Poniżej DMARC pass nie stwierdza, że osoba inicjująca wiadomość była upoważniona do posługiwania się jej widocznym nadawcą. Badanie LaunDroMARC przeprowadzone przez Engage Security z grudnia 2025 r. opisuje pośrednią drogę, w ramach której ponowne wysłanie wiadomości zmienia tożsamość ocenianą przez SPF. Zapoznaj się z indywidualnymi przeskokami, zanim opiszesz wynik jako uniwersalne obejście DMARC lub założysz, że każdy dzierżawca firmy Microsoft zachowuje się obecnie w ten sam sposób.
Oddziel dwa źródła dowodów
Oryginalny badacz opisuje wiadomość przychodzącą, która przeszła pomyślnie SPF dla własnej domeny kopertowej, ale nie przeszła pomyślnie DMARC w przypadku imitowanej widocznej domeny From. W zgłoszonym przypadku ścieżka przekazywania Microsoft 365 przepisała kopertę do domeny przekazującej, która również odpowiadała widocznej domenie Od. Następnie końcowy odbiorca obserwował wyrównany SPF . Badacze zgłaszają odmienne traktowanie oryginału i przesłanych kopii. Są to ustalenia wynikające z ich dochodzenia, a nie obserwacje poczynione na potrzeby niniejszego przeglądu. Zaangażuj się w badania nad bezpieczeństwem.
Wyjaśnia to dokumentacja Microsoftu SRS zmiany POCZTA OD, a nie widoczne pole Od i podaje wzorce przepisywania dla odpowiednich tras przesyłania. Ostrzega również, że SRS zwykle nie rozwiązuje DMARC wyrównanie za przekazaną pocztę. Stwierdzenia te są zgodne ze szczególną zbieżnością tożsamości badania: zazwyczaj oryginalna domena From różni się od domeny spedytora; zgłoszony przypadek celowo dotyczy tej samej domeny. Dokumentacja Microsoft SRS.
Zrozum dalszy werdykt
Referencje: RFC 9989 §4.4, RFC 8601 §5.
SPF pyta, czy łączący się host ma autoryzację tożsamości koperty w tym przeskoku. DMARC porównuje uwierzytelnioną domenę z widoczną domeną Od. Żaden z wyników, samodzielnie, nie rekonstruuje sposobu, w jaki pierwotny aktor uzyskał dostęp do przepływu pracy przekazywania. Wynik dostosowany na późniejszym etapie może zatem być prawidłowy dla ocenianych tożsamości, a jednocześnie stanowić niewystarczający dowód zezwolenia na prowadzenie działalności.
Nie interpretuj wyglądu SRS Return-Path jako dowód, że Microsoft go wyprodukował. Zachowaj wiarygodne wyniki odbiorcy końcowego, informacje o rówieśnikach i ślad wiadomości oraz porównaj dowody z granic odbierających i przesyłających. Dowolnie osadzone Authentication-Results tekst nie jest zaufanym werdyktem. RFC 8601 wyjaśnia wymaganie dotyczące granicy zaufania; RFC 9989 dostarcza kontekst wyrównania domeny.
Odtwórz tylko porównanie tożsamości
Model braku dostawy pakietu prywatnej recenzji obejmuje dwa fikcyjne przypadki. W normalnym przypadku oryginalna widoczna domena autora.test różni się od przepisanej koperty forwarder.test, więc zakłada się, że dalszy przebieg SPF pozostaje niewyrównany. W drugim przypadku widoczna domena to forwarder.test; ta sama przepisana koperta jest teraz wyrównana. Obie zaczynają się od innej oryginalnej domeny koperty i nie są wyrównane DKIM.
Zachowane dane wejściowe urządzeń zostały ponownie obliczone w trybie offline w dniu 8 listopada 2026 r. przy użyciu tego porównania w domenie dokładnej. Nie wysyła fałszywej poczty, nie tworzy reguł przekazywania, nie korzysta Exchange Online , nie implementuje skrótów SRS ani nie udowadnia, że obecny dzierżawca akceptuje trasę. Jego celem jest wyjaśnienie, dlaczego te dwa orzeczenia różnią się od siebie, bez odtwarzania ataku na prawdziwą usługę. Historyczne zachowanie dostawców, obecne zachowanie najemców i abstrakcyjne porównanie są oddzielnie oznaczone.
Zbadaj w defensywie
Inwentaryzacja autoryzowanej spedycji zewnętrznej i jej właścicieli biznesowych. W przypadku podejrzenia incydentu należy zachować oryginalne i przesłane kopie, znaczniki czasu, metodę routingu, uwierzytelnianie przed przekazaniem i wyniki końcowe. Przed zmianą reguły przejrzyj aktualną dokumentację dostawcy i śledzenie wiadomości. Źródło firmy Microsoft odróżnia odpowiednie przekazywanie od przypadków z pulą przekaźników i przypadków lokalnych, więc pojedyncze oświadczenie dotyczące konfiguracji nie wystarczy do objęcia każdej ścieżki.
Zastosuj zmiany w ramach zatwierdzonego przez organizację procesu bezpieczeństwa poczty, a następnie przetestuj legalne przepływy pracy. Unikaj reguł szerokiego zezwolenia opartych wyłącznie na infrastrukturze dostawcy lub wynikach przepustowości podrzędnej. W artykule tym ustala się mechanizm i pytania dochodzeniowe. Nie zapewnia niezweryfikowanej daty naprawy, powszechnego narażenia, udanego wykorzystania ani aktualnej wady usługi Microsoft.