受信者に送信しますか?どのドメインが署名しますか?どこの警備会社が検査してるの？ 1 つの製品が複数の役割を果たすこともありますが、それらの役割を実証する必要があります。メッセージが API を通じて監視される通常のMicrosoft 365送信メールである場合は、ゲートウェイがテナントを保護するという理由だけで、ゲートウェイの無関係な受信 IP 範囲を送信者ポリシーに追加しないでください。
また、組織が生成したメッセージとセキュリティ サービス自体が生成した通知を区別します。製品によって送信されるレポートまたはアラートは、従業員の電子メールとは異なる送信者およびルートを使用する場合があります。アラートのヘッダーをビジネス通信の認証の証拠として使用したり、その逆を使用したりしないでください。
スキャン証拠をその範囲内で解釈する
文書化されたMicrosoft 365ルートについて、プロバイダーは、有効な送信スキャンと送信接続スコープのチェックについて説明し、結果は [スキャン] ページに表示されます。アウトバウンド スキャンは送信メッセージをブロックしたり、アウトバウンドの隔離を提供したりしないと記載されています。の 入社手続き また、選択したスコープが既存のスキャン設定に影響を与える可能性があることも警告します。何かを変更する前に、セキュリティ管理者にそのスコープを確認してもらいます。
これらの観察により、メッセージが名前付き統合内でスキャンされたことが証明されます。有効なSPF認証を確立しません。 DKIM署名 または DMARC アライメント 外部受信機で。クリーンな判定が認証の代わりにならないように、スキャン結果と受信機の結果を別の証拠フィールドに保管してください。
の 評決ヘッダーのドキュメント リストされている X-PERCEPTION-POINT ヘッダーはMicrosoft 365またはGoogle Workspace API のスキャンによって追加されず、送信メールにも追加されないと言われています。したがって、それらが存在しないこと自体は、送信スキャンが失敗したことを証明するものではありません。他のメッセージにそれらが存在しても、外部受信者のDMARC決定にはなりません。
実際の送信者は識別後にのみ設定してください
SMTP送信者と署名サービスがわかったら、そのサービスの該当するファーストパーティ構成手順を使用します。発行されたドメイン レコードとアクティベーションの証拠を入手します。検証済みの展開で実際に追加の送信リレーを使用している場合は、受信セキュリティ ガイドから推測するのではなく、そのテナントに対するリレーの現在のドメイン認証と署名手順を要求します。
SPF 、該当するSMTP ID を承認し、レコード選択と DNS ルックアップの制約があります。 RFC 7208。 DKIM署名ドメインを識別し、 セレクタ 下 RFC 6376。 DMARC受け渡す認証済み ID を、表示されている From ドメインに関連付けます。 RFC 9989。 IP 許可リスト、API 同意、または脅威スキャンの成功は、これらのチェックの代わりにはなりません。
診断のショートカットとして広範な許可リストを作成することは避けてください。元の障害を隠しながら、ローカルのセキュリティ処理を変更することができます。問題が受信者の拒否である場合は、拒否コード、時刻、対象受信者のシステム、および編集されたメッセージ ID を保存します。問題がセキュリティ適用範囲にある場合は、スキャン範囲と一致するスキャン レコードを調べます。すべての配信問題をSPF変更リクエストとして扱うのではなく、特定の障害を解決します。
Perception Point 導入ワークシート
認証レコードを提案する前に、このワークシートに記入してください。
- テナントおよび契約書に表示される製品名: ____;該当するドキュメント: ____。
- メールボックス プラットフォーム、テナント、展開リージョン: ____。
- インバウンド統合方法: ____;アウトバウンドスキャン方法と範囲: ____。
- メッセージ生成アプリケーションと所有者: ____; SMTP送信者またはリレー: ____。
- DKIM署名サービスと所有者: ____;それをルートに結び付ける証拠: ____。
- 通知とビジネス メッセージの分類: ____。
- 管理されたテストのメッセージ ID と UTC 時間: ____;対応するスキャン レコード: ____。
- 外部受信者、表示される差出人およびエンベロープ ドメイン: ____。
- DKIM d= およびs=: ____;信頼できるSPF 、 DKIM 、およびDMARC結果: ____。
- 提案されたDNS変更と実際の送信元: ____;サポートされていない仮定: ____。
- パイロットの決定、リカバリの所有者、および人間のレビュー担当者: ____。
SMTP送信者または署名所有者が不明な場合、ワークシートはDNS変更に対応する準備ができていません。読み取り専用の調査を続行し、不足しているルートの証拠について担当管理者に問い合わせます。
評決ヘッダーの欠落に関する架空の診断
架空の例のみ: Summit Design はアウトバウンド API スキャンを有効にし、制御されたメッセージを送信します。管理者は X-PERCEPTION-POINT 判定ヘッダーを認識せず、メッセージが保護をバイパスされたとみなします。文書化されたヘッダーの制限は、その期待がこのルートに適さない理由を説明しています。チームは、メッセージの一致するスキャン エントリのセキュリティ適用範囲を確認し、実際のメールボックス送信者の外部受信者の認証結果を個別に検査します。
組織のSPFポリシーにセキュリティ サービス IP を追加しても、それらの IP がアウトバウンド メッセージを送信するという証拠がなければ、どちらの質問にも答えることはできません。チームはルートを確認する間、 DNS変更しないままにします。この原稿では、Summit の展開、スキャン コンソール、 DNSゾーン、受信メッセージはテストされていません。
範囲と残りのゲート
元の広範な送信者構成のトピックは保留されたままです。この候補は、文書化されたスキャンと未検証の顧客ドメイン送信機能との境界を特定します。これらの機能が普遍的に存在しないとは主張しません。実際の製品の適用性、ルーティングと所有権の署名、関連する場合はテナント発行の指示、ライブスキャンと受信機の証拠、レンダリングされたレビュー、SME による人間の承認と公開は保留中です。
スキャンを編集する前にスコープ効果を記録する
文書化されたMicrosoft 365 API 統合に関して、プロバイダーは、ドメイン、グループ、またはユーザーの新しい選択によって既存の受信、内部、および送信のスコープが置き換えられることを警告します。既存のインライン インバウンド統合では、選択はアウトバウンド カバレッジにのみ影響します。これは、認証の修正ではなく、その所有者を必要とするセキュリティ適用範囲の決定として扱ってください。
ポリシーのロールアウトからメッセージの受け入れを分離する
整列されたSPF結果が合格すればメッセージ評価を満たすことができますが、それだけではドメイン全体を拒否するように移動することは正当化されません。 RFC 9989 セクション 7.4 では、ドメイン公開に有効なDKIMが必要です p=reject そして、間接メールの相互運用性について警告します。ポリシー所有者が施行を承認する前に、すべての正当な送信者と間接ルートをインベントリします。この記事では、 DNS変更、テナントの操作、受信メッセージのテストは実行されていません。