Środowisko testowe powinno umożliwiać weryfikację zmian bez nadawania niepotrzebnej władzy nad tożsamościami produkcyjnymi. Oddziel środowiska aplikacji w rejestrze nadawcy i niezależnie przeglądaj ich uprawnienia DNS , podpisywanie, przekazywanie i odbiorcę. Etykieta nazywana stagingiem nie stanowi kontroli izolacji, jeśli używa poświadczeń produkcyjnych lub tego samego nieograniczonego klucza podpisywania.
Zdefiniuj granicę środowiska
Zapisz cel aplikacji, środowisko, właściciela, krytyczność, widoczne z domeny, domenę koperty, DKIM tożsamość podpisująca, punkt końcowy, zatwierdzeni odbiorcy, ostatni test i numer referencyjny zatwierdzenia. Jeśli platforma na to pozwala, używaj odrębnych tożsamości usług i magazynów danych uwierzytelniających. Nie kopiuj tajemnic produkcyjnych do przykładu osprzętu lub dokumentacji.
Dedykowana subdomena testowa może pomóc w oddzieleniu nazewnictwa i zasad, ale nie stanowi automatycznie granicy bezpieczeństwa. DMARC zrelaksowany wyrównanie może powiązać domeny na poziomie domeny organizacyjnej, w zależności od obowiązujących reguł wykrywania i dopasowywania protokołu. Zamiast zakładać, że inna etykieta znajdująca się skrajnie po lewej stronie, sprawdź rzeczywiste zachowanie wyrównania, a poczta nie będzie ze sobą powiązana. RFC 9989.
Oddziel władzę od nazewnictwa
Sprawdź, co może zrobić każda usługa podpisywania, delegowanie DNS i reguła przekazywania. Usługa testowa, która może podpisać się w domenie produkcyjnej, może nadal generować pocztę dostosowaną do produkcji. Nadawca testowy z dedykowaną domeną może nadal docierać do prawdziwych klientów, jeśli kontrola jego odbiorców będzie nieograniczona. Uwierzytelnianie i przechowywanie odbiorców rozwiązują różne problemy.
Dla SPF, sprawdź rzeczywistą tożsamość koperty i jej autoryzowaną infrastrukturę wysyłającą. W przypadku DKIM sprawdź selektor własność i domenę podpisującą, a nie tylko adres wyświetlany. RFC 7208 I RFC 6376. Traktuj uprawnienia współdzielone jako wyraźny wyjątek mający wpływ, właściciela i wygaśnięcie, a nie niewidoczną wygodę.
Oddziel dwie awarie przemieszczania
Załóżmy, że usługa pomostowa ma dedykowany test z domeny, ale jej poświadczenia podpisywania mogą również podpisywać się w środowisku produkcyjnym. Druga usługa ma ograniczone uprawnienia do podpisywania, ale może wysyłać do nieograniczonych rzeczywistych odbiorców. Pierwszy wymaga przeglądu pozwolenia na podpisanie; drugi wymaga zabezpieczenia odbiorcy. Etykieta domeny testowej nie może rozwiązać żadnej luki w uprawnieniach.
Są to hipotetyczne ustalenia dotyczące uprawnień, a nie przeprowadzony audyt strażnika lub platformy. Rejestruj zatwierdzone tożsamości i odbiorców, a następnie sprawdzaj egzekwowanie zasad za pomocą autoryzowanych dowodów konfiguracji i ograniczonych testów. Arkusz kalkulacyjny może ujawnić niezgodność, ale nie może zatrzymać komunikatu. Tam, gdzie kontrole są niedostępne, należy zachować wyraźne stanowisko lub wąsko zatwierdzoną alternatywę, zamiast deklarować izolację od samego nazewnictwa.
Promuj przejrzaną konfigurację zamiast stanu ukrytego
Przechowuj zamierzoną konfigurację i dokładną różnicę dla każdego środowiska. Skorzystaj z podstawowych zasad NIST i zasad kontroli zmian, aby sprawdzić, co jest promowane. SP 800-128. Zależności rekordów, które nie mogą być identyczne w różnych środowiskach, takie jak publiczne nazwy DNS , selektory i tożsamości certyfikatów.
Przetestuj kandydata w bezpiecznym środowisku, a następnie uzyskaj wymaganą zgodę na wdrożenie produkcyjne. Zaliczony test przejściowy nie potwierdza produkcyjnego DNS , uprawnień ani zachowania trasy. Weryfikacja produkcji z autoryzowanymi odbiorcami i ograniczony test po wdrożeniu. Jeśli środowisko ulegnie zmianie w trakcie testu, należy ponownie ustalić linię bazową, zamiast traktować nieaktualne wyniki jako aktualne zatwierdzenie.
Trzymaj dowody i dostęp oddzielnie
Zachowaj oddzielne dowody testów z etykietami środowiska i znacznikami czasu. Redaguj prawdziwe dane odbiorców, gdy nie jest to konieczne i unikaj wykorzystywania prawdziwych wiadomości od klientów jako elementów testowych. Ogranicz możliwość edycji produkcyjnego DNS , przypisuj tożsamości podpisujące i zmieniaj kontrolę odbiorców do odpowiedzialnych operatorów.
Okresowo przeglądaj współużytkowane zależności. Jeśli testy i produkcja muszą korzystać ze wspólnego konta przekaźnika lub dostawcy, udokumentuj faktyczne kontrole ograniczające użycie tożsamości i odbiorcy. Zdefiniuj wycofywanie dla produkcji oddzielnie od czyszczenia testowego. Usunięcie selektora testu jest bezpieczne dopiero po potwierdzeniu, że żaden strumień produkcyjny nie jest od niego zależny; Same nazwy nie mogą ustalić tej zależności.