Een afwijzingsbeleid kan een nuttig onderdeel zijn van het beschermen van een verzendend domein. Het kan niet vaststellen dat elk bericht dat iemand ontvangt veilig is, dat elke ontvanger dezelfde actie zal ondernemen, of dat een geauthenticeerde afzender eerlijk handelt.
De praktische vraag is niet of een domein een bepaald beleidslabel heeft bereikt. Het is welke imitatieroute de controle-adressen zijn en welk bewijs de volgende beslissing ondersteunt. Een beveiligingsprogramma moet die grens duidelijk aangeven voordat een dashboardpercentage een managementclaim wordt.
Beschrijf de gecontroleerde identiteit
Onder RFC 9989 §5.3.5, DMARC evalueert het gebruik van het domein in het zichtbare Van-adres tegen passeren, uitgelijnd SPF of DKIM bewijs. Op die domeinrelatie is beleid van toepassing. Het authenticeert geen weergavenaam, keurt geen betalingsverzoek goed en beoordeelt een gekoppelde website niet; RFC 9989 §5.4 maakt duidelijk dat gevalideerd domeingebruik geen waardebewering over een bericht is.
Een afwijzingsbeleid geeft uitdrukking aan de door de domeineigenaar gevraagde beoordeling voor berichten die niet kunnen worden gevalideerd. De uiteindelijke afhandeling van de ontvanger hangt ook af van zijn eigen analyse. RFC 9989 RFC 9989 §7.4 vereist specifiek dat ontvangers meer in overweging nemen dan alleen een gepubliceerd afwijzingsbeleid, vooral als het om legitieme indirecte post gaat.
Deze grenzen maken de controle niet onbelangrijk. Ze maken de dekking meetbaar. Gebruik de beleidsselectiegids om het beleid te verbinden met het werkelijke doel van het domein.
Test vier verschillende aanvalsverhalen
De volgende scenario's zijn illustratief. Het zijn geen klantincidenten of gemeten aanvalsresultaten.
- Scenario: een afzender gebruikt het exacte Van-domein van een organisatie zonder een uitgelijnde identiteit; Wat het domeinbewijs kan aantonen: DMARC fout kan de afhandeling onder het toepasselijke beleid beïnvloeden; Controle is nog steeds nodig: analyse van de ontvanger, monitoring en respons op incidenten
- Scenario: een afzender gebruikt een ander domein met een overtuigende weergavenaam; Wat het domeinbewijs kan aantonen: dat een ander domein zich met succes kan authenticeren; Controle is nog steeds nodig: detectie van nabootsing van identiteit en gebruikersrapportage
- Scenario: Een legitiem account wordt overgenomen en via een goedgekeurde route verzonden; Wat het domeinbewijs kan aantonen: Het bericht kan een geldige, uitgelijnde authenticatie hebben; Controle is nog steeds nodig: accountbeveiliging en onderzoek
- Scenario: Een leverancier stuurt een geauthenticeerd bericht met het verzoek om een frauduleuze bankrekeningwijziging; Wat het domeinbewijs kan aantonen: Het domeingebruik van de leverancier kan valide zijn; Controle is nog steeds nodig: onafhankelijke verificatie van betalingswijzigingen
Een enkele “phishing geblokkeerd"-nummer zou deze verschillen verbergen. Label tests op basis van identiteit, route en verwachte controle. Gebruik voor een veilige oefening geautoriseerde testaccounts en synthetische inhoud; het is niet nodig om een echte ontvanger bloot te stellen aan een frauduleuze instructie om de protocolgrens vast te stellen.
Controleer legitieme e-mail voordat u het beleid wijzigt
Een restrictief beleid kan van invloed zijn op legitieme communicatie waarvan de authenticatie ontbreekt of waarvan de identiteit niet goed op elkaar is afgestemd. Inventariseer elke zakelijke dienst, de eigenaar ervan en het account of de route die deze verzendt. Voeg bewijs van ontvangen berichten toe naast DNS status.
Een synthetische gereedheidsmatrix kan de geverifieerde facturering, de geverifieerde ondersteuning en een driemaandelijkse belastingaangifte weergeven die nog wacht op een verzendtest. De juiste vrijgavebeslissing is het oplossen van de kritieke ontbrekende stroom, en niet het wegmiddelen ervan, omdat de facturering het grootste deel voor haar rekening neemt.
Behandel onbekende bronnen als onopgelost totdat bewijsmateriaal ze identificeert. Een bekende cloudprovider bewijst geen goedkeuring, en een mislukte rapportrij bewijst geen aanval. Een bijgehouden afzenderinventaris geeft die onderzoeken een plek om te landen.
Account voor doorstuur- en mailinglijsten
Een bericht kan zijn oorspronkelijke route verlaten via een alias, forwarder of mailinglijst. Doorsturen verandert de verbindende bron die wordt gezien door de uiteindelijke ontvanger eronder RFC 7208 §10.3; Wijzigingen in de gedekte inhoud kunnen van invloed zijn op DKIM -verificatie onder RFC 6376 §3.7. De resulterende fout kan betrekking hebben op een legitiem bericht.
Huidig RFC 9989 §7.4 waarschuwt tegen weigering voor domeinen voor algemene doeleinden waarvan de gebruikers berichten kunnen posten op internetmailinglijsten. Het vereist ook dat domeinen die weigering publiceren geldige DKIM handtekeningen toepassen in plaats van uitsluitend op SPF te vertrouwen. Een transactioneel domein en een personeelscorrespondentiedomein kunnen daarom verschillende beleidsbeslissingen nodig hebben.
Een afgeleverde test via één expediteur is bewijs voor die route en tijd. Er wordt niet vastgesteld dat elke lijst, ontvanger of toekomstige wijziging zich identiek gedraagt. Leg zowel het werktraject als de onzekerheid vast.
Bewaar het wijzigingsdocument gekoppeld aan de claim
Bewaar vóór een goedgekeurde beleidswijziging het vorige record, het voorgestelde verschil, de domeinomvang, de eigenaar, het beoordeelde bewijsmateriaal en de herstelactie. Vergelijk daarna de waargenomen legitieme streams, geretourneerde fouten en beschikbare rapporten. Registreer daadwerkelijke resultaten in plaats van aan te nemen dat een succesvolle DNS publicatie een succesvolle communicatie blijkt.
Voor een synthetische oefening zou de wijzigingsnota kunnen zeggen dat een speciaal ontvangstdomein in overweging werd genomen voor een sterkere beoordeling nadat de bekende diensten en indirecte routes ervan waren beoordeeld. Er moet niet worden gezegd dat alle phishing is geëlimineerd. Het bewijsmateriaal ondersteunt een beslissing over dat domein en de gedocumenteerde e-mailstromen ervan.
Rapporteer het restrisico in bruikbare taal
Een duidelijke managementverklaring noemt het domein, de gecontroleerde bevolking, geverifieerde legitieme diensten, het huidige beleid en de resterende zwakke punten. Het houdt vervalste domeinbevindingen gescheiden van accountcompromis, lookalike domeinen en transactiefraude.
Nuttige vervolgacties zijn onder meer het verwijderen van verouderde verzendmachtigingen, het verbeteren van de accountbeveiliging, het valideren van gevoelige verzoeken via een bekend onafhankelijk kanaal en het onderhouden van een rapportageproces voor verdachte e-mail. Deze acties richten zich op verschillende faalpaden; hun waarde mag niet worden toegeschreven aan de DMARC record alleen.
Het resultaat waarnaar moet worden gestreefd is nauwkeurig: het legitieme gebruik van het gekozen Van-domein wordt begrepen en gehandhaafd, fouten worden onderzocht en het beleid past bij het gebruik van het domein. Houd de resterende fraudescenario’s zichtbaar, zodat een sterker domeinbeleid niet bij elk bericht een valse belofte wordt.
Leg een besluit vast dat kan worden herzien
Bewaar voor de vier scenario's afzonderlijke bevindingen voor fouten in het exacte domein, een ander geverifieerd domein, rekening overname en een geauthenticeerd betalingswijzigingsverzoek. Tel ze niet op in een ongekwalificeerde DMARC succesclaim. De voorgestelde vervolgcontroles zijn operationele aanbevelingen en geen garanties of DMARC -protocolvereisten. Er is geen incident, aanvalssimulatie of beleidsimplementatie uitgevoerd.